Responsible AI Datenschutz für Schweizer KMU
Wer KI im Unternehmen sinnvoll einsetzen will, kommt an der Datenfrage nicht vorbei. Das gilt besonders für Schweizer KMU, in denen Projekte oft pragmatisch gestartet werden: ein vielversprechender Use Case, vorhandene Daten, erste Tests. Genau hier liegt aber ein häufiger Fehler. Daten werden verwendet, bevor sauber geklärt ist, ob sie für den konkreten Zweck überhaupt geeignet, notwendig und im jeweiligen Kontext zulässig sind.
Responsible AI und Datenschutz sind deshalb kein Randthema und auch kein Schritt, der erst kurz vor dem Go-live ansteht. Verantwortungsvolle KI beginnt früher: bei der Frage, welche Daten für welchen Zweck verarbeitet werden sollen, wer Zugriff erhält, wie transparent der Einsatz ist und wie Risiken reduziert werden. Das ist nicht nur eine Frage der Compliance, sondern auch der Umsetzbarkeit, der Akzeptanz und letztlich des Projekterfolgs.
Gerade in KMU ist der Nutzen einer frühen Klärung gross. Wer Daten, Prozesse und Verantwortlichkeiten zu Beginn sauber einordnet, spart spätere Schleifen, verhindert unnötige Datennutzung und schafft eine belastbare Grundlage für den Einsatz von Automatisierung und KI.
Warum Responsible AI bei der Datenfrage beginnt
Viele Diskussionen über KI drehen sich um Modelle, Funktionen oder Anbieter. In der Praxis entscheidet jedoch oft etwas Grundlegenderes über Erfolg oder Misserfolg: die Datenbasis. Wenn Daten unvollständig, veraltet, unnötig umfangreich oder für den Use Case ungeeignet sind, entstehen Probleme lange bevor ein Modell produktiv eingesetzt wird.
Für Schweizer KMU ist das besonders relevant, weil KI-Projekte häufig aus einem operativen Bedarf heraus entstehen. Ein Team möchte Supportanfragen schneller bearbeiten, Dokumente automatisch klassifizieren oder interne Abläufe effizienter machen. Der Nutzen ist nachvollziehbar. Gleichzeitig besteht die Versuchung, einfach mit den vorhandenen Daten zu starten. Doch vorhandene Daten sind nicht automatisch die richtigen Daten.
Responsible AI bedeutet im Kern, KI so einzusetzen, dass sie fachlich sinnvoll, nachvollziehbar und organisatorisch tragfähig bleibt. Datenschutz ist dabei nicht nur eine Schutzmassnahme, sondern eine operative Leitplanke. Wer früh prüft, welche Daten verwendet werden, zu welchem Zweck sie verarbeitet werden und welche Schutzanforderungen gelten, schafft Vertrauen im Unternehmen und reduziert Umsetzungsrisiken.
Dazu kommt ein weiterer Punkt: KI ersetzt keine unklaren Prozesse. Wenn der Zweck eines Vorhabens nicht sauber definiert ist, wird auch die Datennutzung unscharf. Dann werden Datensammlungen breit angelegt, Anforderungen laufend angepasst und Erwartungen unklar formuliert. Das führt selten zu einem robusten Ergebnis. KI funktioniert besser, wenn Prozesse, Rollen und Ziele bereits strukturiert sind.
Zweckbindung: Nur Daten einsetzen, die den konkreten Zweck wirklich tragen
Zweckbindung ist eines der wichtigsten Prinzipien für jedes KI-Projekt. Gemeint ist nicht eine abstrakte Regel, sondern eine sehr praktische Frage: Wofür genau soll die KI eingesetzt werden? Erst wenn dieser Zweck klar ist, lässt sich sinnvoll beurteilen, welche Daten dafür wirklich gebraucht werden.
In der Praxis hängen drei Punkte eng zusammen:
der konkrete Use Case
das angestrebte Ergebnis
der dafür notwendige Datenbedarf
Ein Beispiel: Ein KMU möchte eingehende E-Mails automatisch vorsortieren, damit Anfragen schneller bei der richtigen Stelle landen. Für diesen Zweck können Betreff, Nachrichtentext, Kategoriehistorien und bestimmte Metadaten relevant sein. Nicht automatisch notwendig sind dagegen vollständige Kundendossiers, interne Notizen aus anderen Systemen oder zusätzliche personenbezogene Informationen, die mit der Sortierung nichts zu tun haben.
