Das Wichtigste in Kürze

  • Eine KI-Richtlinie sagt Ihrem Team, welche Tools es wofür und mit welchen Daten nutzen darf und wer die Ergebnisse prüft.
  • Das Herzstück sind Datenregeln mit Beispielen aus Ihrem Alltag, etwa in drei Klassen: grün, gelb, rot.
  • Für ein KMU reichen meist zwei bis vier Seiten, wenn sie konkret sind und eine Ansprechperson nennen.
  • Ein Verbot ohne erlaubte Alternative führt dazu, dass KI heimlich mit privaten Konten genutzt wird.
  • Führen Sie die Richtlinie mit einer Schulung ein und überprüfen Sie sie regelmässig.

Eine KI-Richtlinie legt fest, welche KI-Tools Ihr Team für welche Aufgaben nutzen darf, welche Daten hineingehören und wer die Ergebnisse prüft. Für ein Schweizer KMU genügen meist zwei bis vier Seiten, wenn sie konkret sind: eine Liste erlaubter Tools, Datenregeln mit Beispielen, eine Prüfregel und eine Ansprechperson. Hier lesen Sie, was hineingehört, und finden eine Mustergliederung zum Anpassen.

Die Gliederung ist eine Arbeitshilfe und ersetzt keine Rechtsberatung, besonders wenn Ihr Betrieb einem Berufsgeheimnis untersteht.

Warum braucht ein KMU eine KI-Richtlinie?

Weil Ihr Team KI sehr wahrscheinlich schon nutzt, mit oder ohne Regeln. Ohne Regeln landen Kundendaten in privaten Konten, ungeprüfte Texte gehen an Kunden, und niemand weiss genau, was erlaubt ist. Mit einer Richtlinie wissen alle, woran sie sind, und setzen KI mit gutem Gewissen ein.

Dazu kommen rechtliche Gründe. Als Arbeitgeber dürfen Sie allgemeine Anordnungen über die Ausführung der Arbeit erlassen, und Ihre Mitarbeitenden befolgen sie nach Treu und Glauben (Art. 321d OR). Für die Personendaten, die Ihr Team in Tools eingibt, bleiben Sie nach dem Datenschutzgesetz verantwortlich, mehr dazu in KI und Datenschutz in der Schweiz. Und wenn der EU AI Act für Sie gilt, müssen Sie Massnahmen treffen, um die KI-Kompetenz Ihres Teams zu fördern. Eine Richtlinie mit Schulung ist dafür der naheliegende Weg.

Was gehört in eine KI-Richtlinie?

Alles, was Mitarbeitende im Alltag wissen müssen, um ohne Rückfrage richtig zu handeln. Diese Punkte gehören hinein:

  • Zweck und Geltungsbereich: für wen die Regeln gelten, auch für Lernende, Temporäre und Freelancer, und für welche Tools, einschliesslich KI-Funktionen in Software, die Sie schon nutzen.
  • Erlaubte Tools: welche Werkzeuge für welche Aufgaben freigegeben sind und wie man ein neues beantragt.
  • Datenregeln: was in welches Tool darf, mit konkreten Beispielen.
  • Prüfung und Verantwortung: wer Ergebnisse kontrolliert, bevor sie das Haus verlassen.
  • Transparenz: wann Kundinnen und Kunden erfahren, dass KI im Spiel war.
  • Entscheide über Personen: KI darf sie vorbereiten, aber nicht allein treffen.
  • Vorfälle, Schulung, Ansprechperson und regelmässige Überprüfung.

Wie Sie Regeln für KI grundsätzlich nach Risiko abstufen, zeigt unsere Checkliste für Guardrails. Die Richtlinie übersetzt das in Regeln, die jede Person im Team versteht.

Wie formulieren Sie die Datenregeln?

