Datenschutz KI Datenaufbereitung: Was KMU klären sollten

Viele KI-Projekte starten mit einer naheliegenden Frage: Welches Tool passt zum Vorhaben? Für Schweizer KMU ist jedoch oft eine andere Frage entscheidend: Welche Daten dürfen überhaupt verwendet werden, in welchem Rahmen und mit welchen Risiken?

Gerade bei ersten Anwendungsfällen in Administration, Kundenservice, Planung oder internen Abläufen wird Datenaufbereitung häufig als rein technische Vorstufe verstanden. In der Praxis ist sie aber weit mehr als das. Wer Daten für KI auswählt, bereinigt, strukturiert und freigibt, trifft bereits grundlegende Entscheidungen zu Datenschutz, Zweckbindung, Datenminimierung, Fairness und Verantwortlichkeit.

Damit wird klar: Verantwortungsvolle KI beginnt nicht erst beim Modell, sondern bei der Vorbereitung der Daten. Für KMU ist das keine theoretische Governance-Frage, sondern eine praktische Voraussetzung, damit ein Vorhaben tragfähig, nachvollziehbar und im Alltag umsetzbar bleibt.

Warum Datenaufbereitung bei KI keine rein technische Aufgabe ist

Datenaufbereitung umfasst typischerweise vier Schritte: Daten auswählen, Daten bereinigen, Daten in eine nutzbare Struktur bringen und Daten für einen bestimmten Einsatz freigeben. Jeder dieser Schritte hat Folgen, die über Technik hinausgehen.

Schon die Auswahl der Daten ist eine Governance-Entscheidung. Wenn etwa Kundendaten, E-Mails, Offerten, Supportanfragen oder Personaldaten in ein KI-Projekt einfliessen sollen, stellt sich sofort die Frage nach dem zulässigen Zweck. Ebenso wichtig ist die organisatorische Seite: Wer entscheidet, welche Datenquellen genutzt werden dürfen? Wer prüft, ob Daten veraltet oder unvollständig sind? Und wer trägt die Verantwortung, wenn aus einer fehlerhaften Datengrundlage problematische Resultate entstehen?

Hinzu kommt die ethische Dimension. Daten sind nie einfach neutral vorhanden. Sie spiegeln Abläufe, Gewohnheiten und frühere Entscheidungen. Wenn ein Unternehmen zum Beispiel jahrelang nur einen Teil seiner Kundenkontakte sauber dokumentiert hat, dann ist auch die Datengrundlage entsprechend verzerrt. Eine KI übernimmt solche Muster nicht zufällig, sondern systematisch.

Für die Suchintention vieler Verantwortlicher in KMU ist genau dieser Punkt zentral: Vor der eigentlichen KI-Nutzung müssen die Grundlagen geklärt werden. Ohne diese Klärung wird aus einem vielversprechenden Projekt schnell ein unnötiges Risiko. Das betrifft nicht nur Compliance, sondern auch Qualität, Akzeptanz und Nutzen im Betrieb.

KI funktioniert zudem nicht losgelöst von Prozessen. Wenn Zuständigkeiten, Freigaben und Datenpflege im Unternehmen unklar sind, wird ein KI-Projekt diese Schwächen nicht beheben. Im Gegenteil: Es macht sie sichtbarer und teilweise auch wirksamer. Klare Prozesse werden durch KI nicht ersetzt, sondern bilden erst die Voraussetzung dafür, dass KI im Alltag zuverlässig unterstützen kann.

Datenschutz und Zweckbindung: Welche Daten dürfen wofür genutzt werden?

Datenschutz wird in KI-Projekten oft zu spät thematisiert. Dabei sollte die Frage nach dem Verwendungszweck am Anfang stehen. Zweckbindung bedeutet vereinfacht: Daten sollen nur für den Zweck verwendet werden, für den sie erhoben wurden oder für den ihre Nutzung klar festgelegt und nachvollziehbar ist.

Für ein KMU heisst das in der Praxis: Es reicht nicht, dass Daten vorhanden sind. Entscheidend ist, ob ihre Nutzung für ein konkretes KI-Vorhaben sachlich und organisatorisch begründet ist. Wer beispielsweise Kundendaten ursprünglich für die Auftragsabwicklung gesammelt hat, kann sie nicht automatisch für jeden beliebigen KI-Anwendungsfall einsetzen. Vor dem Projektstart muss klar sein, wofür die Daten verwendet werden und ob dieser Einsatz zum vorgesehenen Zweck passt.

