Ab welcher Grösse braucht ein KMU eine KI-Richtlinie?

Es hängt nicht an der Mitarbeiterzahl, sondern an der Nutzung. Sobald auch nur eine Person KI-Tools für die Arbeit verwendet — Texte formulieren, E-Mails beantworten, Tabellen zusammenfassen — entstehen die Risiken, die eine Richtlinie adressiert: falsche Daten im falschen Tool, keine Kontrolle, keine Spur. Schon ein Drei-Personen-Betrieb profitiert von ein paar klaren Sätzen. Je grösser das Team, desto wichtiger werden sie, weil du nicht mehr jeden einzeln im Blick hast.

Sollte ich KI im Betrieb einfach verbieten?

Das ist verständlich, funktioniert aber selten. Ein Verbot beseitigt nicht den Druck, schneller fertig zu werden — es verlagert die Nutzung nur dorthin, wo du nichts mehr mitbekommst (Schatten-KI). Die Mitarbeitende öffnet dann ChatGPT eben auf dem privaten Handy und kopiert die Kundenmail trotzdem hinein. Klare Regeln plus ein oder zwei freigegebene, vertraglich abgesicherte Tools sind fast immer wirksamer als ein Verbot, das niemand befolgt.

Was passiert datenschutzrechtlich, wenn jemand Kundendaten in ChatGPT eingibt?

Dein Betrieb bleibt verantwortlich. Wer Personendaten in einem KI-Tool verarbeitet, ist «Verantwortlicher» im Sinne des Datenschutzgesetzes — auch wenn das Tool von einem grossen Anbieter betrieben wird (revDSG Art. 5 lit. j). In einer kostenlosen Consumer-Version ohne Geschäftsvertrag fehlt jede Garantie, was mit den Eingaben geschieht. Genau deshalb gehört in jede Richtlinie eine klare Liste, welche Daten nie in ein nicht freigegebenes Tool dürfen. Mehr dazu unter «Ist KI in der Schweiz DSG-konform?».

Wie fange ich konkret an?

Klein und ehrlich. Erstens: herausfinden, welche Tools dein Team heute schon nutzt — ohne Schuldzuweisung, sonst redet niemand offen. Zweitens: ein, zwei Tools sauber freigeben (mit Vertrag, ohne Modelltraining). Drittens: eine einseitige Richtlinie schreiben, die sagt, was erlaubt ist, welche Daten tabu sind und wann ein Mensch prüfen muss. Viertens: das Team einmal kurz schulen. Das Pilot-Prinzip gilt auch hier — klein starten, anpassen, ausweiten.

Braucht mein KMU eine KI-Richtlinie?

Die kurze Antwort: Ja, weil dein Team KI längst nutzt

Die Frage ist selten «Soll ich KI im Betrieb erlauben?» — sondern «Weiss ich, wofür mein Team es schon nutzt?». Die ehrliche Antwort lautet bei den meisten KMU: nur ungefähr. Genau das ist das Problem.

Eine KI-Richtlinie ist die einfachste Antwort darauf. Sie ist kein Bürokratie-Monster, sondern ein kurzes Dokument, das drei Dinge klärt: welche Tools erlaubt sind, welche Daten rein dürfen und welche nicht, und dass bei Entscheidungen über Menschen ein Mensch das letzte Wort hat. Wer das einmal sauber aufschreibt und dem Team erklärt, hat den grössten Teil des Risikos im Griff — ohne Innovation abzuwürgen.

Die Faustregel: Eine KI-Richtlinie verbietet nicht KI, sie ordnet sie. Wer klare Regeln und ein, zwei freigegebene Tools bietet, gewinnt — gegen das, was sonst heimlich im Hintergrund läuft.

Das eigentliche Risiko heisst Schatten-KI

«Schatten-KI» beschreibt das, was passiert, wenn Mitarbeitende KI-Tools auf eigene Faust nutzen — ohne Freigabe, ohne dass die Geschäftsführung davon weiss. Das geschieht nicht aus böser Absicht, sondern aus Pragmatismus: Die Kundenmail muss raus, die Offerte soll heute fertig werden, also wird der Text eben schnell in ChatGPT formuliert. Inklusive Kundenname, Adresse und Vertragsdetails.

Diese Form der inoffiziellen Nutzung kommt in vielen Betrieben vor — quer durch Branchen und Grössen. Der Grund liegt auf der Hand: Die Tools sind gratis, sofort verfügbar und sparen echte Zeit. Genau das macht ein blosses Verbot so wirkungslos. Es ändert nichts am Druck, schneller fertig zu werden — es sorgt nur dafür, dass die Nutzung dorthin abwandert, wo niemand mehr hinsieht.

