revDSG & EU AI Act: KI-Compliance-Checkliste

KI im Unternehmen: revDSG- & EU-AI-Act-Checkliste

Diese Checkliste hilft Ihnen, den Einsatz von KI in Ihrem Schweizer Unternehmen entlang von revDSG (nFADP) und EU AI Act strukturiert zu prüfen. Arbeiten Sie die Punkte pro KI-Anwendung durch und dokumentieren Sie Ihre Entscheide. Sie ist ein Bildungswerkzeug und ersetzt keine Rechtsberatung – ziehen Sie bei Unsicherheiten Fachpersonen bei.

Fortschritt: 0 / 30 erledigt

1. Rechtsgrundlage & Transparenz

Zweck jeder KI-Anwendung schriftlich festhalten

Rechtsgrundlage der Datenbearbeitung klären (z. B. Vertrag, Einwilligung, überwiegendes Interesse)

Datenschutzerklärung um die KI-Nutzung ergänzen (verständlich und aktuell)

Betroffene über Bearbeitungszweck und -umfang informieren (Art. 19 revDSG)

Datenminimierung prüfen: nur wirklich nötige Daten in KI-Tools einspeisen

Bearbeitungsverzeichnis um die KI-Anwendungen erweitern

2. Personen- & besonders schützenswerte Daten

Besonders schützenswerte Daten identifizieren (z. B. Gesundheit, Religion, Biometrie)

Prüfen, ob Prompts oder Uploads Personendaten Dritter enthalten

Auftragsbearbeitungsvertrag (AVV) mit KI-Anbietern abschliessen

Datenstandort und Bekanntgabe ins Ausland klären (angemessenes Schutzniveau)

Aufbewahrungs- und Löschfristen für KI-Ein- und -Ausgaben definieren

Keine besonders schützenswerten Daten ohne geeignete Rechtsgrundlage einspeisen

3. KI-Transparenz & Offenlegung (EU AI Act Art. 50)

Kennzeichnen, wenn Nutzer direkt mit einer KI interagieren (z. B. Chatbot)

KI-generierte oder -bearbeitete Inhalte als solche markieren (wo möglich maschinenlesbar)

Synthetische Medien und Deepfakes klar offenlegen

Prüfen, ob der EU AI Act für Ihr Angebot gilt (EU-Nutzer, Marktzugang)

Risikoklasse der KI-Anwendung grob einordnen

Verbotene Praktiken (z. B. manipulatives Verhalten) ausschliessen

4. Sicherheit & Meldeprozess

Zugriff auf KI-Tools rollenbasiert einschränken

Angemessene technische und organisatorische Massnahmen dokumentieren

Meldeprozess für Datensicherheitsverletzungen festlegen (Meldung an EDÖB so rasch als möglich)

Verantwortliche Person und internen Meldeweg benennen

Mitarbeitende zum sicheren KI-Einsatz schulen

Umgang mit Fehlern und Halluzinationen sowie menschliche Kontrolle regeln

5. Dokumentation & Verantwortlichkeiten

Verantwortlichkeiten für die KI-Governance festlegen

Prüfen, ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist (Art. 22 revDSG)

Verträge, Entscheide und Prüfungen zentral ablegen

Regelmässige Überprüfung und Aktualisierung terminieren

Anbieter-Dokumentation (Sicherheit, Trainingsdaten) einholen und archivieren

Rechtliche Prüfung durch eine Fachperson vor dem produktiven Einsatz einplanen

Häufige Fragen

Ist die DSGVO für mein Schweizer Unternehmen relevant?

Für Bearbeitungen in der Schweiz gilt das revDSG (nFADP). Die EU-DSGVO kann zusätzlich greifen, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Klären Sie den Geltungsbereich mit einer Fachperson.

Gilt der EU AI Act auch für Schweizer Firmen?

Er kann gelten, wenn Ihre KI-Systeme in der EU genutzt werden oder deren Ergebnisse dort verwendet werden. Prüfen Sie Marktzugang und Nutzerkreis; klären Sie den Geltungsbereich im Zweifel rechtlich ab.

Garantiert diese Checkliste die Compliance?

Nein. Sie ist ein Bildungs- und Orientierungswerkzeug und ersetzt keine Rechtsberatung. Ihre konkrete Situation braucht eine individuelle Beurteilung durch qualifizierte Fachpersonen.

Muss ich KI-generierte Inhalte immer kennzeichnen?

Der EU AI Act (Art. 50) verlangt Transparenz etwa bei Chatbots und synthetischen Medien. Auch ohne EU-Bezug schafft eine Kennzeichnung Vertrauen. Prüfen Sie die für Sie konkret geltenden Pflichten.