Ratgeber 01
Kundendaten und KI
Diese Frage kommt in fast jedem Erstgespräch, und meistens in dieser Form: Darf ich das überhaupt? Die kurze Antwort steht oben. Die längere ist es wert, gelesen zu werden, weil der Unterschied zwischen erlaubt und nicht erlaubt selten am Modell liegt, sondern daran, wie Sie es benutzen.
Dürfen Schweizer KMU Kundendaten an ein KI-Modell wie ChatGPT geben?
Ja, unter Bedingungen. Das revidierte Datenschutzgesetz verbietet es nicht, aber es verlangt drei Dinge: einen Vertrag mit dem Anbieter, eine Rechtsgrundlage für die Bekanntgabe ins Ausland, und dass Sie Ihre Kundschaft darüber informieren. Wer die Gratisversion von ChatGPT im Browser benutzt und dort Kundendaten einträgt, erfüllt keine davon.
01 /
Der Unterschied, an dem alles hängt
Es gibt zwei völlig verschiedene Arten, ein Sprachmodell zu benutzen, und sie werden ständig verwechselt. Die eine ist die Gratisversion im Browser: Sie öffnen die Seite, tippen etwas hinein, das Modell antwortet. Die andere ist die Schnittstelle, über die ein Programm mit dem Modell spricht, ohne dass ein Mensch etwas eintippt.
Rechtlich sind das zwei Welten. Bei der Gratisversion haben Sie keinen Vertrag, der Ihre Kundschaft schützt, und Ihre Eingaben können zum Training verwendet werden. Bei der Schnittstelle schliessen Sie einen Vertrag ab, die Anbieter sichern zu, dass die Daten nicht ins Training gehen, und Sie können festlegen, wie lange sie überhaupt gespeichert werden.
Wenn wir bei Ihnen etwas bauen, ist es immer der zweite Weg. Nicht aus Vorsicht, sondern weil der erste für einen Betrieb schlicht nicht in Frage kommt.
02 /
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Es kennt kein Verbot von künstlicher Intelligenz, und es nennt sie auch nicht beim Namen. Es behandelt einen KI-Anbieter wie jeden anderen Dienstleister, der Daten in Ihrem Auftrag bearbeitet.
Daraus folgen drei Pflichten. Erstens ein Vertrag zur Auftragsbearbeitung mit dem Anbieter, der festhält, was er mit den Daten tun darf und was nicht. Zweitens eine Grundlage für die Bekanntgabe ins Ausland, weil die grossen Modelle nicht in der Schweiz stehen. Drittens die Information Ihrer Kundschaft, in der Datenschutzerklärung, in verständlichen Worten.
Für die Bekanntgabe ins Ausland gibt es zwei gangbare Wege: der Anbieter sitzt in einem Land, das der Bundesrat als angemessen anerkennt, oder Sie stützen sich auf die Standardvertragsklauseln. Beides ist Papierarbeit, keine Technik. Beides ist in einem Nachmittag erledigt.
03 /
Der Test, den wir im Erstgespräch machen
Bevor wir über Verträge reden, stellen wir eine einfachere Frage: muss der Kundenname überhaupt mitgehen? Erstaunlich oft lautet die Antwort nein.
Ein Modell, das aus einer Mail die Positionen für eine Offerte herausliest, braucht die Positionen. Es braucht nicht die Adresse, nicht die Telefonnummer, nicht den Namen. Die bleiben in Ihrem System und werden erst danach wieder eingesetzt. Das ist keine juristische Spitzfindigkeit, das ist einfach die saubere Bauweise, und sie macht die halbe Frage gegenstandslos.
Wo der Name wirklich mitmuss, etwa wenn der Assistent am Telefon den Anrufer begrüssen soll, dann reden wir über Verträge. Vorher nicht.
04 /
Wann wir davon abraten
Bei Gesundheitsdaten, bei Daten über religiöse oder politische Ansichten, bei allem, was das Gesetz besonders schützenswert nennt, wird der Aufwand schnell grösser als der Nutzen. Eine Arztpraxis, die Diagnosen automatisch verarbeiten lassen will, bekommt von uns eine ehrliche Absage, oder einen Vorschlag, der die Diagnose gar nicht erst anfasst.
Und wenn Ihr Betrieb Aufträge für die öffentliche Hand ausführt, stehen in Ihrem Vertrag möglicherweise Klauseln, die strenger sind als das Gesetz. Die schauen wir zuerst an.
Kurz zum Mitnehmen
- Gratisversion im Browser mit Kundendaten: nein.
- Schnittstelle mit Vertrag, ohne Training, mit kurzer Speicherfrist: ja.
- Erst prüfen, ob der Name überhaupt mitmuss. Meistens muss er nicht.
- Datenschutzerklärung anpassen, bevor es losgeht, nicht danach.
- Besonders schützenswerte Daten: im Zweifel gar nicht.
Wir sind keine Anwälte und diese Seite ist keine Rechtsberatung. Sie fasst zusammen, was wir in Projekten bei KMU im Kanton Zürich gelernt haben. Bei besonders schützenswerten Daten oder öffentlichen Aufträgen lohnt sich eine Stunde bei einer Fachperson, und wir sagen Ihnen das im Erstgespräch auch so.
Fragen
Häufig gefragt.
01Werden meine Daten zum Training des Modells verwendet?
Über die Schnittstelle nicht. Die Anbieter sichern das vertraglich zu, und es lässt sich zusätzlich einstellen. In der Gratisversion im Browser ist es standardmässig anders herum, und genau darum ist sie für Kundendaten nicht brauchbar.
02Muss ich meine Kundschaft informieren, dass KI im Spiel ist?
Sie müssen in der Datenschutzerklärung angeben, dass Daten an Auftragsbearbeiter im Ausland gehen und zu welchem Zweck. Ein eigener Abschnitt zu KI ist nicht vorgeschrieben, aber er kostet nichts und nimmt genau die Frage vorweg, die sonst am Telefon kommt.
03Gibt es Modelle, die in der Schweiz laufen?
Ja, und sie werden besser. Für einzelne Aufgaben reichen sie heute schon, für andere sind sie den grossen noch deutlich unterlegen. Wenn Ihre Daten es verlangen, bauen wir darauf. Es kostet meistens etwas mehr Rechenzeit und etwas mehr Geduld.
04Was passiert, wenn ich nichts davon mache?
Meistens nichts, bis jemand fragt. Der Eidgenössische Datenschutzbeauftragte prüft in aller Regel nach einer Meldung, nicht von sich aus. Aber Bussen richten sich im revDSG gegen die verantwortliche Person, nicht gegen die Firma, und das ist ein Unterschied, den man einmal gehört haben sollte.
Dazu passend
Automatisierungen zum Thema.
Reden wir über Ihren Fall.
Dreissig Minuten, kostenlos, bei Ihnen im Betrieb oder am Telefon. Danach wissen Sie, was in Ihrem Betrieb geht und was nicht.