KI-Governance: eine Seite reicht zum Start

Was gehört in eine KI-Governance?

Eine KI-Governance legt fest, wie Mitarbeitende KI-Werkzeuge im Betrieb nutzen dürfen, und sie nützt erst, wenn sie gilt. Dafür genügt eine Seite mit drei Teilen: einer Weisung, die sagt, welches Werkzeug mit welchen Daten erlaubt ist, einer verantwortlichen Person pro Werkzeug und einer Anlaufstelle für Zweifelsfälle vor dem Einsatz.

Das Wichtigste in Kürze

• Für die erste Fassung der Weisung sollten Sie einen Nachmittag ansetzen. Die Prüfung der Anbieterverträge, also was der Anbieter mit eingegebenen Daten tun darf, beansprucht die Wochen danach.
• Auch eingekaufte Fachsoftware enthält KI-Funktionen, die nie jemand freigegeben hat. Jede davon gehört mit einer eigenen Zeile in die Werkzeugtabelle, die weiter unten als Kern der Weisung beschrieben ist.
• Wenn sich für ein Werkzeug niemand als verantwortliche Person mit Namen eintragen will, ist es im Betrieb offenbar nicht nötig. Auch das ist ein brauchbares Ergebnis.
• Ohne Datum auf der Weisung lässt sich im Streitfall nicht zeigen, welche Fassung galt. Setzen Sie eines.

Ein Kunde hatte KI-Governance zur Chefsache gemacht: eigene Fokusgruppe, feste Termine, hohe Priorität. Pro Sitzung kam ein Kapitel dazu, das vorher niemand vermisst hatte. Nach Monaten liegt nichts vor, das ein Mitarbeitender lesen könnte, und die Mitarbeitenden arbeiten längst mit privaten Konten. Schatten-KI?Schatten-KIDer Einsatz von KI-Werkzeugen durch Mitarbeitende ohne Wissen und Freigabe des Unternehmens, meist über private Konten. Verbote fördern sie, weil der Bedarf bleibt und die Nutzung nur unsichtbar wird., also die Nutzung nicht freigegebener Werkzeuge, wächst, solange das Dokument im Entwurf liegt. Eine unfertige Seite, die heute gilt, schützt besser als eine vollständige, die in drei Monaten kommt.

Dieser Beitrag ist der vierte Teil unserer Serie zu Recht und Regulierung, und der praktischste: aus den Pflichten der anderen Teile wird eine Seite, die im Betrieb gilt.

Was auf die eine Seite gehört

Der Kern ist eine Tabelle. Sie beantwortet die Frage, die ein Mitarbeitender tatsächlich hat: Darf ich das hier eingeben?

Vorher brauchen Sie drei Datenklassen, mehr nicht. Öffentlich ist, was auch auf Ihrer Website stehen könnte. Intern ist der Normalfall: Offerten, Protokolle, Quellcode ohne Kundenbezug. Besonders schützenswert sind Gesundheits-, Personal- und Mandatsdaten sowie alles, was einer Geheimhaltungspflicht untersteht. Wer vier oder fünf Stufen ansetzt, erzeugt Abgrenzungsfragen, die im Alltag niemand beantwortet.

Die Tabelle hat drei Spalten: das Werkzeug, die zugelassenen Datenklassen und den Eigner, die verantwortliche Person.

Werkzeug	Zugelassene Daten	Eigner
Chatwerkzeug im Geschäftstarif	öffentlich, intern	Name
Übersetzungsdienst, eingeloggt	öffentlich, intern	Name
Programmier-Assistent	öffentlich, intern	Name
Fachanwendung mit KI-Funktion	nach Vertrag	Name

Dazu kommen vier Regeln, mehr braucht der Alltag nicht:

• Nur zugelassene Werkzeuge verwenden, nur im Firmenkonto↗Souveräne KI · Teil 4Souveräne KI-Plattform: warum sie stärker bindet als das ModellDas Modell lässt sich leicht wechseln. Die Plattform, die Software, mit der Ihr Team KI täglich nutzt, hält Ihre Chats, Dateien und Ihr Wissen und bindet Sie deshalb am längsten. Wie Sie sie souverän wählen.Beitrag lesen, nur mit den dafür zugelassenen Daten.
• Ergebnisse auf Richtigkeit prüfen, denn die Verantwortung für die eigene Arbeit bleibt bei der Person.
• Offenlegen, wo Dritte wissen müssen, dass KI im Spiel war.
• Melden, was schiefgeht, auch wenn es sich still beheben liesse. Wer den Fall still behebt, sorgt dafür, dass die nächste Person denselben Fehler macht.

Wie Sie den Eigner besetzen

Die Spalte ganz rechts sagt, wer bei einer Rückfrage antwortet. Diese Person kennt den Vertrag, legt die zugelassenen Datenklassen fest und führt sie nach, wenn der Anbieter etwas ändert.

Der Eigner sitzt selten in der IT. Er sitzt dort, wo der Nutzen anfällt: der Übersetzungsdienst beim Marketing, der Programmier-Assistent in der Entwicklung, die KI-Funktion im ERP bei der Person, die das ERP ohnehin betreut. Vorschlagen und verantworten soll es, wer den Nutzen hat. Rechtsdienst, Datenschutz und Sicherheit beraten und legen die Risiken offen. Die Zulassung unterschreibt die Stelle, die auch die Weisung erlässt.

