KI-Richtlinie für Unternehmen: Vorlage für KMU zum Kopieren

KI-Richtlinie im Unternehmen: die Vorlage in acht Punkten

Eine KI-Richtlinie für ein KMU braucht acht Punkte und passt auf zwei Seiten: Zweck und Geltungsbereich, erlaubte Tools, Datenklassen, Prüfung vor dem Versand, Kennzeichnung, Zuständigkeiten, Schulung und ein Datum für die Überprüfung. Unten steht die Vorlage. Sie kopieren sie, ersetzen die eckigen Klammern durch Ihre Tools und Ihre Leute, und die Geschäftsleitung unterschreibt. Das Ausfüllen dauert einen Nachmittag. Welche Tools Sie erlauben, nimmt Ihnen die Vorlage nicht ab. Dieser Entscheid ist die eigentliche Arbeit.

Die Seite ist für Geschäftsleitung und Büroleitung in einem Schweizer KMU mit 5 bis 80 Personen, ohne eigene Rechtsabteilung. Im Team laufen ChatGPT, Copilot oder Gemini schon, aufgeschrieben ist nichts. Damit sind Sie nicht allein. Laut der AXA-KMU-Arbeitsmarktstudie, zitiert von DeepCloud, haben nur 34 Prozent der Unternehmen klare Regeln aufgestellt, welche Daten Mitarbeitende in KI-Tools eingeben dürfen. Bei Firmen mit weniger als zehn Mitarbeitenden sind es 23 Prozent. Das sind Zahlen der Studie, keine eigene Erhebung.

Die Vorlage ist ein Arbeitspapier fürs Büro. Eine Rechtsberatung ist sie nicht.

Auf welchem Gesetz die Richtlinie steht

Auf ein eigenes KI-Gesetz müssen Sie nicht warten. Der EDÖB hält fest, dass das Datenschutzgesetz (DSG) technologieneutral formuliert und auf KI-gestützte Datenbearbeitungen direkt anwendbar ist. Ihre Richtlinie macht Pflichten greifbar, die Sie heute schon haben.

Zwei Punkte aus der Haltung des EDÖB stecken direkt in der Vorlage. Wer KI-Systeme verwendet, muss Zweck, Funktionsweise und Datenquellen der Bearbeitung transparent ausweisen. Und Menschen haben das Recht zu erfahren, ob sie mit einer Maschine korrespondieren. Deshalb hat die Kennzeichnung einen eigenen Punkt, auch wenn Ihr Betrieb nur einen Chatbot auf der Website hat.

Bearbeiten Sie Gesundheitsdaten, entscheidet Software über Personen (Bewerbungen, Kredite, Kündigungen) oder verkaufen Sie in die EU, ist die Vorlage nur ein Anfang. Legen Sie sie vor der Unterschrift Ihrer Datenschutzberatung oder Ihrer Anwältin vor.

Die Vorlage zum Kopieren

• 1. Zweck und Geltungsbereich. Diese Richtlinie regelt, wie bei [Firma] KI-Tools für die Arbeit genutzt werden. Sie gilt für alle, die für uns arbeiten, auch für Lernende und Freelancer, auf Firmen- und Privatgeräten, sobald Arbeitsinhalte im Spiel sind.
• 2. Erlaubte Tools (Positivliste). Für die Arbeit erlaubt sind nur: [Tool 1, Firmenkonto], [Tool 2, Firmenkonto]. Private und kostenlose Konten sind für Arbeitsinhalte nicht erlaubt. Über neue Tools entscheidet [Name].
• 3. Datenklassen. Öffentlich (Website-Texte, publizierte Preise): in erlaubten Tools frei. Intern ohne Personendaten (Ablaufnotizen, Vorlagen): nur in erlaubten Tools mit Firmenkonto. Personen- und Kundendaten: nur in [Tool] und nur für [Zweck, z. B. Antworten auf Kundenmails entwerfen]. Nie in ein KI-Tool: Gesundheitsdaten, Löhne, Ausweise, Passwörter und Zugangsdaten, [Mandatsakten]. Im Zweifel gilt: nie.
• 4. Prüfung vor dem Versand. Was die Firma verlässt (Mail, Offerte, Bericht, Zahl, Beitrag), liest vorher eine Person, die dafür einsteht. Die KI entwirft, ein Mensch verschickt. Über Personen entscheidet keine KI allein, etwa bei Bewerbungen oder Kündigungen.
• 5. Kennzeichnung. Wo Kundschaft oder Bewerbende direkt mit einem KI-System schreiben (Chatbot, automatische Antwort), steht das gut sichtbar dabei. KI-erzeugte Bilder, Stimmen oder Videos echter Personen werden als solche gekennzeichnet oder nicht verwendet.
• 6. Zuständigkeiten. Verantwortlich für diese Richtlinie: [Name, Geschäftsleitung]. Ansprechperson für Fragen und neue Tools: [Name]. Vorfälle (falsche Daten eingegeben, falsche Ausgabe verschickt) gehen am selben Tag an [Name], ohne Schuldzuweisung.
• 7. Schulung. Wer ein Tool von der Liste nutzt, hat die Einführung ([Dauer]) besucht und diese Richtlinie gelesen. Neue Mitarbeitende erledigen beides in der ersten Woche.
• 8. Überprüfung. [Name] prüft die Richtlinie alle [sechs] Monate, ausserdem sobald ein Anbieter seine Bedingungen ändert oder jemand ein neues Tool beantragt. Version und Datum stehen oben auf der Seite.

