KI-Richtlinie für KMU: Vorlage in verständlicher Sprache

Das Problem

Im Büro werden bereits Texte mit KI überarbeitet, doch niemand weiss genau, was dabei erlaubt ist. Eine Mitarbeiterin kopiert eine Kundenanfrage in einen privaten Chatdienst, ein Kollege verschickt eine Antwort ohne Gegenlesen. Die Geschäftsleitung erwartet einen sorgfältigen Umgang, hat aber keine gemeinsamen Regeln festgelegt.

Eine KI-Richtlinie ist eine betriebliche Vereinbarung über den zulässigen Einsatz künstlicher Intelligenz. Sie soll alltägliche Entscheidungen erleichtern: Darf diese Information hinein, wer kontrolliert das Ergebnis und an wen melde ich einen Fehler? Ein langes Papier mit unklaren Verboten hilft Frau Müller dabei wenig.

Die folgende Vorlage ist ein Arbeitsentwurf für Ihre Organisation. Sie ersetzt weder die technische Prüfung eines Dienstes noch die rechtliche Beurteilung besonderer Anwendungen, etwa im Personalbereich oder bei besonders schützenswerten Daten.

So lösen Sie es mit KI – Schritt für Schritt

1. Sammeln Sie tatsächliche Anwendungen. Fragen Sie das Team, welche KI-Werkzeuge bereits benutzt werden und für welche Aufgaben. Notieren Sie beispielsweise Textentwürfe, Übersetzungen oder Zusammenfassungen. Sammeln Sie zunächst Tätigkeiten statt echter Kundendokumente und klären Sie auch unbemerkt eingebaute KI-Funktionen in bestehenden Programmen.
2. Bestimmen Sie eine verantwortliche Person. Legen Sie fest, wer Werkzeuge freigibt, Rückfragen beantwortet und bei Abwesenheit vertreten wird. Tragen Sie einen tatsächlich überwachten Kontaktweg ein. Eine allgemeine Formulierung wie «bei Unsicherheit die IT fragen» genügt nicht, wenn niemand diese Aufgabe übernommen hat.
3. Prüfen Sie Werkzeuge und Datenwege. Lassen Sie fachlich klären, welche Daten ein Dienst verarbeitet, wo sie gespeichert werden, wer zugreifen kann und welche Einstellungen erforderlich sind. Eine kostenpflichtige Version ist allein noch keine Freigabe. Dokumentieren Sie die erlaubte Konfiguration und die Grenzen des jeweiligen Einsatzes.
4. Ordnen Sie Aufgaben verständlich zu. Unterscheiden Sie freigegebene Aufgaben, Aufgaben mit vorheriger Rückfrage und vorläufig untersagte Anwendungen. Nennen Sie konkrete Beispiele aus dem Betrieb. Die Seite Welche Daten gehören nicht in KI? unterstützt die Diskussion über Eingaben.
5. Formulieren Sie Prüf- und Freigabeschritte. Bestimmen Sie, wer Zahlen, Namen, Aussagen und Quellen kontrolliert. Definieren Sie, wann eine zweite Person erforderlich ist und wer Texte nach aussen freigeben darf. Ein KI-Entwurf darf nicht stillschweigend zur verbindlichen Zusage oder zu einem Personalentscheid werden.
6. Lassen Sie die Sprache vereinfachen. Geben Sie nur die beschlossenen allgemeinen Regeln in ein freigegebenes KI-Werkzeug. Bitten Sie um kurze Sätze und alltagsnahe Beispiele. Vergleichen Sie anschliessend den Entwurf mit den Beschlüssen, damit die KI keine zusätzliche Erlaubnis oder angebliche Rechtsregel einfügt.
7. Prüfen und erproben Sie die Richtlinie. Lassen Sie datenschutzrechtliche und andere relevante Einzelfragen qualifiziert beurteilen. Testen Sie den Text mit typischen Aufgaben: Kann eine neue Mitarbeiterin daraus eindeutig ableiten, was sie tun soll? Überarbeiten Sie unklare Stellen vor der Freigabe durch die Geschäftsleitung.
8. Führen Sie die Regeln ein. Besprechen Sie sie im Team, dokumentieren Sie die gültige Fassung und legen Sie einen Überprüfungstermin fest. Planen Sie zusätzlich eine Überarbeitung bei neuen Werkzeugen oder veränderten Aufgaben. Stellen Sie sicher, dass die aktuelle Version leicht auffindbar bleibt.

Vorlage zum Kopieren

KI-Richtlinie von [Betrieb], gültig ab [Datum]
Verantwortlich: [Rolle und Kontakt], Vertretung: [Rolle]

1. Freigegebene Werkzeuge und Einstellungen: [Liste]
2. Erlaubte Aufgaben: [konkrete Aufgaben und Grenzen]
3. Ohne gesonderte Freigabe geben wir keine Personen-, Kunden-,
   Personal- oder vertraulichen Geschäftsdaten ein.
4. Passwörter, Zugangscodes und geheime Schlüssel geben wir nie ein.
5. Vor Verwendung prüft [Rolle] Fakten, Zahlen, Quellen und Ton.
6. Für externe Veröffentlichung entscheidet [Rolle].
7. Verbindliche Zusagen und Entscheidungen bleiben bei [Rolle].
8. Bei Fehlern oder unerlaubten Eingaben stoppen wir die Nutzung
   und melden unverzüglich an [Kontakt], ohne weitere Verbreitung.
9. Für neue Aufgaben oder Werkzeuge holen wir vorher eine Freigabe.
10. Nächste Überprüfung: [Datum], zuständig: [Rolle].

