Wer ist im KMU für die sichere KI-Nutzung zuständig?

Das Problem

In Ihrem Betrieb wird KI genutzt, aber wenn eine Frage auftaucht, weiss niemand, wer entscheiden soll. Darf ich diesen Kundenbrief in den Chatbot kopieren? Ist dieses neue Programm erlaubt? Was tun, wenn versehentlich vertrauliche Angaben eingegeben wurden? Die Antwort lautet meist: «Frag mal die IT» oder «Das weiss die Chefin», und am Ende entscheidet jeder selbst.

Fehlende Zuständigkeit ist kein Zeichen von Nachlässigkeit, sondern bei kleinen Betrieben normal. Es gibt keine IT-Abteilung, keine Datenschutzstelle, nur Menschen mit vielen Aufgaben. Gerade deshalb lohnt es sich, einmal klar zu regeln, wer wofür verantwortlich ist.

Ohne Zuständigkeit passieren zwei Dinge: Entscheidungen bleiben liegen, oder sie werden von Personen getroffen, die die Folgen nicht überblicken. Beides lässt sich mit einem kurzen Blatt Papier verhindern.

So lösen Sie es mit KI – Schritt für Schritt

1. Die typischen Fragen sammeln. Sammeln Sie die Fragen, die in Ihrem Alltag auftauchen, zum Beispiel: Welche Daten dürfen in KI? Welche Dienste sind erlaubt? Wer prüft KI-Texte vor dem Versand? Was tun bei einer Panne?

1. Aufgabenbereiche ableiten. Gruppieren Sie die Fragen. Üblich sind vier Bereiche: Regeln und Freigaben, Datenschutz, technische Einrichtung, Vorfälle und Meldungen. Nicht jeder Bereich braucht eine eigene Person.

1. Personen zuordnen. Bestimmen Sie für jeden Bereich eine verantwortliche Person und eine Stellvertretung. In einem Büro mit fünf Personen können zwei Personen alle Bereiche abdecken. Wichtig ist, dass jede Aufgabe einen Namen hat.

1. Entscheidungsrechte klären. Wer darf allein entscheiden, wer muss die Geschäftsleitung fragen? Zum Beispiel: Neue Dienste mit Kundendaten nur mit Freigabe der Leitung, Textentwürfe ohne Personendaten selbstständig.

1. Den Meldeweg festlegen. Wohin wenden sich Mitarbeitende bei Fragen oder Pannen? Eine einzige Adresse oder Telefonnummer ist besser als drei. Siehe KI-Vorfall: Meldeformular.

1. Mit KI die Rollenübersicht entwerfen. Öffnen Sie einen erlaubten KI-Assistenten, also ein Programm, dem Sie schriftlich Aufgaben geben. Mit der Vorlage unten lassen Sie sich eine übersichtliche Tabelle erstellen. Verwenden Sie Funktionsbezeichnungen statt Namen, zum Beispiel «Leitung Sekretariat».

1. Mit dem Team abstimmen. Zeigen Sie die Übersicht den Betroffenen. Passen Sie an, was nicht realistisch ist, etwa Abwesenheiten oder Arbeitsbelastung. Eine Rolle, die niemand übernehmen kann, nützt nichts.

1. Aushängen und prüfen. Legen Sie das Blatt dort ab, wo alle es finden, und setzen Sie eine jährliche Überprüfung an, oder früher bei Personalwechseln. Verknüpfen Sie es mit Ihrer KI-Richtlinie.