Ein typisches Beispiel: Ein Unternehmen möchte mit KI häufige Kundenanfragen auswerten, um Standardantworten vorzubereiten. Dafür können Supportdaten relevant sein. Weniger naheliegend wäre es, zusätzlich alle verfügbaren Kontakt- und Vertragsdaten beizuziehen, wenn diese für das Ziel gar nicht erforderlich sind. Genau hier zeigt sich, dass Datenschutz in der Datenaufbereitung kein Verhinderer ist, sondern ein Gestaltungsrahmen für saubere Entscheidungen.

Wichtig ist auch, den Zweck konkret zu formulieren. Aussagen wie «für KI nutzen» sind zu ungenau. Besser ist eine klare Definition, zum Beispiel: «Analyse wiederkehrender Supportthemen zur Verbesserung interner Antwortvorlagen» oder «Unterstützung bei der Kategorisierung eingehender Anfragen». Je präziser der Zweck, desto besser lassen sich passende Datenquellen bestimmen und unnötige Daten ausschliessen.

Gerade im Schweizer KMU-Umfeld hilft diese Klarheit auf mehreren Ebenen. Sie erleichtert die interne Abstimmung, verbessert die Nachvollziehbarkeit und reduziert das Risiko, dass Projekte mit zu breiter oder unklarer Datennutzung starten. Das ist auch für die Kommunikation gegenüber Mitarbeitenden, Führungspersonen und externen Partnern hilfreich.

Datenminimierung, Löschung und Berichtigung als praktische Leitplanken

Ein häufiger Fehler in KI-Projekten lautet: lieber zu viele Daten sammeln als zu wenige. Für die Praxis ist meist das Gegenteil sinnvoll. Datenminimierung bedeutet, nur jene Daten zu verwenden, die für den definierten Zweck tatsächlich nötig sind.

Das hat zwei Vorteile. Erstens sinkt das Datenschutzrisiko. Zweitens steigt oft die Qualität des Projekts. Zu viele Daten führen nicht automatisch zu besseren Ergebnissen. Sie erhöhen vielmehr die Komplexität, erschweren die Prüfung und bringen mehr veraltete, irrelevante oder widersprüchliche Informationen ins System.

Ein KMU, das beispielsweise eine KI zur Unterstützung der Terminplanung prüfen will, braucht in der Regel nicht den gesamten Kommunikationsverlauf mit Kunden, wenn wenige strukturierte Angaben genügen. Für eine Klassifikation von Rechnungsanfragen ist es oft nicht nötig, zusätzliche personenbezogene Daten aus anderen Systemen beizuziehen. Die zentrale Frage lautet immer: Welche Informationen sind für den konkreten Zweck wirklich erforderlich?

Ebenso wichtig sind Löschung und Berichtigung. Veraltete oder falsche Daten sind nicht nur ein Qualitätsproblem, sondern auch ein Risiko für Entscheidungen und Prozesse. Wenn Adressdaten überholt, Zuständigkeiten falsch hinterlegt oder Kategorien uneinheitlich gepflegt sind, wird eine KI darauf keine verlässliche Unterstützung aufbauen.

Aus praktischer Sicht lohnt sich vor dem Start eines KI-Projekts deshalb ein nüchterner Blick auf den Datenbestand:

• Welche Daten sind aktuell?

• Welche Datensätze sind offensichtlich überflüssig?

• Wo gibt es bekannte Fehler oder Dubletten?

• Welche Informationen sollten berichtigt oder entfernt werden, bevor sie weiterverwendet werden?

Diese Vorarbeit ist oft weniger sichtbar als die spätere Anwendung, aber für den Erfolg entscheidend. Sie verbessert nicht nur Compliance, sondern auch die Nutzbarkeit der Ergebnisse. Gerade für KI Datenschutz in KMU gilt: Gute Datenpflege ist kein Zusatzaufwand neben dem Projekt, sondern Teil des Projekts.

Anonymisierung und Pseudonymisierung richtig unterscheiden

In vielen Gesprächen werden Anonymisierung und Pseudonymisierung gleichgesetzt. Für die Praxis ist diese Unterscheidung jedoch wichtig, weil beide Ansätze nicht dasselbe Schutzniveau bieten.

Bei der Anonymisierung werden Daten so verändert, dass einzelne Personen nicht mehr identifiziert werden können. Der Personenbezug wird dauerhaft aufgehoben. Ein Beispiel wäre eine Auswertung, in der nur noch aggregierte Muster sichtbar sind, etwa die Anzahl von Anfragen pro Kategorie und Monat, ohne Rückschluss auf einzelne Personen.