Ein anderes Beispiel: Soll eine KI Rechnungen auslesen und in einen Prozess übernehmen, dann sind strukturrelevante Inhalte wie Rechnungsnummer, Datum, Beträge oder Lieferantendaten plausibel. Für denselben Use Case wäre es kaum nachvollziehbar, zusätzlich umfangreiche Kommunikationshistorien oder irrelevante Personendaten einzubeziehen.
Zweckbindung KI heisst also nicht nur, einen Titel für das Projekt zu vergeben. Der Zweck muss so konkret beschrieben werden, dass sich daraus Entscheidungen ableiten lassen:
Welche Aufgabe übernimmt die KI genau?
Welche Daten tragen direkt zur Lösung bei?
Welche Daten wirken eher zufällig verfügbar als fachlich notwendig?
Welche Daten würden den Umfang der Verarbeitung unnötig ausweiten?
Gerade in frühen Projektphasen lohnt es sich, den Use Case eng zu schneiden. Ein sauber abgegrenzter Anwendungsfall ist meist besser steuerbar als ein zu breites Vorhaben mit mehreren Zielen gleichzeitig. Das hilft nicht nur beim Datenschutz, sondern auch bei Qualität, Testbarkeit und interner Akzeptanz.
Wichtig ist dabei auch die Herkunft der Daten. Daten, die für einen bestimmten Geschäftsprozess erfasst wurden, sind nicht automatisch für jeden neuen KI-Zweck geeignet. Wer bestehende Datenbestände für neue Anwendungen nutzen will, sollte deshalb nicht nur auf Verfügbarkeit schauen, sondern auf Passung. Ein Datensatz kann gross sein und trotzdem wenig nützen, wenn er nicht auf die eigentliche Fragestellung einzahlt.
Datensparsamkeit: Weniger Daten, bessere Kontrolle
Datensparsamkeit wird manchmal missverstanden, als dürfe ein Projekt nur mit möglichst wenigen Daten arbeiten. So einfach ist es nicht. Es geht nicht darum, Daten künstlich zu verknappen, sondern darum, nur die Daten zu verarbeiten, die für den definierten Zweck tatsächlich notwendig sind.
Das bringt in KI-Projekten mehrere Vorteile.
Erstens sinkt der Aufwand. Weniger Daten bedeuten oft weniger Bereinigung, weniger Abstimmung, weniger Schnittstellen und weniger Unsicherheit über Zugriffe und Verantwortlichkeiten.
Zweitens reduziert sich das Risiko. Je mehr Daten in ein Projekt fliessen, desto komplexer werden Schutzmassnahmen, Freigaben und Transparenzanforderungen. Das gilt besonders, wenn sensible oder personenbezogene Informationen betroffen sind.
Drittens verbessert sich häufig die Qualität. Ein typischer Fehler besteht darin, sehr viele Datenquellen einzubeziehen, weil sie «später vielleicht noch nützlich» sein könnten. Genau das erschwert die Kontrolle. Unklare Datenfelder, widersprüchliche Inhalte oder unnötige Merkmale können ein Projekt nicht nur datenschutzrechtlich, sondern auch fachlich schwächen.
Datensparsamkeit KI heisst in der Praxis:
Datenfelder gezielt auswählen statt komplette Datensätze zu übernehmen
nur die Zeiträume verwenden, die für Analyse oder Training relevant sind
Zugriffe nach Rollen begrenzen
sensible Informationen nur dort einbeziehen, wo sie für den Use Case unverzichtbar sind
Zwischenspeicherung und Weitergabe bewusst begrenzen
Ein Beispiel aus dem Alltag: Für eine interne Wissenssuche ist es meist nicht nötig, sämtliche historischen Dokumente inklusive aller Versionen, Kommentare und Randnotizen ungefiltert einzuspeisen. Sinnvoller ist oft eine Auswahl freigegebener, aktueller und relevanter Inhalte. Das verbessert die Kontrolle und erhöht meist auch die Nützlichkeit der Ergebnisse.
Datensparsamkeit ist damit kein Bremsfaktor, sondern ein Qualitätskriterium. Sie hilft, Projekte übersichtlich zu halten und unnötige Komplexität zu vermeiden.
Privacy by Design und Privacy by Default in der Projektpraxis
Datenschutz wirkt in vielen Unternehmen noch immer wie ein später Prüfschritt. Für tragfähige KI-Projekte reicht das nicht. Privacy by Design und Privacy by Default bedeuten, dass Datenschutz nicht nachträglich auf ein bestehendes Vorhaben aufgesetzt wird, sondern bereits in der Konzeption mitgedacht wird.
