Dürfen wir das überhaupt? KI, Personendaten und das Amtsgeheimnis

In Verwaltungen wird die Frage inzwischen anders gestellt als noch vor zwei Jahren. Sie lautet nicht mehr «Dürfen wir KI einsetzen?», sondern «Können wir das selbst betreiben, dann bleiben die Daten im Haus». Der erste Teil dieser Erwartung stimmt. Der zweite ist unvollständig, und der Unterschied kostet in der Praxis Monate.

Ausführlicher stehen Parameterzahlen, Speicherbedarf und Tokens in unserem Grundlagenbeitrag 4B, 70B, 397B-A17B. Für diesen Teil genügen die vier Sätze oben.

Was das Merkblatt des Bundes sagt

Das Kompetenznetzwerk KI der Schweizer Bundesverwaltung hat 2024 ein Merkblatt zur Verwendung generativer KI-Werkzeuge herausgegeben. Die Kernregel lautet:

«Geben Sie niemals persönliche Daten oder sensible Informationen in diese Werkzeuge ein.»

Merkblatt zur Verwendung von generativen KI-Werkzeugen in der Bundesverwaltung, V1.2, 18. Januar 2024

Ausdrücklich genannt sind: keine Eingabe von Informationen der Klassifizierungsstufen intern, vertraulich oder geheim. Keine Eingabe von Texten, die unter das Amtsgeheimnis nach Art. 320 des Schweizerischen Strafgesetzbuchs oder ein Berufsgeheimnis fallen. Und keine Eingabe von Personendaten jeglicher Art, samt Warnung, dass Pseudonymisierung die Re-Identifikation nicht sicher verhindert.

Damit ist ein grosser Teil der eigentlichen Verwaltungsarbeit ausgeschlossen. Ein Sozialdienst, der Fallakten zusammenfassen will, arbeitet mit Daten über Massnahmen der sozialen Hilfe. Das eidgenössische Datenschutzgesetz zählt sie in Art. 5 lit. c Ziff. 6 zu den besonders schützenswerten Personendaten, und die kantonalen Gesetze führen entsprechende Kataloge. Achtung bei der Zuordnung: Ein kommunaler Sozialdienst untersteht dem kantonalen Recht, nicht dem Bundesgesetz. Die Kataloge decken sich weitgehend, aber nicht überall wörtlich. Eine Einwohnerkontrolle, ein Betreibungsamt, eine Steuerverwaltung: überall dasselbe Bild, dazu je eigene Spezialgeheimnisse wie das Steuergeheimnis.

Für welche Werkzeuge gilt das, und für welche nicht?

Das Merkblatt richtet sich an öffentlich zugängliche Werkzeuge. Es ist kein Verbot vertraglich abgesicherter Dienste. Diese Unterscheidung geht in der Diskussion regelmässig unter und führt zu zwei Fehlern zugleich: Manche halten alles für verboten, andere halten alles für erlaubt. Drei Beispiele zur Abgrenzung:

Ein Merkblatt ist kein Gesetz und auch keine Weisung, sondern eine Empfehlung ohne Aussenwirkung. Für Kantone und Gemeinden gilt es nicht. Die eigentliche Begründung dafür, dass Personendaten nicht in ein frei zugängliches Werkzeug gehören, ist deshalb nicht das Merkblatt, sondern die fehlende Rechtsgrundlage, die Bekanntgabe ins Ausland und das Amtsgeheimnis. Für Ihre Stelle einschlägig ist das Material Ihrer kantonalen Datenschutzstelle. Wir zitieren es, weil es die Praxis des Bundes gut zusammenfasst und weil die dahinterliegenden Normen überall gelten. Die Fassung ist vom Januar 2024, prüfen Sie vor einer Berufung darauf, ob inzwischen eine neuere vorliegt.

