Generative Künstliche Intelligenz: Chancen und Risiken im Unternehmen
Inhalt
- Wie können Unternehmen Generative Künstliche Intelligenz sicher und rechtskonform einsetzen?
- Generative Künstliche Intelligenz ist kein rechtsfreier Raum
- Datenschutz: Besondere Vorsicht bei Eingaben
- Generative Künstliche Intelligenz und Urheberrecht
- Geschäftsgeheimnisse und Informationssicherheit schützen
- KI-Ergebnisse müssen geprüft werden
- Eine KI-Richtlinie schafft Klarheit und Sicherheit
- FAQ: Generative Künstliche Intelligenz
KURZ ZUSAMMENGEFASST
Der Einsatz von Generativer Künstlicher Intelligenz bietet Schweizer KMU grosse Effizienzvorteile, bringt jedoch erhebliche rechtliche und datenschutzrechtliche Risiken mit sich. Ohne klare interne Vorgaben drohen Verstösse gegen das DSG, Urheberrechtsverletzungen oder der Verlust von Geschäftsgeheimnissen. Eine verbindliche KI-Richtlinie schafft die nötige Sicherheit und definiert, welche Tools verwendet werden dürfen und wie Ergebnisse geprüft werden müssen.
Die wichtigsten Punkte:
- KI-Tools sind kein rechtsfreier Raum; Urheber-, Marken- und Persönlichkeitsrechte Dritter sind vor Veröffentlichung zu prüfen.
- Personendaten und besonders schützenswerte Informationen dürfen grundsätzlich nicht in öffentliche KI-Systeme eingegeben werden.
- Die EU-KI-Verordnung (AI Act) dient als Vorbild für die kommende schweizerische Regulierung und sollte bereits jetzt beachtet werden.
- Mitarbeitende haften für KI-Ergebnisse; «Halluzinationen» und sachliche Fehler müssen vor externer Verwendung manuell kontrolliert werden.
- Eine KI-Richtlinie ist essenziell, um vertrauliche Daten zu schützen und die Nutzung auf freigegebene, sichere Lösungen zu beschränken.
Lic. iur. Regula Heinzelmann
Regula Heinzelmann studierte Jura an der Universität Zürich, wo sie 1981 mit dem Lizentiat abschloss. Seit 1984 arbeitet sie selbständig als Wirtschaftsjournalistin und Buchautorin in Zürich und Berlin.
Passende Arbeitshilfen
Wie können Unternehmen Generative Künstliche Intelligenz sicher und rechtskonform einsetzen?
Generative Künstliche Intelligenz ist kein rechtsfreier Raum
KI-generierte Texte, Bilder, Grafiken oder Programmcode sind nicht frei von Rechten Dritter. Inhalte können geschützte Werke oder erkennbare Bestandteile davon wiedergeben. Vor einer Veröffentlichung ist daher zu prüfen, ob Urheber-, Marken-, Design-, Bild- oder Persönlichkeitsrechte verletzt werden könnten und ob die Nutzungsbedingungen des verwendeten Tools eingehalten sind.
Umgekehrt ist bei KI-generierten Ergebnissen nicht immer gewährleistet, dass das Unternehmen daran ausschliessliche Rechte erwirbt. Wo der Schutz von eigenen Inhalten oder eine exklusive Nutzung wirtschaftlich wichtig ist, sollte der Einsatz von KI sorgfältig geprüft und dokumentiert werden.
In der Schweiz besteht derzeit kein spezielles Gesetz für KI. Ein solches ist aber geplant. Der Bundesrat hat am im Februar 2025 eine Auslegeordnung zu möglichen Regulierungsansätzen von KI diskutiert. Auf Basis dieser Auslegeordnung wird das Bundesamt für Justiz (BJ) mit dem Bundesamt für Kommunikation (BAKOM), der Direktion für Völkerrrecht (DV) sowie weiteren betroffenen Bundesstellen bis Ende 2026 eine Vernehmlassungsvorlage zur KI-Regulierung erstellen.
In der EU gilt die Verordnung 2024/1689 vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung anderer Verordnungen, kurz KI Verordnung oder AI Act. Diese Verordnung gilt auch für Anbieter, die in der Union KI-Systeme in Verkehr bringen, in Betrieb nehmen oder KI-Modelle mit allgemeinem Verwendungszweck in Verkehr bringen, unabhängig davon, ob diese Anbieter in der Union oder in einem Drittland niedergelassen sind (Artikel 2).
Die Anbieter und Betreiber von KI-Systemen sollen sicherstellen, dass ihr Personal und andere Personen, die sich in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befassen, über ein ausreichendes Mass an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung zu berücksichtigen sind (Artikel 4).
