KI auf eigenen Daten: private KI sicher im Unternehmen nutzen

KI auf eigenen Daten bedeutet: Ein Sprachmodell beantwortet Fragen auf Grundlage interner Verträge, Dossiers, Protokolle und Richtlinien, nicht nur auf Basis öffentlicher Trainingsdaten. Ein eigenes Modelltraining ist dafür in den meisten Fällen nicht nötig. Entscheidend sind drei Fragen: Mit welcher Methode werden die Daten an das Modell angebunden, wo findet die Verarbeitung statt, und welche Pflichten löst das Schweizer Datenschutzgesetz (DSG) aus? Für Treuhand, Kanzleien, Gesundheitswesen, Finanzen und HR ist die zweite Frage meist die heikelste.

Kurz gesagt

• Methode: Ein Modell von Grund auf zu trainieren, lohnt sich für Unternehmen selten. Eine Wissensdatenbank mit Retrieval (RAG) liefert schneller überprüfbare Antworten aus eigenen Dokumenten.
• Recht: Das DSG gilt seit dem 1. September 2023 direkt für KI-gestützte Datenbearbeitungen. Bei hohem Risiko ist eine Datenschutz-Folgenabschätzung Pflicht.
• Standort: Ein Schweizer Rechenzentrum allein genügt nicht. Massgebend sind auch Rechtssitz des Betreibers, Trainingsnutzung, Protokollierung und Zugriffsrechte.
• Klassifizierung: Streng vertrauliche Daten gehören in eine kontrollierte Umgebung: souveräne Schweizer Cloud, BYOC oder On-Premise.
• Governance: Ohne freigegebenes Werkzeug entsteht Shadow AI, also die unkontrollierte Nutzung externer Chatbots durch Mitarbeitende.

Inhaltsverzeichnis

• Drei Wege, ein Modell mit eigenen Daten zu verbinden
• Was mit Daten in einem KI-System geschieht
• Rechtsrahmen in der Schweiz
• Betriebsmodelle im Vergleich
• Szenario: Ein Treuhandbüro mit 15 Mitarbeitenden
• Einführung in sechs Schritten
• Unsere Sicht: Souveränität ist eine Architekturentscheidung
• Nectos: private KI-Wissensdatenbanken mit Schweizer Hosting
• Häufige Fragen
• Quellen

Drei Wege, ein Modell mit eigenen Daten zu verbinden

Unter «KI mit eigenen Daten» werden drei technisch sehr unterschiedliche Ansätze zusammengefasst. Die Wahl bestimmt Kosten, Aufwand und Datenschutzrisiko.

Training von Grund auf

Ein Modell wird vollständig auf eigenen Daten trainiert. Für grosse Sprachmodelle erfordert das enorme Datenmengen, spezialisierte Hardware und ein Team für Machine Learning. Für Bilderkennung oder Klassifikation mit klar abgegrenzten Aufgaben ist ein eigenes Modell realistisch, für einen allgemeinen Textassistenten in einem KMU kaum.

Fine-Tuning

Ein bestehendes Modell wird mit eigenen Beispielen nachtrainiert, etwa um Stil, Fachterminologie oder ein bestimmtes Ausgabeformat zu lernen. Forschende der ETH Zürich haben mit dem Algorithmus SIFT eine Methode entwickelt, die Daten für dieses Nachtraining gezielt auswählt; laut ETH erreichen damit bis zu 40-mal kleinere Modelle die gleiche Output-Leistung wie deutlich grössere. Der Nachteil bleibt: Was einmal in die Modellgewichte eingeflossen ist, lässt sich kaum gezielt wieder entfernen. Für Personendaten ist das ein Problem, etwa bei Löschbegehren.

Retrieval-Augmented Generation (RAG)

Die Dokumente bleiben in einer Wissensdatenbank. Bei jeder Frage sucht das System die relevanten Passagen heraus und übergibt sie dem Modell als Kontext. Das Modell selbst lernt nichts dauerhaft dazu. Dokumente lassen sich jederzeit ergänzen, aktualisieren oder löschen, und Antworten können auf die Quelle verweisen. Für die meisten Anwendungsfälle in Unternehmen ist RAG der pragmatische Standard.

