Warum eine KI-Richtlinie jetzt nötig ist
Generative KI ist in vielen Betrieben bereits angekommen – oft über private Accounts und ohne zentrale Freigabe. Das eigentliche Risiko ist deshalb nicht die Einführung, sondern die unsichtbare Nutzung. Eine schlanke Richtlinie macht den Ist-Zustand sichtbar und erlaubt sinnvolle Experimente, ohne Kunden-, Personal- oder Projektdaten unnötig preiszugeben.
- Nutzung sichtbar statt heimlich machen
- Geschäftsgeheimnisse und Personendaten schützen
- Verantwortung für externe Aussagen klären
- Lernschleifen aus Piloten dokumentieren
Die vier Risikoklassen
Nicht jede KI-Anwendung braucht denselben Kontrollaufwand. Eine Textkorrektur ohne vertrauliche Inhalte ist anders zu behandeln als eine automatisierte Personalentscheidung. Ordnen Sie Anwendungsfälle nach Datenart, Wirkung und Reversibilität ein. Je grösser ein möglicher Schaden, desto stärker müssen Freigabe, Protokollierung und menschliche Kontrolle sein.
- Niedrig: Ideen, Struktur und öffentliche Informationen
- Mittel: interne Arbeitsunterlagen ohne besonders schützenswerte Daten
- Hoch: Kunden-, Personal-, Vertrags- oder Finanzdaten
- Nicht zulässig: autonome Entscheide mit rechtlicher oder finanzieller Wirkung
Welche Daten dürfen in KI-Tools?
Die einfachste Regel lautet: Nur Daten verwenden, die für den Zweck notwendig und für das konkrete Werkzeug freigegeben sind. Namen, Kontaktdaten, Gesundheitsangaben, Löhne, Offerten, Verträge, technische Pläne und Zugangsdaten verdienen besondere Aufmerksamkeit. Wo möglich, werden Inhalte anonymisiert oder durch synthetische Beispiele ersetzt.
- Daten vor der Eingabe minimieren
- Vertrauliche Angaben entfernen oder pseudonymisieren
- Auftragsbearbeitung und Speicherorte vertraglich prüfen
- Keine Passwörter, Schlüssel oder vollständigen Kundendossiers eingeben
Rollen und Freigaben definieren
Die Geschäftsleitung trägt die Gesamtverantwortung, muss aber nicht jedes Experiment selbst prüfen. Sinnvoll ist eine fachliche Eigentümerschaft pro Anwendung, eine technische oder datenschutzbezogene Prüfung für erhöhte Risiken und eine Person, die das zentrale Werkzeug- und Anwendungsregister pflegt. So bleibt Governance handlungsfähig.
- Geschäftsleitung: Grundsätze und Risikoappetit
- Use-Case-Owner: Nutzen, Daten und Qualitätskontrolle
- IT oder Datenschutz: Anbieter, Zugriff und Aufbewahrung
- Mitarbeitende: Regeln anwenden und Vorfälle melden
Menschliche Qualitätskontrolle
KI-Ausgaben sind Vorschläge, keine geprüften Fakten. Vor Kundenkontakt, Veröffentlichung, Vertragswirkung oder Buchung braucht es eine sachkundige Person, die Richtigkeit, Vollständigkeit, Tonalität und Quellen kontrolliert. Der Prüfprozess soll zum Risiko passen und im Arbeitsablauf sichtbar sein.
- Vier-Augen-Prinzip bei hoher Aussenwirkung
- Quellen und Rechenwege bei Fachinhalten kontrollieren
- Automatische Aktionen zunächst mit Freigabeschritt
- Fehler und Korrekturen als Lernfälle festhalten
Einführung in 30 Tagen
Wählen Sie nicht zuerst ein grosses Regelwerk, sondern drei reale Anwendungen. Erfassen Sie Datenarten und Risiken, entscheiden Sie über freigegebene Werkzeuge und testen Sie die Regeln mit den betroffenen Mitarbeitenden. Nach vier Wochen werden Unklarheiten, Ausnahmen und neue Anforderungen in einer zweiten Version ergänzt.
- Woche 1: Anwendungen und Tools inventarisieren
- Woche 2: Risikoklassen und Verantwortliche festlegen
- Woche 3: Richtlinie schulen und Pilotfälle prüfen
- Woche 4: Kontrollen, Vorfälle und Verbesserungen auswerten
Vorlage für die interne Richtlinie
Die Richtlinie sollte Zweck, Geltungsbereich, erlaubte und verbotene Nutzung, Datenregeln, Prüfpflichten, Verantwortlichkeiten, Meldung von Vorfällen und einen Überprüfungstermin enthalten. Ergänzen Sie eine kurze Werkzeugliste und konkrete Beispiele aus Ihrem Betrieb. Eine verständliche Seite wird eher eingehalten als ein ungelesenes Handbuch.
- Zweck und Geltungsbereich
- Freigegebene Werkzeuge und Konten
- Erlaubte Daten und verbotene Eingaben
- Prüfung, Dokumentation, Vorfälle und Revision