Darf ein Schweizer Unternehmen ChatGPT einführen, ohne die Mitarbeitenden zu fragen?

Ja, die Einführung eines KI-Werkzeugs braucht grundsätzlich keine Einwilligung der Mitarbeitenden. Entscheidend ist, welche Personendaten in das Werkzeug gelangen und ob das Unternehmen die Grundsätze des Datenschutzgesetzes einhält.

Das Datenschutzgesetz (DSG) verlangt eine rechtmässige, verhältnismässige und zweckgebundene Bearbeitung (Art. 6 DSG) sowie angemessene Datensicherheit (Art. 8 DSG). Werden Personendaten an einen externen KI-Anbieter übermittelt, gilt dieser in der Regel als Auftragsbearbeiter (Art. 9 DSG).

Liegt der Anbieter ausserhalb der Schweiz, sind die Regeln zur Bekanntgabe ins Ausland zu beachten (Art. 16 und 17 DSG). Der EDÖB weist darauf hin, dass das geltende DSG direkt auf KI-gestützte Bearbeitungen anwendbar ist.

Der PromptAudit Capture Agent läuft als Browser-Erweiterung direkt bei ChatGPT, Claude und vergleichbaren Diensten. Er protokolliert Eingaben lokal verschlüsselt (AES-256-GCM) in einer versiegelten Prüfkette. Ab Version 1.5.0 kann er je nach Firmenrichtlinie sensible Muster vor dem Absenden maskieren (MASK) oder Eingaben mit Sperrbegriffen anhalten (BLOCK).

1. 1Festlegen, welche Datenkategorien in KI-Dienste eingegeben werden dürfen.
2. 2Anbieter, Speicherort und Vertragsbedingungen dokumentieren.
3. 3Die tatsächliche Nutzung protokollieren, um die Weisung überprüfbar zu machen.

• Datenschutzgesetz (DSG, SR 235.1)
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Allgemeine Information, keine Rechtsberatung. Stand: November 2026.

• Welche Folgen drohen, wenn Mitarbeitende Personendaten in externe KI-Dienste eingeben?
• Genügt eine schriftliche KI-Weisung auf Papier?
• Wie funktioniert die Maskierung von IBAN, AHV-Nummer und Firmenbegriffen vor dem Absenden?