Was mit Daten in einem KI-System geschieht

Wer KI auf eigenen Daten einsetzt, sollte jeden Datenfluss kennen. In einem typischen KI-Arbeitsbereich entstehen mindestens diese Kategorien:

• Eingaben (Prompts): Fragen und eingefügte Textpassagen, oft mit Namen, Beträgen oder Diagnosen.
• Hochgeladene Dokumente: Originaldateien und deren extrahierter Text.
• Index der Wissensdatenbank: maschinenlesbare Repräsentationen der Dokumente, aus denen sich Inhalte teilweise rekonstruieren lassen.
• Antworten und Verlauf: gespeicherte Konversationen.
• Protokolle: technische Logs beim Anbieter, oft mit eigener Aufbewahrungsfrist.
• Websuche: Suchanfragen, die an externe Suchdienste gehen.
• Trainingsnutzung: die Frage, ob Eingaben zur Verbesserung des Modells verwendet werden.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält fest, dass Nutzende von KI-Sprachmodellen wissen müssen, ob sie mit einer Maschine korrespondieren und ob ihre Eingaben zum Training verwendet werden. Für jeden der genannten Datenflüsse sollte deshalb vertraglich und technisch geklärt sein: Wo wird gespeichert, wie lange, wer hat Zugriff, und wird der Inhalt weiterverwendet?

Rechtsrahmen in der Schweiz

Das DSG gilt direkt für KI

Das DSG ist technologieneutral formuliert. Der EDÖB betont, dass das seit dem 1. September 2023 geltende Datenschutzgesetz direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Sobald Personendaten bearbeitet werden, müssen Hersteller, Anbieter und Verwender Transparenz über Zweck, Funktionsweise und Datenquellen herstellen. Betroffene haben zudem das Recht, bei automatisierten Einzelentscheidungen eine menschliche Überprüfung zu verlangen. Am Datenschutztag 2026 des EDÖB wurde dieselbe Unterscheidung hervorgehoben: Generative KI als solche fällt nicht unter das DSG, die Bearbeitung von Personendaten mit ihr hingegen schon.

Datenschutz-Folgenabschätzung bei hohem Risiko

Gemäss Art. 22 DSG ist eine Datenschutz-Folgenabschätzung (DSFA) zu erstellen, wenn eine Bearbeitung ein potenziell hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringt. Typische Auslöser bei KI-Projekten:

• umfangreiche Bearbeitung besonders schützenswerter Personendaten, etwa Gesundheitsdaten in einer Praxis oder Strafregisterauszüge im HR,
• systematisches Profiling mit hohem Risiko,
• automatisierte Entscheidungen über Personen, etwa bei Bewerbungen oder Kreditprüfungen.

Die DSFA dokumentiert unter anderem den Bearbeitungszweck, die Kategorien betroffener Personen und allfällige Datenbekanntgaben ins Ausland. Ob ein konkretes Projekt eine DSFA auslöst, klärt im Zweifel die oder der Datenschutzberatende im Unternehmen oder eine auf Datenschutzrecht spezialisierte Anwaltskanzlei.

Bekanntgabe von Daten ins Ausland

Werden Personendaten im Ausland bearbeitet, verlangt das DSG mehr Transparenz als die DSGVO: Unternehmen müssen die Betroffenen über den Empfängerstaat und die vorgesehenen Garantien informieren (Art. 16 Abs. 2 DSG). Für die USA gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework: Zertifizierte US-Unternehmen gelten seither als Empfänger mit angemessenem Datenschutzniveau. Das erleichtert Datentransfers rechtlich, ändert aber nichts an der Informationspflicht und nichts daran, dass die Daten der US-Rechtsordnung unterstehen.

US CLOUD Act und Schweizer Rechenzentren

Der CLOUD Act verpflichtet US-Cloudanbieter, US-Strafverfolgungsbehörden Zugang zu Kundendaten zu gewähren, auch wenn diese ausserhalb der USA gespeichert sind. Das Bundesamt für Justiz hat die Tragweite für die Schweiz in einem Gutachten zum US CLOUD Act analysiert. Für die Praxis folgt daraus: Ein KI-Dienst, der in einem Schweizer Rechenzentrum läuft, aber von einem Unternehmen mit Sitz oder Muttergesellschaft in den USA betrieben wird, bietet keine vollständige Datensouveränität. Massgebend ist, wer den Dienst kontrolliert, nicht nur, wo die Server stehen.

Betriebsmodelle im Vergleich

Für private KI im Unternehmen stehen fünf Betriebsmodelle zur Auswahl. Sie unterscheiden sich vor allem darin, welchem Recht die Daten unterstehen und wie viel technischer Aufwand im eigenen Haus bleibt.

Die Begriffe «sovereign cloud AI» oder «private cloud AI Schweiz» werden im Markt unterschiedlich verwendet. Vor einer Beschaffung empfiehlt sich deshalb eine schriftliche Bestätigung zu vier Punkten: Rechtssitz aller beteiligten Gesellschaften, Standort von Verarbeitung und Backups, Ausschluss der Trainingsnutzung, Unterauftragsverarbeiter mit Sitzstaat.

