KI-Sicherheit und Datenschutz für KMU

KI-Sicherheit und Datenschutz für KMU

Datenschutz und Sicherheit sind keine Hindernisse für KI im KMU. Sie sind Voraussetzungen. Dieser Leitfaden erklärt verständlich, welche Regeln gelten, wie Sie sie einhalten und welche Massnahmen für KMU realistisch und bezahlbar sind.

Das Schweizer Datenschutzgesetz und KI

Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (revDSG). Für KI-Projekte sind vier Grundsätze besonders relevant: Zweckbindung bedeutet, dass Daten nur für den Zweck verwendet werden dürfen, für den sie erhoben wurden. Wenn Sie Kundendaten für die Rechnungsstellung erhoben haben, dürfen Sie sie nicht ohne Weiteres für KI-basiertes Marketing verwenden. Verhältnismässigkeit besagt, dass nur die Daten verarbeitet werden dürfen, die für den Zweck tatsächlich notwendig sind. Transparenz bedeutet, dass betroffene Personen informiert werden müssen, wenn ihre Daten mit KI verarbeitet werden. Datensicherheit verlangt angemessene technische und organisatorische Massnahmen zum Schutz der Daten.

Für die meisten KMU-KI-Projekte lassen sich diese Anforderungen mit überschaubarem Aufwand erfüllen. Der Schlüssel ist, Datenschutz von Anfang an mitzudenken, nicht nachträglich aufzusetzen.

Welche Daten verarbeitet KI?

Nicht alle Daten sind gleich sensibel. Wir unterscheiden drei Kategorien. Geschäftsdaten wie Bestellungen, Lagerbestände, Umsatzzahlen und Termine sind unkritisch aus Datenschutzsicht, da sie keine personenbezogenen Daten enthalten. Kundendaten wie Namen, Adressen, E-Mail, Kaufhistorie und Kommunikation sind personenbezogen und unterliegen dem Datenschutzgesetz. Besonders schützenswerte Daten wie Gesundheitsdaten, Finanzinformationen und biometrische Daten unterliegen strengeren Regeln.

Für die meisten KMU-KI-Projekte verarbeiten wir eine Mischung aus Geschäfts- und Kundendaten. Die gute Nachricht: In vielen Fällen können wir mit anonymisierten oder pseudonymisierten Daten arbeiten, was die Datenschutzanforderungen deutlich vereinfacht.

Technische Sicherheitsmassnahmen

Sieben technische Massnahmen, die wir bei jedem KI-Projekt implementieren, und die auch für KMU-Budgets realistisch sind: Verschlüsselung aller Daten im Ruhezustand und bei der Übertragung mittels TLS 1.3 und AES-256. Zugriffskontrolle, bei der nur autorisierte Personen und Systeme auf die Daten zugreifen können, mit rollenbasiertem Zugriff und regelmässiger Überprüfung der Berechtigungen. Protokollierung aller Zugriffe auf die Daten, damit im Falle eines Vorfalls nachvollziehbar ist, wer wann auf welche Daten zugegriffen hat. Datensparsamkeit bedeutet, dass die KI nur die Daten verarbeitet, die für den jeweiligen Anwendungsfall notwendig sind. Regelmässige Backups der KI-Konfiguration und der Trainingsdaten. Schweizer Hosting, bei dem alle Daten auf Servern in der Schweiz verarbeitet und gespeichert werden. Regelmässige Sicherheitsupdates der KI-Software und aller beteiligten Systeme.

Organisatorische Massnahmen

Neben der Technik sind organisatorische Massnahmen ebenso wichtig. Datenschutz-Folgenabschätzung ist bei KI-Projekten mit personenbezogenen Daten empfohlen. Wir führen diese für Sie durch und dokumentieren die Ergebnisse. Mitarbeiter-Schulung über den verantwortungsvollen Umgang mit KI und Daten ist unerlässlich. Verarbeitungsverzeichnis mit Dokumentation, welche Daten wie verarbeitet werden und wer Zugriff hat. Auftragsverarbeitungsvertrag, also ein Vertrag zwischen Ihnen und Ihrem KI-Partner, der die Verantwortlichkeiten klar regelt. Regelmässige Überprüfung der Sicherheitsmassnahmen mindestens einmal jährlich.

KI und das Recht auf Auskunft

Das revDSG gibt betroffenen Personen das Recht auf Auskunft. Wenn ein Kunde fragt: "Welche Daten haben Sie über mich und was machen Sie damit?", müssen Sie innerhalb von 30 Tagen antworten können. Das bedeutet für Ihre KI-Projekte: Dokumentieren Sie, welche Kundendaten von der KI verarbeitet werden. Stellen Sie sicher, dass Sie einzelne Kunden aus dem KI-System identifizieren und ihre Daten exportieren oder löschen können. Bereiten Sie einen Prozess vor, um Auskunftsersuchen zu bearbeiten.

Checkliste für datenschutzkonforme KI-Projekte

Verwenden Sie diese Checkliste für jedes KI-Projekt: Ist der Verarbeitungszweck klar definiert? Werden nur notwendige Daten verarbeitet? Sind betroffene Personen informiert? Ist die Datenverarbeitung in der Schweiz oder einem angemessenen Land? Ist die Verschlüsselung implementiert? Gibt es eine Zugriffskontrolle? Werden Zugriffe protokolliert? Gibt es einen Auftragsverarbeitungsvertrag? Können Auskunfts- und Löschungsanfragen bearbeitet werden? Ist eine Datenschutz-Folgenabschätzung durchgeführt?

Fazit

KI-Sicherheit und Datenschutz im KMU sind keine Raketenwissenschaft. Mit den richtigen technischen und organisatorischen Massnahmen können Sie KI nutzen und gleichzeitig die Daten Ihrer Kunden und Ihres Unternehmens schützen. Der Aufwand ist überschaubar, die Massnahmen sind bewährt, und ein erfahrener KI-Partner wird diese Themen von Anfang an adressieren.