Eine Mitarbeitende lädt die Notizen eines Kundengesprächs in einen KI-Chatbot, um daraus ein Protokoll zu erstellen. Ein HR-Team formuliert mit KI eine Stellenanzeige. Der Vertrieb lässt sich Vorschläge für Kundenmails erstellen. Solche Anwendungen sparen Zeit, werfen aber sofort praktische Fragen auf: Welche Daten dürfen eingegeben werden? Wer prüft Ergebnisse? Und welche Tools sind überhaupt zugelassen? Eine KI-Richtlinie beantwortet diese Fragen, bevor aus einem nützlichen Werkzeug ein unkontrolliertes Risiko wird.
Für Schweizer Unternehmen geht es dabei nicht darum, KI zu verbieten oder lange Regelwerke für die Schublade zu schreiben. Es geht um klare, verständliche Leitplanken, die zum Geschäftsmodell, zu den verwendeten Daten und zu den Mitarbeitenden passen. So lässt sich Innovation fördern, ohne Datenschutz, Informationssicherheit und Verantwortlichkeiten dem Zufall zu überlassen.
Warum eine KI-Richtlinie zur Grundausstattung gehört
Generative KI ist oft schneller im Arbeitsalltag angekommen als die dazugehörigen Prozesse. Mitarbeitende nutzen frei verfügbare Anwendungen teils mit guten Absichten: Sie wollen Texte verbessern, Informationen strukturieren, Code prüfen oder Besprechungen zusammenfassen. Ohne einheitliche Vorgaben entscheidet jedoch jede Person selbst, welche Daten sie hochlädt und wie sie KI-Ergebnisse verwendet.
Das ist besonders heikel, wenn Personendaten, Geschäftsgeheimnisse, Vertragsinhalte, Bewerbungsunterlagen oder Gesundheitsdaten betroffen sind. Das seit 1. September 2023 geltende Schweizer Datenschutzgesetz gilt technologieneutral, also auch für KI: Die Grundsätze nach Art. 6 DSG (Zweckbindung, Verhältnismässigkeit, Richtigkeit), die Datensicherheit nach Art. 8 DSG und die Informationspflicht nach Art. 19 DSG bleiben bestehen. Wird KI eingesetzt, gehört dazu auch die Frage, ob ein Anbieter Daten für eigene Zwecke verwendet, wo Daten bearbeitet werden und welche Schutzmassnahmen bestehen. Der EDÖB hat klargestellt, dass das DSG auf KI-gestützte Bearbeitungen direkt anwendbar ist. Was das für Schweizer Unternehmen grundsätzlich bedeutet, zeigt der Beitrag zu KI und Datenschutz.
Eine Richtlinie schafft zudem betriebliche Klarheit. Sie trennt erlaubte von nicht erlaubten Anwendungen, definiert Prüfungen und sorgt dafür, dass nicht allein die IT oder der Datenschutz für jeden Einzelfall zuständig ist. Gerade für KMU ist das entscheidend: Eine kurze, gut eingeführte Regel ist im Alltag wertvoller als ein umfassendes Dokument, das niemand kennt.
Was eine praxistaugliche KI-Richtlinie regeln sollte
Der Inhalt muss zur Organisation passen. Ein Produktionsbetrieb hat andere Szenarien als eine Sozialberatung, ein Architekturbüro oder ein Medtech-Unternehmen. Dennoch gibt es Themen, die fast jede KI-Richtlinie abdecken sollte.
Zweck und Geltungsbereich klar beschreiben
Zu Beginn sollte feststehen, für wen die Richtlinie gilt und welche Anwendungen sie umfasst. Das betrifft nicht nur bekannte Chatbots, sondern auch Funktionen in Office-Software, CRM-Systemen, Übersetzungstools, Bildgeneratoren oder Analyseplattformen. Besonders häufig werden integrierte KI-Funktionen übersehen, weil sie nicht als eigenständiges Tool wahrgenommen werden.
Beschreiben Sie auch den Zweck: KI soll Mitarbeitende unterstützen, nicht fachliche Verantwortung ersetzen. Wer ein KI-Ergebnis in ein Angebot, eine Personalentscheidung, eine medizinisch relevante Information oder eine Kundenkommunikation übernimmt, bleibt für dessen Richtigkeit und Angemessenheit verantwortlich. Trifft ein System eine Entscheidung mit Rechtsfolgen oder erheblichen Nachteilen für eine Person ganz ohne menschliche Prüfung, greift zudem die Informationspflicht bei automatisierten Einzelentscheidungen nach Art. 21 DSG.
Daten in verständliche Kategorien einteilen
Eine Regel wie «keine vertraulichen Daten eingeben» ist zu ungenau. Mitarbeitende müssen erkennen können, was damit gemeint ist. Hilfreich ist eine einfache Einteilung in öffentliche Informationen, interne Informationen, vertrauliche Geschäftsinformationen und Personendaten. Für besonders schützenswerte Personendaten oder Informationen mit hoher Vertraulichkeit gelten strengere Vorgaben.
