Nachweis & Governance · ca. 6 Min.
Welche Nachweise sind nach einem KI-bezogenen Datenschutzvorfall hilfreich?
Gefragt sind in der Regel: was wann an wen gelangt ist, welche Massnahmen bestanden und wie reagiert wurde. Ein vollständiges, unverändertes Protokoll beschleunigt diese Abklärung.
1. Kernaussage
Gefragt sind in der Regel: was wann an wen gelangt ist, welche Massnahmen bestanden und wie reagiert wurde. Ein vollständiges, unverändertes Protokoll beschleunigt diese Abklärung.
2. Rechtliche und fachliche Einordnung
Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist der EDÖB so rasch als möglich zu informieren (Art. 24 DSG). Zudem führt der Verantwortliche ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG).
Der EDÖB kann Untersuchungen eröffnen und Massnahmen verfügen (Art. 49 ff. DSG). Dokumentierte technische Massnahmen helfen, die eigene Sorgfalt darzulegen.
3. Lösungsweg mit PromptAudit
Der PromptAudit Capture Agent läuft als Browser-Erweiterung direkt bei ChatGPT, Claude und vergleichbaren Diensten. Er protokolliert Eingaben lokal verschlüsselt (AES-256-GCM) in einer versiegelten Prüfkette. Ab Version 1.5.0 kann er je nach Firmenrichtlinie sensible Muster vor dem Absenden maskieren (MASK) oder Eingaben mit Sperrbegriffen anhalten (BLOCK).
Grenzen
Die Erkennung ist regelbasiert und erkennt nicht jeden Fall. Der Agent wirkt nur in Browsern, in denen er installiert ist; Desktop-Apps, private Geräte oder kompromittierte Rechner deckt er nicht ab. Version 1.5.0 ist derzeit bei Firefox freigegeben, Chrome und Edge prüfen noch.
4. Drei Schritte für die Praxis
- 1KI-Dienste in das Verzeichnis der Bearbeitungstätigkeiten aufnehmen.
- 2Einen Meldeablauf mit Zuständigkeiten und Fristen festlegen.
- 3Protokolle so führen, dass sie auf Anfrage als PDF-Bericht vorliegen.
Quellen
- Datenschutzgesetz (DSG, SR 235.1)
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Allgemeine Information, keine Rechtsberatung. Stand: November 2026.
Verwandte Fragen
Evaluation für Ihr Unternehmen
Schriftliche Anfrage, eigenständige Prüfung durch Ihre IT und manuelle Freigabe. Umfang und Konditionen werden vorab vereinbart.