KI-Risikoeinstufung dokumentieren: Vorlage für Betriebe

Das Problem

Ihr Betrieb nutzt mehrere KI-Programme, und niemand weiss genau, welche wofür eingesetzt werden. Ein Kunde fragt nach Ihrer Risikoeinstufung, oder die Geschäftsleitung will wissen, wo Handlungsbedarf besteht. Eine Antwort aus dem Gedächtnis genügt dafür nicht.

Eine schriftliche Einstufung schafft Klarheit. Sie hält fest, welche Anwendung wie beurteilt wurde und auf welcher Grundlage. Das hilft bei Rückfragen und bei der Entscheidung, welche Anwendungen genauer geprüft werden müssen.

Eine Dokumentation ist keine Rechtsprüfung. Sie ordnet Informationen, die Einstufung selbst ist bei Grenzfällen Sache von Fachleuten. Dieser Beitrag bietet eine Vorlage, die Sie anpassen können.

So lösen Sie es mit KI – Schritt für Schritt

1. Inventar anlegen: Listen Sie alle KI-Anwendungen im Betrieb auf, auch solche, die Mitarbeitende selbst nutzen. Ein Blatt pro Anwendung genügt.
2. Verwendungszweck beschreiben: Wofür wird die Anwendung genutzt, in einem bis zwei Sätzen? Der Zweck ist der wichtigste Punkt der Einstufung.
3. Einsatzkontext erfassen: Wer nutzt sie, wer ist betroffen, welche Daten fliessen ein, welche Entscheide beeinflusst sie?
4. Rolle klären: Sind Sie Anbieter oder Betreiber? Siehe Anbieter oder Betreiber.
5. Vorläufige Einstufung festhalten: Notieren Sie, ob die Anwendung nach Ihrer Einschätzung verboten, hochriskant, transparenzpflichtig oder risikoarm sein könnte, und schreiben Sie die Begründung dazu. Orientierung bietet Welche Risikoklasse hat unsere KI-Anwendung?.
6. Prüfvermerk ergänzen: Wer hat die Einstufung wann geprüft? Bei Hochrisiko-Verdacht holen Sie fachliche Beurteilung ein.
7. Überprüfung planen: Legen Sie fest, wann die Einstufung wiederholt wird, spätestens bei Änderung des Zwecks.

Vorlage zum Kopieren

Mit der Vorlage können Sie ein Blatt pro Anwendung ausfüllen. Sie können sie in Word oder Excel übernehmen.

KI-Risikoeinstufung (Arbeitsblatt, nicht rechtsverbindlich)
Anwendung / Produktname: [Name]
Anbieter: [Firma], Version / Stand: [Angabe]
Verantwortliche Person im Betrieb: [Funktion]
Verwendungszweck (1 bis 2 Sätze): [Beschreibung]
Nutzende: [Abteilung/Rolle]. Betroffene Personen: [z. B. Kundschaft, Bewerbende, Mitarbeitende, niemand]
Datenarten: [z. B. Texte, Kundendaten, Bilder]
Beeinflusste Entscheide: [z. B. keine, Vorbereitung von Entscheiden, automatisierte Entscheide]
Unsere Rolle: [Betreiber / Anbieter / unklar]
EU-Bezug: [ja/nein/unklar, mit Begründung]
Vorläufige Einstufung: [verboten / hochriskant / Transparenzpflicht / geringes Risiko / unklar]
Begründung: [Stichpunkte, Bezug zu Zweck und Kontext]
Offene Fragen: [Liste]
Geprüft durch: [Name/Funktion], Datum: [Datum]
Nächste Überprüfung: [Datum oder Anlass]

Lassen Sie die KI auf Wunsch aus Ihren Stichpunkten ein ausgefülltes Blatt entwerfen, aber geben Sie keine vertraulichen Daten ein und prüfen Sie jeden Eintrag selbst.

