ALESO
Suche

Wonach suchen Sie?

Durchsuchen Sie Leistungen, Anwendungsfälle und unser Praxiswissen.

Mindestens 2 Zeichen eingeben

Beliebte Einstiege

Unternehmensdaten und KI verantwortungsvoll gestalten

KI verarbeitet nicht nur Fragen, sondern oft auch Dokumente, Personendaten und internes Wissen. Hier wird verständlich, wohin diese Daten fliessen, welche Zusagen wirklich zählen und wie Unternehmen Verantwortung praktisch wahrnehmen.

ArtikelAlle Themenbereiche

Daten & Governance

Datenschutz ist bei KI keine einzelne Produkteinstellung. Entscheidend sind der konkrete Zweck, der vollständige Datenfluss, die beteiligten Anbieter und die Kontrollen im eigenen Unternehmen. Diese Beiträge helfen, Begriffe und Anbieterangaben in belastbare Entscheidungen zu übersetzen.

Nach diesem Bereich können Sie beurteilen

  • welche Daten eine KI-Anwendung tatsächlich verarbeitet und wo zusätzliche Speicherorte entstehen

  • warum Training, Aufbewahrung, Datenstandort und Zero Data Retention getrennte Zusagen sind

  • welche vertraglichen, technischen und organisatorischen Nachweise bei einem Anbieter relevant sind

  • wie sich ein KI-Anwendungsfall mit klaren Datenregeln sicher einführen und betreiben lässt

  • welche KI-Kompetenz unterschiedliche Rollen für einen sicheren Einsatz benötigen

Fragen für den Umgang mit Unternehmensdaten

Diese Fragen helfen, aus einem Begriff eine konkrete betriebliche Einordnung zu machen.

  • Welche Daten braucht die Aufgabe wirklich – und welche sollten gar nicht an die KI gelangen?

  • Welche Anbieter, Unterauftragnehmer und Folgesysteme sehen oder speichern Inhalte?

  • Wie werden Training, Aufbewahrung, Regionen, Löschung und Supportzugriffe geregelt?

  • Wer genehmigt den Einsatz, überwacht Änderungen und reagiert auf Vorfälle?

Artikel

Was passiert mit Unternehmensdaten, wenn wir KI verwenden?

Unternehmensdaten werden von einer Anwendung entgegengenommen, gegebenenfalls um zusätzlichen Kontext ergänzt und zur Verarbeitung an ein KI-Modell übermittelt. Ob Eingaben und Ergebnisse danach protokolliert, gespeichert, für andere Zwecke verwendet oder an weitere Dienste weitergegeben werden, hängt vom Produkt, der Konfiguration und den vertraglichen Bedingungen ab.

  • Verarbeitung, Speicherung und Modelltraining sind unterschiedliche Vorgänge und müssen getrennt geprüft werden.
  • Neben der sichtbaren Eingabe können Dokumente, Systemanweisungen, Suchresultate und Metadaten verarbeitet werden.
  • Schnittstellen, Websuche und angebundene Fachsysteme erweitern den Datenfluss über das eigentliche Modell hinaus.
Artikel lesen

Was bedeutet Zero Data Retention (ZDR) – und was garantiert es nicht?

Zero Data Retention bezeichnet eine vertragliche oder technische Regel, nach der erfasste Kundeninhalte bei den abgedeckten Funktionen nach der Verarbeitung nicht dauerhaft gespeichert werden. Die Inhalte werden trotzdem verarbeitet, und ZDR sagt allein noch nichts über Training, Metadaten, Datenstandort, Drittanbieter oder nicht abgedeckte Funktionen aus.

  • ZDR ist kein einheitlicher Rechts- oder Industriestandard; die genaue Definition steht beim jeweiligen Anbieter.
  • Die Zusage gilt häufig nur für bestimmte Konten, Projekte, Modelle, APIs und Funktionen.
  • Keine dauerhafte Speicherung bedeutet nicht keine Verarbeitung, keine Metadaten und keine Drittanbieter.
Artikel lesen

Wie prüft man Datenschutz und Datenverarbeitung bei einem KI-Anbieter?

Prüfen Sie einen KI-Anbieter auf vier Ebenen: den vollständigen Datenfluss des konkreten Produkts, die rechtlichen Rollen und Vertragsbedingungen, die technischen und organisatorischen Schutzmassnahmen sowie deren Nachweis in Ihrer tatsächlichen Konfiguration und im laufenden Betrieb.

  • Beginnen Sie mit Aufgabe, Daten und Fehlerfolgen – nicht mit einem allgemeinen Anbieterfragebogen.
  • Prüfen Sie den konkreten Tarif, Endpunkt und Funktionsumfang; Aussagen zur Marke allein sind zu ungenau.
  • Trennen Sie Training, Aufbewahrung, Datenstandort, Unterauftragnehmer, Supportzugriff und eigene Protokolle.
Artikel lesen

Datenklassifizierung für KI: Welche Unternehmensdaten dürfen Mitarbeitende verwenden?