Privacy by Design heisst: Datenschutzanforderungen fliessen früh in das Projekt ein. Also dann, wenn der Use Case beschrieben, Datenquellen ausgewählt, Rollen definiert und Prozesse entworfen werden.
Privacy by Default heisst: Die Standardeinstellungen und Standardprozesse sind so ausgestaltet, dass nicht mehr Daten verarbeitet werden als nötig. Der Schutz ist also nicht optional, sondern voreingestellt.
Für ein KMU muss das nicht kompliziert sein. Es geht um konkrete organisatorische Entscheidungen:
Früh klären, wer was entscheidet
Schon vor dem Start sollte feststehen, wer den fachlichen Zweck verantwortet, wer die Datenbasis beurteilt, wer technische Zugriffe regelt und wer Datenschutzfragen einordnet. Wenn diese Rollen unklar bleiben, entstehen Lücken: Fachbereiche erwarten Ergebnisse, IT baut Schnittstellen, aber niemand prüft systematisch, ob Datenbedarf und Zweck wirklich zusammenpassen.
Datenflüsse sichtbar machen
Viele Probleme entstehen, weil Datenflüsse im Projekt zu wenig transparent sind. Woher stammen die Daten? Werden sie exportiert, angereichert, weitergegeben oder in mehreren Umgebungen gespeichert? Eine einfache Übersicht reicht oft schon, um kritische Punkte früh zu erkennen.
Schutzmassnahmen nicht erst am Schluss diskutieren
Auch wenn keine vollständige Sicherheitsarchitektur im Vorfeld ausgearbeitet werden muss, sollten zentrale Punkte früh entschieden werden: Zugriffsrechte, Speicherorte, Aufbewahrung, Protokollierung, Löschkonzepte und Umgang mit sensiblen Daten. Wer diese Fragen erst nach dem Prototypen stellt, muss häufig zurückbauen.
Standardmässig zurückhaltende Einstellungen wählen
Privacy by Default zeigt sich oft in kleinen, aber wirksamen Entscheidungen: keine unnötig breiten Rollenrechte, keine automatischen Übernahmen kompletter Datensätze, keine lange Aufbewahrung ohne klaren Zweck, keine standardmässige Nutzung sensibler Inhalte ohne Notwendigkeit.
Gerade im Umfeld von IT und Digitalisierung zeigt sich, dass Datenschutz am besten funktioniert, wenn Fachlichkeit, Technik und Governance nicht getrennt betrachtet werden. Wer diese Punkte früh zusammennimmt, schafft bessere Voraussetzungen für belastbare KI-Projekte.
Transparenz und Datensicherheit als Grundlage für Akzeptanz
Vertrauenswürdige KI entsteht nicht allein durch gute Technik. Sie entsteht dann, wenn nachvollziehbar ist, welche Daten verwendet werden, wofür sie eingesetzt werden und wie sie geschützt sind. Das betrifft nicht nur Kundinnen und Kunden, sondern genauso Mitarbeitende, Führungskräfte und interne Projektbeteiligte.
Transparenz ist deshalb mehr als eine formale Information. Sie ist ein Akzeptanzfaktor. Wenn Teams nicht verstehen, warum eine KI eingeführt wird, welche Daten einbezogen werden und welche Rolle der Mensch im Prozess behält, entstehen schnell Vorbehalte. Umgekehrt steigt die Bereitschaft zur Mitwirkung, wenn der Nutzen klar, der Umfang nachvollziehbar und der Umgang mit Daten transparent ist.
Für KMU heisst das konkret:
den Einsatzzweck verständlich beschreiben
aufzeigen, welche Datenkategorien betroffen sind
Zuständigkeiten und Zugriffsrechte klar kommunizieren
den Umgang mit sensiblen Informationen bewusst regeln
erklären, wo menschliche Prüfung oder Freigabe vorgesehen ist
Datensicherheit ist dabei keine Zusatzschicht, sondern eine Grundvoraussetzung. Wenn Daten in KI-Projekten verarbeitet werden, müssen Schutzmassnahmen mit dem Risiko mitwachsen. Dazu gehören unter anderem geregelte Zugriffe, technische und organisatorische Schutzvorkehrungen, sichere Datenübermittlungen, definierte Verantwortlichkeiten und ein klarer Umgang mit externen Beteiligten.