Diese Rolle macht auch sichtbar, wer im Ernstfall die handelnde Person ist. Warum das zählt, steht im revDSG-Leitfaden: Die Strafbestimmungen des Datenschutzgesetzes treffen die handelnde Person im Betrieb. Die datenschutzrechtlichen Pflichten selbst bleiben beim Unternehmen.

Wenn jemand nachfragt

Eine Weisung kann nicht jeden künftigen Anwendungsfall vorwegnehmen. Die fünf Fragen, an denen ein Vorhaben hängen bleibt, stehen samt Herleitung in der Regel-Landkarte.

Für die Weisung zählt, was auf ein Ja bei einer dieser Fragen folgt. Drei Angaben genügen: an wen die Frage geht (die Anlaufstelle), bis wann geantwortet wird, und wo der Entscheid festgehalten ist. Fehlen diese Angaben, entscheiden die Mitarbeitenden weiter selbst, aber mit schlechterem Gewissen.

Die Antwortfrist ist der Teil, der am ehesten vergessen geht. Wer wochenlang auf eine Freigabe wartet, greift in der Zwischenzeit zum privaten Konto. Setzen Sie eine Frist, die Ihre Anlaufstelle auch in einer vollen Woche halten kann, und benennen Sie eine Vertretung.

Was Sie weglassen können

Grundsatzkataloge zum verantwortungsvollen Umgang mit KI sind gut gemeint und für den Start entbehrlich. Vieles darin ist über das revDSG?revDSGDas revidierte Schweizer Datenschutzgesetz, in Kraft seit dem 1. September 2023. Es regelt, wie Unternehmen Personendaten bearbeiten dürfen, und gilt für den Einsatz von KI genauso wie für jede andere Bearbeitung., das Urheberrecht und Ihre bestehenden Verträge ohnehin verbindlich. Was darüber hinausgeht, ist eine bewusste Selbstverpflichtung. Ein eigener Wertekatalog lohnt sich, wenn die Weisung steht.

Bei der Schulung gilt Ähnliches. Wer unter den EU AI Act fällt, muss seit dem 2. Februar 2025 etwas für die KI-Kompetenz seiner Mitarbeitenden tun. Der AI Omnibus hat Artikel 4 im Juli 2026 ersetzt und die Pflicht abgeschwächt. Zu ergreifen sind Massnahmen, welche die Entwicklung der KI-Kompetenz unterstützen, und ein bestimmtes Niveau muss niemand garantieren. Für eine Schweizer Firma ohne EU-Bezug ist Schulung damit eine Frage der Arbeitsqualität.

So starten Sie

Vier Schritte führen zur ersten Fassung:

1. 01

   Datenklassen festhalten

   Die drei Stufen von oben, mit je einem Beispiel aus Ihrem Betrieb. Das ist die Grundlage für die Spalte «Zugelassene Daten».

2. 02

   Werkzeuge eintragen

   Was heute schon benutzt wird, inklusive der KI-Funktionen in eingekaufter Software. Pro Zeile ein Eigner.

3. 03

   Die Seite in Kraft setzen

   Mit Datum, erlassender Stelle und Anlaufstelle. Leere Zeilen sind erlaubt: Was nicht in der Tabelle steht, ist nicht zugelassen.

4. 04

   Nach einem Jahr nachführen

   Verträge, gemeldete Vorfälle, neu dazugekommene Werkzeuge.

Die rechtlichen Grundlagen dieser einen Seite stehen in den übrigen Teilen der Serie: der Regel-Landkarte, dem revDSG-Leitfaden und dem Beitrag zum Berufsgeheimnis.

Wie lange liegt Ihre KI-Richtlinie schon im Entwurf?

Wir sehen dasselbe Muster regelmässig: Das Dokument wächst mit jeder Sitzung um ein Kapitel, das vorher niemand vermisst hat. In der Zwischenzeit tippen die Mitarbeitenden ihre Arbeit weiter in private Konten, wo das Unternehmen weder Vertrag noch Kontrolle über die Daten hat.

Der Kern einer Weisung passt auf eine Seite: drei Datenklassen, eine Tabelle mit Werkzeug, zugelassenen Daten und einer verantwortlichen Person, vier Grundregeln und eine Anlaufstelle mit Antwortfrist. Für die erste Fassung genügt ein Nachmittag, sobald Datenklassen und Werkzeuge feststehen. Die Wochen danach beansprucht die Prüfung der Anbieterverträge.

Unser Schluss: Eine unfertige Seite, die ab Montag gilt, schützt mehr als das vollständige Dokument im dritten Monat. Zwei Details entscheiden dabei mehr als jedes Zusatzkapitel: pro Werkzeug eine Person mit Namen, und ein Datum auf der Seite.

Im Beitrag steht die Weisung als ausfüllbare Vorlage, dazu das Beiblatt mit den fünf Fragen vor jedem neuen Einsatz und die Liste dessen, was bewusst erst später geregelt wird. Link in den Kommentaren.

#KIGovernance #Compliance #KI #Schweiz