Wer darf was mit KI? Vorlage für eine Berechtigungsmatrix

Das Problem

Frau Müller soll in ihrer Firma, einem Gartenbau-Betrieb in Frauenfeld, klären, wer welche KI-Funktionen nutzen darf. Die Geschäftsleiterin fragt: «Darf der Lehrling den Assistenten auch für Kundenofferten nutzen? Und wer darf neue Dokumente einspeisen?» Frau Müller merkt, dass niemand das schriftlich festgehalten hat. Jeder macht, was er für richtig hält.

Das führt zu zwei Problemen. Entweder haben zu viele Personen zu viele Rechte, oder niemand weiss, wer im Zweifel entscheiden darf. Beides wird spätestens bei einem Vorfall zum Thema.

Die Berechtigungsmatrix ist die einfachste Lösung: eine Tabelle auf einer Seite. Sie zeigt auf einen Blick, wer was darf. Diese Seite ist eine Vorlage zum Ausfüllen.

So lösen Sie es mit KI – Schritt für Schritt

1. Sammeln Sie die Rollen. Nicht Personen, sondern Rollen: Geschäftsleitung, Büro, Aussendienst, Lernende, IT-Betreuung, externe Partner. Beginnen Sie mit den für den konkreten Einsatz nötigen Rollen und ergänzen Sie die Matrix bei Bedarf.

1. Sammeln Sie die Funktionen und Datenbereiche. Zum Beispiel: Texte entwerfen, Kundendaten nutzen, Dokumente einspeisen, Verbindungen einrichten, Einstellungen ändern, Protokolle einsehen, Kosten verwalten.

1. Wählen Sie eine einfache Skala. Etwa: «keine», «nutzen», «ändern», «verwalten». Weniger Stufen sind verständlicher.

1. Füllen Sie die Tabelle nach dem Prinzip «so wenig wie nötig». Vergeben Sie nur Rechte, die für die Aufgabe nötig sind. Das Prinzip erklärt Warum KI nur die nötigsten Rechte erhalten sollte.

1. Benennen Sie pro Zeile eine verantwortliche Person. Wer entscheidet, wenn jemand zusätzliche Rechte will?

1. Lassen Sie die Matrix freigeben. Die Geschäftsleitung oder eine zuständige Person unterschreibt oder bestätigt per E-Mail. So ist sie verbindlich.

1. Setzen Sie die Rechte in der Anwendung um. Eine Matrix auf Papier nützt nichts, wenn die Einstellungen anders aussehen. Vergleichen Sie stichprobenartig.

1. Prüfen Sie regelmässig. Bei Ein- und Austritten sowie Rollenwechseln sollten Sie die Rechte überprüfen. Weitere Prüftermine legen Sie nach Risiko und internen Vorgaben fest, siehe Berechtigungen regelmässig prüfen.

Vorlage zum Kopieren

Mit diesem Prompt erstellen Sie die erste Fassung Ihrer Matrix. Namen von Personen gehören nicht hinein.

Erstelle für einen Schweizer Betrieb ([Branche], [Anzahl] Mitarbeitende) eine Berechtigungsmatrix für die KI-Anwendung [Name].
Zeilen (Rollen): [Liste der Rollen].
Spalten (Funktionen/Daten): [Liste, z. B. Texte entwerfen, Kundendaten nutzen, Dokumente einspeisen, Verbindungen einrichten, Einstellungen ändern, Protokolle einsehen].
Skala: keine / nutzen / ändern / verwalten.
Schlage zu jedem Feld einen vorsichtigen Standardwert nach dem Prinzip «so wenig wie nötig» vor und markiere Felder, bei denen die Geschäftsleitung entscheiden sollte. Füge eine Zeile «verantwortliche Person» und eine Spalte «Begründung» hinzu.
Regeln: Als Tabelle, einfache Sprache, Deutsch (Schweiz). Behandle den Vorschlag als Entwurf.

Ersetzen Sie die Platzhalter. Besprechen Sie den Entwurf im Team, bevor Sie ihn freigeben.

Worauf Sie achten müssen

• Die Matrix ist ein Entwurf, kein Schutz. Wirksam wird sie erst, wenn die Rechte in der Anwendung tatsächlich so eingestellt sind.
• Rollen statt Namen: Personen wechseln, Rollen bleiben. So bleibt die Tabelle länger gültig.
• Verwalter nicht doppelt belasten: Wer Rechte verwaltet, sollte für die tägliche Arbeit ein eigenes Konto nutzen, siehe Admin-Konto trennen.
• Nichts Vertrauliches in die Tabelle: Sie braucht keine Passwörter oder Kundendaten.
• Vertretung: Legen Sie fest, wer bei Abwesenheit entscheidet.
• Externe: Dienstleister und Gäste brauchen eigene Zeilen mit Ablaufdatum.

Dies ist ein Beispiel, kein Standard. Ihre Matrix richtet sich nach Ihren Aufgaben.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Malerbetrieb in Wil SG führt einen KI-Assistenten für Offerten und Mails ein. Die Büroleiterin erstellt zuerst die Matrix.

Vorher: Alle Mitarbeitenden haben denselben Zugang mit denselben Rechten. Der Lehrling hat Zugriff auf die Kundenliste, weil niemand es anders eingestellt hat. Nachher: Mit der Matrix wird klar, dass Lernende nur Textentwürfe ohne Kundendaten erstellen sollen. Die IT-Betreuerin stellt die Rechte entsprechend ein, die Büroleiterin bestätigt die Matrix per E-Mail. Beim nächsten Personalwechsel wird die Tabelle als Grundlage verwendet.

Hilfreich war in diesem Beispiel, dass die Matrix gemeinsam mit den Mitarbeitenden besprochen wurde. Der Lehrling erfuhr, warum er keine Kundendaten verwenden darf, und die Büroleiterin sah, dass niemand ausser der IT-Betreuerin Einstellungen ändern muss. Danach liess sich die Tabelle auch für die nächste KI-Anwendung wiederverwenden, mit angepassten Spalten. Legen Sie fest, wer die Matrix nachführt und in welchem Rhythmus sie angesichts der Risiken und internen Vorgaben überprüft wird. Eine veraltete Tabelle gibt falsche Sicherheit, eine gepflegte spart bei jedem Personalwechsel Zeit.

So hilft Ihnen Alpasana

Wenn Sie KI geordnet einführen und Rollen, Rechte und Einsatzregeln festlegen wollen, begleitet Sie die KI-Beratung und digitale Transformation. Dazu gehören die Integration von KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung sowie die Dokumentation der Umsetzung.

Eine Berechtigungsmatrix ist ein typischer Baustein solcher Einsatzregeln. Projekte werden individuell offeriert.

Häufige Fragen

Wie viele Rollen sind sinnvoll?

Beginnen Sie mit wenigen, grob gefassten Rollen. Wenn sich zeigt, dass eine Rolle sehr verschiedene Aufgaben umfasst, teilen Sie sie später auf.

Muss ich die Matrix für jede KI-Anwendung neu erstellen?

Das Gerüst können Sie wiederverwenden. Die Funktionen und Datenbereiche unterscheiden sich aber je Anwendung, daher gehört pro Anwendung eine eigene Tabelle dazu.

Wer sollte die Matrix freigeben?

Die Geschäftsleitung oder die Person, die für Datenschutz und IT verantwortlich ist. Zuständigkeiten legen Sie unter Zuständigkeiten für KI festlegen fest.

Reicht eine Excel-Tabelle?

Ja. Wichtig sind Aktualität, Ablageort mit Zugriffsschutz und ein Datum der letzten Prüfung.