Mit Beispielen aus Ihrem eigenen Betrieb. Ein Satz wie «keine vertraulichen Daten eingeben» hilft wenig, weil jede Person etwas anderes darunter versteht. Gut funktioniert eine Einteilung in drei Klassen:

  • Grün: öffentliche und unkritische Inhalte ohne Personenbezug, etwa Texte für die Website, allgemeine Vorlagen oder Ideen für einen Kundenanlass. Erlaubt in allen freigegebenen Tools.
  • Gelb: interne Informationen und gewöhnliche Personendaten, etwa eine Kundenmail mit Name und Adresse oder ein internes Protokoll. Nur in Tools mit Vertrag zur Auftragsbearbeitung und geprüfter Datenhaltung, und nur so viel wie nötig.
  • Rot: besonders schützenswerte Daten wie Gesundheitsangaben oder Strafverfahren, Daten unter Berufsgeheimnis, Lohn- und Personaldossiers, Passwörter und Zugangsdaten. Nur in ausdrücklich dafür freigegebenen Systemen oder gar nicht.

Welche Tools für Gelb und Rot in Frage kommen, hängt vom Datenstandort und vom Vertrag ab. Die Kriterien dafür stehen im Beitrag KI-Tools mit Datenhaltung in der Schweiz oder EU. Ein Beispiel: In einem Malerbetrieb mit zwölf Personen schreibt die Bürofachfrau einen Text über Fassadenrenovationen für die Website mit jedem freigegebenen Tool (grün). Eine Kundenanfrage mit Name und Adresse fasst sie nur im Geschäftskonto des freigegebenen Assistenten zusammen (gelb). Das Arztzeugnis eines Mitarbeiters gehört in kein KI-Tool (rot).

Eine gute KI-Richtlinie beantwortet die Frage, die sich jemand am Montagmorgen stellt: Darf ich das hier eingeben?

Mustergliederung zum Anpassen

Diese Gliederung passt für Betriebe mit fünf bis hundert Personen. Ersetzen Sie die Beispiele durch eigene und streichen Sie, was bei Ihnen nicht vorkommt.

  1. Zweck.Ein, zwei Sätze, warum Sie KI nutzen und was die Richtlinie erreichen soll, zum Beispiel: Zeit sparen bei Routinearbeit, ohne Daten oder Qualität aufs Spiel zu setzen.
  2. Geltungsbereich.Wer gemeint ist (alle Mitarbeitenden, Lernende, Temporäre, Freelancer) und welche Tools, auch KI-Funktionen in Mailprogramm, Office-Paket oder Branchensoftware.
  3. Erlaubte Tools.Eine Tabelle mit Tool, Zweck und erlaubter Datenklasse. Private Konten sind für Geschäftsdaten tabu. Neue Tools beantragt man bei der Ansprechperson.
  4. Datenregeln.Die drei Klassen grün, gelb und rot, je mit drei bis fünf Beispielen aus Ihrem Alltag.
  5. Prüfen und verantworten.Jedes Ergebnis wird vor der Verwendung geprüft, besonders Zahlen, Namen, Fristen, Zitate und rechtliche Aussagen. Verantwortlich ist, wer das Ergebnis verwendet oder verschickt.
  6. Transparenz.Wann Sie Ihre Kundschaft über KI informieren, dass sich Chatbots als solche zu erkennen geben und dass keine täuschend echten Bilder oder Stimmen realer Personen ohne Kennzeichnung entstehen.
  7. Entscheide über Personen.Absagen, Bewertungen und andere Entscheide über Bewerbende, Mitarbeitende, Mieter oder Kundinnen trifft immer ein Mensch. Die KI darf sie vorbereiten.
  8. Konten und Zugänge.Nur Geschäftskonten, Zwei-Faktor-Anmeldung, keine geteilten Zugänge. Beim Austritt werden die Zugänge gesperrt.
  9. Vorfälle melden.An wen man sich wendet, wenn Daten im falschen Tool gelandet sind oder ein KI-Ergebnis Schaden angerichtet hat. Rasch melden zählt mehr als die Frage nach der Schuld.
  10. Schulung und Ansprechperson.Eine Einführung für alle, auch für neue Mitarbeitende, und eine benannte Person für Fragen, zum Beispiel ein KI-Champion im Team.
  11. Überprüfung.Wer die Richtlinie verantwortet und wann sie überprüft wird, etwa halbjährlich. Die Tool-Liste darf öfter nachgeführt werden.