Entscheidend ist: Sicherheit darf nicht nur behauptet werden. Sie muss im Projekt nachvollziehbar verankert sein. Das gilt besonders dann, wenn mehrere Abteilungen beteiligt sind oder externe Dienstleistungen eingebunden werden. Eine solide Dokumentation der Datenflüsse und Schutzmassnahmen schafft nicht nur Kontrolle, sondern auch Vertrauen.
Die wichtigsten Prüffragen vor dem Start eines KI-Projekts
Bevor ein KI-Projekt startet, lohnt sich eine kurze, strukturierte Vorprüfung. Sie muss nicht bürokratisch sein. Wichtig ist, dass die richtigen Fragen früh gestellt werden. Die folgenden Punkte helfen dabei, Datenschutz, Zweckbindung und Umsetzbarkeit zusammen zu betrachten.
Welchen konkreten Zweck erfüllt der Use Case?
Die Beschreibung sollte so klar sein, dass ein Aussenstehender versteht, welches Problem gelöst wird und welches Ergebnis erwartet wird. «Wir möchten etwas mit KI automatisieren» ist zu vage. Besser ist: «Eingehende Anfragen sollen anhand definierter Kategorien vorsortiert werden, damit die Bearbeitungszeit sinkt.»
Welche Daten sind dafür tatsächlich notwendig?
Hier zeigt sich oft, ob der Use Case präzise genug definiert ist. Notwendig sind jene Daten, ohne die die Aufgabe nicht sinnvoll erfüllt werden kann. Alles andere gehört auf den Prüfstand.
Woher stammen die Daten?
Die Datenquelle ist zentral. Kommen die Informationen aus einem ERP, einem CRM, einem DMS, aus E-Mails oder aus manuell gepflegten Listen? Unterschiedliche Quellen bedeuten unterschiedliche Qualitätsniveaus, Zugriffsfragen und Risiken.
Sind die Daten aktuell, korrekt und ausreichend?
Auch ein datenschutzkonformes Projekt scheitert, wenn die Daten fachlich unbrauchbar sind. Veraltete Einträge, doppelte Datensätze, fehlende Felder oder uneinheitliche Bezeichnungen schwächen jedes KI-Vorhaben. Responsible AI braucht deshalb nicht nur zulässige, sondern auch belastbare Daten.
Sind sensible oder besonders schützenswerte Daten betroffen?
Sobald sensible Inhalte im Spiel sind, steigen die Anforderungen an Prüfung, Schutz und Kommunikation. Solche Daten sollten nie beiläufig in ein Vorhaben einfliessen, nur weil sie in derselben Quelle vorhanden sind.
Wer hat Zugriff auf welche Daten?
Zugriffsrechte sollten nicht nebenbei geregelt werden. Bereits in der Planungsphase muss klar sein, welche Rollen Einblick erhalten, wer Daten freigibt und wie der Zugriff dokumentiert oder begrenzt wird.
Wie werden Transparenz und Nachvollziehbarkeit sichergestellt?
Es sollte klar beschrieben werden können, welche Daten verarbeitet werden, welche Funktion die KI übernimmt und an welchen Stellen menschliche Kontrolle vorgesehen ist. Das ist wichtig für interne Akzeptanz und für den vertrauenswürdigen Einsatz.
Welche Daten würden das Projekt unnötig vergrössern?
Diese Frage ist besonders wertvoll. Sie hilft, Ballast früh zu entfernen. Wenn Daten nur mitlaufen, weil sie vorhanden sind oder später vielleicht nützlich sein könnten, ist Vorsicht angebracht.
Wie passen Prozess, Daten und Zielbild zusammen?
Ein KI-Vorhaben funktioniert nur dann gut, wenn der zugrunde liegende Prozess ausreichend klar ist. Wenn Zuständigkeiten, Eingaben oder Entscheidungswege unklar sind, löst zusätzliche Technik das Grundproblem nicht.
So schaffen Schweizer KMU eine belastbare Grundlage für den KI-Start
Ein tragfähiger Start entsteht selten durch eine einzelne Entscheidung. Er entsteht durch eine kurze, aber strukturierte Klärung zwischen den relevanten Rollen. Für KMU hat sich dabei ein pragmatisches Vorgehen bewährt: Geschäftsleitung, Fachbereich, IT und zuständige Stellen für Datenschutz oder Governance früh an einen Tisch bringen.
