KI-Richtlinie für KMU: Die Vorlage mit 10 Regeln für Ihre Mitarbeitenden
Jens Margraf ·
KI-Richtlinie für KMU: 10 Regeln mit Datenampel, Einführung in 4 Schritten und Gratis-Generator für Ihre KI-Weisung als Word – nach Schweizer DSG aufgebaut
Freitagnachmittag, kurz vor Feierabend. Eine Mitarbeiterin aus der Buchhaltung will schnell eine Mahnung formulieren lassen und kopiert dafür die komplette Kundenliste mit offenen Posten in ihren privaten ChatGPT-Account. Böse Absicht? Keine. Ein Verstoss gegen das Datenschutzgesetz? Sehr wahrscheinlich. Und das Problem: Niemand hat ihr je gesagt, dass sie das nicht darf. Genau dafür braucht es eine KI-Richtlinie im KMU – nicht als Bürokratie, sondern als Leitplanke.
Die meisten Schweizer KMU nutzen KI längst. Klare Regeln dazu haben die wenigsten. Dieser Artikel zeigt, was in eine gute KI-Richtlinie gehört, fasst die wichtigsten Regeln in zehn Punkten zusammen – und mit unserem Gratis-Generator erstellen Sie daraus in fünf Minuten Ihre eigene Weisung als Word-Dokument.
Warum braucht ein KMU überhaupt eine KI-Richtlinie?
Weil KI im Betrieb schon da ist – ob Sie es geplant haben oder nicht. Gemäss der KMU-Arbeitsmarktstudie 2025 von AXA und Sotomo integrieren 34 % der Schweizer KMU KI bewusst in ihre Arbeitsprozesse, weitere 37 % testen sie. Doch nur rund ein Drittel der KI-nutzenden Firmen hat eine klare Datenschutzregel für KI-Anwendungen. Bei Betrieben mit 5 bis 9 Mitarbeitenden sind es gerade einmal 23 %.
Die Folge kennen wir als Schatten-KI: Mitarbeitende nutzen private Accounts, Gratis-Tools und Browser-Erweiterungen – mit Firmendaten, ohne Vertrag, ohne Kontrolle.
Drei Gründe, warum das die Geschäftsleitung direkt betrifft:
- Das DSG gilt auch für KI. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klargestellt, dass das revidierte Datenschutzgesetz technologieneutral ist und jede KI-gestützte Bearbeitung von Personendaten erfasst. Ein eigenes KI-Gesetz braucht es dafür nicht.
- Bussen treffen Personen, nicht Firmen. Anders als bei der DSGVO richten sich Bussen nach Schweizer Recht gegen die verantwortliche natürliche Person – bis zu CHF 250'000 bei vorsätzlichen Verstössen.
- Weitere Regeln kommen. Der Bund erarbeitet zur Umsetzung der KI-Konvention des Europarats eine Vernehmlassungsvorlage, die laut KMU-Portal des Bundes im Frühjahr 2027 vorliegen soll. Wer heute Ordnung schafft, muss morgen nicht hektisch nachrüsten.
Und ein Blick über die Grenze zeigt: Selbst in Deutschland, dem Spitzenreiter im OECD-Vergleich, haben nur 45 % der KMU mit generativer KI Richtlinien für ihre Mitarbeitenden eingeführt (Statista/OECD). Wer jetzt handelt, ist also nicht spät dran – sondern vorne.
Was gehört in eine KI-Richtlinie?
Eine gute KI-Richtlinie beantwortet vier Fragen: Welche Tools? Welche Daten? Wer prüft? Wen frage ich? Alles andere ist Beiwerk.
