Welche Daten dürfen in KI? Eine Ampel-Vorlage für den Betrieb

Das Problem

«Dürfen wir diese Tabelle in die KI laden?» Diese Frage hören Sie täglich. Mal geht es um eine Kundenliste, mal um Protokolle der Geschäftsleitung, mal um eine harmlose Produktbeschreibung. Jedes Mal muss jemand entscheiden, und die Antwort fällt unterschiedlich aus, je nachdem, wen man fragt.

Das ist anstrengend und führt zu Fehlern. Manche sind übervorsichtig und fragen bei allem nach, andere probieren einfach aus. Ein einheitliches System fehlt. Dabei braucht es keine umfangreiche Klassifizierung nach Normen, sondern eine einfache Hilfe, die jede Mitarbeiterin in Sekunden anwenden kann.

Eine solche Hilfe ist die Daten-Ampel: Rot, Gelb, Grün. Sie sortiert Ihre Daten in drei Gruppen und legt für jede fest, was damit erlaubt ist. So wird aus «Ich bin unsicher» ein klarer Entscheid.

Einfach erklärt

Die Ampel arbeitet mit drei Fragen, die man der Reihe nach stellt:

1. Sind es Informationen, die ohnehin öffentlich sind (Website, Prospekt, veröffentlichte Berichte)? Dann: Grün.
2. Sind es interne oder vertrauliche Informationen, aber ohne Personenbezug (Preiskalkulation, interne Prozesse)? Dann: Gelb.
3. Enthalten sie besonders schützenswerte Personendaten, Zugangsdaten, Berufsgeheimnisse oder andere besonders heikle Inhalte? Dann: Rot. Andere Personendaten ordnen Sie nach Zweck, Dienst, Vertrag und Risiko ein; sie sind nicht automatisch Rot.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenarten aufzählen: Schreiben Sie alle Arten von Informationen auf, die in Ihrem Betrieb vorkommen: Kundendaten, Lieferantenverträge, Mitarbeiterdaten, Preislisten, Protokolle, Fotos, Pläne, Rezepte, Buchhaltung.
2. Einteilen: Ordnen Sie jede Datenart einer Farbe zu. Nutzen Sie die drei Fragen oben. Beziehen Sie die Fachpersonen der Abteilungen ein.
3. Besondere Pflichten beachten: Personendaten fallen unter das Datenschutzrecht, besonders schützenswerte Daten (zum Beispiel Gesundheit) verlangen besondere Sorgfalt. Berufsgeheimnisse gelten für bestimmte Berufe. Siehe Welche Daten gehören nicht in KI?.
4. Werkzeuge zuordnen: Legen Sie fest, welche KI-Werkzeuge für welche Farbe zugelassen sind. Zum Beispiel: Grün in allen freigegebenen Werkzeugen, Gelb nur im Firmenkonto mit Vertrag, Rot nur nach besonderer Prüfung und Freigabe.
5. Ausweichwege zeigen: Was tun, wenn eine Aufgabe rote Daten enthält? Anonymisieren, Auszüge verwenden oder von Hand erledigen. Siehe Wie anonymisiere ich Kundenunterlagen?.
6. Auf eine Seite bringen: Gestalten Sie die Ampel als Plakat oder Blatt, mit Beispielen aus Ihrem Betrieb.
7. Im Team besprechen: Spielen Sie fünf Beispiele durch. Wo gibt es Unsicherheit? Passen Sie die Beispiele an.
8. Verbindlich machen und prüfen: Hängen Sie die Ampel auf, nehmen Sie sie in die Einführung neuer Mitarbeitender auf und überprüfen Sie sie halbjährlich.

Vorlage zum Kopieren

Mit diesem Auftrag lassen Sie sich eine erste Ampel für Ihren Betrieb entwerfen. Verwenden Sie nur Beispiele, keine echten Daten:

Erstelle für unser Schweizer KMU ([Branche], [Anzahl] Mitarbeitende) eine Daten-Ampel für den Umgang mit KI, in einfacher Sprache, Anrede «Sie», maximal eine Seite.
Datenarten, die bei uns vorkommen: [z. B. Kundenlisten, Offerten, Preislisten, Personaldossiers, Protokolle, Fotos von Baustellen, Rechnungen, Website-Texte].
Teile sie in GRÜN, GELB, ROT ein und nenne zu jeder Farbe: Beispiele aus meiner Liste, was erlaubt ist, und was bei Gelb vor der Eingabe zu tun ist (z. B. Namen entfernen).
Füge eine Frage hinzu, die sich Mitarbeitende vor jeder Eingabe stellen, und einen Satz, an wen man sich bei Unsicherheit wendet: [Name/Funktion].
Erkläre, dass die Einstufung von der Geschäftsleitung und Datenschutzverantwortlichen geprüft werden muss.

