KI und DSG 2026: Konkrete Compliance-Schritte für Schweizer Agenturen

EDÖB bestätigt: DSG gilt direkt für alle KI-Anwendungen. Was Schweizer Digitalagenturen jetzt über Transparenz, DSFA und sektorielle Regulierung wissen müssen.

Die Schweiz hat kein eigenes KI-Gesetz — aber das bestehende Datenschutzgesetz (DSG) gilt direkt für alle KI-Anwendungen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat das am 8. Mai 2025 unmissverständlich bestätigt: Wer ChatGPT, Claude oder eigene AI-Agenten nutzt, muss DSG-Vorgaben von Anfang an beachten. Für Schweizer Digitalagenturen bedeutet das konkrete Handlungspflichten — von Transparenzkennzeichnung über Datenschutz-Folgenabschätzungen bis zu Privacy by Design. Dieser Artikel erklärt, was 2026 rechtlich gilt, welche Schritte KMU und Agenturen jetzt gehen sollten und wie sich die Schweiz von der EU-Regulierung unterscheidet.

EDÖB-Klarstellung: DSG gilt direkt für alle KI-Anwendungen

Am 8. Mai 2025 veröffentlichte der EDÖB ein Update mit der Kernbotschaft: „Das schweizerische Datenschutzgesetz ist auf KI direkt anwendbar.” Das DSG ist technologieneutral formuliert und deckt deshalb auch KI-gestützte Datenbearbeitungen vollumfänglich ab — unabhängig davon, ob ein separates KI-Gesetz existiert oder nicht.

Was heisst das konkret? Jede Schweizer Agentur, die KI-Tools für Kundenprojekte einsetzt (ChatGPT, Claude, Midjourney, Whisper, eigene AI-Agents), muss die bestehenden DSG-Vorgaben einhalten. Das gilt für drei Rollen:

1. Hersteller (z. B. Agenturen, die eigene AI-Tools entwickeln)
2. Anbieter (z. B. SaaS-Plattformen, die KI-Funktionen vermarkten)
3. Verwender (z. B. Agenturen, die externe KI-Tools im Kundenauftrag nutzen)

Die wichtigsten Pflichten sind:

• Transparenz (Art. 19 DSG): Betroffene Personen müssen darüber informiert werden, dass KI im Einsatz ist, welchen Zweck sie verfolgt, wie sie funktioniert und woher die Daten stammen.
• Zweckbindung (Art. 6 Abs. 3 DSG): Personenbezogene Daten dürfen nur für den bei der Erhebung angegebenen Zweck bearbeitet werden.
• Privacy by Design & Privacy by Default (Art. 7 DSG): Datenschutz muss von Anfang an in die Technikgestaltung eingebaut sein, nicht nachträglich.
• Datenschutz-Folgenabschätzung (DSFA) (Art. 22 DSG): Pflicht, wenn ein hohes Risiko für Persönlichkeit oder Grundrechte besteht.

Für Schweizer Digitalagenturen ist die Botschaft klar: Es gibt keine Grauzone mehr. Wer KI nutzt, muss DSG-konform arbeiten — unabhängig davon, ob ein spezifisches KI-Gesetz kommt oder nicht.

Transparenzpflicht: Kennzeichnung von KI-Interaktionen

Der EDÖB betont: „Betroffene Personen haben das gesetzliche Recht zu erfahren, ob sie mit einer Maschine kommunizieren.” Wer einen KI-Chatbot auf seiner Website betreibt, muss das klar kennzeichnen. Ebenso muss offengelegt werden, ob und wie eingegebene Daten weiterverarbeitet werden.

Ein Praxis-Beispiel: Eine Zürcher Agentur entwickelt einen AI-Chatbot für den Kundensupport eines Schweizer E-Commerce-Shops. Rechtlich sauber ist das nur, wenn:

1. Der Bot sich beim ersten Kontakt als KI vorstellt (z. B. „Dieser Assistent wird durch Künstliche Intelligenz unterstützt”).
2. Die Datenschutzerklärung erklärt, welche Daten der Bot erhebt, wie lange sie gespeichert werden und ob sie für Training genutzt werden.
3. Nutzer ein Opt-out erhalten, falls sie stattdessen mit einem Menschen sprechen möchten.

Die Schweizer KI-Agentur einclick (Zürich) hat das in ihrem Blog dokumentiert: Sie integriert bei jedem AI-Agent, den sie für Kunden baut, eine klare Kennzeichnung — nicht nur aus Rechtsgründen, sondern auch um Vertrauen zu schaffen. Nutzer, die wissen, dass sie mit KI sprechen, stellen präzisere Fragen und akzeptieren Limitationen eher.