Nach Artikel 5 des KI-Gesetzes sind bestimmte Praktiken verboten, beispielsweise:
das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems, das Techniken der unterschwelligen Beeinflussung ausserhalb des Bewusstseins einer Person boder absichtlich manipulative oder täuschende Techniken mit dem Ziel oder der Wirkung einsetzt
das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems, das eine Vulnerabilität oder Schutzbedürftigkeit einer natürlichen Person oder einer bestimmten Gruppe von Personen aufgrund ihres Alters, einer Behinderung oder einer bestimmten sozialen oder wirtschaftlichen Situation mit dem Ziel oder der Wirkung ausnutzt, das Verhalten dieser Person oder einer dieser Gruppe angehörenden Person in einer Weise wesentlich zu verändern, die dieser Person oder einer anderen Person erheblichen Schaden zufügt oder mit hinreichender Wahrscheinlichkeit zufügen wird.
Es ist anzunehmen, dass das KI-Gesetz der EU auch für die schweizerischen Regelungen als Vorbild gilt, deswegen ist zu empfehlen, es jetzt schon zu beachten.
Seminar-Empfehlungen
Auch bereits bestehende Gesetze gelten auch für KI-gestützte Anwendungen, insbesondere das Datenschutzgesetz (DSG), das Obligationenrecht (OR), das Urheberrechtsgesetz sowie vertragliche Geheimhaltungs- und Sicherheitsvorgaben.
Für Arbeitgeber ist zudem entscheidend, dass Mitarbeitende ihre arbeitsvertraglichen Treue- und Sorgfaltspflichten einhalten. Sie dürfen vertrauliche Informationen des Unternehmens nicht unbefugt weitergeben oder gefährden. Dies betrifft beispielsweise Kundendaten, Offerten, Verträge, Finanzzahlen, interne Strategiepapiere, Quellcodes, Zugangsdaten und Geschäftsgeheimnisse. Werden solche Informationen in frei zugängliche KI-Tools eingegeben, können sie unter Umständen an externe Anbieter übermittelt, im Ausland bearbeitet oder für weitere Zwecke verwendet werden.
Eine klare betriebliche Regelung schützt daher nicht nur das Unternehmen, sondern gibt auch den Mitarbeitenden die notwendige Orientierung für einen verantwortungsvollen KI-Einsatz.
Datenschutz: Besondere Vorsicht bei Eingaben
Sobald Mitarbeitende Personendaten in ein KI-System eingeben, ist das Datenschutzgesetz (DSG) zu beachten. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Dazu zählen beispielsweise Namen, Kontaktdaten, Personalbeurteilungen, Lebensläufe, Kundenanfragen oder Informationen aus Vertragsdossiers.
Als besonders schützenswert glten beispielsweise Gesundheitsdaten, biometrische Daten, Angaben über religiöse oder politische Ansichten, Gewerkschaftszugehörigkeit oder strafrechtliche Daten (Art. 2 DSG). Solche Informationen sollten grundsätzlich nicht in öffentliche oder nicht freigegebene KI-Anwendungen eingegeben werden.
Der Arbeitgeber darf Personendaten von Mitarbeitenden nur bearbeiten, soweit dies deren Eignung für das Arbeitsverhältnis betrifft oder zur Durchführung des Arbeitsvertrags erforderlich ist (Art. 328 b OR). Beim Einsatz von KI in der Personalrekrutierung, Leistungsbeurteilung oder Einsatzplanung ist daher besondere Zurückhaltung geboten. Werden Personen aufgrund einer ausschliesslich automatisierten Entscheidung erheblich betroffen, bestehen zudem Transparenz- und Überprüfungsrechte.
Unternehmen sollten vor dem Einsatz eines KI-Tools insbesondere klären, wo die Daten bearbeitet und gespeichert werden, ob der Anbieter Eingaben für das Training seiner Modelle verwendet und ob Daten ins Ausland übermittelt werden. Bei einer Bearbeitung durch externe Anbieter sind die datenschutzrechtlichen Anforderungen an Auftragsbearbeitung, Datensicherheit und gegebenenfalls an Auslandbekanntgaben einzuhalten.
Wo immer möglich, sollten Daten anonymisiert oder zumindest pseudonymisiert werden. Für geschäftliche Zwecke sollten Mitarbeitende ausschliesslich vom Unternehmen freigegebene KI-Lösungen und Konfigurationen verwenden.