Unterschreiben, datieren, Versionsnummer drauf. Zwei Seiten in den Worten, die Ihr Büro ohnehin benutzt, bringen mehr als zwanzig Seiten, die niemand öffnet. Nennen Sie die Tools beim Produktnamen, den die Leute offen haben, nicht bei einer Kategorie wie «generative KI-Lösungen».

So füllen Sie die Vorlage an einem Nachmittag aus

Beginnen Sie mit dem, was schon im Einsatz ist, nicht mit einem Marktüberblick. Die Vorlage funktioniert nur, wenn Punkt 2 die Tools nennt, die wirklich laufen, und Punkt 3 Beispiele aus Ihrem eigenen Posteingang enthält.

Ein Beispiel: ein Ingenieurbüro mit rund 25 Personen, alles auf Microsoft 365. Der Geschäftsführer fragt in der Montagssitzung, wer welche KI-Tools für die Arbeit nutzt und mit welchem Konto. Wer ehrlich antwortet, hat nichts zu befürchten. Die Antworten: mehrere private ChatGPT-Konten, eine Person mit einem bezahlten Privatabo, zwei Personen mit dem Chat in Microsoft 365, eine Übersetzungs-Website.

Für Punkt 2 erlaubt das Büro Copilot Chat, der im Microsoft-365-Abonnement enthalten ist, mit dem Firmenkonto, und vorerst nichts anderes. Für Punkt 3 nimmt es drei echte Stücke aus der letzten Woche: eine Medienmitteilung (öffentlich), eine Checkliste für Baustellenbesuche (intern) und die Mail einer Bauherrin zu einem Mangel, mit Name und Adresse (Personendaten). Diese drei stehen als Beispiele im Text. «Personendaten» ist abstrakt, «die Mängelmail vom letzten Dienstag» nicht. Die Büroleiterin wird Ansprechperson in Punkt 6, der Geschäftsführer unterschreibt. Das Durchgehen mit dem Team dauert 30 Minuten.

Der Nachmittag klärt auch etwas Unbequemes: Das bezahlte Privatabo bleibt für Arbeitsinhalte nach Punkt 2 draussen. Das klar zu sagen und im selben Satz das erlaubte Tool zu nennen, gehört dazu.

Was nicht in die Richtlinie gehört

Einstellungen, Tool-Vergleiche und Prompt-Sammlungen bleiben draussen, weil sie sich schneller ändern als die Richtlinie.

• Klickpfade und Einstellungen. Die gehören zu der Person, die Ihr Microsoft 365 oder Google Workspace verwaltet. Die Richtlinie sagt, welches Tool gilt. Die Einstellungen sorgen dafür, dass es so ist. Das Freigeben der Tools ist ein eigener Schritt mit eigener Checkliste.
• Prompts und Tipps. Die kommen in die Schulungsunterlagen, nicht in ein Dokument, das man unterschreibt.
• Abgeschriebener Gesetzestext. Verlinken Sie die Seite des EDÖB. Das Gesetz liest in einer Richtlinie niemand.
• Ein pauschales Verbot. Ein Verbot ohne erlaubtes Tool schiebt den Chat aufs private Handy, wo Sie den Inhalt nicht mehr steuern.
• Der Vertrag mit dem Anbieter. Die Richtlinie ersetzt die Datenschutzbedingungen des Anbieters nicht. Die gibt es beim Firmenkonto, auch deshalb schliesst Punkt 2 private Konten aus.

Wer die Vorlage nicht unverändert übernehmen sollte

Betriebe, deren Daten oder Entscheide mehr Risiko tragen, nehmen die acht Punkte als Gerüst und lassen den Inhalt prüfen.

• Arztpraxen, Therapie und Pflege. Gesundheitsdaten sind besonders schützenswerte Personendaten, Punkt 3 braucht fachliche Hilfe.
• Wer Bewerbungen mit Software vorsortiert oder Personen bewerten lässt. Punkt 4 ist dann eine rechtliche Frage, nicht nur gute Praxis.
• Firmen mit Kundschaft oder einer Niederlassung in der EU. Dort können neben dem Schweizer Recht EU-Regeln gelten.
• Betriebe mit Geheimhaltungspflichten gegenüber Mandanten, die über gewöhnliche Diskretion hinausgehen.

Für alle anderen ist die Vorlage, wie sie dasteht, ein vernünftiger Start. Passen Sie sie nach der ersten Überprüfung an, nicht vor der ersten Unterschrift.

Nächster Schritt: erst die Seite, dann das Team

Die Seite ist an einem Nachmittag unterschrieben. Dass 15 oder 20 Leute sie an einem gewöhnlichen Donnerstag anwenden, ist eine andere Aufgabe: wissen, welches Tool zu welcher Arbeit passt, was KI zuverlässig kann und wo sie danebenliegt, und wie man einen Entwurf prüft, bevor er rausgeht. Dafür gibt es den Workshop «KI im Unternehmen»: ein halber oder ganzer Tag, bis zu 20 Teilnehmende, vor Ort oder hybrid in der Schweiz, geübt an echten Aufgaben aus Ihrem Team. Ihr Entwurf der Richtlinie ist gutes Material für die Vorbereitung.

Haben Sie eigentlich keine Teamfrage, sondern eine wiederkehrende Arbeit, die anders laufen soll, passt der Prozess-Check: eine Arbeit, 30 Minuten, und Sie gehen mit einem Case und einer Preisspanne raus. Welche Arbeit Sie dafür zuerst nehmen: welchen Ablauf zuerst automatisieren.