> Quelle: https://souverana.ch/insights/ki-governance/
> Sprache: de-CH

# KI-Governance: eine Seite reicht zum Start

Eine KI-Weisung, die in drei Monaten fertig wird, schützt heute niemanden. Schatten-KI wächst genau so lange, wie das Dokument reift.

Vorlage · Veröffentlicht 04.08.2026 · Aktualisiert 04.08.2026 · Joel Barmettler

## Was gehört in eine KI-Governance?

**Eine KI-Governance nützt erst, wenn sie gilt, und dafür genügt eine Seite. Sie besteht aus drei Teilen: einer Weisung, die sagt, welches Werkzeug mit welchen Daten benutzt werden darf, einer verantwortlichen Person pro Werkzeug, und einem Weg, auf dem Zweifelsfälle vor dem Einsatz gemeldet werden.**

**Das Wichtigste in Kürze**

-   Für die erste Fassung sollten Sie einen Nachmittag ansetzen. Die Wochen danach gehen für die Prüfung der Anbieterverträge drauf, nicht für das Schreiben.
-   Auch eingekaufte Software enthält KI-Funktionen, die nie jemand freigegeben hat. Sie gehören mit einer eigenen Zeile in die Tabelle.
-   Wenn für ein Werkzeug niemand mit Namen in der Tabelle stehen will, braucht es im Betrieb offenbar niemand. Auch das ist ein brauchbares Ergebnis.
-   Ohne Datum auf der Seite lässt sich im Streitfall nicht zeigen, welche Fassung galt. Setzen Sie eines.

Ein Kunde hatte KI-Governance zur Chefsache gemacht: eigene Fokusgruppe, feste Termine, hohe Priorität. Pro Sitzung kam ein Kapitel dazu, das vorher niemand vermisst hatte. Nach Monaten liegt nichts vor, das ein Mitarbeitender lesen könnte, und die Arbeit läuft längst über private Konten. Schatten-KI? wächst, solange das Dokument reift. Eine unfertige Seite, die heute gilt, schützt besser als eine vollständige, die in drei Monaten kommt.

Dies ist der vierte Teil unserer Serie zu Recht und Regulierung, und der praktischste: aus den Pflichten der anderen Teile wird eine Seite, die im Betrieb gilt.

Serie · Recht & Regulierung

1.  1 [KI-Regulierung Schweiz: was heute schon gilt](/insights/ki-regulierung-schweiz/)
2.  2 [revDSG und KI: was das Gesetz konkret fordert](/insights/revdsg-ki/)
3.  3 [Berufsgeheimnis und KI: was in die Cloud darf](/insights/berufsgeheimnis-cloud/)
4.  4 KI-Governance: eine Seite reicht zum Start Sie lesen diesen Teil
5.  5 [EU AI Act Schweiz: erst die Rolle, dann die Pflichten](/insights/eu-ai-act-schweiz/)

## Was auf die eine Seite gehört

Der Kern ist eine Tabelle. Sie beantwortet die Frage, die ein Mitarbeitender tatsächlich hat: Darf ich das hier eingeben?

Vorher brauchen Sie drei Datenklassen, mehr nicht. **Öffentlich** ist, was auch auf Ihrer Website stehen könnte. **Intern** ist der Normalfall: Offerten, Protokolle, Quellcode ohne Kundenbezug. **Besonders schützenswert** sind Gesundheits-, Personal- und Mandatsdaten sowie alles, was einer Geheimhaltungspflicht untersteht. Wer vier oder fünf Stufen ansetzt, kauft sich Abgrenzungsfragen ein, die im Alltag niemand beantwortet.

| Werkzeug | Zugelassene Daten | Eigner |
| --- | --- | --- |
| Chatwerkzeug im Geschäftstarif | öffentlich, intern | Name |
| Übersetzungsdienst, eingeloggt | öffentlich, intern | Name |
| Programmier-Assistent | öffentlich, intern | Name |
| Fachanwendung mit KI-Funktion | nach Vertrag | Name |

Dazu kommen vier Regeln, mehr braucht der Alltag nicht. Nur zugelassene Werkzeuge, [nur im Firmenkonto↗](/insights/souveraene-ki-plattform/), nur mit den dafür zugelassenen Daten. Ergebnisse auf Richtigkeit prüfen, denn die Verantwortung für die eigene Arbeit bleibt bei der Person. Transparenz schaffen, wo Dritte es wissen müssen. Und melden, was schiefgeht, auch wenn es sich still beheben liesse: Wer den Fall still behebt, sorgt dafür, dass die nächste Person denselben Fehler macht.

Beleg

Den Einseiter hat nicht Souverana erfunden. Die Zürcher Kanzlei VISCHER publiziert ihre Muster-Weisung seit 2024 als Einseiter zum freien Gebrauch, auf Deutsch und Englisch, ausdrücklich als Minimalregelung, die später zu ergänzen ist. In der überarbeiteten Fassung von 2025 hat sie die Grundregeln auf das gekürzt, was für Mitarbeitende ohne Sonderrolle gilt.

