Caroline Danner ist Rechtsanwältin und Inhaberin von ONLAW, einer Boutique-Anwaltskanzlei mit Fokus auf IT-Recht, Datenschutz und KI-Compliance. Sie berät Unternehmen praxisnah und lösungsorientiert zu rechtlichen Fragen an der Schnittstelle von Technologie, Datenschutz und künstlicher Intelligenz. Mit ihr haben wir darüber gesprochen, was Unternehmen beim Einsatz von KI heute wissen und klären müssen.
Caroline, du bist Tech-Anwältin für IT, KI und Datenschutz. Wie bist du dazu gekommen und was fasziniert dich an der Schnittstelle von Recht und Technologie?
Das ist eine gute Frage, denn geplant war das ursprünglich nicht. Als ich vor über 20 Jahren meine erste Stelle als Anwältin suchte, wollte ich in einem Grossunternehmen arbeiten. Glücklicherweise hat das geklappt und zwar in einem IT-Unternehmen. Damals hatte ich keine IT-Erfahrung und verstand ehrlich gesagt nicht einmal genau, was im Stelleninserat zu meinen Aufgaben stand. Meine damaligen Kolleginnen und Kollegen – sowohl aus der Rechtsabteilung als auch aus dem Business – haben mich jedoch sehr gut eingeführt. Dadurch haben mich IT-Themen schnell fasziniert, und bald war klar: Diese Branche möchte ich nicht mehr wechseln.
Mit welchen Fragen kommen Unternehmen aktuell am häufigsten zu dir, wenn es um KI geht?
Es geht vor allem um zwei Themen: Einerseits darum, was in Verträgen oder AGB zu regeln ist, wenn KI für die Leistungserbringung eingesetzt wird. Andererseits fragen Unternehmen, was sie beim internen Einsatz von KI beachten müssen, insbesondere, wie sie die Nutzung von KI durch Mitarbeitende sinnvoll regeln können.
Wo wird KI bei Unternehmen bereits eingesetzt, obwohl rechtlich eigentlich noch ziemlich viel unklar ist?
Ich sehe in meiner Beratung vor allem zwei Kategorien: Zum einen gibt es Unternehmen aus dem Technologiebereich, die KI bereits gezielt einsetzen. Sie verfügen meist über ein vertieftes Verständnis und wissen in vielen Bereichen recht gut, was zulässig und was heikel ist. Hier unterstütze ich vor allem bei konkreten, spezifischen Fragestellungen. Zum anderen betrifft das Thema praktisch alle übrigen Unternehmen. Dort wird heute insbesondere generative KI im Arbeitsalltag genutzt. Solche Unternehmen möchten wissen, was sie dabei beachten müssen. Das untermauert im Übrigen eine aktuelle Studie, dass rund 80% der Schweizer Bevölkerung KI verwendet. Gleichzeitig zeigen aktuelle Zahlen, dass mehr als 50% der KI-Nutzung in Unternehmen sogenannte Schatten-KI ist – also eine nicht autorisierte und nicht überwachte Nutzung von KI-Tools. Aus meiner Erfahrung sind diese Zahlen durchaus realistisch. Viele Unternehmen dürften sich den damit verbundenen Risiken noch nicht bewusst sein.
Wichtig ist jedoch: Die bestehenden Gesetze lassen sich in vielen Bereichen auch auf KI anwenden und vieles lässt sich bereits heute klar regeln.
Du arbeitest mit Unternehmen in der Schweiz und mit Bezug zur EU. Was hat sich in den letzten eins bis zwei Jahren in deiner Beratung am stärksten verändert, seit KI in jedem Unternehmen angekommen ist?
Ganz klar: ich bekomme kaum noch Kundeninstruktionen, vor allem Entwürfe, die nicht KI-generiert oder zumindest KI-unterstützt erstellt wurden.
Viele hören «Datenschutz» und denken sofort «das blockiert uns». Wie siehst du das? Ist es eine Bremse für den KI-Einsatz?
Aus meiner Perspektive nicht unbedingt. Natürlich kann Datenschutz zur Bremse werden, wenn ein Unternehmen jedes beliebige KI-Tool im geschäftlichen Kontext einsetzen möchte. In meinen Datenschutz-Schulungen und -Workshops erlebe ich jedoch oft das Gegenteil: Sobald die Grundsätze verstanden sind, entsteht meist eher Verständnis als Ablehnung. Spätestens wenn sich die Teilnehmenden in die Lage einer betroffenen Person versetzen, wird deutlich, weshalb Datenschutz wichtig ist.
Mitarbeitende laden Kundendaten, interne Dokumente oder vertrauliche Informationen in KI-Tools hoch. Was davon ist tatsächlich problematisch und wo wird aus «mal schnell ausprobieren» ein rechtliches Risiko?
Vorsicht ist immer dann angezeigt, wenn das KI-Tool vom Arbeitgeber nicht freigegeben wurde. In diesem Fall sollten keine Personendaten eingegeben werden. Also keine Informationen, die direkt oder indirekt Rückschlüsse auf eine Person zulassen. Ebenfalls sollten keine Geschäftsgeheimnisse eingegeben werden. Möchte man dies trotzdem tun, müssen zuvor verschiedene rechtliche und organisatorische Aspekte sorgfältig geprüft werden.
Dann kommt noch der EU AI Act dazu. Viele Schweizer Unternehmen denken: «Wir sind in der Schweiz, das betrifft uns nicht.» Stimmt das wirklich? Nein, das stimmt nicht. Der EU AI Act muss auch von Schweizer Unternehmen eingehalten werden, wenn sie z.B. ein KI-System in der EU in Verkehr bringen oder wenn die vom KI-System hervorgebrachten Ausgaben in der EU verwendet werden.
Wann ein Schweizer Unternehmen den AI Act der EU beachten muss, habe ich hier zusammengefasst.
Was ist aktuell deines Erachtens der grösste Denkfehler, den Unternehmen beim Thema KI, Datenschutz und Recht machen?
Abwarten und sich nicht mit den Themen befassen. Denn nur wer sich mit den Themen befasst, kann die konkreten Risiken für das eigene Unternehmen realistisch einschätzen.