Dienstleistungen im Bereich Datenschutz und KI-Risiken in der Schweiz

Die Einführung von KI-Tools wie Microsoft Copilot oder anderen auf grossen Sprachmodellen basierenden Systemen wirft Fragen zu Datenschutz, Governance und Risikomanagement auf, die vor dem Einsatz geklärt werden sollten. Zu den wichtigsten Aspekten gehören: auf welche personenbezogenen oder vertraulichen Daten das System zugreifen und welche Daten es verarbeiten kann, wie diese gespeichert und aufbewahrt werden, ob die Verarbeitung die Anforderungen von DSGVO und DSG erfüllt, welche Kontrollmechanismen Missbrauch oder unbeabsichtigte Ergebnisse verhindern und wie KI-gestützte Entscheidungen dokumentiert und überprüft werden. Ist eine Datenbearbeitung voraussichtlich mit einem hohen Risiko für die Rechte der betroffenen Personen verbunden, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Darüber hinaus sollte ein KI-Governance-Rahmenwerk klare Verantwortlichkeiten, Transparenz und kontinuierliche Überwachung sicherstellen.

Ein Datenschutz-Assessment ist insbesondere sinnvoll, wenn eine Organisation ihre Datenverarbeitungsaktivitäten noch nicht anhand aktueller Anforderungen von DSGVO oder DSG überprüft hat, neue Systeme oder Prozesse mit personenbezogenen Daten einführt, sich auf eine regulatorische Überprüfung oder ein Audit vorbereitet oder wesentliche Veränderungen wie eine Fusion, ein neues Produkt oder die Expansion in neue Märkte anstehen. Ist eine geplante Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffenen Personen verbunden, ist anhand der jeweils anwendbaren Anforderungen zu prüfen, ob eine formelle Datenschutz-Folgenabschätzung erforderlich ist.

Ein externer Datenschutzbeauftragter fungiert als zentraler Ansprechpartner und unabhängige Beratungsinstanz für Datenschutzfragen. Er berät die Organisation zu ihren Verpflichtungen, überwacht die Einhaltung relevanter Datenschutzanforderungen, unterstützt bei Datenschutz-Folgenabschätzungen, begleitet den Austausch mit Aufsichtsbehörden und sensibilisiert Mitarbeitende. Für Organisationen ohne umfangreiche interne Datenschutz-, Rechts- oder Compliance-Funktion ermöglicht ein externes DPO-Mandat eine kontinuierliche und qualifizierte Unterstützung mit klar definiertem Leistungsumfang und Kostenrahmen.

KI-Governance bezeichnet die Richtlinien, Prozesse und Kontrollmechanismen, mit denen eine Organisation sicherstellt, dass KI-Systeme verantwortungsvoll, transparent und im Einklang mit den jeweils anwendbaren gesetzlichen und ethischen Anforderungen eingesetzt werden. Da KI-Tools zunehmend in betriebliche Abläufe integriert werden – von der Dokumentenverarbeitung über Kundeninteraktionen bis hin zur internen Entscheidungsunterstützung –, können fehlende Governance-Strukturen regulatorische, reputationsbezogene und operative Risiken verursachen. Auch in der Schweiz gewinnen klare Verantwortlichkeiten, eine angemessene menschliche Aufsicht sowie die systematische Bewertung und Steuerung von KI-Risiken zunehmend an Bedeutung.

Die Einhaltung des Schweizer DSG und der DSGVO steht einer datengetriebenen Arbeitsweise nicht im Wege. Unternehmen müssen jedoch die jeweils anwendbaren Datenschutzanforderungen und Bearbeitungsgrundsätze einhalten, die Rechte betroffener Personen berücksichtigen und geeignete technische und organisatorische Massnahmen umsetzen. Für Verarbeitungen, die der DSGVO unterliegen, gehört dazu insbesondere auch die Prüfung einer geeigneten Rechtsgrundlage. Klare Data-Governance-Strukturen, gut dokumentierte Verarbeitungstätigkeiten und regelmässige Compliance-Assessments helfen Unternehmen dabei, Daten verantwortungsvoll zu nutzen. Ein strukturiertes Datenschutz-Assessment bietet häufig einen geeigneten Ausgangspunkt, um bestehende Lücken zu identifizieren und gezielt zu schliessen.