Grafik: René Sonderegger, mit KI-Unterstützung erstellt
Eine KI-Richtlinie für ein KMU passt auf zwei Seiten. Sie legt fest, welche KI-Tools erlaubt sind, welche Daten nie hineingehören, wer Ergebnisse prüft und an wen man sich bei Fragen wendet. Wichtiger als juristische Vollständigkeit ist, dass alle im Team sie verstehen und anwenden.
Warum eine Richtlinie?
In vielen Betrieben nutzen Mitarbeitende längst KI, oft mit privaten Konten und ohne dass die Geschäftsleitung es weiss. Als Verantwortliche müssen Sie aber sicherstellen, dass Personendaten angemessen geschützt sind (Art. 8 DSG) und nur nach den Grundsätzen des Gesetzes bearbeitet werden (Art. 6 DSG). Eine kurze Richtlinie schafft Klarheit und schützt auch Ihre Mitarbeitenden vor Fehlern.
Im Oktober haben der Eidgenössische Datenschutzbeauftragte (EDÖB) und das Bundesamt für Cybersicherheit (BACS) genau davor gewarnt. Sie nennen es «Oversharing»: Man gibt der KI mehr preis als nötig, ganze Kundenmails, Gesundheits- oder Personaldaten, oft Daten von anderen Menschen. Eine ihrer Empfehlungen: klare interne Regeln, welche Tools erlaubt sind und welche Daten nicht hineingehören. Genau das ist eine KI-Richtlinie.
Diese sieben Punkte gehören hinein
1. Erlaubte Tools. Liste der freigegebenen KI-Dienste, mit Firmenkonto. Alles andere nur nach Rücksprache.
2. Verbotene Daten. Keine Namen, Adressen, Gesundheitsdaten, Lohnangaben, Passwörter, Geschäftsgeheimnisse oder Daten, die einem Berufsgeheimnis unterliegen. Wo nötig: anonymisieren («Kunde A»).
3. Prüfpflicht. KI-Ergebnisse werden vor der Verwendung von einem Menschen geprüft, vor allem Zahlen, Rechtsauskünfte und Texte an Kundinnen und Kunden.
4. Kennzeichnung. Wann sagen Sie gegen aussen, dass KI mitgearbeitet hat? Zum Beispiel bei Bildern und automatisierten Antworten.
5. Urheberrecht und Vertraulichkeit. Keine fremden Dokumente hochladen, für die Sie keine Rechte haben. Verträge und Offerten nur in freigegebenen Tools.
6. Ansprechperson. Wer beantwortet Fragen, wer gibt neue Tools frei, wer wird bei einer Panne informiert?
7. Überprüfung. Die Richtlinie wird jährlich oder bei neuen Tools angepasst. Datum und Version gehören hinein.
Version und Änderungen festhalten
Im Datenschutz müssen Sie jederzeit zeigen können, welche Regeln wann galten. Nummerieren Sie deshalb die Fassungen: Version 1, Version 2 und so weiter. Ältere Entwürfe müssen Sie nicht alle aufbewahren. Führen Sie aber eine kurze Liste, wann und weshalb sich etwas geändert hat. Die Fassung, die Ihr Team unterschrieben hat, legen Sie zusammen mit den Unterschriften ab.
Die richtige Frage an die KI
Eine Vorlage müssen Sie heute nicht mehr suchen, die KI schreibt Ihnen einen Entwurf. Wie gut er wird, hängt von der Frage ab. Diese Frage können Sie kopieren und die Klammern ausfüllen:
Ich führe einen Betrieb in der Schweiz mit [Anzahl] Personen, Branche [Branche]. Wir nutzen [KI-Tools]. Schreibe mir eine KI-Richtlinie von höchstens zwei Seiten nach dem Schweizer Datenschutzgesetz (DSG), in einfacher Sprache, mit diesen sieben Punkten: erlaubte Tools, verbotene Daten, Prüfpflicht, Kennzeichnung, Urheberrecht und Vertraulichkeit, Ansprechperson, Überprüfung mit Version und Datum. Markiere die Stellen, die ich selbst entscheiden muss. Kundschaft in der EU: [ja / nein].
Geben Sie dabei keine Namen und keine internen Unterlagen ein, die Frage braucht sie nicht. Und prüfen Sie den Entwurf: Die KI kennt Ihren Betrieb nicht und kann sich bei Gesetzesartikeln irren.
So führen Sie sie ein
Besprechen Sie die Richtlinie im Team, statt sie nur zu verschicken. Lassen Sie sie unterschreiben oder bestätigen. Zeigen Sie an einem Beispiel, wie man eine Anfrage ohne Personendaten formuliert. Arbeiten Sie mit Kundinnen und Kunden aus der EU, beachten Sie zusätzlich die Pflichten des EU AI Act, insbesondere die Vermittlung von KI-Kompetenz an die Mitarbeitenden.
Kurz zusammengefasst
- Zwei Seiten genügen: Tools, verbotene Daten, Prüfpflicht, Kennzeichnung, Rechte, Ansprechperson, Überprüfung.
- Den Entwurf schreibt die KI, wenn Sie ihr die richtige Frage stellen. Prüfen müssen Sie ihn selbst.
- Gemeinsam einführen, nicht nur verteilen.
- Version und Datum festhalten, Änderungen in einer Liste.
Sie möchten eine KI-Richtlinie, die zu Ihrem Betrieb passt? Ich erarbeite sie mit Ihnen und richte die erlaubten Tools gleich datenschutzkonform ein. Schreiben Sie mir für ein kostenloses Erstgespräch.
Quellen: Datenschutzgesetz (DSG) · EDÖB: KI und Datenschutz · EDÖB/BACS: Generative KI am Arbeitsplatz · Stand 04.11.2026