Bei der Pseudonymisierung werden identifizierende Merkmale ersetzt oder getrennt aufbewahrt. Die Zuordnung zu einer Person bleibt grundsätzlich möglich, wenn zusätzliche Informationen vorhanden sind. Ein typisches Beispiel ist eine Kundennummer anstelle des Namens, wobei die Zuordnungsliste separat existiert.

Für KI-Projekte im KMU heisst das: Pseudonymisierte Daten sind nicht automatisch anonym. Wer mit pseudonymisierten Informationen arbeitet, muss weiterhin sorgfältig prüfen, welche Risiken bestehen und wer Zugriff auf die Zuordnung hat. Eine blosse Ersetzung von Namen durch Codes genügt nicht, wenn aus weiteren Angaben trotzdem erkennbar wird, um wen es geht.

Welche Variante sinnvoll ist, hängt vom Anwendungsfall ab. Wenn ein Unternehmen nur statistische Muster untersuchen möchte, kann eine Anonymisierung naheliegend sein. Wenn dagegen betriebliche Abläufe unterstützt werden sollen und ein späterer Bezug zu Fällen oder Vorgängen nötig bleibt, kann Pseudonymisierung der praktikablere Weg sein. Entscheidend ist, dass die Wahl bewusst erfolgt und zum Zweck sowie zum Risikoprofil passt.

In der Praxis ist auch wichtig, keine Scheinsicherheit aufzubauen. Nicht jede «anonymisierte» Datei ist tatsächlich anonym, nur weil direkte Identifikatoren entfernt wurden. Gerade bei kleinen Datenmengen oder spezifischen Kombinationen von Merkmalen kann ein Personenbezug indirekt bestehen bleiben. Deshalb braucht es vor allem eine saubere Einordnung des konkreten Datensatzes und seines Einsatzes.

Bias und Fairness: Wo Verzerrungen in KI-Projekten entstehen

Bias in KI ist kein abstraktes Forschungsthema, sondern ein sehr praktisches Problem. Verzerrungen entstehen oft bereits bei der Datenaufbereitung, lange bevor ein Modell eingesetzt wird. Wenn Daten unvollständig, einseitig oder historisch geprägt sind, können daraus unfair wirkende oder sachlich schwache Resultate entstehen.

Ein einfaches Beispiel aus dem KMU-Alltag: Ein Unternehmen möchte mit KI eingehende Bewerbungen vorsortieren oder strukturieren. Wenn frühere Entscheidungen im Datensatz bestimmte Profile bevorzugt haben, kann sich dieses Muster in der Auswertung fortsetzen. Ein anderes Beispiel betrifft Kundenanfragen: Wenn nur gut dokumentierte Fälle in die Datengrundlage gelangen, während andere Fälle fehlen, lernt die KI ein verzerrtes Bild der Realität.

Bias kann auf unterschiedliche Weise entstehen:

• durch unvollständige Daten

• durch historisch gewachsene Muster

• durch einseitige Auswahl von Fällen

• durch uneinheitliche Erfassung in verschiedenen Teams

• durch fehlerhafte oder veraltete Kategorien

Für das Management ist entscheidend, Bias nicht nur als technisches Problem zu sehen. Es beginnt oft bei organisatorischen Entscheidungen: Welche Datenquellen werden einbezogen? Welche Fälle fehlen? Welche Ausnahmen wurden bisher gar nicht dokumentiert? Welche Begriffe oder Kategorien wurden im Alltag unterschiedlich verwendet?

Fairness bedeutet in diesem Zusammenhang nicht, dass jedes Ergebnis perfekt ausgewogen sein muss. Es geht vielmehr darum, erkennbare Verzerrungsrisiken früh anzusprechen und bewusst zu steuern. Das ist besonders wichtig, wenn KI Resultate Einfluss auf Priorisierung, Kommunikation oder Entscheidungen haben können.

In KMU hilft dabei oft eine einfache Frage: Würde das Team den Datenbestand als verlässliche und ausgewogene Grundlage ansehen, auch wenn keine KI im Spiel wäre? Wenn die Antwort zögerlich ausfällt, liegt der Handlungsbedarf meist nicht beim Modell, sondern bei der Datenbasis.

Wer im KMU wofür verantwortlich ist: Governance und Rollen klären

KI Governance muss in einem KMU nicht kompliziert sein. Aber sie muss vorhanden sein. Gerade kleinere Unternehmen arbeiten oft pragmatisch und mit kurzen Wegen. Das ist ein Vorteil, solange Verantwortung und Zuständigkeit klar benannt sind.

