DatenTrainings-, Kontext- und Eingabedaten schützen.

Sieben Stationen,
sieben Risiken.

Erst klären,
dann verwenden.

Nach DSGVO braucht jede Verarbeitung von Personendaten eine Rechtsgrundlage, auch jeder Schritt mit einer KI-Anwendung (DSK-Orientierungshilfe KI und Datenschutz, 06.05.2024, Ziff. 1.5). Das gilt für Trainingsdaten ebenso wie für Referenzdokumente in der Vektordatenbank (DSK-Orientierungshilfe zu RAG, Oktober 2025, Ziff. 3.6). Das revDSG kennt für private Verantwortliche keinen Erlaubnisvorbehalt: Massgebend sind die Grundsätze nach Art. 6 und, bei einer Persönlichkeitsverletzung, ein Rechtfertigungsgrund nach Art. 31; Bundesorgane brauchen eine gesetzliche Grundlage (Art. 34).

Bei öffentlich zugänglichen Daten reicht eine Rechtsgrundlage für das Training allein nicht. Die DSK-Orientierungshilfe zu technischen und organisatorischen Massnahmen (Juni 2025, Ziff. 2.1) nennt als Voraussetzung zusätzlich, dass der Datensatz nicht offensichtlich rechtswidrig entstanden ist, etwa durch eine Datenpanne, und verweist dazu auf die Stellungnahme 28/2024 des Europäischen Datenschutzausschusses. Als Dokumentation empfiehlt sie «Datasheets for datasets».

• Datenblatt je Datensatz: Inhalt, Quelle mit Version und Datum, Erhebungskontext, ursprünglicher Zweck, Rechtsgrundlage.
• Prüffrage Personenbezug: Lässt sich das Ziel mit synthetischen oder anonymisierten Daten erreichen? Nicht benötigter Personenbezug wird spätestens bei der Aufbereitung entfernt.

Rechte müssen
mitwandern.

Ein Sprachmodell kennt keine Zugriffsrechte. Im Modell lässt sich nicht steuern, welcher Nutzer welche Information sehen darf, in der Datenbank davor schon (DSK-Orientierungshilfe zu RAG, Ziff. 3.3). Die Kontrolle muss an jeder Station gelten.

Die letzte Zeile ist eine Folgerung dieser Seite: Was in die Gewichte eingeht, trägt keine Rechte mehr. Membership Inference (NISTAML.033) und Reconstruction (NISTAML.032) beschreibt NIST AI 100-2 E2025 als Privatsphäre-Angriffe, die Trainingsdaten aus dem Modell ableiten. Datenflüsse von Agenten behandelt Agenten und MCP.

Art. 10 und
Art. 4a.

Die Ausnahme ist eng. Nach Art. 4a Abs. 1 müssen alle folgenden Bedingungen erfüllt sein:

• Das Ziel lässt sich mit anderen, auch synthetischen oder anonymisierten Daten nicht wirksam erreichen.
• Technische Beschränkung der Weiterverwendung, modernste Sicherheitsmassnahmen, einschliesslich Pseudonymisierung.
• Strenge, dokumentierte Zugriffskontrolle; Zugang nur für befugte Personen mit Vertraulichkeitspflicht.
• Keine Übermittlung an Dritte und kein Zugang Dritter.
• Löschung, sobald die Verzerrung korrigiert ist oder die Speicherfrist endet.
• Begründung im Verzeichnis der Verarbeitungstätigkeiten, warum die Verarbeitung unbedingt erforderlich war.

Die Bedingungen gelten zusätzlich zur DSGVO. Erwägungsgrund 9 der Verordnung (EU) 2026/1744 bezeichnet Art. 4a als Rechtsgrundlage, die DSGVO-Pflichten bleiben bestehen. Für Schweizer Verantwortliche ausserhalb des AI-Act-Anwendungsbereichs gelten die allgemeinen Regeln des revDSG; Art. 4a hilft ihnen nicht.

Unabhängig von der Risikoeinstufung bietet das BSI mit QUAIDAL einen Entwurf eines Kriterienkatalogs für Trainingsdaten im KI-Lebenszyklus an: zehn Qualitätskriterien, 143 Metriken und Methoden, von der Datenakquise über Bias-Erkennung bis zu Datenschutz und Audit.

Weniger Personenbezug,
gleicher Zweck.

Jede Technik schützt nur gegen bestimmte Angriffe und kostet Genauigkeit oder Aufwand. Restrisiko gehört in die Risikobeurteilung. Werkzeugkategorie: Privacy Enhancing Technologies, Tokenisierung.

Löschen heisst:
auch im Modell.

Wird eine Einwilligung widerrufen (Art. 7 Abs. 3 DSGVO) und fehlt eine andere Rechtsgrundlage, besteht ein Löschanspruch (Art. 17 Abs. 1 Bst. b DSGVO). Das revDSG sieht Vernichtung oder Anonymisierung vor, sobald Daten nicht mehr erforderlich sind (Art. 6 Abs. 4), und die Klage auf Löschung (Art. 32 Abs. 2 Bst. c). Ausnahmen regelt Art. 17 Abs. 3 DSGVO.

Die DSK stellt fest, dass die Umsetzung von Betroffenenrechten in Sprachmodellen weitgehend ungelöst ist (Orientierungshilfe zu RAG, Ziff. 3.7). Daraus folgt eine Entwurfsregel: Personendaten nicht in Gewichte trainieren, wenn eine Wissensbasis genügt. Sie lässt sich aktualisieren und löschen, die Probleme im Sprachmodell selbst bleiben aber bestehen.

Acht Prüfpunkte
vor der Freigabe.

• Datenblatt mit Herkunft, Zweck und Rechtsgrundlage liegt für jeden Datensatz vor.
• Personenbezug ist begründet oder entfernt.
• Rechte der Quelle gelten in Pipeline, Trainingsumgebung und Vektordatenbank.
• Hash und Version sind für Datensätze und Gewichte hinterlegt, Änderungen werden freigegeben.
• Abgeleitete Artefakte tragen die Schutzklasse ihrer Quelle.
• Bei Hochrisiko-KI-Systemen: Daten-Governance nach Art. 10 AI Act dokumentiert; Nutzung von Art. 4a nur mit allen sechs Bedingungen.
• Anbieterverträge schliessen Training auf eigenen Daten aus oder regeln es ausdrücklich (Lieferanten und Modelle).
• Löschkonzept deckt Datensätze, Index, Protokolle, Modell und Sicherungen ab.

Werkzeugkategorien: Data Discovery, Data Classification, DLP, DSPM, Encryption, Key Management. Siehe auch Kontrollkatalog und Lebenszyklus-Kontrollen.