KI-Nutzung in Behörden nachvollziehbar dokumentieren

Das Problem

In einer Verwaltung arbeiten viele Menschen in unterschiedlichen Stellen. Manche testen KI-Werkzeuge, andere nutzen sie täglich, einige wissen nicht einmal, dass in einem Programm KI-Funktionen eingebaut sind. Dann fragt jemand: der Gemeinderat, die Geschäftsprüfungskommission, eine Journalistin, eine Bürgerin. «Setzt die Verwaltung KI ein, wofür und mit welchen Daten?»

Ohne Übersicht fällt die Antwort schwer. Jede Abteilung muss einzeln befragt werden, und am Ende bleiben Unsicherheiten. Das ist nicht nur peinlich, sondern kann Vertrauen kosten. Behörden handeln im öffentlichen Auftrag, und die Öffentlichkeit erwartet Transparenz darüber, wie sie arbeiten.

Hinzu kommt: Wer die Nutzung nicht kennt, kann Risiken nicht steuern. Welche Werkzeuge verarbeiten Personendaten? Wo fehlt eine Rechtsgrundlage? Wo sind Verträge unklar? Ein einfaches Verzeichnis schafft Überblick und Grundlage für Entscheide. Diese Seite zeigt eine Vorlage und das Vorgehen.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie Zweck und Verantwortung. Wozu wird das Verzeichnis geführt, wer führt es, wer hat Einsicht? Bestimmen Sie eine verantwortliche Stelle, zum Beispiel Informatik, Datenschutz oder Stab, mit Stellvertretung.

1. Erfassen Sie alle Anwendungen. Befragen Sie jede Abteilung offen, auch nach eingebauten KI-Funktionen in Standardprogrammen, nach Test- und Pilotprojekten und nach privat genutzten Werkzeugen für dienstliche Aufgaben. Eine wohlwollende Umfrage liefert ehrlichere Antworten.

1. Legen Sie eine Zeile pro Anwendung an. Verwenden Sie die Tabelle unten. Beginnen Sie mit den Anwendungen, die Personendaten berühren oder Bürgerinnen und Bürger betreffen.

1. Beschreiben Sie Zweck und Datenarten. Wofür wird das Werkzeug genutzt? Welche Daten werden verarbeitet: öffentliche Informationen, interne Dokumente, Personendaten, besonders schützenswerte Personendaten? Ehrlich und konkret.

1. Klären Sie Rechtsgrundlage und Freigabe. Wer hat das Werkzeug freigegeben, nach welcher Prüfung, auf welcher Grundlage? Bei Personendaten ist die gesetzliche Grundlage zentral. Im Zweifel beziehen Sie Datenschutz und Recht ein.

1. Notieren Sie Anbieter, Datenstandort und Vertrag. Wer ist der Anbieter, wo werden Daten verarbeitet, gibt es einen Auftragsverarbeitungsvertrag, welche Laufzeit? Siehe KI-Anbieter: Checkliste.

1. Beurteilen Sie Risiken und Massnahmen. Eine einfache Einteilung (niedrig, mittel, hoch) mit Massnahmen, etwa Einschränkung der Datenarten, menschliche Prüfung, Schulung. Besonders bei Entscheiden über Personen gelten Grenzen, siehe KI-Entscheidungen in der Verwaltung.

1. Pflegen und nutzen Sie das Verzeichnis. Neue Anwendung nur mit Eintrag, jährliche Überprüfung, Auswertung für Leitung und Aufsicht. Entscheiden Sie, welche Teile veröffentlicht werden können. Ähnliches Vorgehen für Betriebe: KI-Nutzung dokumentieren.

