Das Wichtigste in Kürze

  • Gute Guardrails machen den sicheren Weg zum einfachsten, statt für alles eine Freigabe zu verlangen.
  • Passen Sie die Kontrollen dem Risiko an: einfache Hinweise für alltägliche Entwürfe, eine verbindliche Prüfung, wo Geld, Kunden oder rechtliche Pflichten betroffen sind.
  • Regeln Sie konkret, welche Informationen in welche Tools dürfen, und zeigen Sie Beispiele.
  • Benennen Sie für jede KI-gestützte Entscheidung mit spürbaren Folgen eine verantwortliche Person.
  • Überprüfen Sie Tools und Regeln in festen Abständen und geben Sie Ihrem Team einen einfachen Weg, Fragen zu stellen und Probleme zu melden.

Warum es Guardrails braucht und woran sie scheitern

Beim Thema KI stehen Führungskräfte vor zwei entgegengesetzten Risiken. Ohne Regeln landen sensible Informationen im erstbesten Tool, Ergebnisse bleiben ungeprüft, und niemand weiss, welche Entscheidungen ein Modell mitgeprägt hat. Mit zu vielen Regeln führt jeder Einsatz über Formular, Gremium und Warteschlaufe, also geben die Leute auf oder umgehen den Prozess stillschweigend. In beiden Fällen ist das Unternehmen verwundbarer als nötig.

Gute Guardrails liegen dazwischen. Sie machen den sicheren Weg, KI zu nutzen, zum einfachsten und konzentrieren die genaue Prüfung auf die Fälle, in denen viel auf dem Spiel steht. Die folgende Checkliste richtet sich an Führungskräfte, die genau diese Balance suchen. Eine Rechtsberatung ersetzt sie nicht, und Unternehmen in regulierten Branchen müssen sie von eigenen Fachleuten prüfen lassen. Sie deckt aber die Fragen ab, die Artifex in jedem Mandat stellt, ob wir eine Strategie entwickeln oder ein System bauen.

Zuerst die Risikostufen

Bevor Sie Regeln schreiben, teilen Sie die KI-Anwendungen in wenige Stufen ein. Geringes Risiko: Eine Person liest und überarbeitet das Ergebnis, bevor es weitergeht, etwa beim Entwurf einer internen Zusammenfassung. Mittleres Risiko: Das Ergebnis erreicht Kunden oder fliesst in Entscheidungen ein, wird aber vorher von einer Person geprüft. Hohes Risiko: Die Anwendung wirkt sich auf einzelne Menschen, auf Finanzen oder auf rechtliche Pflichten aus, oder sie läuft, ohne dass jemand jeden einzelnen Fall prüft.

Jede Stufe bekommt Kontrollen, die zum Risiko passen. Bei geringem Risiko genügen klare Hinweise und freigegebene Tools, Genehmigungen braucht es keine. Mittleres Risiko verlangt festgelegte Prüfschritte. Hohes Risiko verlangt eine dokumentierte Bewertung, Tests vor dem Start, Monitoring und einen klar benannten Owner. So läuft der Alltag zügig, und die volle Aufmerksamkeit gilt den wenigen Fällen, die sie brauchen.

Dasselbe Tool kann je nach Einsatz in verschiedenen Stufen landen. Nutzt ein Marketingteam einen Assistenten, um Ideen für Kampagnen zu sammeln, fällt das in die unterste Stufe. Beginnt das Team, damit Produktbeschreibungen zu veröffentlichen, auf die sich Kunden verlassen, rückt der Einsatz eine Stufe höher und braucht einen Prüfschritt, obwohl sich am Tool nichts geändert hat. Eingestuft wird also die Nutzung, nicht die Software.

