Wann liegt bei KI eine automatisierte Einzelentscheidung vor?

Kaum ein Begriff wird im Zusammenhang mit KI so reflexartig verwendet wie die «automatisierte Einzelentscheidung». In Beratungen und Diskussionen taucht er auf, sobald KI irgendwie an einem Entscheidungsprozess beteiligt ist. Das Problem: Wer ihn zu früh bejaht, überreguliert und lähmt die Organisation. Wer ihn zu leichtfertig verneint, übersieht echte Risiken für Betroffene. Die rechtlich korrekte Einordnung ist differenzierter, als die Debatte oft vermuten lässt.

Der rechtliche Ausgangspunkt: Art. 21 DSG

Das Datenschutzgesetz (DSG) regelt automatisierte Einzelentscheidungen in Art. 21. Die Bestimmung knüpft an klare Voraussetzungen: Es muss eine Entscheidung vorliegen, diese Entscheidung muss eine rechtliche Wirkung oder eine vergleichbare erhebliche Beeinträchtigung für die betroffene Person haben, und sie muss ausschliesslich automatisiert erfolgen. Alle drei Voraussetzungen müssen kumulativ erfüllt sein. Die Schwelle ist bewusst hoch angesetzt.

Diese Dreiteiligkeit ist entscheidend. Eine Analyse, eine Empfehlung oder eine Priorisierung durch KI erfüllt die Voraussetzungen von Art. 21 DSG nicht, solange ein Mensch die eigentliche Entscheidung trifft und dabei eine echte Entscheidungsfreiheit hat. Der Begriff «ausschliesslich automatisiert» ist nicht kosmetisch. Er beschreibt eine Konstellation, in der menschliche Mitwirkung faktisch ausgeschieden ist.

Die falsche Gleichung

In der Praxis begegnet man regelmässig folgender Verkürzung: KI analysiert Daten, also liegt eine automatisierte Einzelentscheidung vor. Das ist falsch. Analyse, Empfehlung, Scoring, Vorselektion oder Entscheidungsunterstützung genügen als solche nicht. Entscheidend ist, ob ein Mensch die Entscheidung noch eigenständig und inhaltlich trifft, oder ob er faktisch nur den KI-Output bestätigt, ohne eine eigene Prüfung vorzunehmen.

Dieser Unterschied ist nicht theoretisch. Er hat erhebliche Konsequenzen für die Rechtmässigkeit der Bearbeitung und für die Anforderungen, die an den Prozess gestellt werden. Wer ihn nicht sauber zieht, reguliert entweder zu wenig oder zu viel.

Was keine automatisierte Einzelentscheidung ist

Typische Konstellationen, die nicht unter Art. 21 DSG fallen: KI schlägt eine Antwort oder Massnahme vor, ein Mensch entscheidet. KI priorisiert Fälle, Mitarbeitende bearbeiten diese eigenständig. KI bewertet Risiken, die Entscheidung bleibt beim Fachbereich. KI generiert Texte oder Dokumente, die von einer Person geprüft und freigegeben werden. Solange ein Mensch inhaltlich prüft, die Entscheidung versteht und sie eigenverantwortlich trägt, fehlt das Merkmal der ausschliesslichen Automatisierung.

Keine automatisierte Einzelentscheidung liegt zudem vor, wenn nach Art. 21 Abs. 3 DSG die Entscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und dem Begehren der betroffenen Person entsprochen wird. Ebenso, wenn die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt. Diese Ausnahmen sind relevant für standardisierte Vertragsabschlüsse mit KI-Unterstützung.

Wann die Schwelle überschritten wird

Kritisch wird es dort, wo menschliche Mitwirkung nur noch formal, aber nicht mehr inhaltlich besteht. Das ist der Fall, wenn Entscheidungen automatisch umgesetzt werden, ohne dass ein Mensch die Möglichkeit hatte, abweichend zu entscheiden. Wenn Zeitdruck, technische Gestaltung oder organisatorische Erwartungen faktisch vorgeben, den KI-Output zu bestätigen. Wenn der Entscheidungsprozess so getaktet ist, dass Abweichungen vom KI-Ergebnis nicht vorgesehen sind.