Passen Sie die Datenarten an und lassen Sie das Ergebnis von den Verantwortlichen prüfen.

Worauf Sie achten müssen

• Die Ampel ist ein Hilfsmittel: Sie ersetzt weder Datenschutzprüfung noch Verträge mit Anbietern. Sie hilft, im Alltag schnell zu entscheiden.
• Gelb braucht Bedingungen: Schreiben Sie dazu, was vor der Eingabe zu tun ist und welche Werkzeuge erlaubt sind. Sonst wird Gelb zu Grün umgedeutet.
• Zusammengesetzte Daten: Zwei harmlose Angaben können zusammen heikel sein, etwa Name plus Wohnort plus Krankheit. Stufen Sie nach dem Ganzen ein.
• Dateien enthalten mehr: Excel-Tabellen, PDFs und Bilder haben oft versteckte Daten, etwa Metadaten oder ausgeblendete Spalten. Siehe Office-Metadaten entfernen.
• Anbieter unterscheiden: Dasselbe Werkzeug kann im Gratis- und im Geschäftstarif andere Regeln haben. Das beeinflusst, was Sie hineingeben dürfen.
• Rechtliche Besonderheiten: Für Ärztinnen, Anwälte, Treuhänder und andere gelten Berufsgeheimnisse, die weit strenger sind. Fachliche Prüfung ist hier nötig.
• Aktualität: Überprüfen Sie die Zuordnung regelmässig, besonders bei neuen Werkzeugen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Schreinerei mit zehn Mitarbeitenden in Lenzburg legt eine Ampel fest.

Vorher: Der Lehrling lässt Kundenadressen und Offertenpreise von einer KI in eine Excel-Auswertung bringen. Der Meister bemerkt es zufällig und weiss nicht, ob das erlaubt ist.

Nachher: Die Schreinerei definiert: Grün sind Werbetexte und Pflegehinweise, Gelb sind Preise und Kalkulationen (ohne Namen, nur im freigegebenen Konto), Rot sind Gesundheitsdaten und Zugangsdaten; Adressen und Löhne werden nach Zweck, Dienst und Schutzmassnahmen eingestuft. Die Ampel hängt in der Werkstatt neben der Stempeluhr. Der Lehrling lernt, Namen vor der Auswertung zu entfernen.

So hilft Ihnen Alpasana

Wenn Ihr Team lernen soll, welche Daten in welche KI gehören, bietet absofort KI-Weiterbildung für Unternehmen an. Laut Beschreibung sind Datenschutz und der verantwortungsbewusste Umgang mit Unternehmensdaten Lerninhalte; Abschlüsse sind verifizierbar, und für Teambuchungen gibt es eine Kontaktmöglichkeit. Eine rechtliche Einstufung Ihrer Daten nimmt das Angebot nicht vor.

Häufige Fragen

Reichen drei Farben?

Für kleine Betriebe ja. Grössere Organisationen verwenden oft vier oder fünf Stufen. Wichtig ist, dass alle die Einteilung verstehen und anwenden.

Wer legt fest, was Rot ist?

Die Geschäftsleitung, beraten von Datenschutz- und IT-Verantwortlichen. Ausgangspunkt sind das Datenschutzrecht, Verträge und Branchenregeln.

Dürfen rote Daten nie in KI?

Nicht ungeprüft in allgemeine Dienste. Ob eine Bearbeitung zulässig ist, hängt von Datenart, Zweck, Dienst, Vertrag und Schutzmassnahmen ab; für besonders heikle Daten braucht es eine ausdrückliche Prüfung und Freigabe. Auch dort gilt der Grundsatz der Datensparsamkeit.

Wie bringe ich die Ampel unter die Leute?

Mit konkreten Beispielen aus dem Alltag, einem Aushang und einer kurzen Einführung. Wiederholen Sie die Regeln bei neuen Mitarbeitenden und bei neuen Werkzeugen.