Was tun, wenn gegen interne KI-Regeln verstossen wurde?

Das Problem

Sie haben bemerkt, dass jemand im Team Kundendaten in ein privates KI-Konto eingegeben hat. Oder ein Kollege hat einen Vertragstext hochgeladen, obwohl es dafür eine Regel gibt. Vielleicht sind Sie selbst unsicher, ob etwas ein Verstoss ist. Jetzt stellen sich Fragen: An wen wende ich mich? Muss ich etwas sagen? Mache ich jemanden unglücklich?

Viele schweigen in dieser Lage aus Unsicherheit oder aus Rücksicht auf Kollegen. Das ist verständlich, aber riskant. Je länger ein Verstoss unbemerkt bleibt, desto grösser kann der Schaden werden, und desto schwerer lässt sich klären, was geschehen ist.

Ein klares Vorgehen entlastet alle. Es sagt, wer zuständig ist, welche ersten Schritte zählen und wie die Klärung abläuft, sachlich und ohne Schuldzuweisung. So wird aus einem unangenehmen Moment ein Lernschritt.

So lösen Sie es mit KI – Schritt für Schritt

1. Bleiben Sie ruhig und handeln Sie nicht allein. Verändern oder löschen Sie nichts auf eigene Faust, ausser es ist eine offensichtliche Sofortmassnahme, etwa das Schliessen eines offenen Zugangs.
2. Melden Sie den Verdacht. An die in der Richtlinie genannte Person, etwa die Datenschutzverantwortliche, Vorgesetzte oder IT. Nennen Sie, was Sie beobachtet haben, nicht, was Sie vermuten.
3. Sichern Sie die Fakten. Wann, wo, welches Werkzeug, welche Art von Daten, welche Personen betroffen? Machen Sie eine kurze Notiz oder einen Screenshot ohne neue Weitergabe.
4. Begrenzen Sie den Schaden. Je nach Fall: Eingabe löschen (wo möglich), Konto sperren, Passwort ändern, Anbieter informieren. Siehe Datenpanne: Sofortmassnahmen.
5. Beurteilen Sie die Schwere. Handelt es sich um ein Versehen, einen Irrtum oder bewusstes Handeln? Waren Personendaten betroffen? Bei Personendaten kann eine Meldepflicht bestehen, ziehen Sie fachliche Hilfe bei.
6. Sprechen Sie mit den Beteiligten. Sachlich, ohne Vorwurf. Fragen Sie nach dem Ablauf und den Gründen. Oft fehlt Wissen oder eine brauchbare Alternative.
7. Leiten Sie Massnahmen ab. Schulung, klarere Regel, technische Sperre, freigegebenes Werkzeug. Siehe Fehlerkultur im Team.
8. Dokumentieren Sie den Fall. Kurze Notiz: Was ist passiert, was wurde getan, was ändert sich? Sie hilft bei Rückfragen und beim Lernen.
9. Informieren Sie das Team. Anonym, mit der Lehre, ohne Namen.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Fallnotiz vor. Geben Sie keine Namen, Kundendaten oder Inhalte des Vorfalls ein.

Hilf mir, einen möglichen Verstoss gegen unsere KI-Regeln sachlich zu dokumentieren und die nächsten Schritte zu ordnen.
Beschreibung ohne Namen und ohne vertrauliche Inhalte: [Was wurde beobachtet? In welchem Werkzeug? Welche Art von Daten (z. B. Kundendaten, Personaldaten)? Wann?]. Zuständige Stelle laut Richtlinie: [Funktion].
Erstelle: 1. eine Vorlage für eine Meldung an die zuständige Stelle (Fakten, Zeitpunkt, bisherige Massnahmen), 2. eine Liste mit zehn Fragen für das Klärungsgespräch, neutral formuliert, 3. eine Tabelle möglicher Sofortmassnahmen mit der Frage, wer sie veranlasst, 4. einen kurzen Hinweis, wann fachliche Hilfe (Datenschutz, Recht) beigezogen werden sollte.
Verwende einfache Sprache und die Anrede «Sie». Gib keine rechtliche Beurteilung ab.

Die KI ersetzt keine rechtliche Einschätzung. Sie hilft beim Ordnen der Fakten und beim Formulieren.

Vorgehen im Überblick

Worauf Sie achten müssen

• Meldepflichten: Wenn Personendaten betroffen sind, kann eine Meldung an Behörden oder Betroffene nötig sein. Die Beurteilung gehört in fachliche Hände, siehe Datenpanne melden.
• Unschuldsvermutung: Ein Verdacht ist kein Beweis. Klären Sie, bevor Sie urteilen.
• Verhältnismässigkeit: Ein Versehen verlangt eine andere Reaktion als bewusste Missachtung. Arbeitsrechtliche Schritte gehören in die Hände der Leitung und, wenn nötig, einer Fachperson.
• Schutz der meldenden Person: Wer meldet, soll keine Nachteile befürchten müssen. Sagen Sie das offen.
• Keine Beweise vernichten: Löschen Sie Hinweise erst, wenn die zuständige Stelle zugestimmt hat. Ausnahme: Sofortmassnahmen zur Schadensbegrenzung.
• Nicht in die KI kopieren: Fallinhalte, Namen und Daten gehören nicht in ein öffentliches KI-Werkzeug.

Ein Beispiel aus der Praxis

Ein Beispiel: In einer Zahnarztpraxis in Aarau bemerkt die Assistentin, dass eine Kollegin Patientenlisten in einer privaten KI-App zusammenfassen liess.

Vorher: Sie weiss nicht, was sie tun soll, und schweigt vier Wochen. Als es die Praxisleiterin zufällig erfährt, ist unklar, welche Daten wann eingegeben wurden.

Nachher: Die Praxis hat ein einseitiges Vorgehen. Die Assistentin meldet den Verdacht der Praxisleiterin. Gemeinsam sichern sie die Fakten, lassen das Konto bereinigen und beziehen die Datenschutzverantwortliche ein. Das Gespräch zeigt, dass die Kollegin keine Alternative kannte. Die Praxis führt ein freigegebenes Werkzeug ein und schult das Team.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation von Alpasana unterstützt bei der Integration von KI mit Einsatzregeln, Pilot und Skalierung. Dazu zählt, Verantwortlichkeiten und Abläufe so zu dokumentieren, dass im Ernstfall klar ist, wer was tut.

Projekte werden individuell offeriert. Eine rechtliche Beurteilung von Einzelfällen ist darin nicht enthalten.

Häufige Fragen

Muss jeder Verstoss gemeldet werden?

Alles, was Daten, Kunden oder Betrieb gefährden kann, ja. Bagatellen klären Vorgesetzte im Gespräch. Legen Sie in der Richtlinie fest, was wohin gehört.

Was passiert mit der Person, die verstossen hat?

Das hängt von Art und Schwere ab. Versehen führen meist zu Information und Schulung. Bei bewusster oder wiederholter Missachtung entscheidet die Leitung, gegebenenfalls mit arbeitsrechtlicher Beratung.

Darf ich anonym melden?

Wenn Ihre Regeln das vorsehen, ja. Eine anonyme Meldestelle senkt die Hürde. Fragen Sie in Ihrem Betrieb, ob es sie gibt oder geben sollte.