KI-Richtlinie für KMU: Diese Punkte sollten Unternehmen regeln

8. Sept.

6 Min. Lesezeit

Ein Mitarbeitender kopiert einen Kundenvertrag in ein KI-Tool, um die wichtigsten Punkte zusammenzufassen. Eine Kollegin lässt sich eine Antwort auf eine Reklamation formulieren. Jemand aus dem Verkauf erstellt mit KI eine Angebotsvorlage.

Praktisch? Ja.

Unproblematisch? Nicht immer.

Künstliche Intelligenz gehört in vielen Schweizer KMU längst zum Arbeitsalltag. Oft geschieht das aber ohne klare Spielregeln. Mitarbeitende verwenden unterschiedliche Tools, wissen nicht genau, welche Daten sie eingeben dürfen, und übernehmen Ergebnisse teilweise zu unkritisch.

Genau hier setzt eine KI-Richtlinie an.

Sie soll KI nicht verhindern. Im Gegenteil: Eine gute KI-Richtlinie hilft Unternehmen, die Vorteile von KI bewusst zu nutzen, ohne Vertraulichkeit, Datenschutz, Qualität oder rechtliche Anforderungen unnötig zu gefährden.

Gerade im Zusammenhang sensiblen Daten ist das relevant. Denn sobald Informationen in externe KI-Anwendungen eingegeben, verarbeitet oder daraus Entscheidungen abgeleitet werden, betrifft das Themen wie Informationssicherheit, Risikomanagement, Zugriffsrechte und Verantwortlichkeiten.

Warum KMU eine KI-Richtlinie brauchen

Viele Unternehmen warten mit Regeln, bis ein grösseres Problem entsteht: Daten wurden versehentlich in ein öffentliches Tool eingegeben, eine KI-generierte Aussage war fachlich falsch oder ein Mitarbeitender hat ein nicht freigegebenes Tool für Kundendaten verwendet.

Eine KI-Richtlinie muss keine komplizierte, lange Richtline sein. Für ein KMU reicht häufig eine kurze, verständliche und alltagstaugliche Regelung.

Sie schafft vor allem Klarheit bei diesen Fragen:

Welche KI-Tools dürfen wir nutzen?
Welche Informationen dürfen eingegeben werden und welche nicht?
Wer trägt die Verantwortung für KI-Tools?
Wie gehen wir vor, wenn etwas schiefgeht?
Wann müssen Datenschutz, IT oder Informationssicherheit einbezogen werden?

Ohne diese Klarheit entsteht schnell sogenannte Schatten-KI: Mitarbeitende nutzen Anwendungen eigenständig, weil sie Zeit sparen oder ihre Arbeit erleichtern. Das ist nachvollziehbar. Für das Unternehmen bleibt jedoch unklar, welche Daten wohin fliessen und ob die gewählten Tools zu den eigenen Anforderungen passen.

Eine KI-Richtlinie schafft einen sicheren und transparenten Umgang mit einer Technologie, die ohnehin genutzt wird.

1. Zweck und Geltungsbereich festlegen

Zu Beginn sollte klar sein, wofür die KI-Richtlinie gilt.

Sie kann beispielsweise festhalten, dass sie für alle Mitarbeitenden und externen Personen gilt, die im Auftrag des Unternehmens mit Informationen, Systemen oder Kundendaten arbeiten.

Ebenso wichtig ist der Zweck: KI soll dort eingesetzt werden, wo sie Arbeit sinnvoll unterstützt, etwa bei Entwürfen, Übersetzungen, Recherchen, Strukturierungen oder Zusammenfassungen.

Die Richtlinie sollte aber auch deutlich machen: KI ersetzt keine fachliche Prüfung und keine Verantwortung.

Eine einfache Formulierung könnte lauten:

KI-Tools dürfen zur Unterstützung von Arbeitsaufgaben eingesetzt werden, sofern die geltenden Vorgaben zu Informationssicherheit, Datenschutz, Vertraulichkeit und Qualitätskontrolle eingehalten werden.

2. Zugelassene und nicht zugelassene KI-Tools definieren

Nicht jedes KI-Tool ist gleich aufgebaut. Es gibt öffentlich zugängliche Anwendungen, kostenpflichtige Business- oder Enterprise-Lösungen sowie unternehmenseigene oder speziell konfigurierte KI-Systeme.

Die Risiken hängen unter anderem davon ab,

welche Vertragsbedingungen gelten,
wo und wie Daten verarbeitet werden,
ob Eingaben für Trainingszwecke verwendet werden,
welche Zugriffskontrollen bestehen,
ob eine Auftragsbearbeitungsvereinbarung notwendig ist,
wer im Unternehmen das Tool verwenden darf.

Eine KI-Richtlinie sollte deshalb nicht einfach «KI erlauben» oder «KI verbieten». Besser ist eine klare Unterscheidung:

Kategorie	Beispielhafte Regel
Freigegebene Tools	Dürfen für definierte Zwecke und Datenkategorien genutzt werden.
Tools in Prüfung	Dürfen erst nach Freigabe eingesetzt werden.
Nicht freigegebene Tools	Dürfen nicht für Unternehmensinformationen verwendet werden.
Öffentliche KI-Tools	Nur für öffentliche oder vollständig anonymisierte Inhalte nutzen.

