Kurz zusammengefasst
- Die Zulässigkeit hängt von Datenklasse, Zweck, Werkzeug, Vertrag und Konfiguration ab.
- Ein Firmenkonto macht nicht automatisch jede Eingabe sicher oder rechtmässig.
- Ausgaben, Embeddings, Logs und Eval-Daten erben grundsätzlich den Schutz ihrer Quellen.
- Eine gute Regel nennt auch eine sichere Alternative, wenn eine Eingabe nicht erlaubt ist.
Vier Fragen entscheiden über eine Eingabe
Eine isolierte Produktfreigabe genügt nicht. Dasselbe Werkzeug kann für öffentliche Texte geeignet und für Personaldossiers ungeeignet sein. Vor jeder Eingabe müssen Daten, Zweck, Empfänger und benötigte Funktion zusammen betrachtet werden.
- Daten: Welche Informationen und welche Personen sind betroffen?
- Zweck: Welche konkrete Aufgabe soll unterstützt werden?
- Werkzeug: Ist genau diese Produktversion mit dem Firmenkonto freigegeben?
- Funktion: Werden Chat, Datei-Upload, Websuche oder Connectors genutzt?
Fünf Datenklassen mit Beispielen und klarer Behandlung
Eine Klassifikation wird erst nützlich, wenn Mitarbeitende typische Inhalte wiedererkennen und daraus sofort eine Handlung ableiten können. Die folgenden Klassen sind ein verständliches Beispiel; Bezeichnungen und Freigaben müssen zur bestehenden Informationssicherheits- und Datenschutzpraxis des Unternehmens passen.
| Datenklasse | Verständliche Beispiele | Behandlung in KI |
|---|---|---|
| Öffentlich | Veröffentlichte Produktseiten, Medienmitteilungen, öffentliche Stellenanzeigen, freigegebene Broschüren und publizierte Geschäftsberichte. | Darf in freigegebenen Werkzeugen bearbeitet werden. Vor einem Upload trotzdem Entwürfe, Kommentare, Änderungsverläufe und versteckte Metadaten entfernen. |
| Intern | Interne Prozessbeschreibungen, allgemeine Sitzungsagenden, Vorlagen, Organigramme ohne private Kontaktdaten und nicht sensible Projektstatus. | Nur über verwaltete Firmenkonten und für geschäftliche Zwecke verwenden. Unnötige Namen, IDs und interne Verteiler entfernen; nicht über öffentliche Freigabelinks teilen. |
| Vertraulich | Kundenverträge, nicht veröffentlichte Preise, Quellcode, Verkaufs-Pipeline, Finanzplanung, Angebote und interne Strategieunterlagen. | Nur in einem ausdrücklich genehmigten Anwendungsfall mit geprüftem Vertrag, Datenfluss, Zugriffsschutz, Protokollierung und Aufbewahrung. Daten auf den nötigen Ausschnitt begrenzen. |
| Besonders geschützt | Gesundheitsangaben, Löhne, Leistungsbeurteilungen, Disziplinarfälle, biometrische Daten sowie Personaldossiers oder Fälle mit hohem Schadenpotenzial. | Standardmässig sperren. Nur in einer speziell freigegebenen Lösung mit dokumentiertem Zweck, strengen Rechten und zusätzlicher Datenschutz- und Sicherheitsprüfung verarbeiten. |
| Geheimnisse und Zugangsdaten | Passwörter, API-Schlüssel, private Schlüssel, Recovery-Codes, produktive Zugangstokens und vollständige geheime Rezepturen oder Verfahren. | Nie in einen Chat, Prompt, Upload oder Testdatensatz kopieren. Zugangsdaten gehören in einen Secret Manager; für Beispiele nur eindeutig unwirksame Platzhalter verwenden. |
Datenklasse, Datenschutzkategorie und Risikoeinstufung des AI-Anwendungsfalls sind nicht dasselbe
Diese drei Einordnungen beantworten unterschiedliche Fragen und können gleichzeitig gelten. Eine öffentliche Stellenanzeige kann öffentlich klassifiziert sein, während ein internes Bewerbungsranking Personendaten verarbeitet und wegen seiner Wirkung eine vertiefte AI-Risikoprüfung benötigt. Die betriebliche Risikoeinstufung ersetzt dabei nicht die separate Prüfung, ob der EU AI Act oder andere regulatorische Kategorien anwendbar sind.
