Zum Inhalt springen
EU Cowork AI
Selbst betreiben Jetzt starten
Preise Docs Blog Jetzt starten Selbst betreiben

Verwaltung und Datenschutz

Der Bund zieht eine Linie durch seinen Datenbestand: drei Abläufe, die sie einhalten

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat erfolgreich darauf hingewirkt, dass GEVER-Dossiers, Outlook-Inhalte und sämtliche besonders schützenswerten Personendaten trotz laufender Einführung von Microsoft 365 in den Rechenzentren der Bundesverwaltung bleiben. Dieser Artikel zeigt an drei Abläufen, wie ein KI-Arbeitsplatz unter dieser Bedingung aussieht, und benennt die Anforderung, die unser betreuter Betrieb nicht erfüllt.

Verwaltung und Datenschutz Lesezeit: 12 Minuten

Kurz gesagt

  • Der EDÖB schreibt in seinem 33. Tätigkeitsbericht vom 30. Juni 2026, die Nutzung kommerzieller Sprachmodelle bringe eine mindestens zeitweilige Speicherung in der Cloud des Anbieters und damit „unweigerlich ein Risiko für die Datensicherheit" mit sich. Bundeseigene KI-Systeme nennt er deshalb eine wesentliche Voraussetzung.1
  • Derselbe Bericht hält fest, dass GEVER-Dossiers, Outlook-Inhalte und sämtliche besonders schützenswerten Personendaten trotz laufender Einführung von Microsoft 365 in Rechenzentren der Bundesverwaltung verbleiben und ausschliesslich dort bearbeitet werden.2
  • privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, hält die Auslagerung solcher Daten durch öffentliche Organe in die Dienste grosser internationaler Anbieter in den meisten Fällen für unzulässig und lässt sie nur zu, wenn das verantwortliche Organ selbst verschlüsselt und der Anbieter keinen Zugang zum Schlüssel hat.3
  • Genau diese Bedingung erfüllt unser betreuter Betrieb in Lupfig nicht. Wer sie erfüllen muss, betreibt EU Cowork AI auf dem eigenen Server, und das steht unter Selbst betreiben.

Ausgangslage: was der Bund für sich selbst entschieden hat

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, kurz EDÖB, hat am 30. Juni 2026 seinen 33. Tätigkeitsbericht veröffentlicht. Im Schwerpunkt zur künstlichen Intelligenz steht ein Satz, der in der Berichterstattung fast untergegangen ist. Bundeseigene KI-Systeme seien eine wesentliche Voraussetzung, um die gesetzten Ziele unter Einhaltung von Datenschutz und Informationsschutz zu erreichen, weil sie gewährleisten, dass Prompts und die darin enthaltenen Daten lokal bearbeitet und nur den befugten Organisationseinheiten zugänglich gemacht werden. Demgegenüber bringe die Nutzung von kommerziellen Sprachmodellen „eine mindestens zeitweilige Speicherung auf der Cloud des Anbieters und damit unweigerlich ein Risiko für die Datensicherheit mit sich".1

Der zweite Fund steht ein paar Seiten davor und ist konkreter. Der EDÖB hat im Berichtsjahr erfolgreich darauf hingewirkt, dass Dossiers und Daten aus der elektronischen Geschäftsverwaltung des Bundes, kurz GEVER, dazu die Inhalte von Outlook-Postfächern und generell sämtliche besonders schützenswerten Personendaten und Persönlichkeitsprofile in Rechenzentren der Bundesverwaltung verbleiben und ausschliesslich dort bearbeitet werden, also beim Bund und nicht in der Cloud.2 Das Projekt Cloud Enabling Büroautomation läuft weiter, die Einführung von Microsoft 365 ist beschlossen und begonnen. Der Bestand, um den es hier geht, ist davon ausgenommen. Der Bund hat also nicht gegen die Cloud entschieden, sondern eine Linie durch seinen eigenen Datenbestand gezogen.