Das Ziel ist nicht, vorab jedes Detail vollständig zu lösen. Ziel ist eine gemeinsame Einschätzung:
Welcher Use Case ist fachlich sinnvoll?
Welche Daten sind dafür geeignet?
Wo liegen Risiken oder Unklarheiten?
Welche Schutz- und Abstimmungsbedarfe bestehen?
Lässt sich das Vorhaben mit vertretbarem Aufwand umsetzen?
Diese Vorabklärung spart später oft deutlich mehr Aufwand, als sie am Anfang kostet. Viele Projektverzögerungen entstehen nicht wegen der KI selbst, sondern wegen nachträglich entdeckter Datenprobleme, unklarer Verantwortlichkeiten oder fehlender Akzeptanz. Wer diese Punkte früh sichtbar macht, kann Projekte besser priorisieren, sauberer planen und realistischer bewerten.
Gerade bei Automatisierung und KI ist das entscheidend. Ein Use Case mit klarer Zielsetzung, passender Datenbasis und nachvollziehbaren Schutzmassnahmen hat deutlich bessere Chancen auf eine produktive Umsetzung als ein Vorhaben, das nur von technischer Machbarkeit getrieben ist.
Häufig gestellte Fragen
Welche Daten dürfen für ein KI-Projekt überhaupt verwendet werden?
Das lässt sich nicht pauschal beantworten. Entscheidend sind der konkrete Zweck, die Herkunft der Daten, ihre Notwendigkeit für den Use Case und der jeweilige Verarbeitungskontext. Für KMU ist es sinnvoll, zunächst zu prüfen, welche Daten fachlich wirklich gebraucht werden und ob sensible Inhalte betroffen sind. Eine allgemeine Freigabe nach dem Motto «vorhandene Daten können verwendet werden» ist für KI und Datenschutz nicht ausreichend.
Wie früh sollten Datenschutz und Zweckbindung in einem KI-Vorhaben geklärt werden?
So früh wie möglich, idealerweise bevor Daten zusammengeführt, exportiert oder für Tests verwendet werden. Sobald ein Use Case skizziert ist, sollten Zweck, Datenbedarf, Rollen und Schutzanforderungen mitgedacht werden. Wird diese Klärung auf später verschoben, steigt das Risiko von Rückbauten, Verzögerungen und Akzeptanzproblemen.
Was bedeutet Privacy by Design konkret für ein KMU-Projekt?
Privacy by Design bedeutet, dass Datenschutz nicht erst am Ende geprüft wird, sondern bereits bei der Konzeption berücksichtigt wird. Konkret heisst das: Use Case eingrenzen, Datenquellen bewusst auswählen, Zugriffe regeln, Datenflüsse dokumentieren und Schutzmassnahmen früh planen. Für KMU ist das weniger eine juristische Formalität als eine Frage guter Projektführung.
Woran erkennt man, ob für einen KI-Use-Case zu viele Daten gesammelt werden?
Ein Warnsignal ist, wenn Daten ohne klaren Bezug zum Zweck mitlaufen oder mit dem Argument «vielleicht später nützlich» aufgenommen werden. Ebenfalls kritisch ist, wenn komplette Datensätze übernommen werden, obwohl nur wenige Felder tatsächlich gebraucht würden. Datensparsamkeit KI heisst, den Datenumfang auf das Notwendige zu begrenzen und jede zusätzliche Kategorie begründen zu können.
Wie schafft man Transparenz gegenüber Mitarbeitenden und Kundinnen bei KI-Einsatz?
Transparenz entsteht durch verständliche Kommunikation. Es sollte klar sein, wofür die KI eingesetzt wird, welche Datenkategorien betroffen sind, wer Zugriff hat und wo menschliche Kontrolle besteht. Im internen Umfeld hilft eine frühzeitige Einbindung der betroffenen Teams. Gegenüber Kundinnen und Kunden ist eine nachvollziehbare und sachliche Kommunikation wichtig, ohne technische oder rechtliche Überladung.
Welche Rolle spielt Datensicherheit bei vertrauenswürdiger KI?
Eine zentrale. Vertrauenswürdige KI setzt voraus, dass Daten angemessen geschützt sind. Dazu gehören geregelte Zugriffe, sichere Übermittlungen, klare Verantwortlichkeiten und ein bewusster Umgang mit sensiblen Informationen. Datensicherheit ist kein Zusatz zum Projekt, sondern eine Voraussetzung dafür, dass KI im Unternehmen überhaupt tragfähig und akzeptiert eingesetzt werden kann.