| Baustein | Regelt | Warum es wichtig ist |
|---|---|---|
| Freigegebene Tools | Welche KI-Anwendungen erlaubt sind | Nur Business-Versionen haben einen Auftragsbearbeitungsvertrag |
| Datenampel | Welche Daten in welches Tool dürfen | Schützt Personendaten und Geschäftsgeheimnisse |
| Menschliche Kontrolle | Wer KI-Ergebnisse prüft und verantwortet | KI halluziniert – Verantwortung bleibt beim Menschen |
| Transparenz | Wann KI gegen aussen offengelegt wird | DSG-Informationspflichten und Kennzeichnung |
| Neue Tools & Vorfälle | Ablauf für Anfragen und Meldungen | Verhindert Wildwuchs und vertuschte Fehler |
| Schulung & Überprüfung | Einführung und jährliches Update | Regeln wirken nur, wenn sie verstanden werden |
Unsere Haltung dazu ist klar: Eine KI-Richtlinie, die nur verbietet, produziert Schatten-KI. Die Mitarbeitenden nutzen die Tools trotzdem – nur eben heimlich. Eine gute Richtlinie ermöglicht zuerst und begrenzt dann.
Die Kurzfassung: KI-Richtlinie in 10 Regeln
Die zehn Regeln sind die Kurzfassung für Ihre Mitarbeitenden. Die vollständige Weisung mit Ihren Angaben, Werkzeugverzeichnis, Checkliste und Kenntnisnahme erstellt der Generator weiter unten.
1. Zweck und Geltungsbereich
Diese Richtlinie regelt den Einsatz von KI-Tools bei [Firmenname]. Sie gilt für alle Mitarbeitenden, Lernenden und externen Mitarbeitenden – im Büro, im Homeoffice und auf privaten Geräten, sobald Firmendaten bearbeitet werden. Wir wollen KI aktiv nutzen. Diese Regeln sorgen dafür, dass wir es sicher tun.
2. Nur freigegebene Tools
Für Firmendaten nutzen wir ausschliesslich die KI-Tools auf der Liste im Anhang: [z. B. aibox, DeepL Pro]. Welches Tool für welche Ampelstufe freigegeben ist, steht ebenfalls im Anhang. Private Accounts (auch kostenpflichtige wie ChatGPT Plus oder Claude Pro) sind für Firmendaten nicht erlaubt – sie laufen unter Verbraucherbedingungen ohne Auftragsbearbeitungsvertrag.
3. Die Datenampel
| Stufe | Beispiele | Regel |
|---|---|---|
| Grün: öffentlich | Website-Texte, publizierte Produktinformationen, allgemeine Fachfragen, Texte ohne Bezug zu Personen oder Kunden | In allen freigegebenen KI-Tools erlaubt |
| Gelb: intern | Interne Dokumente, Entwürfe, Offerten ohne Preisangaben, Sitzungsnotizen, Personendaten ohne besondere Schutzwürdigkeit (z. B. Name und Funktion einer Kontaktperson) | Nur in Tools, die im Anhang ausdrücklich für «Gelb» freigegeben sind: Datenbearbeitung in der Schweiz oder gleichwertig geschützt, kein Training mit Ihren Eingaben, Auftragsbearbeitungsvertrag. Personendaten nur soweit nötig, wenn möglich anonymisiert. |
| Rot: vertraulich | Besonders schützenswerte Personendaten (z. B. Gesundheit), Personaldossiers und Lohndaten, Geschäftsgeheimnisse (Preise, Margen, Strategie, Finanzen), Kundendaten unter Geheimhaltungsvereinbarung, Passwörter und Zugangsdaten | Grundsätzlich keine Eingabe. Ausnahmen nur mit vorgängiger Bewilligung durch die Geschäftsleitung für ein bestimmtes Tool und einen bestimmten Zweck. |
Im Zweifel gilt die strengere Stufe – und vor der Eingabe kurz bei [Verantwortliche Person] nachfragen.
4. Der Mensch prüft – immer
KI-Ergebnisse sind Entwürfe, keine Fakten. Sprachmodelle können «halluzinieren», also überzeugend klingende, aber falsche Aussagen erfinden. Wer ein KI-Ergebnis weiterverwendet, prüft es und trägt die Verantwortung dafür – genau wie bei einem Text, den eine Praktikantin vorbereitet hat.
5. Keine automatisierten Entscheide über Menschen
Entscheide über Bewerbungen, Kündigungen, Kreditwürdigkeit oder Leistungsbeurteilungen trifft bei uns ein Mensch. KI darf unterstützen, aber nicht allein entscheiden. Für solche Anwendungen braucht es vorgängig eine Freigabe durch [Verantwortliche Person] und gegebenenfalls eine Datenschutz-Folgenabschätzung.
