Drei Annahmen
Annahme eins
Wir nutzen ChatGPT Plus, also sind unsere Daten geschützt
ChatGPT Plus speichert Eingaben standardmässig auf US-Servern. Das Trainings-Opt-Out muss aktiv in den Einstellungen gesetzt werden — viele Plus-Konten sind ohne diese Einstellung in Betrieb.
Selbst mit deaktiviertem Training bleibt das CLOUD-Act-Problem bestehen. Der CLOUD Act erlaubt US-Behörden, Datenherausgabe von US-Anbietern zu verlangen — unabhängig vom Speicherort der Daten. Das ist kein theoretisches Risiko: Der Mechanismus wurde bereits gegen Microsoft Irland durchgesetzt.
Konsequenz: ChatGPT Plus erfüllt die Anforderungen für sensible Geschäftsdaten nicht.
Annahme zwei
Wir geben ja keine sensiblen Daten ein
Das revidierte Schweizer Datenschutzgesetz (in Kraft seit 09/2023) zieht die Schwelle tiefer als die meisten denken.
Eine E-Mail mit einem Kundennamen ist eine Personendatenbearbeitung im Sinne des Gesetzes. Eine Offerte mit Preisen ist ein Geschäftsgeheimnis. Eine interne Strategie-Notiz, die einen Konkurrenten nennt, kann Personendatenbearbeitung sein, sobald natürliche Personen identifizierbar sind.
In der Praxis: Wer KI-Tools ohne Auftragsverarbeitungsvertrag nutzt, fehlt für die Bearbeitung dieser Daten die Rechtsgrundlage.
Annahme drei
Wenn etwas passiert, haftet der Anbieter
Das revDSG kennt eine klare Verantwortungs-Hierarchie: Der Verantwortliche ist die Person oder Organisation, die über Zweck und Mittel der Bearbeitung entscheidet. Das ist in fast allen KI-Anwendungsfällen das KMU, nicht OpenAI oder Anthropic.
Bussen treffen den Verantwortlichen. Bei groben Verstössen kennt das Gesetz persönliche Haftung der natürlichen Person, die für den Verstoss verantwortlich ist — oft die Geschäftsleitung oder der Datenschutzbeauftragte.
Was bedeutet das praktisch?
Drei Realitäten zusammen ergeben drei sinnvolle Tool-Optionen für Schweizer KMU:
ChatGPT Enterprise mit DPA, EU-Datenresidenz und keine Trainingsverwendung. Restrisiko: CLOUD Act bleibt rechtlich anwendbar.
Microsoft Copilot mit CH/EU-Region. Nutzt die bestehende M365-Tenant-Isolation, die in vielen KMU bereits geprüft und vertraglich abgesichert ist.
DigiGPT mit Schweizer Hosting. Schweizer Plattform mit Schweizer Recht direkt anwendbar. Wir haben DigiGPT entwickelt, weil eine Schweizer Option im Markt fehlte.
Drei Schritte für die nächsten 30 Tage