In vielen Fällen ist die pragmatischste Regel: Keine Personendaten und keine vertraulichen Inhalte in öffentliche oder nicht freigegebene KI-Dienste eingeben. Wenn ein Anwendungsfall dennoch einen solchen Datenbezug benötigt, muss vorab geklärt werden, ob die Nutzung zulässig und organisatorisch abgesichert ist. Dazu zählen unter anderem die Vertragsgrundlagen mit dem Anbieter nach Art. 9 DSG, Einstellungen zur Datennutzung und die technische Zugriffskontrolle. Werden Daten an einen Anbieter ausserhalb der Schweiz oder des EWR bekanntgegeben, sind zusätzlich die Voraussetzungen nach Art. 16 und 17 DSG zu prüfen.
Anonymisierung kann eine Option sein, wird aber oft überschätzt. Werden Namen entfernt, lassen sich Personen oder Unternehmen über Kombinationen aus Funktion, Ort, Zeitraum und Fallbeschreibung teilweise trotzdem wiedererkennen. Deshalb braucht es eine realistische Prüfung, nicht nur das Ersetzen einzelner Begriffe.
Freigegebene Tools und Beschaffungswege definieren
Eine KI-Richtlinie sollte nicht allein Verbote enthalten. Sie braucht einen klaren Weg zu sicheren, freigegebenen Anwendungen. Mitarbeitende müssen wissen, welche Lösungen sie nutzen dürfen, wer neue Tools prüft und wie eine Anfrage gestellt wird. Sonst entsteht Schatten-IT: Anwendungen werden trotz Verbot eingesetzt, weil ein legitimer Bedarf ungelöst bleibt.
Für die Freigabe reichen technische Funktionen allein nicht aus. Prüfen Sie auch, welche Daten bearbeitet werden, ob Rollen und Berechtigungen sauber eingerichtet sind, wie lange Informationen gespeichert bleiben und ob der Anbieter Daten zur Weiterentwicklung eigener Modelle verwendet. Bei einem internationalen Bezug können zusätzliche Anforderungen aus der DSGVO relevant werden. Wer EU-Kundschaft bedient, muss zudem die ab 2026 gestaffelt geltenden Pflichten der EU-KI-Verordnung im Blick behalten.
Menschliche Kontrolle verbindlich machen
KI kann überzeugend formulierte, aber falsche Inhalte erzeugen. Sie kann Quellen erfinden, Zahlen verwechseln oder Zusammenhänge verkürzt darstellen. Deshalb gehört eine klare Qualitätsregel in jede Richtlinie: Ergebnisse sind vor der Weiterverwendung fachlich zu prüfen.
Die Prüftiefe hängt vom Risiko ab. Ein erster Entwurf für einen internen Workshop braucht eine andere Kontrolle als eine Auskunft an Kundinnen und Kunden, ein Vertragsdokument oder eine Entscheidung mit Auswirkungen auf Mitarbeitende. Bei sensiblen Entscheidungen sollte nachvollziehbar sein, welche Rolle KI gespielt hat und wer die finale Entscheidung getroffen hat.
Rollen, Meldungen und Dokumentation festlegen
Im Alltag muss klar sein, wer wofür zuständig ist. Die Geschäftsleitung setzt den Rahmen und stellt Ressourcen bereit. Fachbereiche melden Anwendungsfälle und prüfen die fachliche Qualität. IT und Informationssicherheit beurteilen technische Aspekte. Datenschutzverantwortliche begleiten die Bearbeitung von Personendaten und die erforderliche Dokumentation.
Ebenso wichtig ist ein einfacher Meldeweg. Wenn versehentlich vertrauliche Informationen in ein nicht freigegebenes Tool gelangt sind, müssen Mitarbeitende ohne Umwege wissen, an wen sie sich wenden. Das Ziel ist eine rasche Klärung und Begrenzung möglicher Folgen, nicht eine Kultur der Schuldzuweisung.
Von der Richtlinie in den Arbeitsalltag
Das Dokument allein verändert noch kein Verhalten. Eine wirksame Einführung beginnt mit einer Standortbestimmung: Welche KI-Tools werden bereits genutzt? In welchen Prozessen? Welche Daten fliessen dabei? Gespräche mit HR, Vertrieb, Administration, IT und Fachabteilungen machen oft sichtbar, dass der tatsächliche Einsatz breiter ist als erwartet.