Mitarbeitende sollten nur Daten eingeben, die für den konkreten Zweck nötig und gemäss interner Datenklassifikation für genau dieses freigegebene KI-Werkzeug zulässig sind. Personendaten, Geschäftsgeheimnisse, Zugangsdaten und besonders schützenswerte Inhalte benötigen eine ausdrückliche Freigabe oder dürfen gar nicht eingegeben werden.

  • Die Zulässigkeit hängt von Datenklasse, Zweck, Werkzeug, Vertrag und Konfiguration ab.
  • Ein Firmenkonto macht nicht automatisch jede Eingabe sicher oder rechtmässig.
  • Ausgaben, Embeddings, Logs und Eval-Daten erben grundsätzlich den Schutz ihrer Quellen.
Artikel lesen

Kein Training, keine Speicherung oder Datenresidenz: Was ist der Unterschied?

«Kein Training» begrenzt die Verwendung von Kundendaten zur Modellverbesserung, «keine Speicherung» betrifft die Aufbewahrung von Inhalten und «Datenresidenz» bezeichnet festgelegte Regionen für bestimmte Verarbeitungen oder Speicherungen. Keine dieser Zusagen schliesst die anderen automatisch ein.

  • Training, Speicherung, Verarbeitung, Löschung und Datenstandort sind getrennte Eigenschaften.
  • Der genaue Umfang kann je nach Produkt, Tarif, Endpunkt und Funktion variieren.
  • Auch ohne Inhaltsaufbewahrung können Betriebs- und Abrechnungsmetadaten entstehen.
Artikel lesen

Was bedeutet AI Governance im Unternehmen?

AI Governance ist das System aus Verantwortlichkeiten, Entscheidungswegen, Regeln und Nachweisen, mit dem ein Unternehmen Nutzen und Risiken seiner KI-Anwendungen über deren gesamten Lebenszyklus steuert.

  • Governance verbindet Geschäftsziele, Recht, Sicherheit, Technik und Fachverantwortung.
  • Der Aufwand sollte sich nach Wirkung und Risiko des Anwendungsfalls richten.
  • Inventar, klare Rollen und überprüfbare Freigaben bilden die operative Grundlage.
Artikel lesen

Was gehört in eine interne AI Policy?

Eine interne AI Policy legt verbindlich fest, für wen und welche KI-Nutzung sie gilt, welche Werkzeuge und Daten zulässig sind, welche menschlichen Prüfungen erforderlich sind und wie neue Anwendungen, Änderungen oder Vorfälle behandelt werden.

  • Die Policy muss kurz genug für den Alltag und präzise genug für echte Entscheidungen sein.
  • Erlaubte Werkzeuge und Datenklassen brauchen eine gepflegte, leicht auffindbare Liste.
  • Pflichten richten sich nach Wirkung: Entwurf, Empfehlung und automatisierte Aktion sind nicht gleich.
Artikel lesen

KI-Kompetenz im Unternehmen: Wer muss was verstehen?

Ein wirksames KI-Kompetenzprogramm ordnet jeder Rolle konkrete Lernziele, Übungen und Nachweise zu. Normale Nutzende brauchen sichere Anwendungsregeln, Fachprüfer müssen Ergebnisse und Quellen beurteilen können, Verantwortliche Risiken und Freigaben steuern und technische Teams Systeme sicher entwickeln und betreiben. Die Tiefe richtet sich nach Aufgabe, System und möglicher Wirkung.

  • Ein Einführungsmodul schafft ein gemeinsames Fundament; rollen- und anwendungsspezifische Lernpfade machen es praktisch.
  • Echte Arbeitsfälle und beobachtbare Aufgaben zeigen mehr als eine Teilnahmebestätigung.
  • Onboarding, neue Systeme, Modell- oder Policy-Änderungen und Vorfälle lösen Lernen oder Auffrischung aus.
Artikel lesen

Welche KI-Systeme, Rollen und Verantwortlichkeiten braucht ein Unternehmen im Blick?

Ein AI-Inventar ist ein gepflegtes Verzeichnis der eingesetzten, getesteten und beschafften KI-Systeme. Für jeden Eintrag werden Zweck, Nutzer, Daten, Anbieter, Risikostufe, Status und eindeutig benannte fachliche sowie technische Verantwortliche dokumentiert.

  • Das Inventar erfasst auch KI-Funktionen in bestehender Fachsoftware und laufende Piloten.
  • Ein Produktname reicht nicht: Entscheidend sind konkreter Zweck, Konfiguration und Datenfluss.
  • Rollen müssen Entscheidungen und Betrieb abdecken, nicht nur die Projektphase.
Artikel lesen

Wann braucht ein KI-Projekt eine Datenschutz-Folgenabschätzung?

Nach Schweizer Datenschutzrecht ist eine Datenschutz-Folgenabschätzung erforderlich, wenn eine geplante Bearbeitung von Personendaten voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen mit sich bringen kann, vorbehaltlich der engen gesetzlichen Ausnahmen für private Verantwortliche. Entscheidend sind Art, Umfang, Umstände, Zweck und eingesetzte Technologie des konkreten Vorhabens.