Die Kantone gehen in dieselbe Richtung, nur schärfer. privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, hat am 18. November 2025 in Bern eine Resolution verabschiedet. Darin hält sie die Auslagerung von besonders schützenswerten oder einer gesetzlichen Geheimhaltungspflicht unterstehenden Personendaten in Software-Dienste grosser internationaler Anbieter durch öffentliche Organe in den meisten Fällen für unzulässig, namentlich in Microsoft 365. Als Fazit nennt die Resolution eine einzige Bedingung, unter der es doch geht: Die Daten müssen vom verantwortlichen Organ selbst verschlüsselt werden, und der Cloud-Anbieter darf keinen Zugang zum Schlüssel haben.3

Dahinter steht keine Technikfeindlichkeit. Bei der Aufsichtsbehörde steigen die Fallzahlen: Im selben Berichtsjahr gingen beim EDÖB 2'477 Anzeigen ein, mehr als doppelt so viele wie im Vorjahr mit 1'053, dazu 484 gemeldete Datensicherheitsverletzungen gegenüber 363.4 Diese Zahlen sagen etwas über die Belastung der Aufsicht und nichts über Grossprojekte. Für die Erfahrung mit Grossvorhaben steht ein anderer Befund: Die Eidgenössische Finanzkontrolle hat am 8. Juli 2026 einen Synthesebericht aus 24 Prüfungen zu IT-Schlüsselprojekten des Bundes vorgelegt, mit einem Investitionsvolumen von drei bis fünf Milliarden Franken, und stellt darin fest, dass die Gesamtplanung unvollständig bleibt und die Ausrichtung auf Wirkung und Nutzen fehlt, wie schon zehn Jahre zuvor.5 Wer in diesem Umfeld ein KI-Vorhaben startet, wird zuerst gefragt, wo die Daten liegen, und erst danach, was das Modell kann.

  1. Der Bestand liegt in Ihren Rechenzentren oder auf Ihrem eigenen Server
  2. Zur einzelnen Anfrage geht nur der Ausschnitt, den sie braucht
  3. Antwort mit Fundstelle, Eintrag im Protokoll
  4. Der Bestand verlässt den kontrollierten Bereich nicht; die einzelne Anfrage geht ans Modell
Die Trennlinie verläuft nicht zwischen Cloud und Server, sondern zwischen dem Bestand und der einzelnen Anfrage.

Wer betroffen ist, und was es auslöst

Die Frage nach dem Ort stellt sich nicht nur beim Bund. Nach der harmonisierten Erhebung von Eurostat setzten 2025 in der EU 19,95 % der Unternehmen ab zehn Beschäftigten künstliche Intelligenz ein, in Deutschland 25,97 %, in Österreich 29,95 %.6 Für die Schweiz steht in dieser Tabelle nichts, und darauf kommen wir im Abschnitt zu den Grenzen zurück. Wer im Umfeld der öffentlichen Hand arbeitet, merkt die Bewegung ohnehin nicht an Statistiken, sondern an Fragebogen.

Denn die Position des EDÖB und die Resolution von privatim wirken über die Verwaltung hinaus. Sie stehen in Ausschreibungsunterlagen, in Auftragsverarbeitungsverträgen und in den Sicherheitsfragebogen, die Lieferanten ausfüllen müssen. Ein Treuhandbüro, das für eine Gemeinde arbeitet, bekommt sie vorgelegt. Ein Softwarehaus, das eine Fachanwendung für ein Spital betreibt, ebenfalls. Die Anforderung wandert die Lieferkette hinunter, lange bevor sie in einem Gesetz steht.

Fünf Gruppen fragen heute danach, und sie fragen aus unterschiedlichen Gründen. Die Tabelle ordnet, was den Bedarf jeweils auslöst und was ein KI-Arbeitsplatz dort beitragen kann. Sie ordnet nicht, was rechtlich zulässig ist; das entscheidet sich im Einzelfall und nach dem jeweils anwendbaren Datenschutzrecht.

