Glossar / Begriff
revDSG im KI-Kontext
Das revidierte Datenschutzgesetz des Bundes (revDSG), in Kraft seit dem 1. September 2023, ist nach Auffassung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten direkt auf KI-gestützte Bearbeitungen von Personendaten anwendbar, weil es technologieneutral formuliert ist.
Mit «revDSG» ist das totalrevidierte Bundesgesetz über den Datenschutz gemeint, das am 1. September 2023 in Kraft getreten ist und das frühere Gesetz von 1992 ersetzt. Offiziell heisst es heute einfach DSG; die Abkürzung revDSG ist in der Praxis verbreitet, um es vom alten Recht zu unterscheiden. Dieser Eintrag gibt einen Überblick und ersetzt keine rechtliche Beratung.
Die Haltung des EDÖB
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im November 2023 festgehalten, dass das geltende Datenschutzgesetz auf KI-gestützte Datenbearbeitungen direkt anwendbar ist, weil es technologieneutral formuliert ist. Eine eigene KI-Regel braucht es dafür nicht. Hersteller, Anbieter und Verwender von KI-Anwendungen müssen die bestehenden Pflichten einhalten. Die Stellungnahme ist auf der Themenseite «KI und Datenschutz» des EDÖB abrufbar und wurde seither aktualisiert.
Bestimmungen, die bei KI häufig berührt werden
- Grundsätze (Art. 6): Bearbeitung nach Treu und Glauben, verhältnismässig, zweckgebunden und für die betroffene Person erkennbar. Personendaten müssen richtig sein.
- Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 7).
- Informationspflicht (Art. 19): Betroffene sind bei der Beschaffung ihrer Daten zu informieren, unter anderem über Zweck und gegebenenfalls Empfänger.
- Automatisierte Einzelentscheidung (Art. 21): Wird eine Entscheidung ausschliesslich automatisiert getroffen und hat sie für die betroffene Person eine Rechtsfolge oder beeinträchtigt sie erheblich, ist die Person zu informieren und kann verlangen, ihren Standpunkt darzulegen und die Entscheidung von einem Menschen überprüfen zu lassen.
- Datenschutz-Folgenabschätzung (Art. 22): bei voraussichtlich hohem Risiko für die Persönlichkeit oder die Grundrechte, was bei neuen Technologien ausdrücklich zu prüfen ist.
- Bekanntgabe ins Ausland (Art. 16 f.): relevant, wenn KI-Dienste Daten in Staaten ohne angemessenes Schutzniveau bearbeiten.
- Auskunftsrecht (Art. 25).
Typische Fragen in der Praxis
Bei KI-Sichtbarkeit und Agent Readiness stellen sich datenschutzrechtliche Fragen vor allem an drei Stellen: wenn ein MCP-Server oder Agent Personendaten von Kundinnen verarbeitet, etwa bei einer Terminbuchung; wenn Mitarbeitende Personendaten in externe KI-Dienste eingeben; und wenn ein Assistent falsche Aussagen über Personen verbreitet, etwa über Geschäftsführende eines Unternehmens.
Abgrenzung zur EU
Die Schweiz hat zum Zeitpunkt dieser Aktualisierung kein eigenes, umfassendes KI-Gesetz nach dem Vorbild der EU-KI-Verordnung. Schweizer Unternehmen, die KI-Systeme in der EU anbieten oder deren Ergebnisse dort verwendet werden, können aber auch der EU-Verordnung unterstehen.
Was das für ein Schweizer Unternehmen bedeutet
Für ein Schweizer Unternehmen heisst das: Wer einen Agenten auf eigene Systeme zugreifen lässt oder KI-Dienste mit Kundendaten einsetzt, braucht keine neue Rechtsgrundlage, aber eine saubere Dokumentation nach geltendem DSG, mit Zweck, Datenflüssen, Hosting-Standort, Protokollierung und, wo nötig, einer Datenschutz-Folgenabschätzung.