  • Die DSFA-Frage stellt sich nur bei einer Bearbeitung von Personendaten, dann aber möglichst früh.
  • Neue Technologie allein löst die Pflicht nicht automatisch aus, kann das Risiko aber erhöhen.
  • Die DSFA beschreibt Bearbeitung, Risiken und Massnahmen und bewertet das verbleibende Risiko.
Artikel lesen

Was bedeutet der EU AI Act für Schweizer Unternehmen?

Ein Schweizer Unternehmen muss den EU AI Act insbesondere prüfen, wenn es KI-Systeme oder General-Purpose-AI-Modelle im EU-Markt anbietet, als Anbieter oder Betreiber innerhalb des erfassten Marktes handelt oder wenn die Ausgabe eines ausserhalb der EU betriebenen Systems in der EU verwendet wird. Ob und welche Pflichten gelten, hängt von Rolle, System, Zweck, Marktbezug und anwendbarem Zeitpunkt ab.

  • Sitz in der Schweiz schliesst eine Anwendbarkeit des EU AI Act nicht aus.
  • Der AI Act unterscheidet vier Risikostufen für Systeme: unzulässig, hoch, transparenzpflichtig sowie minimal oder kein Risiko.
  • Entscheidend sind Verwendungszweck und Kontext; dasselbe Modell kann Systeme verschiedener Risikostufen unterstützen.
Artikel lesen

Wie prüft man Datenstandorte, Unterauftragnehmer und Auslandtransfers?

Unternehmen sollten für jede Datenart dokumentieren, wer sie zu welchem Zweck verarbeitet, wo Speicherung und Verarbeitung stattfinden und welche Unterauftragnehmer beteiligt sind. Bei Personendaten mit Auslandbezug sind zusätzlich Angemessenheit, geeignete Garantien und verbleibende Risiken nach Schweizer Recht zu prüfen.

  • Datenstandort muss für Speicherung, Verarbeitung, Support und Metadaten getrennt betrachtet werden.
  • Der Hauptanbieter bleibt nicht der einzige Empfänger; Unterauftragnehmer und optionale Dienste zählen mit.
  • Eine Regionseinstellung beantwortet die Rechtmässigkeit eines Auslandtransfers nicht allein.
Artikel lesen

Was passiert bei Vertragsende oder Anbieterwechsel mit Daten und Konfigurationen?

Vor Vertragsende muss festgelegt sein, welche Daten und Konfigurationen exportierbar sind, wie lange der Zugriff bleibt, wie Migration und Weiterbetrieb funktionieren und wie Anbieter und Unterauftragnehmer verbleibende Kopien löschen. Der Abschluss sollte technisch und organisatorisch nachgewiesen werden.

  • Exit-Anforderungen gehören vor Vertragsabschluss in Architektur und Vertrag.
  • Nicht nur Dokumente, sondern auch Prompts, Konfigurationen, Rechte, Tests und Logs sind migrationsrelevant.
  • Exportierbarkeit bedeutet noch nicht, dass ein anderes System das Format ohne Umbau nutzen kann.
Artikel lesen

Was gilt bei automatisierten Entscheidungen und menschlicher Überprüfung?

Nach Schweizer Datenschutzrecht bestehen besondere Informations- und Überprüfungsrechte, wenn eine Entscheidung ausschliesslich automatisiert erfolgt und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. Ob dies vorliegt und welche Ausnahmen gelten, muss für den konkreten Prozess geprüft werden.

  • Entscheidend sind ausschliessliche Automatisierung und erhebliche Wirkung, nicht das Etikett KI.
  • Eine formale Klickfreigabe ist keine wirksame menschliche Prüfung, wenn sie das Ergebnis faktisch nur bestätigt.
  • Betroffene benötigen verständliche Information und einen tatsächlich nutzbaren Überprüfungsweg.
Artikel lesen

Wie behandelt man einen KI-bezogenen Datenschutzvorfall?

Ein KI-bezogener Datenschutzvorfall wird wie jede mögliche Datensicherheitsverletzung sofort eingedämmt, dokumentiert und nach betroffenen Daten, Personen und Folgen bewertet. Nach Schweizer Recht muss der Verantwortliche eine Verletzung, die voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt, dem EDÖB so rasch wie möglich melden; die Information Betroffener ist separat zu prüfen.

  • Fehlausgaben und Sicherheitsvorfälle sind nicht dasselbe, können sich aber überschneiden.
  • Prompts, Antworten, Tool-Aufrufe und Berechtigungen sind wichtige Beweismittel.
  • Der Auftragsbearbeiter informiert den Verantwortlichen so rasch wie möglich; der Verantwortliche bewertet das Risiko und trifft den gesetzlichen Meldeentscheid.
Artikel lesen

Ein konkretes Vorhaben einordnen.

Wir übersetzen Ihre Ausgangslage in verständliche Optionen und einen realistischen nächsten Schritt.

Projekt besprechen