Die Geschäftsleitung setzt den Rahmen. Sie entscheidet, welche Art von KI-Vorhaben strategisch sinnvoll ist, welches Risiko akzeptabel ist und welche Grundsätze für Datenschutz und verantwortungsvollen Einsatz gelten sollen. Ohne diese Leitplanken entsteht schnell ein Projekt, das technisch voranschreitet, organisatorisch aber keine saubere Grundlage hat.

Teamleitungen und Fachbereiche definieren in der Regel den konkreten Nutzen und den Zweck. Sie wissen, welche Prozesse unterstützt werden sollen, welche Datenquellen relevant erscheinen und wo im Alltag Probleme oder Engpässe bestehen. Gleichzeitig sollten sie beurteilen, welche Daten inhaltlich sinnvoll und welche eher problematisch oder unnötig sind.

IT oder externe Umsetzungspartner begleiten die technische Machbarkeit, die Datenflüsse, Zugriffe und die sichere Einbettung in bestehende Systeme. Wichtig ist jedoch: Die IT sollte nicht allein darüber entscheiden, ob bestimmte Daten verwendet werden dürfen oder ob der Zweck passend formuliert ist. Das sind Führungs- und Fachentscheide.

Administration und operative Verantwortliche spielen oft eine grössere Rolle, als zunächst sichtbar ist. Sie kennen die Qualität der Stammdaten, die Realität der Erfassung und die Schwachstellen in den täglichen Abläufen. Gerade bei Datenaufbereitung sind diese Perspektiven zentral, weil sie aufzeigen, wo Lücken, Fehler oder Uneinheitlichkeiten tatsächlich bestehen.

Eine einfache Governance für KMU kann deshalb folgende Fragen sauber zuordnen:

• Wer definiert den Zweck des KI-Projekts?

• Wer gibt die Datenquellen frei?

• Wer prüft Datenschutz- und Risikofragen?

• Wer bewertet Datenqualität und Bias-Risiken?

• Wer begleitet die Umsetzung und spätere Anpassungen?

Solche Rollen müssen nicht in komplexen Gremien organisiert sein. Auch ein kleines Team kann einen klaren Rahmen schaffen. Entscheidend ist, dass Verantwortung nicht diffus bleibt. Genau hier sind Schulung und Enablement oft sinnvoll, weil sie ein gemeinsames Verständnis für Daten, Risiken und Zuständigkeiten schaffen.

Eine einfache Prüfliste vor dem Start eines KI-Projekts

Vor dem Start eines KI-Vorhabens lohnt sich eine kurze, strukturierte Prüfung. Sie ersetzt keine Detailarbeit, hilft aber, die wichtigsten Governance-Fragen rechtzeitig sichtbar zu machen.

1. Ist der Zweck klar beschrieben?

   Der Anwendungsfall sollte so formuliert sein, dass nachvollziehbar ist, was die KI unterstützen soll und wo die Grenzen liegen.

2. Sind die Datenquellen eindeutig benannt?

   Es sollte klar sein, aus welchen Systemen, Dokumenten oder Prozessen die Daten stammen und warum gerade diese Quellen benötigt werden.

3. Ist die Nutzung dieser Daten für den Zweck geklärt?

   Vor Projektstart braucht es eine bewusste Entscheidung, ob die vorgesehenen Daten für den definierten Einsatz geeignet und zulässig sind.

4. Wurde die Datenmenge auf das Nötige reduziert?

   Nicht alles, was verfügbar ist, gehört automatisch in ein KI-Projekt. Relevanz geht vor Vollständigkeit.

5. Sind Löschung, Bereinigung und Berichtigung berücksichtigt?

   Veraltete, fehlerhafte oder überflüssige Daten sollten vor dem Einsatz erkannt und bereinigt werden.

6. Wurde geprüft, ob Anonymisierung oder Pseudonymisierung sinnvoll ist?

   Je nach Zweck und Risiko kann es nötig oder sinnvoll sein, den Personenbezug zu reduzieren oder ganz zu entfernen.

7. Wurden mögliche Bias-Risiken besprochen?

   Das Team sollte bewusst prüfen, ob bestimmte Gruppen, Fälle oder Muster in den Daten fehlen oder einseitig abgebildet sind.

8. Sind Verantwortlichkeiten festgelegt?

   Es muss klar sein, wer den Zweck verantwortet, wer Daten freigibt, wer Risiken prüft und wer die Umsetzung begleitet.

Diese Prüfliste eignet sich als Startpunkt für interne Gespräche. Sie hilft, ein KI-Projekt nicht vorschnell über Tools zu definieren, sondern über den tatsächlichen Nutzen, die Datenbasis und die nötigen Leitplanken. Wer diesen Rahmen früh schafft, arbeitet meist schneller und mit weniger Reibung weiter. Mehr dazu zeigt auch unser Ansatz, wie sich Themen wie Prozesse, Governance und Umsetzung strukturiert verbinden lassen.

