KI-Vorfallplan: Wer handelt bei falschen oder heiklen Ausgaben?

Das Problem

Die KI hat in einem Kundenchat einen falschen Preis genannt. Oder sie hat in einem Entwurf Angaben zu einer Person erfunden, die auch noch falsch sind. Oder jemand hat versehentlich vertrauliche Unterlagen in ein KI-Werkzeug geladen. Wen rufen Sie an? Wer entscheidet, ob der Kunde informiert wird? Wer sperrt den Zugang?

Ohne Plan entsteht Hektik. Jeder schreibt eine andere Mail, niemand weiss, wer zuständig ist, und kostbare Stunden vergehen. Das gilt vor allem, wenn gerade die Verantwortliche in den Ferien ist.

Ein Vorfallplan ist die Notfallkarte für solche Momente. Er muss nicht umfangreich sein, aber er sollte vorhanden, bekannt und griffbereit sein: Kontakte, Stufen, erste Schritte und Entscheidungsbefugnisse.

So lösen Sie es mit KI – Schritt für Schritt

1. Definieren Sie «Vorfall». Zum Beispiel: falsche Angaben nach aussen, vertrauliche Daten in ein falsches Werkzeug, heikle oder diskriminierende Ausgaben, Ausfall oder Fehlverhalten eines Systems.
2. Teilen Sie in Stufen ein. Stufe 1: kleiner Fehler ohne Aussenwirkung. Stufe 2: Fehler mit Wirkung nach aussen oder auf einzelne Personen. Stufe 3: schwerwiegend, etwa Datenpanne, rechtlich heikel, grosse Kundenwirkung.
3. Nennen Sie die Kontakte. Eine Person pro Stufe mit Vertretung: Teamleitung, IT, Datenschutzverantwortliche, Geschäftsleitung, bei Bedarf externe Beratung. Telefonnummern aufführen.
4. Legen Sie Sofortmassnahmen fest. Was darf jede Person sofort tun? Zum Beispiel: Nutzung stoppen, Ausgabe nicht weiterverwenden, Bildschirm sichern, Vorfall melden.
5. Regeln Sie die Entscheidungen. Wer entscheidet über das Informieren von Kunden oder Behörden, das Sperren eines Zugangs, das Abschalten eines Werkzeugs?
6. Beschreiben Sie die Dokumentation. Wann, was, wer, was wurde getan. Eine einfache Vorlage genügt.
7. Üben Sie einmal. Spielen Sie einen Fall durch: «Die KI hat einem Kunden einen falschen Preis versprochen.» Wer tut was? Wo hakt es?
8. Aktualisieren Sie den Plan. Nach jedem Vorfall und jährlich. Siehe Risikoregister.

Vorlage zum Kopieren

Geben Sie nur allgemeine Angaben ein, keine Namen und Telefonnummern aus dem Betrieb. Diese tragen Sie nachher von Hand ein.

Erstelle einen einseitigen KI-Vorfallplan für einen Schweizer Betrieb ([Branche], [Anzahl] Mitarbeitende). Wir setzen KI ein für: [z. B. Kundenmails, Offerten, Zusammenfassungen, internen Chat].
Erstelle: 1. eine Definition von drei Vorfallstufen mit je zwei Beispielen, 2. eine Tabelle mit den Spalten Stufe, erste Schritte der meldenden Person, zuständige Rolle (Platzhalter, wir tragen Namen später ein), Entscheidungen, Information an Kunden oder Behörden (nur als Frage «Prüfen: ja/nein, durch wen»), 3. eine Vorlage für die Meldung (Datum, Beschreibung, Werkzeug, betroffene Daten, bisherige Massnahmen), 4. eine Checkliste für die Nachbesprechung mit fünf Fragen.
Verwende einfache Sprache und die Anrede «Sie». Gib keine rechtliche Beurteilung und keine Fristen an, verweise stattdessen auf fachliche Prüfung.

Tragen Sie Namen, Telefonnummern und konkrete Entscheide selbst ein, und lassen Sie bei Datenpannen die Rechtsfragen fachlich klären.

Die drei Stufen im Überblick

Worauf Sie achten müssen

• Meldepflichten bei Personendaten: Das Schweizer Datenschutzgesetz kennt eine Meldung von Verletzungen der Datensicherheit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), wenn voraussichtlich ein hohes Risiko für betroffene Personen besteht. Ob das bei Ihnen zutrifft, beurteilt eine Fachperson. Siehe Datenpanne melden.
• Erreichbarkeit: Ein Plan mit Kontakten, die niemand erreicht, nützt nichts. Nennen Sie Vertretungen und prüfen Sie die Nummern.
• Keine Schuldzuweisung: Wer Vorfälle meldet, soll sicher sein, nicht blossgestellt zu werden. Siehe Fehlerkultur im Team.
• Beweise sichern: Machen Sie Notizen und, wo sinnvoll, Screenshots, bevor Sie etwas ändern oder löschen.
• Kommunikation: Wer nach aussen spricht, sollte festgelegt sein. Verfassen Sie Entschuldigungen und Korrekturen sorgfältig.
• Ausfall mitdenken: Fällt ein Werkzeug aus, brauchen Sie ein Ersatzverfahren, siehe Ausfall und Ersatzverfahren.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Online-Shop für Sportartikel in Luzern setzt einen KI-Chat im Kundendienst ein.

Vorher: Der Chat nennt einer Kundin einen Rabatt von 40 Prozent, den es nicht gibt. Die Kundin bestellt und beruft sich auf die Zusage. Die Mitarbeitenden wissen nicht, wer entscheiden darf, ob die Firma sie einlöst. Es vergehen zwei Tage, die Kundin wird ungeduldig und schreibt eine negative Bewertung.

Nachher: Der Shop hat einen einseitigen Vorfallplan. Der Fall wird als Stufe 2 gemeldet, die Teamleiterin stoppt den Chat vorübergehend, die Geschäftsführerin entscheidet innert Stunden und meldet sich bei der Kundin. Danach werden Rabatte im Chat durch eine feste Preisliste abgesichert, und der Chat darf keine Preise mehr nennen.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation von Alpasana unterstützt Sie bei der Integration von KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung. Ein Vorfallplan gehört zu solchen Einsatzregeln, ebenso die Dokumentation von Prozessen und Schnittstellen.

Projekte werden individuell offeriert. Rechtliche Beurteilungen im Einzelfall sind nicht Teil der Beschreibung.

Häufige Fragen

Brauchen auch kleine Betriebe einen Vorfallplan?

Ja, aber einen kleinen. Eine halbe Seite mit zwei Kontakten und drei Sofortschritten genügt. Gerade in kleinen Betrieben fehlt oft die Zeit zum Nachdenken, wenn etwas passiert.

Wann muss ein Vorfall nach aussen gemeldet werden?

Das hängt von Art und Folgen ab, vor allem davon, ob Personendaten betroffen sind. Klären Sie das zusammen mit der Datenschutzverantwortlichen oder einer Fachperson, und prüfen Sie die aktuellen gesetzlichen Vorgaben und Quellen.

Was tun, wenn die KI etwas Unangemessenes oder Diskriminierendes ausgibt?

Verwenden Sie die Ausgabe nicht, sichern Sie sie als Beleg und melden Sie den Fall. Prüfen Sie dann, ob es am Auftrag, am Werkzeug oder an den Eingaben lag, und passen Sie Regeln an.

Wie oft soll der Plan überprüft werden?

Mindestens einmal pro Jahr und nach jedem Vorfall. Prüfen Sie dabei, ob die Kontakte stimmen und ob alle Beteiligten den Plan kennen.