KI-Tool: Worauf Sie beim Vertrag mit KI-Anbietern achten sollten?
Inhalt
- Worauf müssen Schweizer Unternehmen bei der Vertragsgestaltung für KI-Tools achten?
- Welchen Zweck soll das KI-Tool erfüllen und welche Daten sind dafür wirklich nötig?
- Darf der Anbieter Eingaben und Outputs für Training oder Produktverbesserung nutzen?
- Ist der Anbieter Auftragsbearbeiter und sind Unterauftragnehmer kontrolliert?
- Wo werden die Daten bearbeitet und welche Auslandgarantien bestehen?
- Welche Sicherheits- und Meldepflichten übernimmt der Anbieter?
- Kann das KI-Tool erhebliche Entscheidungen vorbereiten oder treffen?
- Wie endet die Zusammenarbeit, und wer trägt das Leistungsrisiko?
- Fazit
- FAQ: KI-Tool
KURZ ZUSAMMENGEFASST
Der Einsatz von KI-Tools im Unternehmen erfordert eine präzise vertragliche Regelung, die über Preis und Funktionsumfang hinausgeht. Entscheidend ist die Klärung, welche Daten verarbeitet werden dürfen, ob diese für das Training externer Modelle genutzt werden und wie die Datensicherheit sowie die Datenherausgabe bei Vertragsende gewährleistet sind. Ohne diese spezifischen Klauseln bleibt das Unternehmen datenschutzrechtlich exponiert und betrieblich abhängig vom Anbieter.
Die wichtigsten Punkte:
- Definieren Sie den genauen Verwendungszweck und die zulässigen Datenkategorien vor der Unterschrift.
- Schliessen Sie die Nutzung Ihrer Eingaben und Outputs für das Training oder die Produktverbesserung des Anbieters ausdrücklich aus.
- Regeln Sie die Rolle des Anbieters als Auftragsbearbeiter und kontrollieren Sie die Unterauftragnehmer strikt.
- Stellen Sie sicher, dass Datenstandorte und Garantien für Auslandtransfers (z. B. Swiss-U.S. Data Privacy Framework) dokumentiert sind.
- Vereinbaren Sie konkrete Exit-Klauseln für die Datenherausgabe in maschinenlesbaren Formaten und die Löschung aller Daten.
David Schneeberger
Dr. David Schneeberger, Rechtsanwalt, M.A. HSG in Law & Economics
David Schneeberger schloss sein Studium der Rechts- und Wirtschaftswissenschaften an der Universität St. Gallen im Jahr 2013 ab. Nach dem absolvierten Anwaltspraktikum erwarb er das Anwaltspatent im Jahr 2016. Anschliessend arbeitete er in einer renommierten Wirtschaftskanzlei in Zürich. In den Jahren 2016 bis 2019 promovierte er zum Aktienrecht und baute von 2016 bis 2018 ein Unternehmen zur digitalen Kundenvermittlung auf. Ab 2018 wechselte er in die Justiz, wo er zuerst als Gerichtsschreiber und alsdann als wissenschaftlicher Mitarbeiter bzw. Leiter Stab arbeitete. Hierbei verantwortete er die grossen Digitalisierungsinitiativen. Von 2023 bis 2025 war er als Generalsekretär an der Universität St. Gallen tätig. Heute arbeitet er als Rechtsanwalt mit Fokus auf KI, Datenschutz und digitale Geschäftsmodelle. Er unterstützt KMU, Behörden und Rechtsdienste bei der Umsetzung dieser Themen durch Schulungen, Referate und Beratungsleistungen. Er verfügt über einen CAS «Change Management und Projekt Leadership», einen CAS «Legal Tech» sowie einen CAS «Datenschutz». Er hat einen Lehrauftrag an der HSG und publiziert zu verschiedenen Fachthemen rund um Recht und Digitalisierung.
Passende Arbeitshilfen
Worauf müssen Schweizer Unternehmen bei der Vertragsgestaltung für KI-Tools achten?
Welchen Zweck soll das KI-Tool erfüllen und welche Daten sind dafür wirklich nötig?
Der erste Vertragscheck beginnt vor dem Vertragsentwurf. Der Fachbereich muss den konkreten Einsatz beschreiben: Soll das KI-Tool Texte erstellen, Kundendaten strukturieren, Personalunterlagen auswerten oder Entscheidungen vorbereiten? Ohne definierten Einsatz lassen sich weder der erforderliche Datenumfang noch die rechtliche Risikolage seriös beurteilen.
Personendaten dürfen nur rechtmässig, nach Treu und Glauben und verhältnismässig bearbeitet werden. Sie dürfen nur für einen bestimmten und für die betroffenen Personen erkennbaren Zweck beschafft sowie nur zweckvereinbar weiterbearbeitet werden (Art. 6 Abs. 1–3 DSG). Nicht mehr erforderliche Personendaten sind zu vernichten oder zu anonymisieren (Art. 6 Abs. 4 DSG).
Der Vertrag sollte den zulässigen Verwendungszweck deshalb präzise umschreiben. Er sollte zudem festlegen, welche Datenkategorien verarbeitet werden dürfen und welche Daten ausgeschlossen bleiben. Besonders schützenswerte Personendaten, vertrauliche Kundeninformationen oder Daten aus regulierten Geschäftsbereichen verlangen eine vertiefte Prüfung.
Darf der Anbieter Eingaben und Outputs für Training oder Produktverbesserung nutzen?
Diese Frage gehört in den Hauptvertrag und nicht nur in eine Datenschutzerklärung. Der EDÖB weist darauf hin, dass Nutzer intelligenter Sprachmodelle erkennen können müssen, ob und inwieweit ihre eingegebenen Daten zur Verbesserung selbstlernender Programme oder für weitere Zwecke verwendet werden (EDÖB, KI und Datenschutz ).
Die Verwendung von Kundendaten, Prompts oder Outputs zum Training eines KI-Modells ist datenschutzrechtlich relevant, sofern die Informationen einen Bezug zu natürlichen Personen aufweisen. Der EDÖB weist zudem darauf hin, dass beim Training von KI-Modellen die Zweckbindung gefährdet sein kann, wenn Daten ursprünglich in einem anderen Kontext und für einen anderen Zweck erhoben wurden (EDÖB, KI im Alltag ). Jede Datenbearbeitung muss mit dem ursprünglich bestimmten und erkennbaren Bearbeitungszweck vereinbar sein (Art. 6 Abs. 3 DSG).
Für die Vertragsgestaltung empfiehlt es sich, eine Trainings- oder Produktverbesserungsnutzung von Unternehmensdaten ausdrücklich auszuschliessen. Soll sie ausnahmsweise zulässig sein, sollten Datenkategorien, Zweck, Anonymisierung, Widerspruchsmöglichkeiten und die jeweiligen Rollen der Parteien klar geregelt werden.
Jetzt Member werden und weiterlesen:
- Unlimitierter Zugriff auf alle 1300 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Zugriff auf alle Videos
- Täglich aktualisiert
- Wöchentlich neue Inhalte und Arbeitshilfen
- Exklusive Spezialangebote
- News- & Update-Services
- Seminargutscheine
