Eine KI-Richtlinie legt fest, welche Werkzeuge Mitarbeiter für welche Aufgaben verwenden dürfen, welche Daten nicht eingegeben werden und wer Ergebnisse prüft. Sie soll den sinnvollen Einsatz ermöglichen, ohne vertrauliche Informationen, Kundenbeziehungen oder Entscheidungen unkontrolliert an externe Systeme zu übertragen.
Eine pauschale Verbotsliste wird schnell umgangen. Eine rein technische Freigabe reicht ebenfalls nicht. Mitarbeiter brauchen verständliche Regeln, Beispiele und einen Ansprechpunkt für Grenzfälle.
Zuerst die erlaubten Werkzeuge bestimmen
Private Konten und beliebige kostenlose Dienste erschweren Kontrolle, Support und Löschung. Das Unternehmen sollte deshalb festlegen:
- welche KI-Dienste freigegeben sind,
- ob geschäftliche Konten vorgeschrieben sind,
- welche Funktionen und Integrationen genutzt werden dürfen,
- ob Eingaben für Training oder Produktverbesserung verwendet werden,
- wo Daten verarbeitet und wie lange sie gespeichert werden,
- wer neue Werkzeuge bewertet und freigibt.
Die Liste darf klein beginnen. Ein klar unterstütztes Werkzeug ist im Alltag besser als zehn halb geprüfte Angebote.
Daten in verständliche Klassen einteilen
Die Richtlinie sollte keine juristischen Formeln verlangen, bevor jemand einen Text zusammenfassen darf. Praktischer sind wenige Datenklassen:
- öffentlich: bereits veröffentlichte Informationen ohne Zugangsbeschränkung,
- intern: Arbeitsmaterial, das nicht für die Öffentlichkeit bestimmt ist,
- vertraulich: Kundeninformationen, Verträge, Zugangsdaten, Personal- oder Finanzdaten,
- besonders sensibel: besonders schützenswerte Personendaten, Sicherheitsinformationen oder Geheimnisse mit erheblichem Schadenspotenzial.
Für jede Klasse wird festgelegt, ob sie in einem freigegebenen Dienst verarbeitet werden darf und welche Schutzmassnahmen gelten. Datenminimierung bleibt dabei die einfachste Regel: Nur Informationen eingeben, die für die konkrete Aufgabe nötig sind.
Ergebnisse bleiben prüfpflichtig
KI kann formulieren, ordnen, übersetzen und analysieren. Sie kann aber auch Quellen erfinden, Zusammenhänge falsch gewichten oder vertrauliche Inhalte unpassend wiedergeben. Eine Richtlinie muss deshalb benennen, wer das Ergebnis vor der Verwendung prüft.
Je grösser die möglichen Folgen eines Fehlers, desto gründlicher die Prüfung. Ein interner Entwurf verlangt weniger Kontrolle als eine Kundenofferte, eine Personalentscheidung oder eine sicherheitsrelevante Konfiguration. Automatisierte Einzelentscheidungen brauchen zusätzlich eine klare menschliche Verantwortung.
Der EDÖB weist darauf hin, dass das Schweizer Datenschutzgesetz auch für KI-gestützte Datenbearbeitungen gilt. Zweck, Funktionsweise und Datenquellen müssen transparent behandelt werden; bei hohen Risiken kann eine Datenschutz-Folgenabschätzung erforderlich sein.
Was eine kurze Richtlinie enthalten sollte
Ein praxistauglicher Kern passt auf wenige Seiten:
1. Zweck und Geltungsbereich.
2. Freigegebene Werkzeuge und Konten.
3. Zulässige und verbotene Datenklassen.
4. Anforderungen an Quellenprüfung und menschliche Freigabe.
5. Regeln für Kennzeichnung und Kommunikation.
6. Vorgehen bei Fehlversand, Datenabfluss oder problematischen Ergebnissen.
7. Verantwortlicher Kontakt und regelmässige Aktualisierung.
Konkrete Beispiele gehören in einen kurzen Anhang. «Darf ich ein öffentliches Produktblatt zusammenfassen?» hilft mehr als eine abstrakte Formulierung über verantwortungsvolle Innovation.
Richtlinie und Technik müssen zusammenpassen
Wenn die Richtlinie ein Verhalten verlangt, das die Werkzeuge nicht unterstützen, entsteht Scheinsicherheit. Konten, Zugriffsrechte, Protokollierung, Aufbewahrung und Einstellungen müssen zur Regel passen. Für interne Wissensbestände kann eine kontrollierte RAG-Wissensbasis geeigneter sein als das wiederholte Hochladen von Dokumenten in wechselnde Chatdienste.
Merksatz
Eine KI-Richtlinie soll gute Arbeit ermöglichen und riskante Abkürzungen verhindern. Sie verbindet erlaubte Werkzeuge, klare Datenregeln und eine Prüfung, die zu den Folgen eines möglichen Fehlers passt.