Für ein kleines Unternehmen genügt oft eine einfache Liste im Intranet, im Qualitätsmanagementsystem oder an einem zentralen Ablageort. Wichtig ist, dass Mitarbeitende sie kennen und leicht finden.

3. Regeln für den Umgang mit Daten schaffen

Der wichtigste Teil jeder KI-Richtlinie betrifft die Daten.

Eine praxistaugliche Grundregel lautet:

Informationen, die nicht öffentlich sind, dürfen nicht ohne klare Freigabe in externe KI-Tools eingegeben werden.

Besonders kritisch sind beispielsweise:

Personendaten von Mitarbeitenden, Kundinnen, Kunden oder Lieferanten
Gesundheitsdaten, Bewerbungsunterlagen oder Lohndaten
Vertragsinhalte, Preise und Angebote
Reklamationen und Sicherheitsvorfälle
technische Zeichnungen, Produktdaten und Quellcodes
Zugangsdaten, Passwörter oder Systemkonfigurationen
Finanzdaten, Geschäftsstrategien und interne Planungen

Dabei ist Vorsicht mit dem Begriff «anonymisiert» angebracht. Das Entfernen eines Namens reicht nicht immer aus. Wenn eine Person, ein Kunde oder ein Projekt anhand anderer Informationen trotzdem identifizierbar bleibt, handelt es sich weiterhin um sensible oder personenbezogene Informationen.

Die Richtlinie kann deshalb mit einfachen Datenkategorien arbeiten:

Öffentlich: Darf in freigegebenen KI-Tools verwendet werden.
Intern: Nur gemäss interner Vorgabe und ausschliesslich in freigegebenen Lösungen.
Vertraulich: Nicht in öffentliche KI-Tools eingeben. Nutzung nur nach klarer Freigabe.
Besonders schützenswert oder geheim: Keine Eingabe in externe KI-Tools ohne spezifische Prüfung und Freigabe.

Die Kategorien müssen nicht abschliessend sein. Entscheidend ist vielmehr, dass Mitarbeitende im Arbeitsalltag rasch erkennen, in welchen Situationen sie Rückfragen stellen müssen.

4. Klären, wofür KI eingesetzt werden darf

KI kann im Unternehmen viele Aufgaben unterstützen. Doch nicht jede Anwendung hat das gleiche Risiko.

In einer KI-Richtlinie lohnt es sich, erlaubte Einsatzbereiche beispielhaft zu nennen. Das können sein:

Entwürfe für allgemeine Texte oder Präsentationen
Übersetzungen nicht vertraulicher Inhalte
Ideenfindung und Strukturierung
Zusammenfassungen öffentlich verfügbarer Informationen
Unterstützung bei Recherche oder Konzeptarbeit
Erstellung erster Entwürfe für Checklisten oder Vorlagen

Gleichzeitig sollte geregelt sein, bei welchen Themen besondere Vorsicht gilt oder eine Freigabe erforderlich ist. Dazu gehören etwa:

rechtliche Einschätzungen
Entscheidungen mit Auswirkungen auf Mitarbeitende
Vertragsinhalte und Angebote
technische oder sicherheitsrelevante Anweisungen
Reklamationen und Kundenkommunikation
Personalentscheide
Risikoanalysen und Auditfeststellungen

KI darf Vorschläge machen. Die Entscheidung und Verantwortung bleiben beim Menschen.

5. Fachliche Prüfung von KI-Ergebnissen verbindlich machen

KI kann überzeugend formulierte Inhalte liefern, die sachlich falsch, unvollständig oder nicht auf die konkrete Situation übertragbar sind. Das gilt für Texte, Berechnungen, Übersetzungen, Bilder und Programmcodes gleichermassen.

Deshalb sollte eine KI-Richtlinie klar festhalten:

KI-generierte Ergebnisse dürfen nicht ungeprüft übernommen oder veröffentlicht werden.

Die fachlich zuständige Person prüft Inhalte vor der Verwendung auf Richtigkeit, Vollständigkeit, Aktualität und Eignung für den konkreten Zweck.

Das ist besonders wichtig bei Kundenkommunikation, Qualitätsdokumenten, technischen Angaben, Arbeitsanweisungen oder rechtlich relevanten Informationen.

Ein einfaches Beispiel: Eine KI kann einen Entwurf für eine Antwort auf eine Kundenreklamation formulieren. Ob die Aussage zum konkreten Vertrag, zur tatsächlichen Ursache und zur gewählten Lösung passt, muss jedoch eine verantwortliche Fachperson beurteilen.

6. Rollen und Verantwortlichkeiten definieren

Es braucht klare Verantwortlichkeiten und definierte Ansprechpersonen.