Beispiel für ein ausgefülltes Blatt

Zur Orientierung hier eine gekürzte, erfundene Ausfüllhilfe: Anwendung «Schreibassistent», Zweck «Entwürfe für Kundenmails», Nutzende «Administration», Betroffene «Kundschaft indirekt durch Mailinhalt», Datenarten «Texte ohne Personendaten», beeinflusste Entscheide «keine», Rolle «Betreiber», vorläufige Einstufung «geringes Risiko, Transparenzfragen nicht betroffen», Begründung «reine Entwurfshilfe, Mensch prüft und versendet», nächste Überprüfung «bei Änderung des Einsatzes».

Eine solche Zusammenfassung zeigt, wie knapp ein Blatt sein darf, solange die Begründung nachvollziehbar ist. Bei komplexeren Anwendungen werden die Felder ausführlicher.

Worauf Sie achten müssen

• Keine Rechtsberatung: Die Vorlage ordnet Informationen. Ob eine Anwendung hochriskant ist, ergibt sich aus der Verordnung und braucht bei Grenzfällen fachliche Beurteilung. Siehe Wann gilt eine KI als Hochrisiko-System?.
• Geltungsbereich: Der AI Act gilt für Schweizer Betriebe nur bei bestimmtem EU-Bezug. Klären Sie das zuerst.
• Fristen: Anwendungstermine wurden 2026 teilweise angepasst. Prüfen Sie den aktuellen Stand, wie in Ab wann gelten welche Pflichten des EU AI Act? beschrieben.
• Änderungen: Neue Funktionen oder ein anderer Einsatz erfordern eine neue Einstufung.
• Vertraulichkeit: Das Inventar kann Geschäftsgeheimnisse enthalten. Verwalten Sie es entsprechend.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Treuhandfirma in Aarau führt ein Inventar mit vier Anwendungen: einem Schreibassistenten, einer Übersetzungsfunktion, einem Tool zur Vorsortierung von Belegen und einer Software, die Bewerbungen vorsortiert.

Vorher gibt es keine Übersicht, und über die Bewerbungssoftware weiss nur die Personalverantwortliche Bescheid. Nachher füllt die Firma für jede Anwendung ein Blatt aus. Die Bewerbungssoftware wird als möglicher Hochrisiko-Fall markiert, weil sie Bewerbende bewertet. Die Firma holt für diesen Fall eine fachliche Beurteilung ein, die übrigen Anwendungen gelten vorläufig als geringes Risiko.

So hilft Ihnen Alpasana

Wenn Sie KI-Anwendungen im Betrieb erfassen, bewerten und einführen möchten, unterstützt die KI-Beratung und digitale Transformation von Alpasana. Sie umfasst die Aufnahme von Prozessen, die Analyse von KI-Potenzialen, die Priorisierung von Vorhaben, einen Umsetzungsplan sowie Einsatzregeln für KI-Agenten.

Projekte werden individuell offeriert. Rechtliche Beurteilungen sind nicht Teil des Angebots, dafür beziehen Sie eine Fachperson ein.

Häufige Fragen

Muss ich für jede kleine Anwendung ein Blatt führen?

Für Anwendungen mit Wirkung auf Personen oder Entscheide ja. Bei reinen Hilfsfunktionen wie einem Schreibassistenten genügt ein kurzer Eintrag.

Wer soll die Einstufung unterschreiben?

Idealerweise die verantwortliche Person im Betrieb, gegengeprüft von einer fachkundigen Stelle. Legen Sie fest, wer in Ihrem Betrieb verantwortlich ist.

Was, wenn ich die Einstufung nicht sicher vornehmen kann?

Tragen Sie «unklar» ein und listen Sie die offenen Fragen auf. Das ist besser als eine Scheinsicherheit. Lassen Sie den Fall fachlich beurteilen.

Wie oft muss ich das Inventar aktualisieren?

Mindestens jährlich und bei jeder Änderung von Zweck, Funktion oder Anbieter.