Tools, Know-how und Weiterbildung im Bereich Datenschutz und IT-Recht

Wenn eine Vertragspartei (Bestellerin) bei der anderen Vertragspartei (Anbieterin) eine Software zur Entwicklung in Auftrag gibt, so ist die Bestellerin bereits in der Realisierungsphase der Anbieterin ein Stück weit ausgeliefert. Denn die Anbieterin als Fachspezialistin in diesem Bereich ist im Besitz der zur Weiterentwicklung, Anpassung sowie der Fehlerbehebung notwendigen Grundlagen wie dem Sourcecode und der gesamten technischen Dokumentation. Beim Sourcecode handelt es sich um den Quellcode der Software, einer für den Menschen lesbaren Version der Software.

Am 2. August 2024 trat die Europäische Verordnung über Künstliche Intelligenz («KI») in Kraft und wurde abgestuft: Überwiegend gilt sie angesichts einer Übergangszeit von zwei Jahren ab dem 2. August 2026, wobei einige Bestimmungen, etwa die Vorschriften zu den verbotenen Praktiken im KI-Bereich, bereits seit dem 2. Februar 2025 Geltung erlangen. Sanktionsbewehrt ist dieses Verbot wiederum seit dem 2. August 2025. Provider von Hochrisiko-KI-Systemen profitieren von einer Übergangsfrist von drei Jahren bis zum 1. August 2027. Auch wenn diese Fristen auf den ersten Blick noch lang erscheinen mögen, sollten auch Schweizer Unternehmen, welche KI bereits jetzt einsetzen oder in naher Zukunft einzusetzen beabsichtigen, möglichst führzeitig wichtige Weichen für die Zukunft stellen. Denn die Verwendung von KI, insbesondere von Large Language Models («LLMs»), kann zahlreiche datenschutzrechtliche Implikationen haben und rechtliche Fragen aufwerfen, die teilweise bislang nicht abschliessend bezüglich KI-Verordnung geklärt sind.

Wurde die IT-Infrastruktur früher fast gänzlich selber betrieben und/oder betreut, ist heutzutage eine klare Tendenz zu einer Auslagerung dieser Tätigkeit zu erkennen. Gewisse Dienstleister haben bereits angekündigt, dass ihre «Offline-Versionen», sprich Versionen ihrer Software, welche lediglich lokal und frei von Abonnementsverträgen sind, nicht mehr lange angeboten werden. Die entsprechenden Kunden müssen in naher Zukunft den (teilweisen) Gang in die Cloud prüfen. Nachfolgend werden die wichtigsten datenschutzrechtlichen Themen in diesem Zusammenhang aufgezeigt, um eine konforme Cloud-Nutzung zu ermöglichen.