Eine einfache Aufteilung kann so aussehen:

Geschäftsleitung: Genehmigt die grundsätzliche KI-Richtlinie und trägt die Gesamtverantwortung.
IT oder Informationssicherheit: Prüft technische Risiken, Zugriffsrechte und Sicherheitsanforderungen.
Datenschutzverantwortliche Person: Beurteilt den Umgang mit Personendaten und relevante Datenschutzfragen.
Fachverantwortliche: Entscheiden, ob KI-Ergebnisse fachlich geeignet sind.
Mitarbeitende: Halten sich an die Richtlinie, prüfen Ergebnisse und melden Unsicherheiten oder Vorfälle.

Wichtig ist weniger die genaue Bezeichnung der Rolle als eine klare Antwort auf die Frage: Wer entscheidet bei einem neuen Tool oder einem Unsicherheitsfall?

7. Einen einfachen Freigabeprozess für neue Tools festlegen

Neue KI-Anwendungen erscheinen laufend. Wenn Mitarbeitende jede Anwendung einzeln und informell nutzen, verliert das Unternehmen schnell den Überblick.

Ein pragmatischer Freigabeprozess kann drei Fragen umfassen:

1. Welchen konkreten Nutzen hat das Tool?

2. Welche Daten sollen damit verarbeitet werden?

3. Sind Datenschutz, Informationssicherheit, Vertragsbedingungen und Zugriffsrechte geprüft?

Je nach Risiko kann die Prüfung sehr kurz oder ausführlicher ausfallen. Ein Tool für Brainstorming mit öffentlichen Informationen braucht eine andere Beurteilung als eine Anwendung, die Kundenanfragen, Personendaten oder technische Unterlagen verarbeitet.

8. Vorgehen bei Fehlern und Vorfällen regeln

Fehler passieren. Entscheidend ist, dass sie erkennt und gemeldet werden.

Wenn jemand versehentlich vertrauliche Daten in ein nicht freigegebenes KI-Tool eingegeben hat, darf nicht zuerst die Frage im Vordergrund stehen, wer schuld ist. Wichtiger ist: Welche Daten waren betroffen, welches Tool wurde verwendet und welche Schritte sind jetzt nötig?

Die KI-Richtlinie sollte deshalb einen einfachen Meldeweg enthalten:

Vorfall oder Unsicherheit sofort der definierten Ansprechperson melden
Keine eigenmächtigen Lösch- oder Vertuschungsversuche
Betroffene Daten und das verwendete Tool dokumentieren
Risiko beurteilen und, falls nötig, weitere Massnahmen einleiten
Erkenntnisse für Schulungen und die Weiterentwicklung der Richtlinie nutzen

Diese Offenheit stärkt die Sicherheitskultur. Sie hilft dem Unternehmen, aus Fehlern zu lernen, statt Risiken erst spät zu entdecken.

9. Mitarbeitende mit echten Beispielen sensibilisieren

Eine Richtlinie wirkt nur, wenn Mitarbeitende sie verstehen.

Kurze Schulungen oder Teamgespräche mit konkreten Alltagssituationen helfen die Mitarbeitenden zu sensibilisieren.

Fragen, die in den Schulungen aufgeklärt werden sollten:

Darf ich eine Kundenreklamation in ein KI-Tool kopieren?
Darf ich einen Vertrag zusammenfassen lassen?
Was ist bei Übersetzungen zu beachten?
Wie erkenne ich ein nicht freigegebenes Tool?
Was mache ich, wenn ich aus Versehen sensible Daten eingegeben habe?

Je näher die Beispiele am Arbeitsalltag sind, desto eher werden Regeln auch angewendet.

10. Die KI-Richtlinie regelmässig überprüfen

KI entwickelt sich schnell. Neue Funktionen, veränderte Nutzungsbedingungen, andere Datenverarbeitungen oder neue gesetzliche Anforderungen können eine Anpassung notwendig machen.

Prüfe die Richtlinie deshalb mindestens jährlich und zusätzlich bei wesentlichen Änderungen.

Zentral dabei ist, dass die Richtline den Mitarbeitenden hilft KI im Alltag sicher und sinnvoll zu nutzen.

Fazit

Klare Regeln schaffen Sicherheit und Akzeptanz

Eine KI-Richtlinie für KMU muss nicht umfangreich sein. Sie sollte aber klare Antworten auf die wichtigsten Fragen geben:

Welche Tools sind erlaubt?
Welche Daten dürfen verwendet werden?
Wer prüft Ergebnisse?
Wer entscheidet bei Unsicherheiten?
Und was passiert bei einem Vorfall?

So wird KI nicht zur unkontrollierten Schattenlösung, sondern zu einem Werkzeug, das Mitarbeitende entlastet und gleichzeitig die Anforderungen an Datenschutz, Informationssicherheit und Qualität berücksichtigt.

Der beste Start ist oft einfach: Bestehende KI-Nutzung erfassen, die wichtigsten Datenregeln definieren und Mitarbeitenden eine verständliche Orientierung geben.

Wie klar sind die Regeln für KI in deinem Unternehmen heute bereits?