Wer fragt Was den Bedarf auslöst Was EU Cowork AI dort beiträgt
Bundesverwaltung und Bundesämter GEVER-Dossiers, Outlook-Inhalte und besonders schützenswerte Personendaten bleiben nach der Intervention des EDÖB in Rechenzentren der Bundesverwaltung Betrieb auf eigener Infrastruktur unter MIT-Lizenz, ohne Rückkanal zum Anbieter, Telemetrie standardmässig ausgeschaltet
Kantone und Gemeinden Die Resolution von privatim verlangt für besonders schützenswerte Daten Verschlüsselung durch das Organ selbst, ohne Zugang des Anbieters zum Schlüssel Selbstbetrieb auf dem eigenen Server, damit Bestand und Schlüssel in derselben Hand bleiben
Spitäler, Schulen und Sozialversicherungen Patienten-, Schüler- und Versichertendaten sind besonders schützenswert, dazu kommen Amts- und Berufsgeheimnis Wissensbasen aus eigenen Unterlagen mit Fundstellenangabe, Rechte in der Reihenfolge Nutzer, Rolle, Gruppe, Voreinstellung des Servers
Lieferanten und Beauftragte der öffentlichen Hand Sicherheitsfragebogen und Ausschreibungen übernehmen die Anforderungen der Auftraggeber, oft wörtlich Auftragsverarbeitungsvertrag und Subprozessorenliste zum Vorlegen, Audit-Log zum Exportieren, Angaben zur Governance
Kanzlei, Treuhand und Praxis mit öffentlichen Mandaten Berufsgeheimnis nach Artikel 321 StGB, bei Treuhandmandaten das vertragliche Geheimnis, dazu die Vorgaben der auftraggebenden Stelle Anbindung an Fachanwendungen über MCP mit Rechten pro Werkzeug und einem Protokolleintrag je Aufruf

Was diese fünf Gruppen verbindet, ist nicht die Rechtsform, sondern die Beweislast. Sie müssen nicht nur dafür sorgen, dass Daten am richtigen Ort bleiben, sondern das später auch zeigen können, gegenüber jemand anderem und ohne den Vorgang neu aufzurollen. Ein Werkzeug, das versichert, es sei sicher, hilft dabei nicht. Ein Werkzeug, das protokolliert, was es getan hat, und angibt, woher eine Aussage stammt, hilft. Dieser Artikel ersetzt keine Rechtsberatung.

Anwendungsfall 1: Akten und Protokolle erschliessen, ohne dass der Bestand die Schweiz verlässt

Eine Abteilung hat zwanzig Jahre Protokolle, Weisungen und Vorstösse abgelegt, sauber nach Registraturplan und trotzdem nicht auffindbar. Die Frage lautet selten, was in einem einzelnen Dokument steht. Sie lautet, wann eine Regelung zuletzt geändert wurde und mit welcher Begründung. Sie legen den Bestand in eine Wissensbasis, also in einen Ablageort für eigene Unterlagen, aus dem der KI-Kollege zu jeder Frage nur die passenden Ausschnitte holt. Zurück kommt eine Antwort mit der Angabe, aus welchem Dokument und welcher Stelle sie stammt.

Entscheidend ist, wo dieser Ablageort steht. Er liegt auf der Instanz, also auf der Installation, die für Ihre Organisation betrieben wird. Im Selbstbetrieb steht sie bei Ihnen, im betreuten Betrieb bei uns in Lupfig, in den ISO-27001-zertifizierten Rechenzentren von Green, wobei die Zertifizierung die Rechenzentren betrifft und nicht uns; dann liegt der Bestand ausserhalb Ihrer Verwaltung. Zur Beantwortung einer einzelnen Frage geht nur der Ausschnitt hinaus, den diese Frage braucht, und er geht an das Modell; welches Modell das im betreuten Betrieb ist, steht weiter unten unter Grenzen. Der Bestand wandert nicht mit, und mit Ihren Inhalten wird kein Modell trainiert. Was das technisch heisst, steht unter Sicherheit.

  1. Protokolle, Weisungen und Vorstösse in der Wissensbasis
  2. Zur Frage geht nur der passende Ausschnitt
  3. Antwort mit Dokument und Fundstelle, Eintrag im Protokoll
Aus einem Archiv wird ein Nachschlagewerk. Die Würdigung bleibt bei der Sachbearbeitung.

Die Grenze gehört an denselben Ort wie der Nutzen. Eine Fundstelle beweist nicht, dass die Antwort stimmt. Sie macht prüfbar, worauf sich die Antwort stützt, und das ist etwas anderes. Ein Sprachmodell kann eine Stelle falsch zuordnen oder eine aufgehobene Fassung für die geltende halten, und es tut das umso eher, je grösser der Bestand wird. Wer eine Auskunft weitergibt, öffnet die genannte Stelle.

