KI-Governance-Starterkit für KMU

Beginnen Sie mit einem konkreten Anwendungsfall und einer verantwortlichen Person. Eine kurze, gepflegte Regelung ist nützlicher als eine umfassende Erklärung ohne gelebte Praxis. Dieses Kit enthält vier betriebliche Protokolle. Es ist weder Zertifizierung noch Rechtsgutachten oder Nachweis der Rechtmässigkeit eines bestimmten Einsatzes nach Schweizer DSG oder anderem anwendbaren Recht.

• Freigegebene Tool-Liste - welche KI-Dienste Mitarbeitende beruflich nutzen dürfen, und mit welchen Konten (firmenverwaltet, nicht privat)
• Datenklassen - was nie in einen Prompt darf: Personendaten von Kunden, Zugangsdaten, unveröffentlichte Finanzzahlen, Vertragstexte Dritter
• Output-Regeln - KI-Output ist Entwurf; extern verwendete Texte, Code und Analysen brauchen menschliche Prüfung vor Einsatz
• Offenlegung - wann Kunden informiert werden müssen, dass KI beigetragen hat (Support-Antworten, Gutachten, generierte Medien)

Erfassen Sie Antrag, Werkzeug, Geschäftszweck, Datenkategorien, betroffene Personen und geplantes Ergebnis. Eine verantwortliche Freigabestelle prüft Risiken und Bedingungen vor der Aktivierung. Eskalieren Sie unklare Personendatenverarbeitung oder folgenreiche Entscheide an geeignete Datenschutz-, Sicherheits- oder Rechtsfachpersonen.

Führen Sie verknüpfte Verzeichnisse für Werkzeuge, wiederverwendbare Prompts oder Abläufe und extern gelieferte Ergebnisse. Jeder Eintrag braucht Verantwortung, Version, zulässige Daten, Entscheidungsdatum und Prüftermin. Halten Sie abgelehnte oder beendete Einsätze fest, wenn dies erklärt, warum ein Werkzeug nicht mehr erlaubt ist.

• Prüfen Sie vor der Werkzeugwahl, ob Personendaten, vertrauliche Geschäftsinformationen oder Material Dritter betroffen sind.
• Beurteilen Sie Anbieterbedingungen, Verarbeitungsorte, Unterauftragnehmer, Aufbewahrung und Trainingsnutzung. Vertraglicher Trainingsausschluss deckt nur einen Teil des Risikos ab.
• Prüfen Sie bei Auslandübermittlungen die anwendbaren Schweizer Anforderungen und Schutzmassnahmen, bei Bedarf mit qualifizierter Beratung.
• Auch selbst gehostete Verarbeitung benötigt rechtmässigen Zweck, Zugriffskontrollen, Sicherheit, Löschung und eine dokumentierte Integrationsprüfung.

• Nutzungsseite verfasst und verteilt
• Verantwortliche Person für die Freigabe neuer Werkzeuge und Datennutzungen benannt
• Register existiert: Tools, Prompts, gelieferte Arbeiten
• Datenklassen definiert; Kundendaten-Regeln explizit
• Vierteljährliche Prüfung terminiert

Ein Unternehmen kann KI-Entwürfe für öffentliche Leistungsbeschreibungen erlauben und gleichzeitig das Hochladen eines Kundenvertrags ablehnen. Dies sind verschiedene Datennutzungen mit getrennten Verzeichniseinträgen. Unser KI-Inhaltsablauf zeigt die Prüfgrenze für öffentliche Texte. Das Beispiel ist illustrativ und keine offengelegte Datenschutzprüfung eines Kunden.

1. Identität und Zweck

   Eintrags-ID, Prozessverantwortung, Geschäftszweck, Anbieter, Werkzeugversion und Firmenkonto. Benennen Sie den Empfänger des Ergebnisses.

2. Daten und Bedingungen

   Datenkategorien, ausgeschlossene Eingaben, Verarbeitungsländer, Aufbewahrung, Vertragsreferenz und menschliche Prüfung. Halten Sie den Freigabe- oder Ablehnungsgrund fest.

3. Prüfung und Ausstieg

   Entscheidungsverantwortung, Datum, nächste Prüfung, Vorfälle, neu zu bewertende Änderungen und Entfernung von Daten oder Zugriffen bei Einstellung.

• Mitarbeitende kennen das freigegebene Werkzeug und ausgeschlossene Eingaben.
• Jeder Einsatz hat Verantwortung und eine dokumentierte Freigabe mit Bedingungen.
• Eine Prüfung betrachtet die tatsächliche Nutzung statt nur die schriftliche Regelung.

• Der EDÖB veröffentlicht Schweizer Datenschutzhinweise.
• Das freiwillige NIST AI Risk Management Framework bietet eine übergeordnete Governance-Referenz.