Danach lohnt sich eine einfache Risikoeinteilung. Niedrigrisikofälle, etwa Ideenfindung mit öffentlich verfügbaren Informationen, können meist mit klaren Grundregeln abgedeckt werden. Anwendungen mit Personendaten, vertraulichen Unterlagen oder Auswirkungen auf Menschen brauchen eine vertiefte Prüfung. Je nach Fall gehören auch Anpassungen im Bearbeitungsverzeichnis, bei technischen und organisatorischen Massnahmen oder eine Datenschutz-Folgenabschätzung nach Art. 22 DSG dazu, etwa bei Profiling oder bei der Auswertung besonders schützenswerter Personendaten.
Schulungen sollten kurz und anhand echter Arbeitssituationen erfolgen. Ein Beispiel aus dem HR zeigt besser als eine abstrakte Warnung, warum Bewerbungsdossiers nicht in einen öffentlichen Chatbot gehören. Ein Beispiel aus dem Kundenservice macht deutlich, weshalb eine KI-generierte Antwort vor dem Versand geprüft werden muss. Wiederkehrende Hinweise in Teams, Vorlagen und Freigabeprozessen sind wirksamer als eine einmalige Präsentation.
Ein schlanker Start für Schweizer KMU
Nicht jedes Unternehmen braucht zu Beginn ein umfangreiches KI-Governance-Programm. Ein sinnvoller erster Schritt besteht darin, die häufigsten Anwendungen zu erfassen, zwei bis drei klare Datenregeln festzulegen und einen Freigabeprozess für neue Tools einzurichten. Darauf kann eine kurze Richtlinie aufbauen, die für Mitarbeitende leicht auffindbar und verständlich ist.
Diese Basis sollte regelmässig überprüft werden. KI-Funktionen, Anbieterbedingungen und interne Prozesse verändern sich rasch. Eine jährliche Überarbeitung kann genügen, solange neue, risikoreichere Einsatzfälle nicht erst bis zum nächsten Termin warten müssen. Bei grösseren Veränderungen - etwa der Einführung eines KI-gestützten Bewerbungsprozesses oder einer automatisierten Kundensegmentierung - ist eine frühzeitige Prüfung sinnvoll.
Eine zentrale Datenschutzorganisation hilft, Richtlinien, Freigaben, Bearbeitungsverzeichnisse, technische und organisatorische Massnahmen sowie Schulungsnachweise nachvollziehbar zusammenzuführen. Plattformen wie DSMS+ können diese Aufgaben strukturieren, damit KI nicht als isoliertes IT-Thema behandelt wird, sondern als Teil eines funktionierenden Datenschutzmanagements.
Der beste Zeitpunkt für klare Regeln ist nicht erst dann, wenn KI bereits in jedem Bereich eingesetzt wird. Wer heute einen überschaubaren Rahmen schafft, gibt Mitarbeitenden Orientierung und dem Unternehmen die Freiheit, nützliche KI-Anwendungen kontrolliert weiterzuentwickeln.
Häufige Fragen
Ist eine KI-Richtlinie in der Schweiz gesetzlich vorgeschrieben?
Nein, es gibt keine ausdrückliche Pflicht. Das DSG verlangt aber in Art. 8 angemessene organisatorische Massnahmen zur Datensicherheit und in Art. 6 die Einhaltung der Bearbeitungsgrundsätze. Eine Richtlinie ist der einfachste Nachweis, dass das Unternehmen den KI-Einsatz organisiert hat. Ohne Regeln haftet die Geschäftsleitung für das, was Mitarbeitende in öffentliche Tools eingeben.
Dürfen Mitarbeitende Kundendaten in ChatGPT oder ähnliche Tools eingeben?
In die kostenlose oder nicht vertraglich geregelte Version nicht. Personendaten dürfen nur an Anbieter gehen, die als Auftragsbearbeiter nach Art. 9 DSG vertraglich gebunden sind, die Daten nicht zum Training nutzen und eine angemessene Sicherheit bieten. Bei Business-Versionen mit entsprechenden Verträgen ist der Einsatz möglich, sofern er in der Richtlinie freigegeben ist.
Wie lang sollte eine KI-Richtlinie für ein KMU sein?
Zwei bis vier Seiten genügen in den meisten Fällen. Sie sollte den Geltungsbereich, die Datenkategorien mit klaren Eingabe-Regeln, die freigegebenen Tools, die Pflicht zur menschlichen Kontrolle, die Zuständigkeiten und einen Meldeweg enthalten. Ein kurzes Dokument, das alle kennen, wirkt mehr als ein umfassendes Regelwerk in der Ablage.
Muss der Einsatz von KI im Bearbeitungsverzeichnis stehen?
Wenn KI-Tools Personendaten bearbeiten, ja. Das KI-System ist dann ein eingesetztes System beziehungsweise der Anbieter ein Empfänger im Sinne von Art. 12 DSG. Bei öffentlich zugänglichen Diensten mit Serverstandort ausserhalb der Schweiz ist zusätzlich die Bekanntgabe ins Ausland festzuhalten.