Weitere Agenturen, die Privacy by Design in KI-Projekten umsetzen: Digital Sprint (Zürich, digitale Transformation + KI-Integration), Fire8 (Bern, UX/UI + AI-Assistenten), Evolutio (Basel, digitale Strategie + Compliance-Beratung) und Gally Websolutions (Ostschweiz, Webentwicklung + DSGVO/DSG-Beratung).

Datenschutz-Folgenabschätzung (DSFA): Wann ist sie Pflicht?

Art. 22 DSG schreibt vor: Wenn eine Datenbearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte der betroffenen Person mit sich bringen kann, muss vorab eine DSFA durchgeführt werden. Bei KI-Anwendungen ist das häufig der Fall — insbesondere bei:

• Umfangreichem Profiling (z. B. KI-gestützte Verhaltensvorhersagen für personalisierte Werbung)
• Automatisierter Entscheidungsfindung mit rechtlicher oder ähnlicher Wirkung (z. B. KI-gestützte Kreditwürdigkeitsprüfung, automatisierte Bewerbungsscreenings)
• Biometrischer Verarbeitung (z. B. Gesichtserkennung in Sicherheitssystemen)
• Verarbeitung besonders schützenswerter Daten (z. B. Gesundheitsdaten, genetische Daten)

Eine DSFA dokumentiert:

1. Beschreibung des Bearbeitungsvorgangs: Was macht die KI konkret? Welche Daten verarbeitet sie?
2. Risikoanalyse: Welche Risiken bestehen für die Betroffenen? (z. B. Diskriminierung, Datenlecks, unbefugte Profilbildung)
3. Abhilfemassnahmen: Welche technischen und organisatorischen Massnahmen minimieren diese Risiken? (z. B. Anonymisierung, Zugriffskontrollen, regelmässige Audits)

Für Schweizer Agenturen bedeutet das: Wenn Sie für Kunden KI-Anwendungen mit hohem Risiko entwickeln (z. B. HR-Recruiting-Bots, personalisierte Gesundheits-Apps, automatisierte Kreditentscheidungen), ist eine DSFA obligatorisch — und zwar vor dem Produktivstart, nicht nachträglich.

Das Schweizer Rechtsberatungsunternehmen Vischer (Zürich/Basel) hat in einem Blog-Beitrag darauf hingewiesen, dass viele KMU DSFAs als bürokratisch empfinden — aber dass sie in Wahrheit ein wertvolles Werkzeug sind, um Compliance-Risiken frühzeitig zu erkennen und teure Nachbesserungen zu vermeiden.

Sektorielle Regulierung statt horizontalem KI-Gesetz

Die Schweiz hat sich im Februar 2025 grundsätzlich gegen die Übernahme des EU AI Act entschieden. Stattdessen setzt der Bundesrat auf einen sektoriellen Ansatz: Bestehende Gesetze (DSG, Produktehaftpflichtgesetz PrHG, Produktsicherheitsgesetz PrSG) werden gezielt angepasst, und branchenspezifische Regeln werden für Hochrisikobereiche entwickelt — etwa für Gesundheitswesen, Finanzsektor und kritische Infrastruktur.

Die Schweiz hat im März 2025 die Konvention des Europarats über Künstliche Intelligenz (Framework Convention on Artificial Intelligence, 17. Mai 2024) unterzeichnet. Der Bundesrat hat angekündigt, erforderliche Anpassungen im Schweizer Recht vorzunehmen. Erste Vernehmlassungsvorschläge werden bis Ende 2026 erwartet.

Was bedeutet das für Schweizer Digitalagenturen? Drei Punkte:

1. Keine KI-Verordnung wie in der EU: Die Schweiz wird keinen vergleichbaren Katalog von Hochrisiko-KI-Systemen mit Zertifizierungspflicht einführen. Das reduziert bürokratischen Aufwand — bedeutet aber auch, dass Agenturen selbst verantwortlich sind, Risiken zu identifizieren und abzusichern.

2. Produkthaftung wird modernisiert: Das PrHG (Stand: 1994) wird an KI-Risiken angepasst. Laut Prof. Isabelle Wildhaber (Universität St. Gallen) sollten drei Punkte überarbeitet werden: Produktbegriff (Software als Produkt?), Haftung bei fortlaufender Herstellerkontrolle (z. B. Cloud-basierte AI-Services) und Beweislastregeln (wie weisen Geschädigte Fehler in komplexen KI-Systemen nach?).

3. Sektorielle Anpassungen für Hochrisiko-Bereiche: Der Bundesrat hat EJPD und UVEK beauftragt, bis Ende 2026 gesetzliche Anpassungen vorzulegen, um Lücken bei Transparenz und Diskriminierungsschutz in Bereichen wie Gesundheit, Finanzen und kritischer Infrastruktur zu schliessen.