Rechtlich zählt nicht die Organigramm-Logik, sondern die tatsächliche Entscheidungsfreiheit. Eine Organisation kann sagen: «Bei uns entscheidet immer noch ein Mensch.» Bei näherer Betrachtung zeigt sich aber: Zeitdruck, fehlende Alternativen, implizite Erwartungen und eine Systemgestaltung, die Abweichungen nicht vorsieht, höhlen diese Freiheit faktisch aus. In solchen Konstellationen liegt eine automatisierte Einzelentscheidung vor, selbst wenn nominell noch eine Person involviert ist.

Konsequenzen, wenn Art. 21 DSG greift

Liegt eine automatisierte Einzelentscheidung vor, entstehen besondere Pflichten: Die betroffene Person ist darüber zu informieren. Sie hat das Recht, ihren Standpunkt darzulegen. Sie hat einen Anspruch auf menschliche Überprüfung. Bei Bundesorganen gelten erhöhte Anforderungen an Transparenz und Dokumentation. Diese Pflichten sind nicht bürokratisch. Sie setzen an der richtigen Stelle an: dort, wo menschliche Kontrolle faktisch entfallen ist, schaffen sie einen Mindeststandard an Nachvollziehbarkeit und Einflussnahme.

Abgrenzung zur DSGVO und zum AI Act

Die DSGVO kennt in Art. 22 eine sehr ähnliche Regelung. Die Grundstruktur ist dieselbe: automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Die Unterschiede liegen in den Ausnahmen und in den spezifischen Pflichten. Schweizer und europäische Begriffe sind nicht deckungsgleich und sollten nicht vermischt werden.

Der AI Act greift in Art. 86 für Hochrisiko-KI-Systeme: Personen, die von einer Entscheidung betroffen sind, die auf Grundlage eines Hochrisiko-KI-Systems getroffen wurde und rechtliche oder erhebliche Auswirkungen hat, haben das Recht auf eine klare Erläuterung zur Rolle des KI-Systems und zu den wichtigsten Elementen der Entscheidung. Für Schweizer Organisationen mit EU-Bezug bedeutet das: Das DSG bleibt für die Frage der automatisierten Einzelentscheidung massgeblich. Der AI Act kann zusätzliche Transparenz- und Organisationspflichten auslösen, insbesondere bei Hochrisiko-KI. Die Begriffe sind separat zu prüfen.

Praxisrelevanz: Das Risiko liegt im Prozessdesign

In der Praxis liegt das eigentliche Risiko selten im System selbst, sondern im Prozessdesign. Organisationen glauben, die menschliche Entscheidungsebene sei erhalten, weil das Organigramm sie vorsieht. Bei näherem Hinsehen zeigt sich, dass die Entscheidungsfreiheit durch organisatorische Rahmenbedingungen faktisch beseitigt wurde. Diesen Unterschied zu erkennen, ist die eigentliche Governance-Aufgabe.

Die automatisierte Einzelentscheidung ist kein KI-Standardfall, sondern ein Ausnahmefall. Entscheidend ist nicht, ob KI beteiligt ist, sondern ob ein Mensch die Entscheidung noch eigenständig und inhaltlich trifft. Wer das Merkmal überall sieht, reguliert Symptome statt Strukturen.

Selbsttest

Kann eine Person, die den KI-Output erhält, realistisch eine abweichende Entscheidung treffen?	Prüfen: Sieht der Prozess eine Abweichungsmöglichkeit vor? Ist sie technisch ermöglicht? Wird sie organisatorisch toleriert? Eine formale Entscheidungsebene ohne faktische Freiheit genügt nicht.
Gibt es einen vorgesehenen Eskalations- oder Abweichungsprozess, der auch genutzt wird?	Ein Prozess, der auf dem Papier besteht, aber in der Praxis nicht genutzt wird, weil er zu aufwändig oder nicht bekannt ist, erfüllt die Anforderung nicht.
Besteht EU-Bezug, der zusätzliche Anforderungen nach AI Act Art. 86 auslösen könnte?	Nicht vermischen: DSG und AI Act haben unterschiedliche Schwellen und Begriffe. Beide sind separat zu prüfen, wenn EU-Bezug besteht.

Weiterführende Beratung & Kurse

Sie möchten KI rechtssicher in Ihrer Organisation einführen und nutzen? Dr. David Schneeberger begleitet Kanzleien, Behörden und Rechtsdienste mit Workshops, KI-Rechtsberatung und dem Kurs «Rechtssicher mit KI».