KI und Datenschutz gehören zusammen, sobald ein KI-Werkzeug mit Personendaten arbeitet. Und das geschieht schneller, als viele denken: eine Kundenanfrage im Chatfenster, ein Lebenslauf zur Zusammenfassung, ein Gesprächsprotokoll zur Auswertung. Schon bearbeitet eine Maschine Angaben über Menschen.
Ein eigenes KI-Gesetz hat die Schweiz nicht. Rechtsfrei ist der Raum trotzdem nicht, denn das Datenschutzgesetz (DSG) gilt seit dem 1. September 2023 auch für KI. Laut Bundesamt für Statistik erstellten 2025 bereits mehr als zwei von fünf Personen Texte oder Bilder mit KI.
Unser Beitrag zur datensouveränen KI zeigt, wo Daten liegen. Hier geht es um die Pflichten: Wir zeigen, was das Schweizer Recht bei KI und Datenschutz verlangt und woran Sie eine datenschutzfreundliche Lösung erkennen.
Das Wichtigste in Kürze
- Die Schweiz hat kein eigenes KI-Gesetz, doch für KI und Datenschutz gilt seit dem 1. September 2023 das technologieneutrale DSG.
- Wer mit KI Personendaten bearbeitet, muss Betroffene transparent informieren – laut EDÖB auch darüber, ob sie mit einer Maschine kommunizieren.
- Automatisierte Einzelentscheidungen müssen offengelegt werden; Betroffene können verlangen, dass ein Mensch sie überprüft.
- Bei hohem Risiko verlangt das DSG vorgängig eine Datenschutz-Folgenabschätzung.
- Rechnet die KI im Ausland, gelten für die Bekanntgabe von Personendaten eigene Regeln.
Gilt das DSG für KI? Was der EDÖB zu KI und Datenschutz sagt
Die kurze Antwort: ja. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) stellte schon 2023 klar, dass das technologieneutral formulierte DSG direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Bekräftigt hat er das in einer aktualisierten Mitteilung vom 8. Mai 2025.
Nicht die KI zählt, sondern die Personendaten
Am Datenschutztag 2026 betonte der EDÖB: KI als solche unterliegt nicht dem DSG. Sobald aber Personendaten bearbeitet werden, ist es direkt anwendbar. Gemeint sind alle Angaben über eine bestimmte oder bestimmbare natürliche Person – schon ein Name im Prompt kann genügen.
Laut EDÖB müssen Hersteller, Anbieter und Verwender von KI-Systemen Zweck, Funktionsweise und Datenquellen transparent machen – also auch Unternehmen, die KI nur einsetzen.
Transparenz: Erkennen, dass man mit KI spricht
Besonders deutlich wird der EDÖB bei Sprachmodellen: Wer mit einem Chatbot schreibt oder spricht, hat ein gesetzliches Recht zu erfahren, ob eine Maschine antwortet. Ebenso dürfen Nutzerinnen und Nutzer erfahren, ob ihre Eingaben zur Verbesserung der Programme oder zu weiteren Zwecken weiterbearbeitet werden.
Für Ihr Unternehmen heisst das: Ein KI-Assistent auf der Website sollte sich als solcher zu erkennen geben, und Ihre Datenschutzerklärung sagt, was mit den Eingaben geschieht. Kurz: keine Maschine im Menschenkostüm.
KI als Schwerpunkt im neuen Tätigkeitsbericht
Wie ernst der EDÖB das Thema nimmt, zeigt sein 33. Tätigkeitsbericht vom 30. Juni 2026, in dem KI ein eigener Schwerpunkt ist. Darin erinnert er an die Pflicht zur Transparenz und an die Datenschutz-Folgenabschätzung bei Bearbeitungen mit hohem Risiko.
Bemerkenswert ist eine Einschätzung zur Bundesverwaltung, die eigene KI-Assistenzsysteme vorbereitet: Bundeseigene Systeme gewährleisten laut Bericht, dass Prompts lokal bearbeitet werden. Die Nutzung kommerzieller Sprachmodelle bringe dagegen eine mindestens zeitweilige Speicherung in der Cloud des Anbieters mit sich – und damit ein Risiko für die Datensicherheit.
Fünf DSG-Pflichten beim KI-Einsatz
Diese fünf Artikel sollten Sie kennen, bevor Daten Ihrer Kundschaft oder Ihres Teams in ein KI-System fliessen.
1. Informieren, wenn Daten beschafft werden (Art. 19)
Sie müssen betroffene Personen angemessen informieren, wenn Sie ihre Daten beschaffen. Mindestens nennen Sie Ihre Identität und Kontaktdaten, den Zweck und gegebenenfalls die Empfängerinnen und Empfänger, zu denen auch ein externer KI-Anbieter gehören kann. Gehen Daten ins Ausland, nennen Sie zudem den Staat.
2. Automatisierte Entscheide offenlegen (Art. 21)
Entscheidet ein System allein, mit Rechtsfolge oder erheblicher Beeinträchtigung, liegt eine automatisierte Einzelentscheidung vor. Lehnt etwa eine KI Bewerbungen ohne menschliche Prüfung ab, kann das darunterfallen. Dann informieren Sie die betroffene Person; sie kann eine Überprüfung durch einen Menschen verlangen. Beides entfällt etwa bei ausdrücklicher Einwilligung.