| Einordnung | Leitfrage | Beispiel |
|---|---|---|
| Interne Datenklasse | Wie gross ist der Schutzbedarf und wie darf die Information gespeichert, geteilt und verarbeitet werden? | Eine unveröffentlichte Preisliste ist vertraulich, auch wenn sie keine Personendaten enthält. |
| Datenschutzkategorie | Bezieht sich die Information auf eine Person und handelt es sich um besonders schützenswerte Personendaten? | Eine geschäftliche E-Mail-Adresse ist ein Personendatum; eine ärztliche Diagnose ist besonders schützenswert. |
| Risikoeinstufung des AI-Anwendungsfalls | Welche Wirkung kann der konkrete AI-Anwendungsfall auf Menschen, Unternehmen oder Sicherheit haben? | Ein System, das Bewerbungen priorisiert, braucht eine andere Prüfung als ein Assistent für öffentliche Marketingtexte. |
Die Klassifizierung gilt für den vollständigen Datenfluss
Nicht nur der Text im Prompt zählt. Ein AI-System kann Kopien, abgeleitete Inhalte und technische Protokolle erzeugen. Deshalb muss die Schutzregel jeden Verarbeitungsschritt abdecken.
| Schritt | Was entsteht oder fliesst | Praxisregel |
|---|---|---|
| Eingabe und Chat | Prompts, kopierte Textpassagen und Gesprächsverlauf. | Nur notwendige Inhalte eingeben, Verlauf und Freigabelinks berücksichtigen und die zulässige Datenklasse des Werkzeugs prüfen. |
| Datei-Upload | Dokumente samt Kommentaren, Metadaten, Tabellenblättern oder eingebetteten Anhängen. | Datei vorab bereinigen, benötigte Seiten auswählen und Aufbewahrung sowie Löschung der Uploads festlegen. |
| Connector und RAG | Abgerufene Inhalte aus DMS, CRM, Wiki, E-Mail oder Datenbank. | Bestehende Zugriffsrechte durchsetzen, Quellen begrenzen und verhindern, dass Suchindex oder Antwort Inhalte anderer Benutzer offenlegt. |
| Embeddings und Index | Numerische Repräsentationen, Textausschnitte und Metadaten für die Suche. | Wie die Quelle schützen, mandantentrennen, aktualisieren und bei Entzug einer Berechtigung oder Löschung ebenfalls entfernen. |
| Logs und Traces | Fehlerprotokolle, Prompt- und Antwortausschnitte, Benutzer-IDs und technische Metadaten. | Inhalte standardmässig minimieren oder maskieren, Zugriffe beschränken und kurze, begründete Aufbewahrungsfristen verwenden. |
| Ausgaben und Eval-Daten | Zusammenfassungen, Übersetzungen, generierte Dateien, Feedback und Testfälle mit erwarteten Antworten. | Vor Weitergabe fachlich prüfen, mindestens wie die Quelle behandeln und für Evaluation möglichst synthetische oder freigegebene Fälle nutzen. |
| Aufbewahrung und Löschung | Chats, Dateien, Indizes, Caches, Logs, Backups und exportierte Ergebnisse. | Fristen je Datenart festlegen, Löschung in Folge- und Backup-Systemen berücksichtigen und die Durchführung prüfbar dokumentieren. |
Abgeleitete Daten erben den Schutz ihrer Quelle
Eine Zusammenfassung, Übersetzung oder ein Embedding ist nicht automatisch weniger schützenswert als das Ausgangsdokument. Bis eine verantwortliche Stelle etwas anderes nachweisbar entscheidet, gilt mindestens die Schutzklasse der Quelle. Bei gemischten Quellen gilt die höchste enthaltene Klasse.