Szenario: Ein Treuhandbüro mit 15 Mitarbeitenden

Ein fiktives, aber typisches Beispiel zeigt, wie die Kriterien zusammenwirken. Ein Treuhandbüro möchte Fragen zu Mandantendossiers, Steuererklärungen und internen Arbeitsanweisungen per KI beantworten lassen.

• Daten: Lohnausweise, Bilanzen, Steuerunterlagen, teils mit Angaben zu Gesundheit oder Konfession. Das sind Personendaten, teilweise besonders schützenswerte.
• Methode: Fine-Tuning scheidet aus, weil Mandantendaten nicht dauerhaft in Modellgewichte gelangen sollen und Mandate enden. Eine Wissensdatenbank pro Team mit Zugriffsrechten pro Mandat ist die passende Lösung.
• Betrieb: Ein öffentlicher Chatbot kommt wegen Auslandsbekanntgabe und Trainingsrisiko nicht in Frage. Eine souveräne Schweizer Cloud-KI deckt die Anforderungen ab, ohne eigene Server.
• Pflichten: Prüfung, ob eine DSFA nötig ist, Ergänzung der Datenschutzerklärung, interne Weisung zur KI-Nutzung, Audit-Trail für den Nachweis gegenüber Mandanten und Revision.

Der Aufwand liegt damit weniger in der Technik als in der Organisation: Klassifizierung, Rollen und Dokumentation.

Einführung in sechs Schritten

1. Datenlandkarte erstellen: Erfassen, wo sensible Daten liegen, welche Systeme sie enthalten und wer Zugriff hat. Ohne diese Übersicht ist keine fundierte Entscheidung für oder gegen eine KI-Anwendung möglich.
2. Daten klassifizieren: Eine klare Schutzstufe pro Datenkategorie festlegen. Die ETH Zürich etwa schreibt in ihrem KI-Leitfaden vor, dass streng vertrauliche Informationen nicht in externen Cloud-Diensten verarbeitet werden dürfen und vertrauliche nur in vorab geprüften Diensten. Diese Logik lässt sich auf Unternehmen übertragen.
3. Methode wählen: Für Fragen an Verträge, Richtlinien und Dossiers genügt in der Regel eine Wissensdatenbank mit RAG. Fine-Tuning nur dort, wo Stil oder Format den Ausschlag geben.
4. Betriebsmodell und Anbieter prüfen: Rechtssitz, Datenstandort, Trainingsausschluss, Auftragsverarbeitungsvertrag (AVV), Verschlüsselung, Audit-Trails und Rollenmodell schriftlich klären.
5. DSFA und Information der Betroffenen: Prüfen, ob Art. 22 DSG greift. Datenschutzerklärung und interne Weisungen anpassen, bei Auslandsbekanntgaben den Empfängerstaat nennen.
6. Pilot mit klaren Regeln starten: Ein Team, ein Anwendungsfall, messbare Kriterien. Parallel eine Weisung zur KI-Nutzung erlassen, die freigegebene Werkzeuge benennt und den Umgang mit externen Chatbots regelt.

Der sechste Schritt adressiert ein häufig unterschätztes Risiko. Fehlt ein freigegebenes Werkzeug, nutzen Mitarbeitende private Konten bei öffentlichen Chatbots, und Geschäftsdaten fliessen unkontrolliert ab. Der ETH-Leitfaden empfiehlt in diesem Fall, Daten vor jeder Eingabe in nicht freigegebene Dienste konsequent zu anonymisieren. Wirksamer ist ein geprüfter, intern bereitgestellter Dienst, der die Anonymisierung gar nicht erst zur Pflicht des Einzelnen macht.

Unsere Sicht: Souveränität ist eine Architekturentscheidung

Wir sehen in Schweizer Unternehmen ein wiederkehrendes Muster. KI wird zuerst privat genutzt, dann geduldet, und erst danach stellt jemand die Frage, wo die Daten eigentlich liegen. Zu diesem Zeitpunkt sind Kundendossiers, Lohnlisten oder Vertragsentwürfe oft schon durch fremde Systeme gelaufen.

Unsere Überzeugung: Datensouveränität lässt sich nicht nachträglich per Vertragsklausel herstellen. Sie muss in der Architektur angelegt sein. Für uns heisst das: Modelle, die lokal in der Schweiz gehostet werden, Speicherung und Verarbeitung ausschliesslich auf Schweizer Servern, kein Datenfluss zu US-Technologiekonzernen und keine Nutzung von Kundendaten für das Modelltraining. Hinzu kommen Audit-Trails, mit denen sich jederzeit nachweisen lässt, wer wann auf welche Daten zugegriffen hat.

