Welche Folgen drohen, wenn Mitarbeitende Personendaten in externe KI-Dienste eingeben?

Das DSG sieht Bussen bis CHF 250'000 vor, die sich gegen verantwortliche natürliche Personen richten, etwa bei vorsätzlicher Verletzung der Sorgfaltspflichten. Hinzu kommen Reputations- und Vertragsrisiken für das Unternehmen.

Die Strafbestimmungen (Art. 60–66 DSG) betreffen unter anderem die vorsätzliche Bekanntgabe ins Ausland ohne die nötigen Voraussetzungen und die Missachtung der Mindestanforderungen an die Datensicherheit (Art. 61 DSG). Strafbar ist grundsätzlich die handelnde oder verantwortliche Person, nicht das Unternehmen.

Führt eine Eingabe zu einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko, ist sie dem EDÖB so rasch als möglich zu melden (Art. 24 DSG).

Der PromptAudit Capture Agent läuft als Browser-Erweiterung direkt bei ChatGPT, Claude und vergleichbaren Diensten. Er protokolliert Eingaben lokal verschlüsselt (AES-256-GCM) in einer versiegelten Prüfkette. Ab Version 1.5.0 kann er je nach Firmenrichtlinie sensible Muster vor dem Absenden maskieren (MASK) oder Eingaben mit Sperrbegriffen anhalten (BLOCK).

1. 1Verantwortlichkeiten für KI-Nutzung schriftlich zuweisen.
2. 2Mitarbeitende zu verbotenen Datenkategorien schulen.
3. 3Einen Meldeablauf für Datensicherheitsverletzungen bereithalten.

• Datenschutzgesetz (DSG, SR 235.1)
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Allgemeine Information, keine Rechtsberatung. Stand: November 2026.

• Darf ein Schweizer Unternehmen ChatGPT einführen, ohne die Mitarbeitenden zu fragen?
• Genügt eine schriftliche KI-Weisung auf Papier?
• Wie funktioniert die Maskierung von IBAN, AHV-Nummer und Firmenbegriffen vor dem Absenden?