Kundendaten in KI-Tools: Was sollten Schweizer KMU erlauben?

Geben Sie Kundendaten nicht ungeprüft in KI-Tools ein. Legen Sie für Ihren Betrieb fest, welche Anwendung für welche Aufgabe und welche Daten freigegeben ist; für einen allgemeinen Textentwurf reicht oft eine Beschreibung ohne Personenbezug. Ein Geschäftskonto allein ersetzt diese Prüfung nicht.

Warum das Thema jetzt auf den Tisch gehört#

BACS und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) haben am 16. Oktober 2026 eine gemeinsame Sensibilisierungskampagne zum KI-Einsatz am Arbeitsplatz veröffentlicht. Im Mittelpunkt steht die unbedachte Weitergabe von Informationen, etwa beim Einfügen ganzer E-Mails oder Dokumente. Das ist ein aktueller Anlass, die eigenen Abläufe zu prüfen, kein neues Datenschutzgesetz. Quelle: EDÖB, Kampagnenmitteilung↗ (öffnet in neuem Tab)

Für Schweizer KMU ist die praktische Frage: Kann eine Mitarbeiterin eine Antwort formulieren lassen, ohne dafür die gesamte Kundenkorrespondenz hochzuladen?

Eine Entscheidungshilfe für typische Aufgaben#

Die folgende Tabelle ist eine betriebliche Empfehlung, keine allgemeine rechtliche Freigabe. Zusätzlich zum Datenschutz sind Vertraulichkeit und vereinbarte Geheimhaltung zu berücksichtigen.

Entscheiden Sie also über den konkreten Anwendungsfall. «Wir erlauben KI» ist für den Arbeitsalltag zu ungenau.

Namen ersetzen reicht nicht immer#

Eine Nachricht bleibt möglicherweise zuordenbar, wenn zwar der Name fehlt, aber Adresse, Termin, Bestellnummer oder eine ungewöhnliche Vorgeschichte stehen bleiben. Der EDÖB weist darauf hin, dass sich durch die Verknüpfung von Informationen erneut ein Personenbezug herstellen lassen kann. Quelle: EDÖB, KI im Alltag↗ (öffnet in neuem Tab)

Hypothetisches Beispiel: Ein Handwerksbetrieb möchte freundlich auf eine Terminverschiebung reagieren. Statt der kompletten E-Mail könnte die Eingabe lauten:

Formuliere eine kurze, höfliche Antwort in Schweizer Hochdeutsch. Eine Kundin möchte einen vereinbarten Montagetermin verschieben. Bitte sie um zwei alternative Zeitfenster. Erfinde keine Zusagen.

Name und tatsächliche Termine ergänzt die zuständige Person anschliessend im eigenen E-Mail-System. So wird die Schreibaufgabe von den konkreten Kundendaten getrennt.

Was Sie vor der Freigabe eines Tools klären sollten#

Das BACS empfiehlt, betriebliche Business- oder Enterprise-Angebote gegenüber privaten Konten zu bevorzugen und die Verwendung von Eingaben für Trainingszwecke zu prüfen. Quelle: BACS↗ (öffnet in neuem Tab)

Klären Sie für das tatsächlich eingesetzte Angebot:

• Wofür werden Eingaben und hochgeladene Dateien verwendet?
• Werden Inhalte für das Modelltraining genutzt, und wie ist dies geregelt?
• Wer erhält Zugriff, einschliesslich weiterer Dienstleister?
• Wo und wie lange werden Daten gespeichert, und welche Löschmöglichkeiten bestehen?
• Welche Einstellungen und Vereinbarungen gelten für Ihr konkretes Konto?

Dokumentieren Sie die Antworten mit Datum und zuständiger Person. Eine Einstellung gegen Modelltraining beantwortet beispielsweise noch nicht die Fragen zu Speicherung und Zugriffen.

Der Schweizer Datenschutzrahmen gilt bereits für die Bearbeitung von Personendaten mit KI. Darauf weist der EDÖB ausdrücklich hin. Die Freigabe muss deshalb zum jeweiligen Einsatz passen; dieser Ratgeber ersetzt keine Prüfung eines konkreten Datenflusses. Quelle: EDÖB, Mitteilung vom 8. Mai 2025↗ (öffnet in neuem Tab)

Eine kurze interne Regel als Ausgangspunkt#

Die folgende Musterregel ist unser redaktioneller Vorschlag. Ergänzen Sie die erlaubten Anwendungen, die verantwortliche Person und Ihre konkreten Freigaben:

Wir nutzen ausschliesslich betrieblich freigegebene KI-Anwendungen für die festgelegten Aufgaben. Für allgemeine Textentwürfe verwenden wir keine identifizierbaren Kundendaten. Vertrauliche Unterlagen, Personal- und Gesundheitsdaten sowie Zugangsdaten geben wir ohne gesonderte Prüfung nicht ein. Ergebnisse werden vor der Verwendung fachlich geprüft. Unsichere Eingaben oder versehentliche Weitergaben melden wir unverzüglich intern.

Besprechen Sie die Regel an einer typischen E-Mail und einer typischen Offerte. Das BACS empfiehlt klare interne Vorgaben und die Sensibilisierung der Mitarbeitenden. Eine Liste erlaubter Tools ist dafür ein Anfang; entscheidend ist, dass auch die erlaubten Daten und Aufgaben verständlich sind.

Beginnen Sie mit einer häufigen Schreibaufgabe, die ohne echte Kundendaten funktioniert. Erst wenn dieser Ablauf klar geregelt ist, prüfen Sie umfangreichere Dokumenten- oder Systemanbindungen.

Recherchestand: 27. Oktober 2026.