Warum offene KI-Modelle hier eine Chance sind

1. Sie dürfen Daten verarbeiten, die sonst draussen bleiben müssen

2. Sie wählen den Ort, und zwar wirklich

Bei einem gehosteten Dienst wählen Sie eine Region aus einer Liste. Beim Eigenbetrieb wählen Sie den Raum. Das klingt nach einem graduellen Unterschied und ist rechtlich ein prinzipieller: Art. 16 des Datenschutzgesetzes verlangt für die Bekanntgabe ins Ausland ein angemessenes Schutzniveau oder geeignete Garantien. Findet keine Bekanntgabe statt, entfällt die ganze Prüfung.

Der Schweizer Bund selbst beurteilt die Cloud-Nutzung weniger streng, als viele annehmen. Ein Bericht der Bundeskanzlei vom März 2025 kommt zum Schluss, der Cloud-Anbieter sei nicht unberechtigter Dritter, sondern Hilfsperson im Sinne von Art. 320 des Strafgesetzbuchs, und die Auslagerung stelle keine Amtsgeheimnisverletzung dar, sofern die Vorgaben der Digitalisierungsverordnung des Bundes eingehalten werden. Die Datenschutzbeauftragte des Kantons Zürich beurteilt das Risiko von US-Anbietern deutlich kritischer, weil der amerikanische CLOUD Act den dortigen Behörden Zugriff auch auf Daten in europäischen Rechenzentren eröffnen kann.

3. Kein Modell wird Ihnen unter den Füssen weggezogen

Wer die Modelldateien heruntergeladen hat, behält sie. Bei einem gehosteten Modell entscheidet der Anbieter, wann eine Version abgeschaltet wird. Für eine Fachanwendung, die auf ein bestimmtes Verhalten abgestimmt und getestet wurde, bedeutet das eine erneute Abnahme, und den Zeitpunkt bestimmen Sie nicht.

4. Sie können nachlesen, womit das Modell gelernt hat

Bei den meisten Modellen wissen Sie das nicht. Bei Apertus, entwickelt an der ETH Zürich, an der EPFL und am Schweizerischen Hochleistungsrechenzentrum CSCS in Lugano, wissen Sie es.

Dass es überhaupt etwas zu vergleichen gibt, liegt am EU AI Act. Er verpflichtet Anbieter von Allzweckmodellen, öffentlich zusammenzufassen, womit sie trainiert haben. In der Schweiz gilt diese Pflicht nicht. Für Anbieter mit Geschäft in der EU schon. Deshalb gibt es diese Dokumente, und Sie können sie lesen.

Das AI Accountability Lab am Trinity College Dublin in Irland hat 39 solche Zusammenfassungen bewertet, erschienen an der Konferenz FAccT 2026. Apertus 70B erhielt die Note A für Transparenz und A+ für Nützlichkeit, die beste aller bewerteten Zusammenfassungen. OpenAI, Google, Anthropic, Meta und Mistral liegen im C- und D-Bereich. Bei 20 weiteren untersuchten Modellen fehlte eine Zusammenfassung ganz, sie sind in den 39 nicht enthalten.

Wichtig für die Einordnung: Bewertet wurde die Qualität der veröffentlichten Zusammenfassung, nicht die Qualität des Modells. Wie gut Apertus tatsächlich arbeitet, steht in Teil 2, und die Antwort dort ist unbequemer.

5. Sie dürfen das Modell verändern

Ein offenes Modell lässt sich auf Ihre Sprache und Ihre Fälle abstimmen. In der Fachsprache heisst das Feinabstimmung: Man zeigt dem Modell einige hundert bis einige tausend Beispiele aus dem eigenen Haus, und es übernimmt Tonfall, Begriffe und Struktur. Das ist ein Projekt für Fachleute, kein Knopfdruck.

Der Kanton Tessin hat das gemacht. Das Centro sistemi informativi im Finanz- und Wirtschaftsdepartement betreibt ein Übersetzungswerkzeug auf einem feinabgestimmten Apertus 8B, im eigenen Rechenzentrum, für Italienisch, Deutsch, Französisch, Spanisch, Rumänisch und Ukrainisch. Die Zahlen der beteiligten Tessiner Firma Artificialy: Das unveränderte Apertus 8B erreichte 90 Prozent, das grössere Apertus 70B 92 Prozent, das feinabgestimmte kleine Modell 94 Prozent.