3. Risiken vorab prüfen (Art. 22)
Kann eine Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte bergen, erstellen Sie vorgängig eine Datenschutz-Folgenabschätzung. Als Anhaltspunkte nennt das Gesetz neue Technologien und die umfangreiche Bearbeitung besonders schützenswerter Daten wie Gesundheitsdaten. Die Abschätzung beschreibt die Bearbeitung, bewertet Risiken und legt Schutzmassnahmen fest.
4. Anbieter sorgfältig auswählen (Art. 9)
Ein KI-Dienstleister bearbeitet Personendaten meist als Auftragsbearbeiter. Das ist zulässig, wenn er die Daten nur so bearbeitet, wie Sie selbst es dürften, und keine Geheimhaltungspflicht entgegensteht. Zudem müssen Sie sich vergewissern, dass er die Datensicherheit gewährleisten kann.
Prüfen Sie deshalb den Vertrag: Darf der Anbieter Ihre Eingaben für eigene Zwecke nutzen, etwa zum Training? Das DSG bindet Personendaten an einen bestimmten, für die Betroffenen erkennbaren Zweck (Art. 6).
5. Den Weg ins Ausland klären (Art. 16)
Rechnet die KI ausserhalb der Schweiz, werden Personendaten ins Ausland bekanntgegeben. Das ist erlaubt, wenn der Bundesrat dem Zielstaat einen angemessenen Schutz bescheinigt, wie es die Liste in der Datenschutzverordnung etwa für Deutschland, Frankreich oder Italien tut.
Die USA stehen seit dem 15. September 2024 darauf, allerdings nur für Organisationen, die nach dem Datenschutzrahmen Schweiz–USA zertifiziert sind. Sonst braucht es geeignete Garantien, zum Beispiel vom EDÖB anerkannte Standarddatenschutzklauseln.
KI und Datenschutz in der Praxis: eine Checkliste
Bevor Sie ein KI-Werkzeug einführen, lohnt sich ein kurzer Prüfgang. Diese Fragen sollten Sie Ihrem Anbieter stellen – und sich selbst:
- Wo werden Eingaben, Dokumente, Protokolle und Sicherungskopien bearbeitet und gespeichert?
- Werden Ihre Inhalte zum Training oder zur Verbesserung von Modellen verwendet?
- Gibt es einen Vertrag zur Auftragsbearbeitung, und wer sind die Unterauftragsbearbeiter?
- Welche technischen und organisatorischen Massnahmen schützen die Daten, etwa Rollen und Zugriffsrechte?
- Können Sie Daten löschen und Auskunftsbegehren beantworten?
Legen Sie zudem intern fest, welche Daten überhaupt in KI-Werkzeuge gehören. Eine klare KI-Strategie beantwortet diese Frage einmal für alle, statt in jedem Team neu. So werden KI und Datenschutz zur Routine.
KI und Datenschutz: kein Bremsklotz, sondern Bauplan
KI und Datenschutz sind keine Gegenspieler. Das DSG verlangt Datenschutz ab der Planung (Art. 7). Wer die Pflichten früh mitdenkt, baut KI-Anwendungen, denen Kundschaft und Team vertrauen.
Wir bei BE BRAVE setzen deshalb auf Schweizer Infrastruktur. Alle BE-BRAVE-Angebote werden auf unseren eigenen Servern in der Schweiz betrieben. Kundendaten, Verarbeitung, Logs und Backups bleiben in der Schweiz und werden niemals zum Training von KI-Modellen verwendet.
EagleCHAT wurde für hohe Schweizer und europäische Datenschutzanforderungen entwickelt. Schweizer Datenhaltung, eigene Infrastruktur und ein ISO/IEC-27001:2022-zertifiziertes ISMS unterstützen Unternehmen bei einer datenschutzkonformen Nutzung. Die Pflichten des Verantwortlichen bleiben bei Ihrem Unternehmen; mehr dazu unter Datensouveränität & Sicherheit.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.
FAQ
Gibt es in der Schweiz ein Gesetz für KI und Datenschutz?
Ein eigenes KI-Gesetz gibt es nicht. Für KI und Datenschutz gilt das DSG, das seit dem 1. September 2023 in Kraft und direkt auf KI-gestützte Datenbearbeitungen anwendbar ist.
Muss ein Unternehmen offenlegen, dass sein Chatbot eine KI ist?
Nach Auffassung des EDÖB ja. Wer mit einem Sprachmodell kommuniziert, hat ein Recht zu erfahren, ob eine Maschine antwortet und ob die Eingaben weiterverwendet werden.
Wann braucht KI eine Datenschutz-Folgenabschätzung?
Grundsätzlich dann, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringen kann – und zwar vor dem Start.
Dürfen Personendaten in ein KI-Tool eines ausländischen Anbieters gelangen?
Nur, wenn die Bekanntgabe ins Ausland nach Art. 16 oder 17 DSG zulässig ist und Sie die Betroffenen informieren. Bei internationalen Anbietern hängen Bearbeitungsort, anwendbares Recht und die Nutzung der eingegebenen Inhalte von den jeweiligen Vertragsbedingungen ab.
Was droht bei Verstössen gegen das DSG beim KI-Einsatz?
Bei vorsätzlicher Verletzung der Informationspflichten nach Art. 19 oder 21 droht privaten Personen auf Antrag eine Busse bis zu 250’000 Franken (Art. 60). Gleiches gilt etwa für eine vorsätzlich unzulässige Bekanntgabe ins Ausland (Art. 61). Gebüsst werden primär verantwortliche natürliche Personen, Unternehmen nur ausnahmsweise (Art. 64).
