Lokale LLMs oder ChatGPT? Eine Datenschutz-Checkliste für Schweizer KMU
Was mit Ihren Daten in Cloud-KI-Tools passiert, was das nDSG verlangt und wann ein lokales oder in der Schweiz gehostetes LLM die bessere Wahl ist.
Generative KI spart Zeit beim Schreiben, Zusammenfassen und Suchen. Doch sobald Mitarbeitende Kundendaten, Verträge oder interne Dokumente in einen öffentlichen Chatbot kopieren, stellt sich die Frage: Wohin gehen diese Daten, und ist das überhaupt erlaubt?
Was mit Ihren Daten in der Cloud-KI passiert
Bei Cloud-KI-Diensten werden Eingaben und hochgeladene Dateien auf den Servern des Anbieters verarbeitet, oft ausserhalb der Schweiz. Je nach Produkt und Vertrag werden die Daten gespeichert, auf Missbrauch geprüft oder, bei Consumer-Versionen, sogar zur Verbesserung der Modelle genutzt. Business-Angebote bieten meist bessere vertragliche Zusicherungen, doch die Daten verlassen trotzdem Ihre eigene Infrastruktur.
Was das nDSG für KI bedeutet
Das revidierte Schweizer Datenschutzgesetz (nDSG) gilt seit dem 1. September 2023. Es verbietet Cloud-KI nicht, setzt aber klare Regeln, sobald Personendaten im Spiel sind:
- Transparenz: Betroffene müssen informiert werden, wie ihre Daten bearbeitet werden.
- Datensicherheit: Personendaten sind durch angemessene technische und organisatorische Massnahmen zu schützen.
- Bekanntgabe ins Ausland (Art. 16 nDSG): Daten dürfen nur in Länder mit angemessenem Schutz gehen oder mit zusätzlichen Garantien wie Standardvertragsklauseln.
- Datenschutz-Folgenabschätzung (Art. 22 nDSG): nötig, wenn eine Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen kann.
Dazu kommen Branchenregeln, etwa das Berufsgeheimnis für Anwälte, Ärztinnen und Treuhänder oder die Vorgaben der FINMA für Finanzinstitute.
Vier Optionen, von offen bis privat
- Öffentliche Chatbots: gut für allgemeine Texte, nicht für vertrauliche oder Personendaten.
- Business-Cloud-KI: vertraglicher Schutz, aber die Daten werden beim Anbieter verarbeitet, oft im Ausland.
- Open-Source-Modelle bei einem Schweizer Hoster: moderne Modelle im Schweizer Rechenzentrum, unter Ihrem Vertrag.
- On-Premise-LLMs: Die Modelle laufen auf Ihren eigenen Servern, keine Daten verlassen das Unternehmen.
Checkliste: Wann ein privates LLM sinnvoll ist
- Sie arbeiten regelmässig mit Personen-, Gesundheits-, Finanz- oder Kundendaten.
- Sie unterstehen einem Berufsgeheimnis oder einer Branchenregulierung.
- Ihre Kunden fragen, wo ihre Daten bearbeitet werden.
- Sie möchten KI im ganzen Unternehmen einsetzen, nicht nur für einzelne Aufgaben.
- Sie möchten nicht von einem einzelnen externen Anbieter und dessen Preisen abhängig sein.
Treffen zwei oder mehr Punkte zu, lohnt sich ein genauerer Blick auf ein privates oder in der Schweiz gehostetes LLM. Aktuelle Open-Source-Modelle wie Llama und Mistral bewältigen die meisten Büroaufgaben sehr gut, und ein Pilot auf Ihren eigenen Daten zeigt schnell, ob sie zu Ihren Anforderungen passen.
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Für konkrete rechtliche Fragen wenden Sie sich bitte an eine Fachperson für Datenschutz.