Vorlage zum Kopieren

Ich möchte in meinem KMU die Zuständigkeiten für die sichere KI-Nutzung festlegen.
Betrieb: [Branche, Anzahl Mitarbeitende].
Vorhandene Funktionen: [z. B. Geschäftsleitung, Leitung Sekretariat, externe IT-Betreuung].
Häufige Fragen im Alltag: [z. B. Welche Daten dürfen in KI? Wer gibt neue Dienste frei? Was tun bei einer Panne?].
Bitte erstelle mir:
1. eine Tabelle mit Aufgabe, verantwortliche Funktion, Stellvertretung, Entscheidungsrecht und Meldeweg,
2. einen Vorschlag, wann Fälle an die Geschäftsleitung weitergegeben werden,
3. drei Sätze, mit denen ich die Regelung dem Team vorstelle.
Verwende Funktionsbezeichnungen, keine Personennamen. Erfinde keine gesetzlichen Pflichten.

Ersetzen Sie die Platzhalter durch Ihre Funktionen; setzen Sie die Namen erst im fertigen Dokument ein.

Worauf Sie achten müssen

• Verantwortung lässt sich nicht abschieben. Auch wenn eine Person die Aufgabe übernimmt, bleibt die Geschäftsleitung für den Betrieb verantwortlich. Klären Sie das offen.
• Keine Vertraulichkeit im Entwurf. Geben Sie für die Erstellung nur Funktionen und allgemeine Beschreibungen ein, keine Personal- oder Kundendaten.
• Datenschutz beachten. Wenn Personendaten verarbeitet werden, gelten die Grundsätze des Schweizer Datenschutzgesetzes. Ob eine Datenschutzberaterin nötig ist, hängt vom Einzelfall ab und sollte fachlich geklärt werden.
• Überlastung vermeiden. Eine Zuständigkeit ohne Zeit ist wertlos. Planen Sie genügend Zeit für die übernommenen Aufgaben ein.
• Externe einbeziehen. Wenn eine externe IT-Betreuung mitwirkt, halten Sie schriftlich fest, was sie entscheidet und was nicht. Siehe KI-Regeln für externe Mitarbeitende.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: In einem Treuhandbüro in Aarau mit neun Mitarbeitenden fragt eine Kollegin, ob sie einen Jahresabschluss in einen Chatbot einfügen darf. Die Antworten im Team: «Eher nicht», «Chef fragen», «Weiss nicht». Frau Müller, Leiterin Administration, sieht, dass eine Regelung fehlt.

Mit der Vorlage entwirft sie eine Tabelle: Die Geschäftsleitung entscheidet über Dienste und Datenstufen, Frau Müller ist Ansprechperson und Meldestelle, die externe IT-Betreuung kümmert sich um Konten. Eine Stellvertretung ist benannt. Im Team wird die halbe Seite besprochen und an die interne Ablage gehängt. Die Kollegin weiss jetzt, an wen sie sich wenden kann.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation von Alpasana umfasst laut Leistungsbeschreibung die Analyse von Prozessen und KI-Potenzialen, die Priorisierung von Vorhaben und einen Umsetzungsplan. Bei KI-Agenten gehören Einsatzregeln zum Vorgehen.

Damit können Zuständigkeiten Teil eines grösseren Plans werden. Eine rechtliche Beratung zu Haftung oder Datenschutz ersetzt das nicht.

Häufige Fragen

Brauche ich eine eigene KI-Beauftragte?

Nicht unbedingt. In kleinen Betrieben kann die Rolle zusätzlich zu bestehenden Aufgaben übernommen werden. Wichtig sind Name, Stellvertretung und etwas Zeit.

Wer entscheidet bei Streit über eine Freigabe?

Legen Sie vorab fest, dass im Zweifel die Geschäftsleitung entscheidet. Hilfreich ist ein kurzer Freigabeprozess für KI-Ergebnisse.

Ist die externe IT-Firma automatisch zuständig?

Nein. Sie kann bei Technik und Einstellungen unterstützen, aber über erlaubte Aufgaben und Daten entscheidet der Betrieb selbst.

Wie oft sollte ich die Zuständigkeiten überprüfen?

Mindestens einmal pro Jahr und bei jedem Personalwechsel. So vermeiden Sie, dass im Ernstfall eine nicht mehr anwesende Person zuständig ist.