Die Checkliste

  1. Freigegebene Tools.Veröffentlichen Sie eine kurze Liste: Welche Tools sind erlaubt, und wofür? So muss niemand raten.
  2. Datenregeln.Halten Sie verständlich fest, welche Arten von Informationen in welche Tools dürfen, mit Beispielen dafür, was nicht erlaubt ist.
  3. Risikostufen.Ordnen Sie jeden Use Case einer Stufe zu und prüfen Sie ihn vor dem Go-live entsprechend gründlich.
  4. Verantwortung beim Menschen.Jede KI-gestützte Entscheidung, die Kunden, Mitarbeitende, Geld oder Compliance betrifft, braucht eine verantwortliche Person.
  5. Prüfschritte.Legen Sie fest, wo eine Person Ergebnisse prüfen muss, worauf sie dabei achtet und wie die Prüfung dokumentiert wird.
  6. Transparenz.Entscheiden Sie, wann Kunden oder Mitarbeitende erfahren sollen, dass KI im Spiel war, und wie Sie es ihnen mitteilen.
  7. Tests.Testen Sie Lösungen mit höherem Risiko vor dem Start und nach grösseren Änderungen, und zwar an realistischen Fällen, gerade auch an kniffligen.
  8. Monitoring und Logs.Behalten Sie Qualität, Nutzung und Fehler im Blick und protokollieren Sie automatisierte Aktionen samt den Daten, auf denen sie beruhen.
  9. Meldeweg.Geben Sie Ihrem Team einen einzigen, einfachen Weg, Probleme zu melden, und einen klar benannten Owner, der sich darum kümmert.
  10. Regelmässige Überprüfung.Nehmen Sie Tools, Regeln und Stufen in festen Abständen erneut unter die Lupe, und dazu jedes Mal, wenn sich ein Tool oder eine Vorschrift wesentlich ändert.

Nicht alle zehn Punkte müssen stehen, bevor jemand KI nutzt. Wer bei null startet, beginnt am besten mit freigegebenen Tools, Datenregeln und einem Meldeweg. Diese drei Punkte decken die häufigsten Probleme ab und sind meist schnell vereinbart. Den Rest ergänzen Sie, sobald Use Cases in die mittlere oder hohe Stufe aufrücken.

Den Papierkram klein halten

Guardrails scheitern, sobald sie zur Last werden. Beschränken Sie die zentrale Richtlinie auf zwei, drei Seiten in verständlicher Sprache mit Beispielen, und verlagern Sie die Details in kurze Playbooks für einzelne Rollen. Wer im Verkauf arbeitet, muss wissen, was in einen freigegebenen Assistenten eingefügt werden darf. Das komplette Risiko-Framework braucht es dafür nicht. So vermeiden Sie unnötige Hürden:

  • Ersetzen Sie pauschale Genehmigungen durch vorab freigegebene Standardfälle für häufige Anwendungen mit geringem Risiko.
  • Erfassen Sie neue Use Cases mit einem kurzen Formular und eskalieren Sie nur jene, die eine höhere Stufe erreichen.
  • Bauen Sie Kontrollen direkt in den Workflow ein, etwa als Prüfschritt im Tool, statt darauf zu vertrauen, dass jemand daran denkt.
  • Nennen Sie eine Ansprechperson, die Fragen innert Tagen beantwortet, nicht erst nach Wochen.
  • Veröffentlichen Sie Entscheide, damit Teams wissen, was schon freigegeben ist, und es wiederverwenden können.

Regeln dort vermitteln, wo KI im Einsatz ist

Regeln, die nur in einem Richtliniendokument stehen, sind schnell vergessen. Vermitteln Sie sie im Kontext: In Trainings gehören der Umgang mit Daten und das Prüfen auf Richtigkeit direkt zu den Übungen und nicht in ein separates Compliance-Modul. Interne Champions können Alltagsfragen beantworten und auf Lücken in den Regeln hinweisen. Genau deshalb ist der verantwortungsvolle Umgang mit KI Teil unserer Team-Trainings. Wie das Gelernte auch langfristig wirkt, zeigen wir in unserem Artikel über Workshops.

Guardrails, die Menschen verstehen und mittragen, bewirken mehr als Regeln, die sie bloss befolgen sollen.

Zuständigkeit klären

Governance braucht einen Owner, sollte aber nicht bei einer einzigen Abteilung liegen. Bewährt hat sich meist eine kleine Gruppe aus Betrieb, IT, Recht oder Compliance, ergänzt um einen Sponsor aus dem Fachbereich. Sie hält die Checkliste aktuell, entscheidet über Use Cases mit höherem Risiko und sorgt dafür, dass die Regeln helfen, statt zu bremsen. Wird die Gruppe zum Engpass, müssen vermutlich die Stufen angepasst werden und nicht der Sitzungskalender.

Werden Lösungen in Kernsysteme eingebunden, gehören Kontrollen wie Zugriffsrechte, Audit-Logs und Prüfpunkte von Anfang an ins Konzept. In unseren Automatisierungs- und Integrationsprojekten ist das Standard und weit günstiger als ein nachträglicher Einbau.

Weiterlesen