Anwendungsfall 2: die Auskunft aus dem eigenen Bestand, mit Fundstelle

Am Schalter und am Telefon kommen dieselben Fragen immer wieder. Welche Beilagen braucht ein Gesuch, welche Frist gilt, was kostet eine Bewilligung, wer ist zuständig. Die Antworten stehen in Reglementen, Merkblättern und Gebührenverordnungen, verteilt über mehrere Ablagen und nicht überall auf demselben Stand. Der KI-Kollege beantwortet die Frage aus diesem Bestand und nennt zu jeder Aussage das Dokument, den Abschnitt und den Stand.

Der Nutzen liegt weniger in der Geschwindigkeit als in der Nachvollziehbarkeit. Wer eine Auskunft erteilt, muss sie im Zweifel belegen können, und zwar später und gegenüber jemand anderem. Deshalb ist der Fundstellennachweis hier keine Zugabe, sondern der eigentliche Zweck. Personendaten der anfragenden Person braucht es dafür nicht. Die Frage lässt sich sachlich stellen, und was nicht hineingegeben wird, kann auch nicht hinausgehen.

  1. Reglemente, Merkblätter und Gebührenverordnungen im Bestand
  2. Die Frage sachlich gestellt, ohne Personendaten der anfragenden Person
  3. Antwort mit Dokument, Abschnitt und Stand
Die Auskunft bleibt eine Auskunft von Menschen. Nachprüfbar wird, worauf sie sich stützt.

Und die Grenze, die wir hier ausdrücklich ziehen: Das ist kein Chatbot für die Website, und wir empfehlen ihn auch nicht als solchen. Ein System, das nach aussen unmittelbar antwortet, verlagert das Risiko dorthin, wo niemand mehr gegenliest. Sinnvoll ist der umgekehrte Weg. Die Auskunft entsteht im Innern, ein Mensch prüft sie, ein Mensch gibt sie heraus. Rechtsverbindliche Verfügungen entstehen so ohnehin nicht.

Anwendungsfall 3: der Vorgang über mehrere Fachanwendungen

Ein Gesuch geht ein, und die Antwort steckt in drei Systemen. Die Person im Einwohnerregister, das Grundstück im Geoinformationssystem, der bisherige Schriftverkehr in der Geschäftsverwaltung. Heute klickt sich jemand durch alle drei und schreibt das Ergebnis von Hand zusammen. Der KI-Kollege kann diese Schritte übernehmen, sofern die Systeme angebunden sind. Er plant die Reihenfolge, ruft die freigegebenen Werkzeuge nacheinander auf, prüft jedes Zwischenergebnis und legt am Ende einen Entwurf zur Freigabe vor.

Die Anbindung läuft über MCP, das Model Context Protocol, einen offenen Standard, über den ein KI-System Fremdsysteme ansprechen kann. Eine solche Verbindung zu einem einzelnen System heisst Konnektor und wird einzeln freigegeben. Rechte gelten pro Werkzeug und in der Reihenfolge Nutzer, Rolle, Gruppe, Voreinstellung des Servers. Schreibende Zugriffe sind gesondert freizugeben. Jeder Aufruf steht im Audit-Log, also im Protokoll, das festhält, wer wann welches Werkzeug benutzt hat, und das Sie exportieren können. Welche Software sich heute anbinden lässt, steht auf der Seite Integrationen.

  1. Das Gesuch, so wie es hereinkommt
  2. Aufrufe in Register, Geoinformation und Geschäftsverwaltung, jeder einzeln freigegeben
  3. Entwurf zur Freigabe, jeder Aufruf im Protokoll
Rechte gelten pro Werkzeug. Was nicht freigegeben ist, wird nicht aufgerufen.

Auch hier die Grenze, und sie ist grundsätzlich. Das System stellt keine menschliche Aufsicht her, es macht sie nachweisbar. Wer den Entwurf freigibt, entscheidet, und daran ändert kein Protokoll etwas. Ein Protokoll ist ausserdem kein KI-Inventar. Es zeigt, was über diesen Zugang gelaufen ist, und nicht, was in Ihrer Organisation sonst noch an KI im Einsatz ist.