Was die Prozentzahlen genau messen, ist nicht offengelegt. Es handelt sich um Herstellerangaben auf einem eigenen Übersetzungsvergleich, Stand März 2026 mit rund 100 Testpersonen. Ob daraus ein Produktivbetrieb geworden ist, konnten wir nicht belegen. Der Fall zeigt, dass es geht. Als Leistungsnachweis taugt er nur bedingt.

Was für regulierte Branchen dazukommt

Spitäler, Arztpraxen, Anwaltskanzleien, Banken und Versicherungen stehen vor derselben Frage, aber unter anderen Normen. Drei Unterschiede sind wesentlich.

Das Datenschutzgesetz gilt dort vollständig. Es erfasst nach Art. 2 Abs. 1 private Personen und Bundesorgane. Ein privat getragenes Spital fällt also unter das eidgenössische Recht, ein kantonales Spital unter das kantonale. Zwei Häuser mit derselben Aufgabe, zwei Rechtsordnungen.

Neben das Amtsgeheimnis treten besondere Geheimhaltungspflichten, und zwar je Branche eine andere. Für Gesundheits- und Rechtsberufe gilt Art. 321 des Strafgesetzbuchs. Er nennt einen abschliessenden Kreis: Geistliche, Anwältinnen, Notare, Revisoren, Ärztinnen, Zahnärzte, Apothekerinnen, Hebammen, Psychologen, Pflegefachpersonen und weitere, ausdrücklich samt ihren Hilfspersonen. Die Strafdrohung ist dieselbe wie beim Amtsgeheimnis, nämlich Freiheitsstrafe bis zu drei Jahren oder Geldstrafe; verfolgt wird nur auf Antrag der verletzten Person, das Amtsgeheimnis dagegen von Amtes wegen.

Banken und Versicherungen stehen nicht in dieser Liste. Für sie gilt das Bankkundengeheimnis nach Art. 47 des Bankengesetzes, mit eigener Systematik, dazu das Aufsichtsrecht der Eidgenössischen Finanzmarktaufsicht zur Auslagerung von Funktionen. Diesen Teil haben wir nicht geprüft, er gehört vor jede Entscheidung in diesem Umfeld.

Was Sie sich mit dem Eigenbetrieb einhandeln

Die Nachteile sind weniger sichtbar als die Vorteile, weil sie erst im Betrieb auftreten. «Betreiben» heisst dabei nicht einmal aufsetzen und dann laufen lassen, sondern:

Support gibt es nicht. Wenn das Modell in Ihrem Haus falsch antwortet, gibt es keine Hotline. Es gibt Sie.

Und die Lizenz ist nicht automatisch frei. «Offene Gewichte» heisst, dass die Modelldateien heruntergeladen werden können, nicht dass Sie damit alles dürfen.

Warum offene Gewichte nicht freie Nutzung sind Der chinesische Konzern Tencent schliesst die EU, Grossbritannien und Südkorea aus dem Lizenzgebiet seines Videomodells aus. Die Schweiz steht nicht auf dieser Liste, das Modell darf hier also eingesetzt werden. Genau darin liegt die Lehre: Der räumliche Geltungsbereich steht in der Lizenz und folgt keiner Logik, die man raten könnte. Beim nächsten Modell kann die Aufzählung anders lauten. Zum Artikel →

Die vier Fragen vor jeder Beschaffung

Die Diskussion in Verwaltungen dreht sich meist um die falsche Achse. Sie verläuft zwischen «Cloud» und «selbst betreiben», als wäre das eine Grundsatzfrage. Nützlicher ist eine andere Sortierung: Welche Daten fallen an, und was folgt daraus?

Ist die Rechtsfrage geklärt, folgt die zweite: Welches Modell kann Ihre Aufgabe überhaupt? Die Antwort ist gemessen, sie stammt allerdings aus Deutschland, und ein Schweizer Modell schneidet dabei schlechter ab, als viele erwarten.