Generative Künstliche Intelligenz und Urheberrecht
Bei der Verwendung von KI ist das Urheberrecht zu berücksichtigen. Das Eidgenössische Institut für Geistiges Eigentum gibt dafür folgende Empfehlungen:
In der Schweiz ist urheberrechtlich nur geschützt, was von einem Menschen stammt. Wenn eine Person KI lediglich als Werkzeug einsetzt, aber dabei eine kreative Leistung erbringt, dann ist ein Urheberrechtsschutz des Outputs möglich. Das ist mit einem Fotografen vergleichbar, der eine Kamera benützt. Wird die Leistung durch ChatGPT erbracht, dann stammt sie nicht von einem Menschen und der Output ist nicht urheberrechtlich geschützt.
Es ist aber immer möglich, dass die Ergebnisse eines KI-Systems urheberrechtlich geschützte Inhalte enthalten. Wenn das der Fall ist, braucht man für die Weiterverwendung dieser Ergebnisse eine Erlaubnis der Urheber. Verantwortlich ist ein Nutzer sogar dann, wenn er nicht weiss, dass das KI-Ergebnis geschützte Inhalte enthält. Es empfiehlt sich deshalb, KI-Ergebnisse vor der Verwendung auf mögliche Rechtsverletzungen zu prüfen, beispielsweise über eine Google Text- oder Bildersuche und eine visuelle Prüfung auf Rechteinformationssysteme (Watermarks), Künstlersignaturen oder bekannte Persönlichkeiten.
Ein Stil ist nicht urheberrechtlich geschützt. Wenn aber ein Ergebnis oder Teile davon zu nahe an einem Original eines Künstlers oder Autors sind, dürfte eine unerlaubte Bearbeitung und damit eine Urheberrechtsverletzung vorliegen. Wer den Stil eines Künstlers so imitiert, dass es zu Verwechslungen kommen kann begeht eine Persönlichkeitsverletzung. Zu berücksichtigen ist dabei, dass der urheberrechtliche Schutz eines Werkes bis 70 Jahre nach dem Tod eines Urhebers besteht (Art. 29 URG).
Es ist noch nicht sicher, ob das Vervielfältigungsrecht die Verwendung von geschützten Werken für das KI-Training erlaubt.
Das IGE erarbeitet einen Vorentwurf zur Anpassung des Urheberrechtsgesetzes an die Entwicklungen im Bereich der KI. Dieser wird bis Ende 2026 in die Vernehmlassung gegeben.
Checkliste
- Bestandsaufnahme aller aktuell genutzten KI-Tools durch die Mitarbeitenden erstellen.
- Liste der unternehmensseitig freigegebenen und lizenzierten KI-Anwendungen definieren.
- Klare Verbote für die Eingabe von Personendaten, Passwörtern, API-Schlüsseln und Geschäftsgeheimnissen kommunizieren.
- Technische Schutzmassnahmen implementieren, z. B. Zwei-Faktor-Authentifizierung und Ausschluss des Trainingsnutzungsrechts.
- Prüfprozess etablieren: Jedes externe KI-Ergebnis muss auf Richtigkeit, Aktualität und Rechtskonformität kontrolliert werden.
- Schulungen für Mitarbeitende durchführen, um Bewusstsein für Datenschutz und Urheberrechte zu schaffen.
- Eskalationsweg festlegen, der bei Unsicherheiten oder Sicherheitsvorfällen sofort aktiv wird.
- Datenschutzfolgenabschätzung für geplante KI-Projekte (z. B. Personalrekrutierung) einplanen.
Geschäftsgeheimnisse und Informationssicherheit schützen
Ein alltägliches Risiko liegt in der unbedachten Eingabe vertraulicher Inhalte. Wer beispielsweise einen nicht veröffentlichten Vertrag, eine Kundenliste, eine interne Kalkulation oder einen Programmcode in ein öffentliches KI-Tool kopiert, kann Geheimhaltungs- und Sicherheitsinteressen des Unternehmens verletzen.
Besonders problematisch sind auch Passwörter, API-Schlüssel oder Zugangsdaten. Sie dürfen nie in ein KI-System eingegeben werden. Gleiches gilt für Informationen, die aufgrund von Verträgen mit Kunden, Lieferanten oder Partnern vertraulich zu behandeln sind.
Die KI-Richtlinie sollte deshalb klar festlegen, welche Daten nie in KI-Anwendungen eingegeben werden dürfen und welche Systeme für welche Zwecke freigegeben sind. Ergänzend sind technische Schutzmassnahmen sinnvoll, etwa zentrale Benutzerkonten, Zwei-Faktor-Authentifizierung, Zugriffsbeschränkungen und Einstellungen, welche die Nutzung von Eingaben für das Training ausschliessen.