Grenzen: wo wir die Anforderung nicht erfüllen

Jetzt der Teil, den ein Anbieter besser selbst sagt, und wir beginnen mit der Einschränkung, die schwerer wiegt. Was zur einzelnen Anfrage hinausgeht, geht im betreuten Betrieb an ein kommerzielles Sprachmodell, für die Modelle von Anthropic über Amazon Bedrock im europäischen Inferenzprofil; wie dieser Weg im Einzelnen verläuft, steht im Artikel zu den Anthropic-Modellen über Amazon Bedrock. Amazon ist einer der Anbieter, die privatim in ihrer Resolution nennt, und AWS ist ein US-Unternehmen, womit der CLOUD Act greift. Der Satz des EDÖB zu kommerziellen Sprachmodellen trifft insoweit auch uns. Wer das ausschliessen muss, betreibt Modell und Instanz selbst. Die zweite Einschränkung betrifft den Schlüssel. Die Resolution von privatim nennt genau eine Bedingung, und sie ist eng. Die Daten müssen vom verantwortlichen Organ selbst verschlüsselt werden, und der Anbieter darf keinen Zugang zum Schlüssel haben.3 Unser betreuter Betrieb in Lupfig erfüllt das nicht. Wir betreiben die Instanz, und wir können im Störungsfall weisungsgebunden darauf zugreifen. Ein Rechenzentrum in der Schweiz ändert daran nichts, denn die Bedingung fragt nicht nach dem Ort, sondern danach, wer den Schlüssel hat. Wer sie erfüllen muss, kommt bei uns nur über den Selbstbetrieb auf dem eigenen Server dorthin. Das GitHub-Repository unter MIT-Lizenz folgt demnächst; bis dahin steht die Installationsanleitung bereit. Dazu ein Punkt in eigener Sache, der für Bundesämter und Kantone wesentlich ist: EU Cowork AI ist produktiv einsetzbar, die Zugänge zur betreuten Instanz vergeben wir wegen der hohen Nachfrage gestaffelt.

Ebenso ehrlich ist die Gegenrichtung, auch wenn sie uns hier nützt. Die Resolution richtet sich an öffentliche Organe, nicht an private Unternehmen. Sie ist eine gemeinsame Position der Datenschutzaufsichtsbehörden und keine Rechtsnorm; ein Gericht ist an sie nicht gebunden, und wer sie als Verbot zitiert, überzeichnet. Sie wird nicht einmal von allen mitgetragen: Der Kanton Glarus hat von der Möglichkeit zum Opting-out nach Artikel 18.2 der Statuten Gebrauch gemacht.3 Wer sie umgekehrt ignoriert, unterschätzt, wie stark solche Positionen in Ausschreibungen und Fragebogen weiterwirken. Was in Ihrem Fall gilt, richtet sich nach dem anwendbaren kantonalen oder eidgenössischen Recht. Dieser Artikel ersetzt keine Rechtsberatung.

  1. Betreuter Betrieb in Lupfig: wir betreiben die Instanz und verwalten die Schlüssel
  2. Selbstbetrieb: Bestand und Schlüssel bleiben bei Ihnen
  3. Für besonders schützenswerte Daten in den Diensten grosser internationaler Anbieter verlangt privatim den zweiten Weg
  4. Der Serverstandort allein beantwortet diese Frage nicht
Die Bedingung fragt nicht, wo die Daten liegen, sondern wer den Schlüssel hat.

Auch beim EDÖB gehört das Kleingedruckte dazu. Er schreibt von bundeseigenen KI-Systemen, also von Systemen des Bundes für den Bund, und er begleitet dazu die Vorbereitungen der Bundeskanzlei und des Bundesamts für Informatik und Telekommunikation. Er schreibt nicht von Anbietern wie uns, und wir lesen seine Aussage auch nicht als Empfehlung für uns. Brauchbar ist etwas Engeres: der Massstab, den er anlegt. Anfragen werden lokal bearbeitet, und Zugang haben nur die befugten Organisationseinheiten.1 An diesem Massstab kann sich messen lassen, wer will, und im Selbstbetrieb mit einem eigenen Modell ist er erreichbar.

