KI im KMU: ChatGPT und Copilot sicher einführen

ChatGPT, Microsoft Copilot und andere KI-Werkzeuge sind in vielen Schweizer KMU längst angekommen, oft schneller, als die Geschäftsleitung es geplant hat. Mitarbeitende lassen Offerten formulieren, E-Mails zusammenfassen oder Excel-Tabellen auswerten. Das spart Zeit. Gleichzeitig stellt sich eine wichtige Frage: Welche Daten landen dabei wo, und was verlangt das Schweizer Datenschutzgesetz?

In diesem Ratgeber zeigen wir, wie KMU KI geordnet und sicher einführen, ohne die Vorteile zu verschenken.

Fazit

Das revidierte Datenschutzgesetz (revDSG) gilt seit dem 1. September 2023 und ist laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) direkt auf KI-Anwendungen anwendbar. Wer KI im Unternehmen einsetzt, braucht klare Regeln, das richtige Werkzeug und geschulte Mitarbeitende.

Was der EDÖB von Unternehmen erwartet

Der EDÖB hat mehrfach klargestellt, dass es für KI in der Schweiz kein Sonderrecht braucht, um den Datenschutz einzuhalten. Für Firmen, die KI einsetzen, bedeutet das unter anderem:

• Transparenz: Zweck, Funktionsweise und Datenquellen einer KI-gestützten Bearbeitung müssen nachvollziehbar sein.
• Information der Betroffenen: Kundinnen und Kunden sollen wissen, wenn sie mit einer Maschine kommunizieren, etwa mit einem Chatbot.
• Automatisierte Einzelentscheidungen: Prüfen Sie, ob eine Entscheidung ausschliesslich automatisiert erfolgt und rechtliche oder ähnlich erhebliche Auswirkungen hat. Dann sind die gesetzlichen Informations- und Überprüfungsrechte sowie mögliche Ausnahmen zu beachten.
• Risikoabklärung: Kann die geplante Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte verursachen, ist eine Datenschutz-Folgenabschätzung erforderlich.
  

Ein Risiko im Alltag: nicht freigegebene Tools mit Firmendaten

Die meisten Probleme entstehen nicht durch böse Absicht, sondern durch Bequemlichkeit: Ein Kundenvertrag wird in eine private ChatGPT-Sitzung kopiert, eine Lohnliste in ein kostenloses Online-Tool hochgeladen. Prüfen Sie für jedes konkrete Angebot die Vertragsbedingungen, Einstellungen, Speicherung und Datenverwendung. Kostenlos oder kostenpflichtig allein ist kein verlässliches Datenschutzkriterium.

Deshalb gilt: Personendaten, Kundendaten und Geschäftsgeheimnisse gehören nur in KI-Werkzeuge, die das Unternehmen geprüft und freigegeben hat.

Microsoft 365 Copilot: Was für KMU wichtig ist

Viele KMU arbeiten bereits mit Microsoft 365. Copilot ist dann oft die naheliegende Wahl, weil er direkt in Outlook, Word, Excel und Teams arbeitet. Laut Microsoft gilt dabei:

• Prompts, Antworten und Firmendaten werden nicht zum Training der grundlegenden Sprachmodelle verwendet.
• Copilot zeigt nur Inhalte an, auf die die jeweilige Person ohnehin Zugriff hat.
• Prüfen Sie Datenstandort, eingesetzte Modelle, Websuche und Erweiterungen für Ihren konkreten Microsoft-365-Vertrag. Eine pauschale Zusage, dass sämtliche Daten ausschliesslich in der Schweiz verarbeitet werden, lässt sich daraus nicht ableiten.

Der zweite Punkt ist in der Praxis entscheidend: Copilot findet alles, was ein Benutzer sehen darf. Dazu gehört auch die vergessene Lohnliste im falsch freigegebenen SharePoint-Ordner. Vor der Einführung sollten deshalb Berechtigungen und Freigaben aufgeräumt werden.

In 5 Schritten zur sicheren KI-Einführung

1. Bestandesaufnahme: Welche KI-Tools werden heute schon genutzt, offiziell und inoffiziell?
2. KI-Richtlinie festlegen: Welche Tools sind erlaubt, welche Daten dürfen hinein, welche nicht? Eine Seite genügt oft.
3. Microsoft 365 vorbereiten: Berechtigungen, SharePoint- und Teams-Freigaben prüfen, Vertraulichkeitsbezeichnungen einrichten.
4. Pilotgruppe starten: Mit wenigen Mitarbeitenden konkrete Anwendungsfälle testen, z. B. Offerten, Protokolle oder Kundenanfragen.
5. Schulen und dokumentieren: Mitarbeitende im sicheren Umgang schulen und festhalten, wofür KI eingesetzt wird.
   

Besonderheit Arztpraxen und Treuhand

Wer mit besonders schützenswerten Personendaten arbeitet, etwa mit Gesundheitsdaten in Arztpraxen, sollte besonders zurückhaltend sein. Patientendaten gehören nicht in allgemeine KI-Chats. Klären Sie zusätzlich Berufsgeheimnis, Zugriffsrechte und vertragliche Vorgaben, bevor ein Tool breit eingesetzt wird.

So unterstützt Compu-Trade

Compu-Trade begleitet KMU in Bern, Burgdorf und dem Emmental seit 1986 bei neuen Technologien. Bei der KI-Einführung übernehmen wir die Bestandesaufnahme, bereiten Microsoft 365 und die Berechtigungen vor, richten Copilot oder ChatGPT Business ein und schulen Ihr Team persönlich und verständlich.

Mehr dazu auf unserer Seite KI-Beratung für Unternehmen, zur Schulung Ihres Teams unter KI-Schulung für KMU oder direkt unter 034 411 11 33.

Hinweis: Dieser Ratgeber ersetzt keine Rechtsberatung. Stand: Oktober 2026.

Quellen, geprüft am 17. September 2026: EDÖB, KI und Datenschutz: https://www.edoeb.admin.ch/de/ki-und-datenschutz ; Microsoft, Data, Privacy, and Security for Microsoft Copilot: https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy

IT-Unterstützung für KMU

KI-Einführung besprechen

Häufige Fragen

Ist ChatGPT im Unternehmen erlaubt?

Ja, sofern die Nutzung geregelt ist. Entscheidend ist, welche Version eingesetzt wird und welche Daten eingegeben werden. Die konkrete Datenverarbeitung muss vorab freigegeben und rechtlich sowie vertraglich geprüft sein. Die Bezeichnung Business allein garantiert keine datenschutzkonforme Nutzung.

Brauchen KMU eine KI-Richtlinie?

Empfehlenswert ist sie in jedem Fall. Sie schafft Klarheit für Mitarbeitende und hilft, die Transparenzpflichten des Datenschutzgesetzes einzuhalten.

Was muss vor der Einführung von Copilot erledigt werden?

Vor allem die Berechtigungen in Microsoft 365: Copilot zeigt alles, worauf ein Benutzer Zugriff hat. Falsch freigegebene Ordner werden so schnell sichtbar.