Schreibe diese beschlossenen Regeln in einfachem Deutsch um.
Ergänze keine Erlaubnisse und kennzeichne offene Platzhalter.

Ersetzen Sie alle Platzhalter und lassen Sie den fertigen Entwurf fachlich sowie durch die Geschäftsleitung freigeben.

Worauf Sie achten müssen

• Datenschutz gilt weiterhin: Der EDÖB erläutert, dass das Schweizer Datenschutzgesetz auch auf KI anwendbar ist. Eine interne Richtlinie schafft keine Ausnahme von gesetzlichen Anforderungen.
• Entfernte Namen reichen nicht immer: Auch Kombinationen aus Funktion, Ort und Vorgang können Personen erkennbar machen. Prüfen Sie Eingaben inhaltlich, nicht nur mit einer Namenssuche.
• Auslandsbezug gesondert prüfen: Zusätzliche Regeln können bei Tätigkeiten oder betroffenen Personen im Ausland relevant sein. Lassen Sie die konkrete Situation rechtlich beurteilen, statt pauschale Fristen in die Vorlage zu übernehmen.
• Fehler müssen meldbar sein: Formulieren Sie einen klaren Hilfeweg. Wer aus Angst schweigt, erschwert die rechtzeitige Begrenzung eines Vorfalls.

Wie verwenden Sie die KI-Antwort sicher?

Behandeln Sie die Antwort als Arbeitsentwurf. Vergleichen Sie jeden vorgeschlagenen Schritt mit der geöffneten Originalseite des zuständigen Dienstes, bevor Sie etwas ändern oder absenden. Ein freundlich formulierter Satz ist noch kein Beleg; auch erfundene Menübezeichnungen oder Kontaktangaben können überzeugend klingen.

Arbeiten Sie mit einer bereinigten Abschrift statt mit vollständigen Bildschirmbildern. Entfernen Sie Namen, Adressen, Kontonummern und Angaben über andere Personen, soweit sie für die Frage nicht nötig sind. Passwörter und Bestätigungscodes gehören niemals in einen KI-Chat. Falls Sie nicht erkennen, welche Angaben vertraulich sind, lassen Sie die KI weg und bitten eine vertraute Fachperson um Unterstützung.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein kleines Planungsbüro in Winterthur verwendet KI für E-Mail-Entwürfe. Frau Müller weiss bisher nicht, ob sie Kundenadressen mitkopieren darf. Das Team beschliesst eine Freigabe für allgemeine Texte ohne Personenbezug und einen Rückfrageweg für alle anderen Fälle.

Bei einer Probeaufgabe erkennt eine Kollegin, dass auch eine Projektbeschreibung den Kunden verraten kann. Die Richtlinie erhält deshalb ein passendes Beispiel. Nun kennt Frau Müller sowohl den erlaubten Arbeitsablauf als auch die Person, die über Ausnahmen entscheidet.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation von Alpasana unterstützt Sie dabei, bestehende Prozesse aufzunehmen, geeignete KI-Anwendungen zu priorisieren und die Umsetzung zu planen. Dazu gehören dokumentierte Abläufe sowie Einsatzregeln für die Integration von KI-Agenten, also Systemen, die einzelne Arbeitsschritte ausführen können.

Für Ihre Richtlinie liefert die gemeinsame Prozessaufnahme eine konkrete Grundlage: Welche Aufgabe soll unterstützt werden, wer prüft das Ergebnis und wo endet die Freigabe? Rechtliche Einzelfragen lassen Sie zusätzlich durch eine entsprechend qualifizierte Fachperson beurteilen.

Für einen tatsächlichen Eingabefehler hilft Kundendaten versehentlich in KI eingegeben. Für verdächtige Geld- oder Zugangsforderungen nutzen Sie den Betrugsnotfallplan.

Häufige Fragen

Muss jede kleine Firma ein umfangreiches Handbuch erstellen?

Der Umfang soll zu Aufgaben und Risiken passen. Entscheidend sind verständliche, verbindliche Regeln und deren Anwendung, nicht möglichst viele Seiten.

Dürfen Mitarbeitende private KI-Konten verwenden?

Das sollte die Richtlinie ausdrücklich regeln. Eine private Anmeldung macht die Bearbeitung betrieblicher Daten nicht zu einer privaten Angelegenheit.

Reicht die Unterschrift unter dem Dokument?

Sie zeigt nicht automatisch, dass jemand die Regeln anwenden kann. Besprechen Sie konkrete Beispiele und bieten Sie eine erreichbare Ansprechperson für Rückfragen an.