Der vierte Punkt schwächt unser eigenes Marktargument, und er gehört trotzdem hierher. Über den KI-Einsatz in Schweizer Unternehmen gibt es keine amtliche Zahl. In der harmonisierten Erhebung von Eurostat, die für 2025 Werte für die EU insgesamt, für jeden Mitgliedstaat sowie für Norwegen, die Türkei und mehrere Beitrittskandidaten ausweist, fehlt die Schweiz vollständig.6 Was für die Schweiz kursiert, etwa eine Nutzungsquote von 57 %, stammt aus Befragungen im Auftrag von Anbietern, im genannten Fall von Amazon Web Services, und die Stichprobengrösse wird in der Berichterstattung nicht einheitlich angegeben.7 Solche Anbieterstudien sind nicht wertlos, aber sie ersetzen keine amtliche Statistik, und wir führen sie hier nur, um die Lücke zu benennen. Belastbar ist daneben die österreichische Erhebung: 30 % der Unternehmen ab zehn Beschäftigten setzen KI ein, und von den Unternehmen ohne KI-Einsatz haben 77 % eine Nutzung gar nie in Erwägung gezogen.8 Das Hindernis ist dort also nicht Ablehnung, sondern Nichtbefassung.

Zuletzt Österreich, weil dort gerade zwei Dinge gleichzeitig laufen. Das Netz- und Informationssystemsicherheitsgesetz 2026 tritt am 1. Oktober 2026 in Kraft. Betroffene Einrichtungen müssen sich ab diesem Tag und spätestens bis zum 31. Dezember 2026 registrieren, und es geht um rund 4'000 Unternehmen aus 18 Sektoren statt wie bisher um rund hundert Betreiber kritischer Infrastruktur.9 Gleichzeitig stand eine förmliche Benennung nach Artikel 70 des europäischen KI-Rechtsakts bis Juni 2026 aus, obwohl die Frist dafür der 2. August 2025 war; vorbereitend besteht seit 2024 die KI-Servicestelle bei der RTR. Eine parlamentarische Anfrage stellt dazu fünfzehn Fragen,10 und die Beantwortung vom 2. Juni 2026 verweist lediglich auf die fehlende Zuständigkeit des befragten Ressorts.11 Für Unternehmen heisst das: Die Cybersicherheitspflichten kommen mit Datum, die KI-Aufsicht kommt ohne. Wer planen muss, plant nach dem Kalender, den es gibt. Auch dieser Abschnitt ersetzt keine Rechtsberatung.

Häufige Fragen zu Cloud, Bundesdaten und KI in der Verwaltung

Dürfen Behörden Microsoft 365 für besonders schützenswerte Personendaten nutzen?

privatim hält das in den meisten Fällen für unzulässig und lässt es nur zu, wenn das verantwortliche Organ die Daten selbst verschlüsselt und der Anbieter keinen Zugang zum Schlüssel hat. Diese Resolution ist eine gemeinsame Position der Datenschutzaufsichtsbehörden und keine Rechtsnorm, und der Kanton Glarus trägt sie nicht mit. Massgeblich sind am Ende das anwendbare Datenschutzrecht und die Beurteilung im Einzelfall. Dieser Abschnitt ersetzt keine Rechtsberatung.

Was genau bleibt beim Bund on-premise?

Nach dem 33. Tätigkeitsbericht des EDÖB verbleiben Dossiers und Daten aus der elektronischen Geschäftsverwaltung GEVER, die Inhalte von Outlook-Postfächern und generell sämtliche besonders schützenswerten Personendaten und Persönlichkeitsprofile in Rechenzentren der Bundesverwaltung und werden ausschliesslich dort bearbeitet. On-premise heisst dabei: auf eigener Infrastruktur, nicht bei einem Cloud-Anbieter. Die Einführung von Microsoft 365 in der Bundesverwaltung läuft davon unabhängig weiter. Der Bund hat also nicht die Cloud abgelehnt, sondern einen Teil seines Bestands davon ausgenommen.

Erfüllt EU Cowork AI die Anforderung der privatim-Resolution?

Im Selbstbetrieb auf Ihrem eigenen Server ja, weil Bestand und Schlüssel dort bleiben und wir keinen Zugang haben. Im betreuten Betrieb in Lupfig nein, weil wir die Instanz betreiben und die Schlüssel verwalten. Das sagen wir lieber deutlich, als es offen zu lassen. Welcher Weg passt, hängt davon ab, ob Sie im Vollzug besonders schützenswerte Personendaten bearbeiten oder nicht.

