Informationsblatt · Executive-Briefing

KI-Nutzung in Schweizer Unternehmen: zwischen Innovationsdruck und Sorgfaltspflicht

Für Geschäftsleitung, Verwaltungsrat, CISO und Datenschutzverantwortliche in Zürich, Zug, Genf und der ganzen Schweiz.

Stand: 26. Oktober 2026

1 · Ausgangslage

Mitarbeitende nutzen ChatGPT, Microsoft Copilot oder Google Gemini längst im Alltag – oft ohne Freigabe. Ein Verbot wird selten eingehalten, eine schriftliche KI-Richtlinie allein ist kaum überprüfbar.

Das revidierte Datenschutzgesetz (revDSG) verlangt angemessene technische und organisatorische Massnahmen. Bei Berufsgeheimnisträgern kommen zusätzliche Pflichten hinzu. Die Geschäftsleitung muss nachvollziehbar zeigen können, wie sie KI-Risiken steuert.

2 · Die offene Lücke

Schweizer Unternehmen verfügen über etablierte Systeme für CRM, HR und Governance. Was jedoch Mitarbeitende im Browser in KI-Dienste einfügen, bleibt in den meisten Organisationen unsichtbar. Typische Risikofelder:

Kundenakten & Verträge

Mandats- und Vertragsinhalte werden zur Zusammenfassung in öffentliche KI-Dienste kopiert.

HR- und Lohndaten

Personaldossiers, Lohnlisten oder AHV-Nummern landen in Formulierungshilfen.

Finanzen & Quellcode

IBAN, Kartennummern, interne Kennzahlen oder Code verlassen unbemerkt das Unternehmen.

3 · Der Ansatz von PromptAudit

Erkennen statt Blindflug

Lokale Mustererkennung typischer sensibler Angaben direkt im Browser, mit Ampelanzeige für Mitarbeitende.

Verschlüsselung im Browser

AES-256-GCM mit PBKDF2-Schlüsselableitung, bevor ein Eintrag gespeichert wird. Der Mandantenschlüssel bleibt beim Unternehmen.

Nachvollziehbare Nachweise

Append-only SHA-256-Hashkette: nachträgliche Änderungen werden bei der Prüfung erkannt.

Eigener Schweizer Speicher (BYOS)

Verschlüsselte Nachweise können in den kundeneigenen Objektspeicher geschrieben werden, z. B. bei Infomaniak.

Wichtig: Der Agent erkennt und protokolliert – er blockiert und maskiert Eingaben im aktuellen Capture-Agent nicht. Ziel ist Transparenz und Nachweisbarkeit, nicht Überwachung einzelner Personen.

4 · Vergleich auf einen Blick

Kriterium	Typische Cloud-Lösung	PromptAudit
Wo wird verschlüsselt?	Meist serverseitig beim Anbieter	Clientseitig im Browser, vor der Speicherung
Wer hält den Schlüssel?	Häufig der Anbieter	Das Kundenunternehmen
Speicherort der Nachweise	Anbieter-Cloud, Region oft wählbar	Wahlweise eigener Schweizer Speicher (BYOS)
Prüfbarkeit für Revision	Abhängig von Anbieter-Exporten	Hashkette lokal verifizierbar, PDF-Bericht

5 · Rahmen 2026: Recht und Sicherheit

Kurzüberblick mit offiziellen Quellen. Stand: Oktober 2026.

Gilt heute
Datenschutzgesetz gilt direkt für KI
Ein eigenes KI-Gesetz gibt es in der Schweiz noch nicht. Das revidierte DSG ist technologieneutral; der EDÖB hat bekräftigt, dass es direkt auf KI-Anwendungen anwendbar ist – inklusive Transparenz und, bei hohem Risiko, Datenschutz-Folgenabschätzung.
Quelle: edoeb.admin.ch
Frühling 2027
Vernehmlassungsentwurf zur KI-Regulierung
EJPD, UVEK und EDA erarbeiten auf Basis der KI-Konvention des Europarats einen Entwurf zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Details stehen noch nicht fest.
Quelle: kmu.admin.ch
Seit August 2026
EU AI Act: Transparenzpflichten
Schweizer Unternehmen, die KI-Systeme in der EU anbieten oder deren KI-Ergebnisse dort verwendet werden, können dem EU AI Act unterstehen. Nutzende müssen etwa erfahren, wenn sie mit einem Chatbot interagieren.
Quelle: kmu.admin.ch
Lagebild
Jedes dritte KMU bereits angegriffen
Laut Bundesamt für Cybersicherheit (NCSC) war bereits jedes dritte Schweizer KMU Opfer eines Cyberangriffs. Empfohlen werden u. a. abgestufte Zugriffsrechte, Zwei-Faktor-Anmeldung und regelmässige Datensicherungen.
Quelle: kmu.admin.ch

Einordnung: PromptAudit unterstützt die Dokumentation Ihrer Sorgfalt bei der KI-Nutzung. Es ersetzt weder Rechtsberatung noch Virenschutz, Firewall oder Datensicherung und kennzeichnet keine KI-generierten Inhalte im Sinne des EU AI Act.

Transparenz-Hinweis

Geschlossene nur Desktop-Browser. Die Plattform selbst (Konten, Lizenzen, Ciphertext-Backups) wird über einen Cloud-Anbieter in der EU (Frankfurt) betrieben; ein eigener Schweizer Plattformstandort ist nicht nachgewiesen. Unterauftragsverarbeiter mit US-Bezug können nicht pauschal ausgeschlossen werden. Keine Zertifizierung, kein unabhängiger Pentest, keine Rechtsberatung und keine Garantie vollständiger Erfassung.

14-Tage-Test kostenlos anfordern Sicherheitsunterlagen

PromptAudit™ · info@promptaudit-vault.ch · promptaudit.ch