Für Agenturen, die mit HealthTech-, Fintech- oder Industrie-4.0-Kunden arbeiten, heisst das: In den nächsten 12 Monaten können branchenspezifische Anforderungen hinzukommen. Wer jetzt Privacy by Design und proaktives Risikomanagement aufbaut, ist besser vorbereitet.

Verbotene KI-Anwendungen in der Schweiz

Das DSG verbietet Anwendungen, die gezielt darauf ausgelegt sind, Privatsphäre und das Recht auf informationelle Selbstbestimmung zu untergraben. Der EDÖB nennt zwei Beispiele:

1. Massen-Gesichtserkennung in Echtzeit im öffentlichen Raum (z. B. Überwachungssysteme, die alle Passanten automatisch identifizieren und Profile erstellen)
2. Social Scoring (z. B. umfassende Verhaltensüberwachung und Bewertung von Individuen, wie sie in autoritären Systemen eingesetzt wird)

Diese Praktiken sind in der Schweiz unzulässig. Auch wenn sie primär in autoritären Staaten vorkommen, ist die Grenze für Compliance relevant: Agenturen, die Überwachungstechnologie entwickeln (z. B. für Sicherheitsdienstleister, Immobilienverwaltungen), müssen sicherstellen, dass ihre Systeme diese Schwelle nicht überschreiten.

Ein aktuelles Beispiel: Ein Schweizer PropTech-Startup wollte Gesichtserkennung in Mehrfamilienhäusern einsetzen, um Zugang ohne Schlüssel zu ermöglichen. Der EDÖB hat klargestellt, dass solche Systeme nur DSG-konform sind, wenn:

• Bewohner ausdrücklich zustimmen (Opt-in, nicht Opt-out).
• Biometrische Daten lokal auf dem Gerät bleiben (keine Cloud-Speicherung).
• Es eine Alternative ohne Gesichtserkennung gibt (z. B. PIN-Code).

Agenturen, die solche Systeme entwickeln, sollten frühzeitig EDÖB-Leitlinien konsultieren oder externe Datenschutzberater einbinden.

EU AI Act gilt auch für Schweizer Unternehmen

Obwohl die Schweiz den EU AI Act nicht übernimmt, gilt er trotzdem für Schweizer Agenturen — nämlich dann, wenn:

1. KI-Systeme EU-Bürger betreffen (z. B. ein Schweizer E-Commerce-Shop mit deutschen Kunden nutzt KI-gestützte Produktempfehlungen).
2. KI-Systeme in der EU gehostet werden (z. B. AI-Agenten auf AWS Frankfurt oder Google Cloud Belgien).
3. KI-Outputs in der EU genutzt werden (z. B. automatisierte Kreditentscheidungen für EU-Kunden).

Für Schweizer Agenturen mit grenzüberschreitenden Projekten bedeutet das eine Doppelbelastung: Sie müssen sowohl DSG als auch EU AI Act einhalten. Der AI Act sieht vor:

• Hochrisiko-KI-Systeme (z. B. biometrische Identifikation, Kreditwürdigkeitsprüfung, Zugang zu Bildung/Arbeit) benötigen Risikoanalysen, Transparenzdokumentation und technische Robustheitsnachweise.
• Generative KI (ChatGPT, Midjourney, Claude) muss KI-generierte Inhalte kennzeichnen und Urheberrechts-Compliance nachweisen.
• Verbotene Anwendungen (z. B. Social Scoring, Emotion-Erkennung in Schulen/Arbeitsplätzen) dürfen nicht angeboten werden.

Das Schweizer Legal-Tech-Unternehmen getcasus (Zürich) rät Agenturen: „Wenn Sie EU-Kunden haben, behandeln Sie den AI Act so, wie Sie die DSGVO behandeln — als Mindeststandard. DSG allein reicht nicht.”

10-Schritte-Checkliste für DSG-konforme KI-Nutzung

Wie setzen Schweizer Agenturen DSG-Konformität in der Praxis um? Diese 10 Schritte basieren auf EDÖB-Leitlinien und Best Practices führender Schweizer Compliance-Berater:

1. Bearbeitungsverzeichnis führen (Art. 12 DSG)

Dokumentieren Sie alle KI-Tools, die personenbezogene Daten verarbeiten: Welches Tool wird wofür genutzt? Welche Daten werden verarbeitet? Wer hat Zugriff? Wie lange werden Daten gespeichert?

2. Transparenzkennzeichnung anbringen

Jeder AI-Chatbot, jede AI-generierte E-Mail, jedes KI-gestützte Tool muss sich als solches zu erkennen geben. Nutzen Sie klare Formulierungen wie „Dieser Assistent wird durch Künstliche Intelligenz unterstützt.”

3. Datenschutzerklärung aktualisieren

Ihre Website-Datenschutzerklärung muss KI-Nutzung explizit erwähnen: Welche Daten werden an KI-Modelle übertragen? Werden sie für Training genutzt? Wo liegen die Server?

