Gilt das revDSG auch für kleine Firmen?
Ja. Das Gesetz gilt für alle Unternehmen, die Personendaten bearbeiten, unabhängig von der Grösse. Einige Pflichten wie das Verzeichnis der Bearbeitungstätigkeiten entfallen für Firmen mit weniger als 250 Mitarbeitenden, solange kein hohes Risiko besteht.
Darf ich Kundendaten in ChatGPT oder Claude eingeben?
Nur mit Vorsicht. Die Gratisversionen können Eingaben je nach Einstellung für das Training verwenden. Für den Betrieb eignen sich Business-Versionen oder die API, bei denen der Anbieter vertraglich zusichert, dass Daten nicht für das Training genutzt werden. Noch besser ist, Namen und Kontaktdaten gar nicht erst mitzuschicken.
| Variante | Training mit Ihren Eingaben | Für den Betrieb geeignet |
|---|---|---|
| Gratisversion | Je nach Einstellung möglich | Nein |
| Business- oder Team-Version | Standardmässig ausgeschlossen, vertraglich zugesichert | Ja, mit klaren Regeln |
| API | Standardmässig ausgeschlossen, vertraglich zugesichert | Ja, für Automatisierungen und Chatbots |
| Selbst betriebenes Modell wie Apertus | Nein, die Daten bleiben bei Ihnen | Ja, auch für sensible Inhalte |
Was gilt bei Anbietern in den USA?
Seit dem 15. September 2024 gilt das Swiss-U.S. Data Privacy Framework. Datenübermittlungen an US-Firmen, die unter diesem Rahmen zertifiziert sind, gelten als angemessen geschützt. Prüfen Sie die Zertifizierung des Anbieters und nennen Sie ihn in Ihrer Datenschutzerklärung.
Gibt es Schweizer Alternativen?
Ja. Apertus ist ein offenes Sprachmodell, das ETH Zürich, EPFL und das Nationale Supercomputing-Zentrum CSCS 2025 veröffentlicht haben. Es lässt sich auf eigenen Servern oder bei Schweizer Hostern betreiben, sodass Daten das Land nicht verlassen. Für viele Textaufgaben im KMU reicht seine Qualität aus.
Welche Punkte gehören auf die Checkliste für den KI-Einsatz?
- Festhalten, welche KI-Tools im Betrieb erlaubt sind
- Business-Version oder API statt Gratisversion nutzen
- Keine besonders schützenswerten Daten (Gesundheit, Religion, Strafsachen) eingeben
- KI-Dienste in der Datenschutzerklärung nennen, mit Land der Verarbeitung
- Bei Chatbots auf der Website darauf hinweisen, dass eine KI antwortet
- Entscheidungen mit Folgen für Personen von einem Menschen prüfen lassen