«Datenschutz» als Killerargument: Warum er KI selten wirklich blockiert

«Das geht nicht – Datenschutz.» Dieser Satz ist in Organisationen weit verbreitet, wenn KI-Vorhaben auf den Tisch kommen. Er klingt nach rechtlichem Befund. Meistens ist er Ausdruck von Unsicherheit, fehlender Analyse oder bequemer Entscheidungsvermeidung.

Das Muster: Datenschutz als Gesprächsabschluss

Das Muster ist bekannt: Ein Fachbereich erkennt Nutzen durch KI. Jemand bringt «Datenschutz» ins Spiel. Das Projekt stoppt. Alle sind erleichtert, weil niemand entscheiden muss. Datenschutz wird zur Abkürzung für Unsicherheit.

Dieses Muster ist nicht neu, es existiert seit den ersten Cloud-Diskussionen und seit jeder Digitalisierungswelle der letzten zwanzig Jahre. Was neu ist: KI macht das Muster sichtbarer und dringlicher, weil die Erwartungshaltung an KI-Nutzung gestiegen ist und die Blockaden teurer werden.

Was Datenschutz bei KI tatsächlich fordert

Datenschutz ist kein Verbot. Er ist ein Rahmen, der Gestaltung verlangt. Das DSG stellt nicht die Frage «KI ja oder nein», sondern:

• Welche Personendaten werden bearbeitet?

• Zu welchem Zweck?

• Wer ist verantwortlich?

• Welche Risiken entstehen für Betroffene?

• Welche Massnahmen reduzieren diese Risiken?

Wer diese Fragen beantwortet, verliert das «Killerargument» seine Kraft. Datenschutz wird operativ handhabbar, nicht als Hindernis, sondern als Prüfrahmen, der zum Ergebnis führt.

Warum das Killerargument trotzdem funktioniert

Datenschutz funktioniert als Killerargument, weil er drei legitime Unsicherheiten bündelt, ohne sie zu benennen:

Unklare Datenflüsse

Wenn niemand weiss, welche Daten in ein Tool gelangen, wo sie verarbeitet werden und wer darauf zugreift, ist ein vorläufiger Stopp konsequent. Das Problem ist aber nicht der Datenschutz, es ist die fehlende Analyse. Sobald die Datenflüsse kartiert sind, ist die Blockade meist auflösbar.

Fehlendes Schutzkonzept

Ohne definierte Zonen, was ist erlaubt, was ist verboten, was braucht Freigabe, bleibt nur das pauschale Nein. Wer ein Ampelmodell (Grün / Gelb / Rot) entwickelt, gibt der Organisation eine Grundlage für differenzierte Entscheide statt Totalblockaden.

Vermischung von Datenschutz und anderen Risiken

In der Praxis werden unter «Datenschutz» häufig ganz andere Bedenken versteckt: Reputationsrisiken, Sorge vor Fehlern, Führungsverantwortung, die niemand übernehmen will. Das sind legitime Fragen, aber keine Datenschutzfragen. Wer sie nicht sauber trennt, kann sie nicht lösen.

Das Gegenmodell: Scope, Datenminimierung, Prozess

Datenschutz wird handhabbar mit drei Elementen:

• Erstens ein klarer Scope: Welche Use Cases sind Standard (grün), welche benötigen Freigabe (gelb), welche sind ausgeschlossen (rot)? Diese drei Zonen ersetzen das pauschale Nein durch differenzierte Entscheidungsgrundlagen.

• Zweitens Datenminimierung: Nur die Daten verwenden, die notwendig sind. Personenbezüge entfernen oder abstrahieren, wo das den Use Case nicht beeinträchtigt. Vieles, was als «unmöglich» gilt, wird durch konsequente Datenminimierung möglich.

• Drittens Prozess statt Tool-Fokus: Ein klarer Ablauf – wer gibt Input, was passiert in der KI, wer kontrolliert den Output, wer eskaliert bei Grenzfällen – macht Datenschutz operativ steuerbar. Die grösste Lücke in der Praxis ist nicht das fehlende Recht, sondern der fehlende Prozess.

  
  

Wann das Killerargument berechtigt ist

Es gibt Situationen, in denen Datenschutz tatsächlich blockiert, berechtigt ist. Das ist der Fall, wenn keine tragfähige Rechtmässigkeit besteht, wenn besonders schützenswerte Daten ohne ausreichende Sicherung verarbeitet werden sollen, oder wenn Amts- oder Berufsgeheimnisse mit einem Provider geteilt werden, der nicht als Hilfsperson qualifiziert.

Diese Situationen sind real. Aber sie sind die Ausnahme, nicht die Regel. Die meisten KI-Use-Cases in Kanzleien, Behörden und Rechtsdiensten sind datenschutzrechtlich lösbar, wenn die richtigen Fragen gestellt und alsdann beantwortet werden.

Datenschutz als Enabler, nicht als Gatekeeper

Die angestrebte Haltung, sowohl für Juristen als auch für Entscheidungsträger, ist die des Enablers: Wie können wir diesen Use Case so gestalten, dass er datenschutzkonform ist? Nicht: «Geht nicht.» Sondern: «Wie geht es?»

Das erfordert eine Verschiebung in der Fragestellung. Weg von «Ist KI datenschutzrechtlich zulässig?», hin zu «Unter welchen Bedingungen ist dieser konkrete Use Case zulässig, und wie schaffen wir diese Bedingungen?»

«Datenschutz» als Killerargument ist fast immer ein Symptom für unklare Datenflüsse, fehlende Prozesse oder die Scheu, Entscheidungsverantwortung zu übernehmen. Das eigentliche Problem liegt selten im Recht. 

Selbsttest

Ist klar, welche Personendaten konkret in den Use Case fliessen?	Die häufigste Ursache für das Killerargument ist Unklarheit. Sobald klar ist, welche Daten betroffen sind, lässt sich das Risiko einordnen und die Lösung finden.
Gibt es No-go-Zonen und Freigaberegeln?	Ohne Scope-Definition (Grün / Gelb / Rot) bleibt nur das pauschale Nein. Ein Ampelmodell gibt Mitarbeitenden und Führung eine Entscheidungsgrundlage.
Wer entscheidet bei Grenzfällen?	Datenschutz als Killerargument gedeiht dort, wo niemand Entscheidungsverantwortung trägt. Eine klar benannte Eskalationsinstanz löst dieses Vakuum.

Weiterführende Beratung & Kurse

Sie möchten KI rechtssicher in Ihrer Organisation einführen und nutzen? Dr. David Schneeberger begleitet Kanzleien, Behörden und Rechtsdienste mit Workshops, Strategieberatung und dem Kurs «Rechtssicher mit KI».