4. Privacy by Design implementieren (Art. 7 DSG)

Datenschutz muss von Anfang an in die Technikgestaltung eingebaut sein: Datensparsamkeit (nur nötige Daten erheben), Anonymisierung wo möglich, Zweckbindung sicherstellen.

5. DSFA durchführen bei Hochrisiko-KI (Art. 22 DSG)

Wenn Ihre KI-Anwendung umfangreiches Profiling, automatisierte Entscheidungen oder besonders schützenswerte Daten nutzt, ist eine schriftliche DSFA obligatorisch.

6. Auftragsverarbeitungsvertrag (AVV) abschliessen

Wenn Sie externe KI-Dienstleister nutzen (z. B. OpenAI, Anthropic, Google), benötigen Sie einen AVV, der regelt, wie der Dienstleister mit Ihren Kundendaten umgeht.

7. Mitarbeitende schulen

Ihre Teammitglieder müssen wissen: Welche Daten dürfen in ChatGPT? Wann ist Claude erlaubt? Was gilt als DSG-konformes Prompt-Engineering? Führen Sie mindestens jährlich eine AI-Governance-Schulung durch.

8. AI-Guidelines dokumentieren

Erstellen Sie ein internes Dokument, das regelt: Welche KI-Tools sind für welche Zwecke zugelassen? Welche Kundendaten sind tabu? Wer haftet bei Fehlern? Wie prüfen wir KI-Output?

9. Betroffenenrechte sicherstellen

Nutzer müssen Auskunft über gespeicherte Daten verlangen, Korrekturen fordern und Löschungen durchsetzen können (Art. 25–28 DSG). Stellen Sie sicher, dass Ihre KI-Systeme diese Anfragen technisch unterstützen.

10. Regelmässige Audits durchführen

Überprüfen Sie mindestens einmal jährlich: Sind alle KI-Tools im Bearbeitungsverzeichnis? Sind DSFAs aktuell? Sind Datenschutzerklärungen korrekt? Gibt es neue Risiken?

Agenturen, die diese Schritte bereits umgesetzt haben: approppo (Zürich, digitale Strategie + Compliance), Aspectus (Zug, UX/UI + Privacy by Design), buehlerbuehler (Zürich, digitale Transformation + Datenschutz) und Comvation (St. Gallen, CMS + DSG-Beratung).

ISO-Normen als Compliance-Werkzeug

Die SQS (Schweizerische Vereinigung für Qualitäts- und Management-Systeme) empfiehlt, ISO-Normen für KI-Governance zu nutzen:

• ISO/IEC 27001 (Informationssicherheits-Managementsystem): Nicht KI-spezifisch, aber essenziell für Datensicherheit — eine Grundvoraussetzung für DSG-Konformität.
• ISO/IEC 42001 (KI-Managementsystem): Speziell für KI-Systeme entwickelt, deckt Governance, Risikomanagement, Transparenz und ethische Compliance ab.

Für Schweizer Agenturen mit Enterprise-Kunden (Banken, Versicherungen, Pharma) kann eine ISO-Zertifizierung ein Wettbewerbsvorteil sein: Sie signalisiert, dass die Agentur KI-Risiken systematisch managt und nicht improvisiert.

Häufig gestellte Fragen

Quellen & Methodik

Dieser Artikel basiert auf der EDÖB-Mitteilung vom 8. Mai 2025 („Das DSG ist auf KI direkt anwendbar”), Leitlinien von einclick® Zürich (KI DSG-konform einsetzen, 2026), SQS-Analyse zur KI-Regulierung in der Schweiz (2026), Blog-Beiträgen von Vischer Rechtsanwälte und getcasus (Legal Tech), sowie Dokumentation zur Europarats-Konvention über KI (17. Mai 2024, Unterzeichnung Schweiz März 2025). Angaben zu sektorieller Regulierung stammen aus dem Blog unser-recht.ch (Prof. Isabelle Wildhaber/Frédéric Barth, Universität St. Gallen, AJP 2025) und gtai.de (Germany Trade & Invest, Schweiz-Datenschutz-Update Januar 2025). Alle Angaben ohne Gewähr; Stand 12. Mai 2026.

Weiterführende Links:

• EDÖB: Update: Geltendes Datenschutzgesetz ist auf KI direkt anwendbar (8. Mai 2025)
• einclick®: KI DSG-konform einsetzen: Was Schweizer KMU 2026 wirklich beachten müssen
• SQS: KI in der Schweiz: der Regulierungsprozess und die Bedeutung von ISO-Managementsystemen
• unser-recht.ch: KI-Regulierung in der Schweiz — Modernisierungsvorschläge PrHG/PrSG
• Europarats-Konvention: Framework Convention on Artificial Intelligence (17. Mai 2024)