Warum Architektur bei sensiblen Daten und KI mehr leistet als Richtlinien

Fragen Sie Anbieter, wie sie sensible Daten rund um das Modell eines Drittanbieters schützen, und Sie hören meist eine Antwort über Abläufe. Es gibt einen Auftragsverarbeitungsvertrag, eine Richtlinie, was Mitarbeitende nicht in ein Chatfenster einfügen sollen, und eine Schulung, an die sich die meisten nicht mehr erinnern.

All das hängt davon ab, dass jemand unter Termindruck an eine Regel denkt, die geschrieben wurde, als der Druck noch kleiner war. Eine Richtlinie kann vergessen werden. Eine architektonische Vorgabe nicht.

Das Muster: anonymisieren vor der Inferenz

Bevor Inhalte ein Modell erreichen, sei es ein Dokument, ein Transkript oder ein strukturierter Datensatz, wird jede echte Identität darin durch einen stabilen Alias ersetzt.¹ Das betrifft Namen, Adressen und Kennungen. Stabil heisst: Derselbe echte Wert wird innerhalb eines Durchlaufs immer auf denselben Alias abgebildet. So erkennt das Modell, dass dieselbe Person dreimal in einem Dokument vorkommt, ohne je zu erfahren, wer sie ist. Es arbeitet ausschliesslich mit pseudonymisierten Inhalten. Erst ganz am Ende werden die Aliasse lokal wieder in echte Werte zurückgeführt, auf Infrastruktur, die nie etwas an das Modell gesendet hat.

Das Vertrauen entsteht durch eine zweite, unabhängige Prüfung. Sie untersucht alles, was die Grenze zum Modell überschreiten soll. Findet sie einen echten Wert, der hätte ersetzt werden müssen, bricht sie den gesamten Durchlauf ab, statt eine Warnung zu protokollieren und weiterzumachen. Eine Prüfung, die auf derselben Logik wie die Ersetzung beruht, teilt deren blinde Flecken. Eine getrennte Prüfung findet die Fehler, die der erste Durchgang nicht sieht, und macht aus «Wir anonymisieren die Daten» eine Aussage, die sich überprüfen lässt.

Warum das eine Compliance-Strategie ist

Das revidierte Bundesgesetz über den Datenschutz ist in der Schweiz seit September 2023 in Kraft. Am 8. Mai 2025 bestätigte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, dass es auch für KI-Systeme gilt, die Personendaten bearbeiten.² Ein KI-System, das Personendaten von Menschen in der Schweiz berührt, untersteht damit bereits einem durchgesetzten Rechtsrahmen, ob es nun als KI-Projekt bezeichnet wurde oder nicht.

Zwei Pflichten aus diesem Rahmen zeigen, was Architektur bewirkt. Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn eine Bearbeitung, auch eine KI-gestützte, ein höheres Risiko für die betroffenen Personen mit sich bringt. Ihr Umfang wird beim Entwurf des Systems festgelegt, nicht danach als Beschreibung des Bestehenden. Bei einem System, das vor der Inferenz anonymisiert, fällt die DSFA kleiner aus als bei einem, das rohe Personendaten an ein Modell eines Drittanbieters sendet und sich auf einen Vertrag verlässt, weil das zu beurteilende Risiko kleiner ist. Die Meldung von Verletzungen der Datensicherheit gilt mit denselben Fristen und Schwellen wie für jede andere Verletzung unter dem Gesetz. Die Verletzung eines pseudonymisierten Datensatzes, der nie echte identifizierende Werte enthielt, ist ein anderes Ereignis als die Verletzung eines Datensatzes, der sie enthielt.²

Architektur macht das Compliance-Gespräch nicht überflüssig, und die Pflichten bleiben. Sie verengt aber die Frage, die Ihre DSFA beantworten muss.

Was weiterhin gilt

Sie brauchen weiterhin eine DSFA, einen Plan für den Umgang mit Verletzungen und eine Einschätzung, was in Ihrem Anwendungsfall als Personendaten gilt. Dieser Beitrag ist keine Rechtsberatung zu Ihren Pflichten. Die Architektur verändert die Frage, die diese Pflichten stellen. Aus «Können wir darauf vertrauen, dass alle nachgelagerten Stellen rohe Personendaten dauerhaft korrekt behandeln?» wird «Hat die unabhängige Prüfinstanz je einen echten Wert durchgelassen?» Ein System lässt sich so bauen, dass es die zweite Frage beantworten kann.

Wie das mit der Wahl des Hostings und unserer Praxis bei der DSFA zusammenhängt, lesen Sie unter So gehen wir mit Ihren Daten um. Das weitere regulatorische Umfeld beschreibt KI-Regulierung in der Schweiz.

Footnotes

1. Der vollständige interne Aufbau, auf dem dieser Beitrag beruht: Anonymisieren vor der Inferenz. ↩

2. EDÖB, «Update - Current data protection legislation is directly applicable to AI», 8. Mai 2025. Schweiz-spezifisch. https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. DSG in Kraft seit 1. September 2023; Art. 22 (Pflicht zur DSFA) und Art. 24 (Meldung von Verletzungen der Datensicherheit). Offizieller Text: https://www.fedlex.admin.ch/eli/cc/2022/491/de ↩ ↩²