Vorlage des Verzeichnisses:

Vorlage zum Kopieren

Mit diesem Prompt lassen Sie sich aus Ihren Notizen ein Verzeichnis aufbauen. Geben Sie keine Personendaten oder vertraulichen Vertragsdetails ein:

Ich möchte für unsere Verwaltung ([Gemeinde / Kanton / Amt], [Anzahl] Mitarbeitende) ein KI-Verzeichnis aufbauen. Meine Notizen zu den bekannten Anwendungen (ohne Personendaten): [Notizen: Name, Stelle, Zweck, Datenarten, Freigabe].
Erstelle eine Tabelle mit den Spalten Anwendung und Anbieter, Stelle, Zweck, Datenarten, Rechtsgrundlage, Freigabe, Datenstandort und Vertrag, Risiko und Massnahmen, Verantwortliche Person, Nächste Prüfung. Fülle nur aus, was in meinen Notizen steht; sonst «offen».
Ergänze pro Anwendung mit Personendaten drei Fragen, die ich mit Datenschutz und Recht klären sollte, und erfinde keine Rechtsgrundlagen.

Ersetzen Sie die Platzhalter. Prüfen Sie jeden Eintrag mit den Zuständigen.

Worauf Sie achten müssen

• Rechtsgrundlage ist zentral: Öffentliche Organe dürfen Personendaten nur bearbeiten, wenn eine gesetzliche Grundlage besteht. Das gilt auch beim Einsatz von KI. Welche Grundlage im Einzelfall passt, klären Rechtsdienst und Datenschutzstelle. Informationen bieten privatim und EDÖB.
• Anwendbares Recht: Für Gemeinden und Kantone gilt kantonales Datenschutzrecht, für Bundesorgane das Bundesdatenschutzgesetz. Prüfen Sie, welches Recht für Ihre Stelle gilt.
• Transparenz und Öffentlichkeit: Je nach Kanton gelten Öffentlichkeitsprinzipien. Klären Sie, welche Teile des Verzeichnisses zugänglich sein müssen oder sollten.
• Vollständigkeit prüfen: Auch eingebaute KI-Funktionen in Standardprogrammen zählen. Fragen Sie Informatik und Lieferanten.
• Nicht nur Papier: Das Verzeichnis nützt nur, wenn es gelebt wird. Verbinden Sie es mit Freigabeprozessen für neue Werkzeuge.

Ein Beispiel aus der Praxis

Ein Beispiel: In einer Gemeinde im Kanton Bern mit 90 Mitarbeitenden fragt der Gemeinderat nach dem KI-Einsatz der Verwaltung. Die Gemeindeschreiberin weiss von einem Übersetzungswerkzeug in der Kanzlei, ahnt aber, dass es mehr gibt.

Vorher gab es keine Übersicht. Nachher führt sie eine wohlwollende Umfrage durch und sammelt neun Anwendungen: drei Übersetzungs- und Schreibhilfen, ein KI-Assistent im Büroprogramm, ein Chatbot-Test der Bauverwaltung, eine Transkriptionshilfe und weitere. Bei zwei Anwendungen mit Personendaten ist die Rechtsgrundlage unklar. Diese werden vorläufig gestoppt, bis Datenschutz und Recht geprüft haben. Das Verzeichnis geht jährlich in den Gemeinderat.

So hilft Ihnen Alpasana

Wenn Sie KI in Ihrer Verwaltung geordnet einführen möchten, unterstützt die KI-Beratung von Alpasana: Prozesse aufnehmen, KI-Potenziale analysieren, Vorhaben priorisieren, Umsetzungsplan erstellen sowie KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung integrieren. Die Umsetzung wird dokumentiert. Projekte werden individuell offeriert.

Eine rechtliche Prüfung von Rechtsgrundlagen gehört nicht zum Angebot.

Häufige Fragen

Muss die Verwaltung ein solches Verzeichnis führen?

Ob es eine Pflicht gibt, hängt vom anwendbaren Recht und von internen Vorgaben ab. Unabhängig davon ist es ein sinnvolles Instrument für Überblick und Transparenz.

Wie gehe ich mit privat genutzten Werkzeugen um?

Klären Sie in der Weisung, was erlaubt ist, und fragen Sie offen. Wer dienstliche Daten in private Konten gibt, muss das wissen, und Sie müssen Alternativen anbieten.

Soll das Verzeichnis veröffentlicht werden?

Das ist eine Entscheidung der Leitung und hängt von den Transparenzregeln und Sicherheitsüberlegungen ab. Eine Kurzfassung mit Zweck und Datenarten kann sinnvoll sein.