- Eine Zusammenfassung eines vertraulichen Vertrags bleibt vertraulich.
- Ein Suchindex aus Personaldossiers bleibt besonders geschützt, auch wenn einzelne Textstellen nicht direkt lesbar gespeichert werden.
- Eine AI-Ausgabe mit neuen personenbezogenen Einschätzungen kann sogar einen höheren Schutzbedarf erhalten.
- Anonymisierung senkt die Klasse nur, wenn eine Zuordnung mit vernünftigen Mitteln tatsächlich nicht mehr möglich ist; blosses Ersetzen des Namens genügt oft nicht.
Ein schlanker Prozess klärt Verantwortung und Änderungen
Die Klassifizierung darf nicht allein bei einzelnen Mitarbeitenden hängen bleiben. Für Datenbestände und AI-Anwendungen braucht es benannte Verantwortliche, einen schnellen Klärungsweg und Auslöser für eine erneute Prüfung.
- Schritt 1
Erstklassifizierung zuweisen
Die fachlich verantwortliche Stelle klassifiziert Informationen bei Erstellung oder Eingang; für bestehende Datenbestände verantwortet der Data Owner die Einordnung.
- Schritt 2
Behandlung technisch abbilden
System- und AI-Verantwortliche übersetzen die Klasse in erlaubte Werkzeuge, Rechte, Connectoren, Logs, Fristen und Löschwege.
- Schritt 3
Spezialfälle prüfen
Datenschutz und Informationssicherheit werden bei Personendaten, hohen Schutzklassen, neuen Datenflüssen oder Ausnahmen gezielt beigezogen.
- Schritt 4
Änderungen neu beurteilen
Neue Quellen, Nutzergruppen, Zwecke, Modelle, Anbieter oder Ausgabekanäle lösen eine erneute Klassifizierungs- und Freigabeprüfung aus.
Sichere Alternativen machen Regeln alltagstauglich
Ein Verbot ohne Alternative führt leicht zu Schattennutzung. Mitarbeitende sollten wissen, wie sie eine Aufgabe trotzdem erledigen können: mit anonymisierten Beispielen, freigegebenen Wissensquellen oder einem internen Assistenten mit passenden Rechten.
- Schritt 1
Reduzieren
Nur die für die Aufgabe benötigten Passagen oder Felder verwenden.
- Schritt 2
Maskieren
Namen, Kundennummern und andere Identifikatoren entfernen oder ersetzen, sofern der Zweck dies erlaubt.
- Schritt 3
Freigegebene Quelle nutzen
Dokumente über einen kontrollierten Wissenszugang statt durch manuelles Kopieren bereitstellen.
- Schritt 4
Nachfragen
Für unklare oder neue Fälle einen schnellen Freigabeweg anbieten.
Beispiel: Antwortentwurf zu einer Kundenreklamation
Eine Kundenreklamation enthält Namen, Kontaktdaten, Vertragsnummer und einen noch nicht veröffentlichten Preis. Das Unternehmen stuft das Dokument als vertraulich ein. Eine Mitarbeitende nutzt das dafür freigegebene Firmenwerkzeug, entfernt unnötige Identifikatoren und übermittelt nur den relevanten Sachverhalt. Die interne Anwendung ruft benötigte Vertragsinformationen über bestehende Zugriffsrechte ab. Auch der erzeugte Entwurf bleibt vertraulich, wird vor dem Versand geprüft und gemäss der festgelegten Frist gelöscht.
Was Sie mitnehmen sollten
Verknüpfen Sie jede Datenklasse mit verständlichen Beispielen, freigegebenen Werkzeugen, erlaubten Zwecken und Regeln für den gesamten Datenfluss. Eine Klassifikation ist erst gut, wenn Mitarbeitende sie in wenigen Sekunden anwenden und Verantwortliche ihre technische Umsetzung prüfen können.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft
Stand: 17. Juli 2026. Allgemeine Einordnung, keine Rechtsberatung. Die konkrete Rechtslage und der anwendbare Geltungsbereich sind für den jeweiligen Einsatz zu prüfen.