Wie führen Sie die Richtlinie ein?

So, dass sie im Alltag ankommt. Schreiben Sie sie mit zwei, drei Personen aus verschiedenen Bereichen, damit die Beispiele stimmen. Stellen Sie sie in einer kurzen Schulung vor, in der alle die erlaubten Tools an echten Aufgaben ausprobieren, zum Beispiel in einem unserer Team-Trainings. Legen Sie die Richtlinie dort ab, wo man sie findet, und lassen Sie den Erhalt bestätigen. Sammeln Sie in den ersten Wochen die Fragen und ergänzen Sie die Beispiele. Nach einigen Monaten prüfen Sie, ob die Regeln eingehalten werden und noch passen.

Welche Fehler sollten Sie vermeiden?

  • Ein Verbot ohne Alternative. Wer KI nicht offiziell nutzen darf, nutzt sie oft heimlich mit privaten Konten.
  • Regeln ohne Beispiele. «Vertrauliche Daten» versteht jede Person anders.
  • Eine Vorlage aus dem Konzern. 20 Seiten liest in einem Betrieb mit 15 Personen niemand.
  • Eine veraltete Tool-Liste. Tools und ihre Bedingungen ändern sich, die Liste muss mitziehen.
  • Keine Ansprechperson. Wer nicht weiss, wen er fragen kann, entscheidet allein.

Wie wir Betriebe dabei begleiten, Regeln, Tools und Schulung zusammenzubringen, zeigt die Seite KI im Team.

Häufige Fragen

Wie lang sollte eine KI-Richtlinie sein?

Für ein KMU reichen meist zwei bis vier Seiten. Wichtiger als die Länge sind konkrete Beispiele und eine aktuelle Tool-Liste. Anleitungen oder Prompt-Sammlungen gehören besser in eigene Dokumente, auf die die Richtlinie verweist.

Müssen Mitarbeitende die KI-Richtlinie unterschreiben?

Eine Unterschrift ist nicht zwingend. Entscheidend ist, dass alle die Richtlinie kennen, denn Anordnungen des Arbeitgebers sind nach Treu und Glauben zu befolgen. Eine Bestätigung des Erhalts hilft, später zu belegen, dass alle sie bekommen haben.

Dürfen wir KI am Arbeitsplatz ganz verbieten?

Ja, als Arbeitgeber können Sie das anordnen. In der Praxis führt ein reines Verbot aber oft dazu, dass Mitarbeitende private Tools heimlich nutzen, und dann haben Sie weder Kontrolle noch Überblick. Meist ist es sicherer, ein geprüftes Tool freizugeben und klare Regeln dafür aufzustellen.

Dürfen wir kontrollieren, ob sich alle an die Richtlinie halten?

In Grenzen. Systeme, die das Verhalten der Mitarbeitenden am Arbeitsplatz überwachen sollen, sind nach Artikel 26 der Verordnung 3 zum Arbeitsgesetz verboten, und Daten über Mitarbeitende dürfen Sie nur bearbeiten, soweit sie das Arbeitsverhältnis betreffen. Setzen Sie deshalb auf Schulung, Stichproben bei Arbeitsergebnissen und eine offene Meldekultur. Vor technischen Kontrollen holen Sie besser fachlichen Rat ein.

Wie oft sollten wir die Richtlinie anpassen?

Überprüfen Sie die Richtlinie etwa alle sechs Monate, die Tool-Liste jedes Mal, wenn ein Tool dazukommt oder ein Anbieter seine Bedingungen ändert. Auch neue Vorgaben, etwa aus der angekündigten Schweizer KI-Regulierung, sind ein Anlass. Ein fester Termin im Kalender sorgt dafür, dass es nicht vergessen geht.