KI-Ergebnisse müssen geprüft werden
Generative Künstliche Intelligenz kann überzeugend formulierte, aber sachlich falsche, unvollständige oder frei erfundene Inhalte erzeugen. Diese sogenannten Halluzinationen stellen insbesondere bei Rechts-, Finanz-, Personal- oder Kundeninformationen ein erhebliches Risiko dar.
Die Verantwortung für ein Arbeitsergebnis bleibt immer bei der zuständigen Person. Mitarbeitende dürfen KI-Ergebnisse deshalb nicht ungeprüft übernehmen, veröffentlichen oder als Grundlage für Entscheidungen verwenden. Vor einer externen Verwendung sind insbesondere Richtigkeit, Aktualität, Vollständigkeit, rechtliche Zulässigkeit und Angemessenheit für den konkreten Einzelfall zu prüfen.
Auch Diskriminierungsrisiken verdienen Aufmerksamkeit. KI-Systeme können bestehende Verzerrungen in Daten übernehmen und dadurch bestimmte Personengruppen benachteiligen. Dies kann etwa bei der Vorauswahl von Bewerbungen oder der Bewertung von Mitarbeitenden relevant werden. Entscheidungen mit erheblichen Auswirkungen auf Personen sollten daher nicht vollständig an ein KI-System delegiert werden.
Eine KI-Richtlinie schafft Klarheit und Sicherheit
Eine KI-Richtlinie ersetzt keine individuelle Beurteilung einzelner Anwendungen. Sie schafft jedoch verbindliche Grundregeln für den Arbeitsalltag. Sie definiert zulässige und unzulässige Nutzungen, regelt den Umgang mit Personendaten und vertraulichen Informationen, verlangt Qualitätskontrollen und weist Verantwortlichkeiten klar zu.
Wichtig sind insbesondere eine Liste freigegebener KI-Anwendungen, ein Verbot der Eingabe besonders sensibler oder vertraulicher Daten, klare Prüfpflichten für KI-Ergebnisse sowie ein Eskalationsweg bei Unsicherheiten oder Sicherheitsvorfällen. Regelmässige Schulungen helfen, die Vorgaben im Unternehmen zu verankern und die Chancen von KI sicher zu nutzen.
Eine praxistaugliche KI-Richtlinie ermöglicht es Unternehmen, Innovation zu fördern, ohne Datenschutz, Vertraulichkeit und Rechtskonformität aus den Augen zu verlieren. Gerade für KMU ist sie ein zentraler Baustein für einen sicheren und verantwortungsvollen Umgang mit KI.
FAQ: Generative Künstliche Intelligenz
Darf ich Kundendaten in ChatGPT eingeben?
Nein, nicht ohne ausdrückliche Freigabe und technische Absicherung. Personendaten unterliegen dem Datenschutzgesetz (DSG). Es ist zu klären, wo die Daten gespeichert werden und ob sie für das Training genutzt werden. Besser ist es, Daten zu anonymisieren oder ausschliesslich firmeninterne, vertraglich abgesicherte Lösungen zu verwenden.
Wer haftet, wenn ein KI-generierter Text fehlerhaft ist?
Immer die zuständige Person, die das Ergebnis prüft und freigibt. KI kann «halluzinieren», also plausible, aber falsche Inhalte erzeugen. Die Verantwortung für die Richtigkeit und rechtliche Zulässigkeit liegt beim Unternehmen bzw. der Mitarbeitenden, nicht beim Tool-Anbieter.
Gilt die EU-KI-Verordnung auch in der Schweiz?
Direkt gilt sie nur für Anbieter, die in der EU tätig sind. Für Schweizer Unternehmen ist sie jedoch relevant, da sie oft in der Lieferkette stehen oder als Vorbild für die kommende schweizerische Gesetzgebung dienen wird. Es empfiehlt sich, die Anforderungen schon jetzt zu beachten.
Sind KI-generierte Bilder urheberrechtlich geschützt?
In der Schweiz schützt das Urheberrecht nur Werke menschlicher Schöpfung. Rein KI-generierte Inhalte ohne kreative menschliche Leistung sind daher nicht geschützt. Allerdings können KI-Ergebnisse fremde geschützte Werke enthalten, was zu Rechtsverletzungen führt, wenn diese weiterverwendet werden.
Braucht jedes KMU eine eigene KI-Richtlinie?
Ja. Gerade KMU brauchen klare Spielregeln, um Haftungsrisiken zu begrenzen und Mitarbeitende zu orientieren. Die Richtlinie muss definieren, welche Tools erlaubt sind, welche Daten tabu sind und wer für die Prüfung der Ergebnisse verantwortlich ist.