Verantwortung in KI-Projekten früh gemeinsam aufbauen

Für viele KMU ist nicht fehlende Technik das Hauptproblem, sondern fehlende Orientierung. Datenfragen, Rollen und Risiken werden oft erst diskutiert, wenn ein Pilot schon läuft oder erste Unsicherheiten auftauchen. Dann wird sichtbar, dass die eigentliche Herausforderung nicht im Tool liegt, sondern in der gemeinsamen Einordnung.

Genau hier hilft ein strukturierter Rahmen. Wenn Führung, Fachbereiche, Administration und technische Beteiligte dieselben Begriffe und Entscheidungsgrundlagen nutzen, lassen sich Datenschutz, Zweckbindung, Datenminimierung und Fairness viel früher und sachlicher klären. Das schafft Sicherheit, ohne Innovation zu blockieren.

Swiss Process Solutions unterstützt KMU dabei, solche Fragen praxisnah aufzuarbeiten: mit Sensibilisierung, klarer Rollenklärung und einem realistischen Blick auf Daten, Prozesse und Verantwortlichkeiten. Ziel ist nicht maximale Formalität, sondern ein Vorgehen, das im Unternehmensalltag tragfähig bleibt.

Wer die eigene Ausgangslage bei Datenschutz, KI, Datenaufbereitung, Governance oder Datenfreigaben konkret einordnen möchte, kann ein Erstgespräch vereinbaren. So lassen sich Risiken früh klären und passende nächste Schritte für das eigene KMU sauber definieren.

Häufig gestellte Fragen

Welche Daten sollten wir für ein KI-Projekt im KMU überhaupt verwenden?

Verwendet werden sollten nur Daten, die für den klar definierten Zweck tatsächlich nötig sind. Entscheidend sind Relevanz, Qualität und Zulässigkeit der Nutzung. Bestehende Datenbestände sind kein Selbstzweck. Oft ist ein kleiner, gut geprüfter Datensatz wertvoller als eine grosse, unklare Sammlung.

Was bedeutet Zweckbindung bei der Nutzung von Daten für KI?

Zweckbindung bedeutet, dass Daten nicht beliebig für neue Vorhaben verwendet werden sollten, nur weil sie vorhanden sind. Vor einem KI-Projekt muss klar beschrieben sein, wofür die Daten eingesetzt werden und ob dieser Einsatz zum vorgesehenen Zweck passt. Das schafft Nachvollziehbarkeit und hilft, unnötige Risiken zu vermeiden.

Worin liegt der Unterschied zwischen Anonymisierung und Pseudonymisierung?

Bei anonymisierten Daten ist kein Personenbezug mehr möglich. Bei pseudonymisierten Daten wurde der direkte Bezug zwar reduziert, eine Zuordnung kann aber grundsätzlich weiterhin möglich sein. Pseudonymisierung bietet deshalb nicht dasselbe Schutzniveau wie echte Anonymisierung.

Wie erkennen wir Bias in unseren Daten, bevor wir eine KI einsetzen?

Ein guter Start ist die Prüfung, ob der Datenbestand vollständig, aktuell und ausgewogen ist. Hilfreich sind Fragen wie: Welche Fälle fehlen? Welche Gruppen oder Situationen sind über- oder untervertreten? Welche historischen Muster könnten sich in den Daten spiegeln? Bias zeigt sich oft schon in uneinheitlicher Erfassung oder in lückenhaften Datensätzen.

Wer sollte im KMU die Verantwortung für Datenaufbereitung und KI-Governance tragen?

Die Verantwortung sollte auf mehrere Rollen verteilt, aber klar geregelt sein. Die Geschäftsleitung setzt den Rahmen, Fachbereiche definieren Zweck und Nutzen, IT begleitet die technische Umsetzung und operative Teams bringen ihr Wissen zur Datenqualität ein. Wichtig ist, dass Zuständigkeit und Verantwortung zusammenpassen und nicht unklar bleiben.

Ist KI im KMU aus Datenschutzgründen überhaupt sinnvoll einsetzbar?

Ja, in vielen Fällen ist das sinnvoll möglich. Datenschutz ist kein grundsätzliches Hindernis, sondern ein Rahmen für saubere Entscheidungen. Wenn Zweck, Datenquellen, Datenmenge, Schutzmassnahmen und Verantwortlichkeiten früh geklärt werden, lässt sich KI auch im KMU verantwortungsvoll und praxisnah einsetzen.