Reicht ein Schweizer Rechenzentrum nicht aus?

Für viele Anwendungen ja, für den von privatim beschriebenen Fall nicht. Die Bedingung in der Resolution knüpft nicht am Standort an, sondern an der Verfügungsmacht über den Schlüssel. Ein Standort in der Schweiz verkleinert das Risiko und beantwortet die gestellte Frage trotzdem nicht. Wer sie beantworten muss, kommt am Selbstbetrieb nicht vorbei.

Was kostet der Selbstbetrieb?

Das GitHub-Repository unter MIT-Lizenz folgt demnächst, und der Selbstbetrieb ist kostenlos. Sie tragen die eigene Infrastruktur und den Betriebsaufwand, und Sie hinterlegen selbst, welche Modelle erreichbar sein sollen, oder betreiben ein eigenes. Der betreute Betrieb kostet 14 CHF pro Person und Monat, ausserhalb der Schweiz 15 €, davon 7.50 CHF beziehungsweise 8 € als Modellguthaben im gemeinsamen Pool Ihrer Organisation. Alle Angaben stehen auf der Seite Preise.

Trainieren unsere Daten die Modelle?

Nein. Kundendaten trainieren keine Modelle, und die Telemetrie ist standardmässig ausgeschaltet. Zum Modell geht der Text der einzelnen Anfrage samt den Ausschnitten, die zur Antwort gehören, während der Bestand auf der Instanz bleibt. Was wir vertraglich zusichern, steht im AVV, und wer in der Kette mitwirkt, steht in der Liste der Subprozessoren.

Wie viele Schweizer Unternehmen nutzen KI?

Darauf gibt es keine amtliche Antwort. Die Schweiz ist in der harmonisierten Eurostat-Erhebung zum KI-Einsatz in Unternehmen nicht enthalten, während dort für 2025 EU-weit 19,95 % ausgewiesen werden.6 Die Zahlen, die für die Schweiz kursieren, stammen aus Befragungen im Auftrag von Anbietern, und wir verwenden sie nur mit dieser Kennzeichnung. Wenn Ihnen jemand eine Schweizer KI-Quote als amtlich verkauft, fragen Sie nach der Erhebungsstelle.

Was ändert sich 2026 für österreichische Unternehmen?

Das Netz- und Informationssystemsicherheitsgesetz 2026 tritt am 1. Oktober 2026 in Kraft, und betroffene Einrichtungen müssen sich bis spätestens 31. Dezember 2026 registrieren; erwartet werden rund 4'000 Unternehmen aus 18 Sektoren.9 Beim europäischen KI-Rechtsakt sieht es anders aus: Eine förmliche Benennung nach Artikel 70 stand bis Juni 2026 aus, obwohl die Frist am 2. August 2025 abgelaufen ist; vorbereitend besteht seit 2024 die KI-Servicestelle bei der RTR. Planen Sie deshalb nach dem Cybersicherheitskalender, der feststeht, und halten Sie die KI-Seite offen. Dieser Abschnitt ersetzt keine Rechtsberatung.

Gehen Sie es an einem eigenen Bestand durch

Bringen Sie einen anonymisierten Aktenauszug, ein Reglement oder einen typischen Vorgang mit, und wir gehen den Ablauf gemeinsam durch, einmal im betreuten Betrieb und einmal im Selbstbetrieb, damit der Unterschied sichtbar wird. Oder Sie tragen sich ein und probieren es selbst aus.

Live-Demo buchen Jetzt starten

Quellen

Alle Zahlen und Zitate in diesem Artikel stammen aus den folgenden Quellen, zuletzt geprüft im September 2026. Wo eine Erhebung im Auftrag eines Anbieters entstanden ist, steht das im Text und in der Quellenangabe. Die Erhebungen beziehen sich auf unterschiedliche Länder und unterschiedliche Grundgesamtheiten; wir haben im Text jeweils angegeben, welche gemeint ist.