## Wie Sie den Eigner besetzen

Die Spalte ganz rechts sagt, wer bei einer Rückfrage antwortet. Diese Person kennt den Vertrag, legt die zugelassenen Datenklassen fest und führt sie nach, wenn der Anbieter etwas ändert.

Der Eigner sitzt selten in der IT. Er sitzt dort, wo der Nutzen anfällt: der Übersetzungsdienst beim Marketing, der Programmier-Assistent in der Entwicklung, die KI-Funktion im ERP bei der Person, die das ERP ohnehin betreut. Vorschlagen und tragen muss es, wer den Nutzen hat. Die Fachstellen beraten und legen die Risiken offen, Unterschrieben wird dort, wo auch die Weisung erlassen wird.

Diese Rolle macht auch sichtbar, wer im Ernstfall die handelnde Person ist. Warum das zählt, steht im [revDSG-Leitfaden](/insights/revdsg-ki/): Die Strafbestimmungen des Datenschutzgesetzes treffen die handelnde Person im Betrieb. Die datenschutzrechtlichen Pflichten selbst bleiben beim Unternehmen.

## Wenn jemand nachfragt

Eine Weisung kann nicht jeden künftigen Anwendungsfall vorwegnehmen. Die fünf Fragen, an denen ein Vorhaben hängen bleibt, stehen samt Herleitung in der [Regel-Landkarte](/insights/ki-regulierung-schweiz/).

Für die Weisung zählt, was auf ein Ja folgt. Drei Angaben genügen: an wen die Frage geht, bis wann geantwortet wird, und wo der Entscheid festgehalten ist. Fehlen sie, entscheiden die Leute weiter selbst, nur mit schlechterem Gewissen.

Die Antwortfrist ist der Teil, der am ehesten vergessen geht. Wer wochenlang auf eine Freigabe wartet, greift in der Zwischenzeit zum privaten Konto. Setzen Sie eine Frist, die Ihre Anlaufstelle auch in einer vollen Woche halten kann, und benennen Sie eine Vertretung.

## Was Sie weglassen können

Grundsatzkataloge zum verantwortungsvollen Umgang mit KI sind gut gemeint und für den Start entbehrlich. Vieles darin ist über das revDSG?, das Urheberrecht und Ihre bestehenden Verträge ohnehin verbindlich. Was darüber hinausgeht, ist eine bewusste Selbstverpflichtung. Ein eigenes Wertekatalog lohnt sich, wenn die Weisung steht.

Bei der Schulung gilt Ähnliches. Wer unter den EU AI Act fällt, muss seit dem 2. Februar 2025 etwas für die KI-Kompetenz seiner Leute tun. Der AI Omnibus hat Artikel 4 im Juli 2026 ersetzt und die Pflicht abgeschwächt: Zu ergreifen sind Massnahmen, welche die Entwicklung der KI-Kompetenz unterstützen, und für niemanden muss ein bestimmtes Niveau garantiert werden. Für eine Schweizer Firma ohne EU-Bezug ist Schulung damit eine Frage der Arbeitsqualität.

## So starten Sie

1.  01
    
    Datenklassen festhalten
    
    Die drei Stufen von oben, mit je einem Beispiel aus Ihrem Haus. Das ist die Grundlage für Spalte zwei.
    
2.  02
    
    Werkzeuge eintragen
    
    Was heute schon benutzt wird, inklusive der KI-Funktionen in eingekaufter Software. Pro Zeile ein Eigner.
    
3.  03
    
    Die Seite in Kraft setzen
    
    Mit Datum, erlassender Stelle und Anlaufstelle. Leere Zeilen sind erlaubt: Was nicht in der Tabelle steht, ist nicht zugelassen.
    
4.  04
    
    Nach einem Jahr nachführen
    
    Verträge, gemeldete Vorfälle, neu dazugekommene Werkzeuge.
    

Sie wollen die Weisung und die Zulassungen einmal sauber aufsetzen, statt sie über Monate zu verhandeln?

[KI-Governance](/leistungen/ki-governance/)

Die rechtlichen Grundlagen dieser einen Seite stehen in den übrigen Teilen der Serie: der Regel-Landkarte, dem revDSG-Leitfaden und dem Beitrag zum Berufsgeheimnis.

Der Autor

![Porträt von Joel Barmettler](/_astro/joel-barmettler.CGKHGWrV_sJ0IG.webp)

Joel Barmettler

KI-Architekt · Souverana, Zürich

Joel Barmettler begleitet Schweizer Unternehmen von der KI-Strategie bis zur Integration: souverän, vertraulich und produktionsreif. Er hat den Swiss AI Hub als Architekt aufgebaut und trägt heute Mitverantwortung für dessen Architektur; jedes Souverana-Mandat führt er persönlich. Mandate vom Einzelunternehmen bis zum Fortune-500-Konzern.