6. Transparenz gegen aussen
Wenn Kundinnen und Kunden mit einem KI-System interagieren (z. B. Chatbot), weisen wir darauf hin. KI-generierte Bilder, Videos oder Stimmen von realen Personen kennzeichnen wir klar. Details regelt unser Leitfaden zur KI-Kennzeichnungspflicht.
7. Vertraulichkeit und Rechte Dritter
Dokumente, die wir unter einer Geheimhaltungsvereinbarung erhalten haben, laden wir nur mit Zustimmung der Gegenpartei in KI-Tools. Vor einer Veröffentlichung von KI-generierten Texten und Bildern prüfen wir, ob Rechte Dritter (z. B. Marken, Urheberrecht) betroffen sein könnten.
8. Neue Tools beantragen statt einfach ausprobieren
Wer ein neues KI-Tool nutzen möchte, meldet sich bei [Verantwortliche Person]. Geprüft werden: Business-Version mit Vertrag vorhanden? Training mit unseren Daten ausgeschlossen? Wo werden die Daten bearbeitet? Ziel ist ein Entscheid innert [5] Arbeitstagen.
9. Fehler melden – ohne Schuldzuweisung
Wer versehentlich rote Daten in ein KI-Tool oder gelbe Daten in ein nicht freigegebenes Tool eingegeben hat, meldet das sofort an [Verantwortliche Person]. Wir suchen Lösungen, keine Schuldigen. Nur ein gemeldeter Fehler lässt sich beheben. Das Unternehmen prüft dann, ob eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nötig ist (Art. 24 DSG).
10. Schulung und Überprüfung
Alle Mitarbeitenden erhalten eine kurze Einführung in diese Richtlinie. [Verantwortliche Person] überprüft die Richtlinie und die Toolliste mindestens einmal jährlich. Fragen? [E-Mail / Teams-Kanal].
Ihre KI-Weisung in 5 Minuten – gratis als Word
Statt Platzhalter abzutippen: Unser Generator erstellt die vollständige Weisung mit Ihren Angaben – Firmenname, Gremium, Ansprechperson, Ihre KI-Tools und Inkrafttreten sind bereits eingesetzt. Dazu kommen Datenampel, Werkzeugverzeichnis, Checkliste für Mitarbeitende und Kenntnisnahme-Formular. Auf Wunsch mit Zusätzen zu Berufs- oder Bankgeheimnis und zur DSGVO bei Kunden in der EU. Vorlage, keine Rechtsberatung.
So führen Sie die KI-Richtlinie in 4 Schritten ein
Eine Richtlinie in der Schublade schützt niemanden. So kommt sie in den Alltag:
- Inventar machen. Fragen Sie offen und ohne Vorwurf: Welche KI-Tools nutzt ihr heute? Sie werden überrascht sein. Diese Liste ist Ihre Ausgangslage.
- Sichere Alternative freigeben. Bevor Sie etwas einschränken, bieten Sie ein Tool an, das mindestens so gut ist wie das, was die Leute heimlich nutzen. Eine zentrale Plattform wie aibox bündelt mehrere KI-Modelle unter einem Dach, mit wählbarem Schweizer Hosting und ohne Training mit Ihren Eingaben – so erfüllt sie die Anforderungen für die Stufe Gelb, und Sie müssen nicht fünf Einzelverträge prüfen.
- 30 Minuten Einführung. Keine PDF-Rundmail, sondern ein kurzer gemeinsamer Termin mit Beispielen aus Ihrem Alltag. Die Datenampel versteht jeder, wenn er sie an drei echten Fällen gesehen hat.
- Datenschutzerklärung nachziehen. Wenn Sie KI mit Personendaten von Kunden einsetzen, gehört das in Ihre Datenschutzerklärung – inklusive einer allfälligen Bekanntgabe ins Ausland.
Danach: Richtlinie jährlich überprüfen, Toolliste laufend nachführen. KI-Tools ändern sich schneller als jedes Reglement.