  1. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 33. Tätigkeitsbericht 2025/2026, veröffentlicht am 30. Juni 2026, Schwerpunkt Künstliche Intelligenz, Seite 21: „Bundeseigene KI-Systeme sind daher eine wesentliche Voraussetzung ... Demgegenüber bringt die Nutzung von kommerziellen LLM (Copilot, ChatGPT usw.) eine mindestens zeitweilige Speicherung auf der Cloud des Anbieters und damit unweigerlich ein Risiko für die Datensicherheit mit sich.": edoeb.admin.ch
  2. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 33. Tätigkeitsbericht 2025/2026, Seite 18, Abschnitt „M365 und Cloud": Dossiers und Daten aus GEVER, Inhalte von Outlook-Mailboxen und sämtliche besonders schützenswerten Personendaten und Persönlichkeitsprofile verbleiben in Rechenzentren der Bundesverwaltung und werden ausschliesslich dort bearbeitet: edoeb.admin.ch
  3. privatim, Konferenz der schweizerischen Datenschutzbeauftragten, Resolution zur Auslagerung von Datenbearbeitungen in die Cloud, Bern, 18. November 2025, mit dem Vermerk, dass der Kanton Glarus von der Möglichkeit zum Opting-out nach Artikel 18.2 der Statuten Gebrauch gemacht hat: privatim.ch
  4. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 33. Tätigkeitsbericht 2025/2026, Kennzahlen des Berichtsjahrs: 2'477 eingegangene Anzeigen gegenüber 1'053 im Vorjahr sowie 484 gemeldete Datensicherheitsverletzungen gegenüber 363; die Zahl 2'477 steht im Fliesstext des Berichts, die Tabelle 9 desselben Berichts weist 2'447 Anzeigen aus: edoeb.admin.ch
  5. Eidgenössische Finanzkontrolle, Informations- und Kommunikationstechnologie des Bundes, Schlüsselprojekte der Bundesverwaltung, Synthesebericht EFK-26716, Auswertung von 24 Berichten der Jahre 2024 und 2025, Investitionsvolumen der betrachteten Schlüsselprojekte drei bis fünf Milliarden Franken, veröffentlicht am 8. Juli 2026: efk.admin.ch
  6. Eurostat, Use of artificial intelligence in enterprises, Datensatz isoc_eb_ai, Unternehmen ab zehn Beschäftigten, Referenzjahr 2025, Daten im Dezember 2025 entnommen: EU-27 19,95 %, Deutschland 25,97 %, Österreich 29,95 %; für die Schweiz sind in diesem Datensatz keine Werte enthalten: ec.europa.eu
  7. Studie „Das Potenzial von KI in der Schweiz 2026 erschliessen", durchgeführt von Strand Partners im Auftrag von Amazon Web Services, also eine Anbieterstudie; berichtet am 28. August 2026 mit einer Nutzungsquote von 57 % gegenüber 46 % im Vorjahr, wobei die Stichprobengrösse in der Berichterstattung unterschiedlich angegeben wird: moneycab.com
  8. Statistik Austria, Pressemitteilung 14 207-126/26 vom 24. Juni 2026 zur Erhebung über den Einsatz von Informations- und Kommunikationstechnologien in österreichischen Unternehmen ab zehn Beschäftigten: 30 % der Unternehmen setzen KI ein, und 77 % der Unternehmen ohne KI-Nutzung haben eine solche nicht in Erwägung gezogen: statistik.at
  9. Netz- und Informationssystemsicherheitsgesetz 2026, kundgemacht als BGBl. I Nr. 94/2025 am 23. Dezember 2025: 18 Sektoren nach § 2, Inkrafttreten am 1. Oktober 2026 nach § 51, Registrierung innerhalb von drei Monaten danach nach § 29 Absatz 3; die erwartete Zahl von rund 4'000 betroffenen Einrichtungen stammt aus den Gesetzesmaterialien: ris.bka.gv.at
  10. Parlament der Republik Österreich, parlamentarische Anfrage 5638/J der XXVIII. Gesetzgebungsperiode zur Umsetzung des europäischen KI-Rechtsakts, fünfzehn Fragen unter anderem zu Aufsichtsbehörde, Reallabor und Sanktionsbestimmungen: parlament.gv.at
  11. Parlament der Republik Österreich, Anfragebeantwortung 5062/AB der XXVIII. Gesetzgebungsperiode vom 2. Juni 2026: parlament.gv.at