[Erstgespräch buchen](https://meet.brevo.com/joel-barmettler/30-minute-meeting) [Mehr über Souverana](/) [LinkedIn](https://www.linkedin.com/in/joel-barmettler-b9ab361b7)

Für die Geschäftsleitung

## Dieses Dossier als PDF

Den vollständigen Beitrag plus eine kompakte Management-Zusammenfassung und Checkliste, als PDF zum Speichern und Weiterleiten.

Sie erhalten das PDF sofort. Mit dem Absenden stimmen Sie zu, dass Souverana Sie zu diesem Thema kontaktieren darf. Verarbeitung in der Schweiz/EU, keine Weitergabe an Dritte, Widerruf jederzeit (revDSG).

## Häufige Fragen

Was gehört in eine KI-Weisung?

Drei Dinge: welche Werkzeuge mit welchen Datenklassen benutzt werden dürfen, wer im Betrieb für jedes Werkzeug verantwortlich ist, und vier Grundregeln für den Alltag. Dazu ein Weg, auf dem Mitarbeitende einen Zweifelsfall melden können. Eine Seite genügt dafür.

Wie lange dauert es, eine KI-Governance aufzusetzen?

Für die erste Fassung sollten Sie einen Nachmittag ansetzen, sobald die Datenklassen und die zugelassenen Werkzeuge feststehen. Aufwändig ist danach die Prüfung der Anbieterverträge. Verzögert wird es fast immer aus einem einzigen Grund: Das Dokument soll bei jeder Sitzung noch etwas mehr abdecken.

Wer entscheidet, ob ein KI-Werkzeug zugelassen wird?

Die Person, die es einsetzen will und dafür geradesteht. Rechtsdienst, Datenschutz und Sicherheit beraten und legen die Risiken offen. Ohne benannte verantwortliche Person sollte ein Werkzeug nicht produktiv eingesetzt werden.

Braucht mein Unternehmen KI-Ethikgrundsätze?

Für den Anfang nicht. Vieles darin ist über das revDSG, das Urheberrecht und Ihre Verträge ohnehin verbindlich. Was darüber hinausgeht, ist eine bewusste Selbstverpflichtung. Ein eigenes Wertekatalog lohnt sich, wenn die Weisung steht und erste Erfahrungen vorliegen.

Müssen wir Mitarbeitende im Umgang mit KI schulen?

Wer unter den EU AI Act fällt, muss seit dem 2. Februar 2025 etwas für die KI-Kompetenz seiner Leute tun. Der AI Omnibus hat Artikel 4 im Juli 2026 ersetzt und die Pflicht abgeschwächt: Massnahmen, welche die Entwicklung der KI-Kompetenz unterstützen, und für niemanden ein garantiertes Niveau. Für Schweizer Firmen ohne EU-Bezug ist Schulung eine Frage der Arbeitsqualität.

LinkedIn

## Diesen Beitrag teilen

Fertig formatierte Grafiken und ein Textvorschlag für Ihren LinkedIn-Post: herunterladen, kopieren, posten.

![Eine KI-Weisung als Ein-Seiten-Schema mit vier Abschnitten: drei Datenklassen, Tabelle mit Werkzeug, zugelassenen Daten und Eigner, vier Grundregeln, Anlaufstelle mit Antwortfrist. Callout: Schatten-KI wächst, solange das Dokument im Entwurf bleibt.](/media/ki-governance/infografik.png)

[Infografik herunterladen (PNG)](/media/ki-governance/infografik.png)

Textvorschlag

Wie lange liegt Ihre KI-Richtlinie schon im Entwurf?

Wir sehen dasselbe Muster regelmässig: Das Dokument wächst mit jeder Sitzung um ein Kapitel, das vorher niemand vermisst hat. In der Zwischenzeit tippen die Mitarbeitenden ihre Arbeit weiter in private Konten, wo das Unternehmen weder Vertrag noch Kontrolle über die Daten hat.

Der Kern einer Weisung passt auf eine Seite: drei Datenklassen, eine Tabelle mit Werkzeug, zugelassenen Daten und einer verantwortlichen Person, vier Grundregeln und eine Anlaufstelle mit Antwortfrist. Für die erste Fassung genügt ein Nachmittag, sobald Datenklassen und Werkzeuge feststehen. Die Wochen danach gehen für die Prüfung der Anbieterverträge drauf, nicht fürs Schreiben.

Unser Schluss: Eine unfertige Seite, die ab Montag gilt, schützt mehr als das vollständige Dokument im dritten Monat. Zwei Details entscheiden dabei mehr als jedes Zusatzkapitel: pro Werkzeug eine Person mit Namen, und ein Datum auf der Seite.

Im Beitrag steht die Weisung als ausfüllbare Vorlage, dazu das Beiblatt mit den fünf Fragen vor jedem neuen Einsatz und die Liste dessen, was bewusst später drankommt. Link in den Kommentaren.

#KIGovernance #Compliance #KI #Schweiz