Drei Fehler, die wir in der Praxis sehen
Die Verbotsrichtlinie. «Die Nutzung von ChatGPT ist untersagt.» Klingt sicher, ist es aber nicht. Die Nutzung wandert aufs private Handy – und Sie verlieren jede Kontrolle.
Das 20-Seiten-Dokument. Juristisch einwandfrei, gelesen von niemandem. Was Mitarbeitende nicht in zwei Minuten erfassen, wenden sie im Alltag nicht an.
Regeln ohne Kompetenz. Eine Richtlinie sagt, was erlaubt ist. Sie sagt nicht, wie man KI gut nutzt. Wer seinem Team Regeln gibt, aber keine AI Fluency, bekommt zwar sichere, aber schlechte Ergebnisse. Unsere Erfahrung: 20 % Technologie, 80 % Menschen.
Fazit: Zwei Seiten, die Sie mehr schützen als jede Firewall
Eine KI-Richtlinie für KMU muss weder lang noch kompliziert sein. Sie braucht vier Antworten – welche Tools, welche Daten, wer prüft, wen frage ich – und den Willen, KI zu ermöglichen statt zu verhindern. Die zehn Regeln oben sind der Kern – die vollständige Weisung erstellen Sie im Generator in fünf Minuten. Passen Sie sie an, führen Sie sie ein, und überprüfen Sie sie einmal im Jahr.
Der beste Zeitpunkt dafür ist nicht, wenn das neue KI-Gesetz kommt. Sondern bevor die nächste Kundenliste in einem privaten Account landet.
Für Gemeindeverwaltungen gibt es eine eigene Fassung mit kantonalem Datenschutzrecht und Amtsgeheimnis: KI-Weisung für Gemeinden.
Meine Frage an Sie: Hat Ihr Unternehmen schon eine KI-Richtlinie – und wenn ja, wird sie im Alltag tatsächlich gelebt?
KI sicher einführen – mit Plan statt Bauchgefühl
Sie möchten die Richtlinie nicht allein aufsetzen? Im AI Consulting erarbeiten wir mit Ihnen Toolauswahl, Richtlinie und Einführung. Und mit der aibox erhalten Ihre Mitarbeitenden eine sichere Plattform für den KI-Alltag.
FAQ
Ist eine KI-Richtlinie in der Schweiz gesetzlich vorgeschrieben?
Nein, es gibt keine ausdrückliche Pflicht. Das Datenschutzgesetz verlangt aber, dass Personendaten sicher und zweckgebunden bearbeitet werden – auch mit KI. Eine schriftliche KI-Richtlinie ist der einfachste Nachweis, dass Sie diese Sorgfaltspflicht organisatorisch umgesetzt haben.
Wie lang sollte eine KI-Richtlinie für ein KMU sein?
Die Kernregeln sollten auf zwei Seiten passen – eine Richtlinie, die niemand liest, schützt niemanden. Werkzeugliste, Checkliste und Kenntnisnahme gehören in Anhänge, die Sie laufend aktualisieren.
Darf ich die Nutzung von ChatGPT im Unternehmen einfach verbieten?
Rechtlich ja, praktisch ist es selten klug. Ein reines Verbot treibt die Nutzung in private Accounts, wo Sie keinerlei Kontrolle über die Daten haben. Besser: sichere Tools freigeben und klare Regeln definieren, welche Daten hinein dürfen.
Gilt die KI-Richtlinie auch für Mitarbeitende im Homeoffice oder auf dem privaten Handy?
Ja, sobald Firmendaten im Spiel sind. Die Richtlinie sollte ausdrücklich festhalten, dass Firmendaten nur in freigegebenen Tools bearbeitet werden – unabhängig davon, auf welchem Gerät oder an welchem Ort.
Wer sollte im KMU für die KI-Richtlinie verantwortlich sein?
Eine benannte Person mit direktem Draht zur Geschäftsleitung – in kleinen Firmen oft die GL selbst oder die IT-Verantwortliche. Wichtig ist nicht der Titel, sondern dass Mitarbeitende wissen, an wen sie sich bei Fragen oder Vorfällen wenden.
Jens Margraf, CEO und Gründer von AI now AG