Für die Frage «KI auf eigenen Daten» bedeutet das konkret: Eine Wissensdatenbank mit RAG in einer souveränen Schweizer Umgebung deckt die grosse Mehrheit der Anwendungsfälle ab, ohne dass ein Unternehmen eigene GPU-Infrastruktur betreiben oder ein Data-Science-Team aufbauen muss. Wo Compliance-Vorgaben eine eigene Umgebung verlangen, ist BYOC oder On-Premise die konsequente Fortsetzung desselben Prinzips.

— Adopt

Nectos: private KI-Wissensdatenbanken mit Schweizer Hosting

Nectos ist ein souveräner Schweizer KI-Arbeitsbereich, gehostet und verarbeitet ausschliesslich auf Schweizer Servern, konform mit nDSG und DSGVO. Für KI auf eigenen Daten stehen zur Verfügung:

• Persönliche und geteilte Wissensdatenbanken für Verträge, Richtlinien und Dossiers
• Dokumenten-Upload und -Analyse direkt im privaten KI-Chat
• Meeting-Transkription und KI-Assistenten für Schweizer Branchenkontexte
• Prompt-Anonymisierung und Websuche mit optionaler Anonymisierung
• Audit-Trails, Admin- und Zugriffssteuerung, Auftragsverarbeitungsvertrag auf Anfrage

Die Übertragung und Speicherung ist mit TLS 1.3 und AES-256 abgesichert. Die Pläne: Starter für CHF 29.90, Pro für CHF 49.90 und Pro+ für CHF 99.90, jeweils pro Platz und Monat, dazu eine Testphase. Die Details stehen in der Preisübersicht von Nectos. Unternehmen, die eine eigene Umgebung benötigen, wählen das Deployment als BYOC oder On-Premise; der BYOC-Support ist ab CHF 490 pro Monat erhältlich. Einen Überblick über alle Funktionen für private KI und den Vergleich mit öffentlichen KI-Chatbots bietet die Website.

Häufige Fragen

Kann ich eine KI kostenlos mit eigenen Daten trainieren?

Kleine Modelle für klar umrissene Aufgaben lassen sich mit Open-Source-Werkzeugen auf eigener Hardware trainieren. Für Textassistenten mit Firmenwissen ist Training jedoch selten der richtige Weg: Eine Wissensdatenbank mit RAG ist schneller eingerichtet und bleibt aktuell. Kostenlose Online-Dienste sind für vertrauliche oder personenbezogene Daten ungeeignet, sofern Datenstandort und Trainingsnutzung nicht vertraglich geklärt sind.

Was macht eine KI mit meinen eingegebenen Daten?

Das hängt vom Anbieter ab. Eingaben können gespeichert, protokolliert und je nach Nutzungsbedingungen zum Training weiterer Modelle verwendet werden. Laut EDÖB müssen Nutzende darüber informiert werden, ob ihre Eingaben zum Training dienen. Massgebend sind die Nutzungsbedingungen und der Auftragsverarbeitungsvertrag.

Ist eine KI mit Rechenzentrum in der Schweiz automatisch DSG-konform?

Nein. Der Serverstandort ist ein Faktor, aber nicht der einzige. Unterliegt der Betreiber dem US CLOUD Act, können US-Behörden Zugriff verlangen. Zudem bleiben Pflichten wie Transparenz, Datensicherheit und gegebenenfalls eine DSFA beim Unternehmen, das die KI einsetzt.

Braucht ein KMU für KI auf eigenen Daten eine DSFA?

Nicht in jedem Fall. Eine DSFA ist nach Art. 22 DSG nötig, wenn die Bearbeitung ein potenziell hohes Risiko für Betroffene mit sich bringt, etwa bei umfangreicher Bearbeitung von Gesundheitsdaten oder bei Profiling. Eine Wissensdatenbank mit internen Prozessdokumenten ohne Personendaten löst in der Regel keine DSFA aus.

Quellen

• EDÖB: KI und Datenschutz
• EDÖB: Geltendes Datenschutzgesetz ist auf KI direkt anwendbar
• EDÖB: Datenschutztag 2026
• EDÖB: Datenschutz-Folgenabschätzung
• EDÖB: Informationspflicht
• EDÖB: Bekanntgabe von Personendaten ins Ausland
• datenschutz.ch: CLOUD Act
• ETH Zürich: Guide for Users of AI
• ETH Zürich: Weniger Rechenaufwand für zuverlässige KI-Antworten