Die drei Risiken, die dabei entstehen:

Datenabfluss. Kunden- und Firmendaten landen in einem Tool, dessen Nutzungsbedingungen niemand gelesen hat — möglicherweise inklusive Nutzung fürs Modelltraining.
Falsche Ergebnisse, ungeprüft übernommen. KI formuliert überzeugend, auch wenn der Inhalt falsch ist. Ohne Prüfregel wandert der Fehler direkt zum Kunden.
Keine Nachvollziehbarkeit. Du weisst nicht, was bearbeitet wurde, mit welchen Daten und von wem — ein Problem, sobald jemand nachfragt oder etwas schiefgeht.

Warum du datenschutzrechtlich verantwortlich bleibst

Der zentrale Punkt, den viele unterschätzen: Wer Personendaten in einem KI-Tool verarbeitet, ist «Verantwortlicher» im Sinne des Datenschutzgesetzes — auch wenn das Tool von OpenAI, Anthropic oder Microsoft betrieben wird (revDSG Art. 5 lit. j, SR 235.1).

Das heisst im Klartext: Die Verantwortung lässt sich nicht an den Tool-Anbieter abschieben. Tippt eine Mitarbeiterin Kundendaten in eine frei zugängliche Gratis-Version, ist es dein Betrieb, der die Bearbeitung zu verantworten hat — nicht der amerikanische Konzern dahinter. Genau deshalb reicht es nicht, KI einfach «laufen zu lassen». Es braucht klare Regeln, welche Daten überhaupt in welches Tool dürfen.

Der Unterschied liegt dabei nicht in der Technologie, sondern im Rahmen: Dieselbe KI-Fähigkeit ist über einen Geschäftsvertrag mit Auftragsbearbeitungsvertrag, ausgeschlossenem Modelltraining und definiertem Zweck datenschutzkonform nutzbar — in der kostenlosen Consumer-Version dagegen fehlt jede Garantie. Was das revidierte Datenschutzgesetz im Detail verlangt, steht unter Ist KI in der Schweiz DSG-konform?.

Was in eine einfache KI-Richtlinie gehört

Eine wirksame Richtlinie für ein KMU passt auf eine Seite. Sie muss nicht alles regeln — nur das, was im Alltag wirklich zählt. Diese Bausteine gehören hinein:

Erlaubte Tools. Eine kurze Liste der freigegebenen Werkzeuge — idealerweise solche mit Geschäftsvertrag und ohne Nutzung deiner Daten fürs Modelltraining. Was nicht auf der Liste steht, wird nicht für Firmendaten genutzt.
Daten-Tabuliste. Glasklar, welche Daten nie in ein nicht freigegebenes Tool dürfen: Personendaten von Kunden und Mitarbeitenden, Gesundheitsdaten, Finanzdaten, Verträge, Passwörter, alles unter Berufsgeheimnis. Konkrete Beispiele wirken besser als abstrakte Kategorien.
Mensch in der Schleife. Bei Entscheidungen über Menschen — Bewerbungen, Kündigungen, Mahnungen, Beurteilungen — entscheidet immer ein Mensch. KI darf vorbereiten, nie allein entscheiden.
Prüfpflicht. KI-Ergebnisse werden vor der Verwendung geprüft, nicht blind übernommen. Wer die KI nutzt, bleibt für den Inhalt verantwortlich.
Ansprechperson & Meldung. Eine Person, an die man sich bei Fragen wendet — und der Grundsatz, dass man neue Tools meldet, statt sie heimlich zu nutzen.

Das ist bewusst schlank gehalten. Eine Richtlinie, die niemand liest, schützt niemanden. Eine, die auf eine Seite passt und konkrete Beispiele nennt, bleibt hängen.

Welche Daten dürfen rein — und welche nicht

Der praktischste Teil der Richtlinie ist die klare Trennung von erlaubten und tabuisierten Daten. Diese Tabelle gibt eine Orientierung — die genaue Linie ziehst du nach deinem Betrieb:

Datenart	In ein freigegebenes Tool	In ein nicht freigegebenes Gratis-Tool
Allgemeine, öffentliche Infos	Ja	Eher unkritisch
Interne Texte ohne Personenbezug	Ja	Mit Vorsicht
Kunden- & Mitarbeiterdaten	Mit Vertrag & Zweckbindung	Nein
Gesundheits-, Finanz-, Vertragsdaten	Nur mit klarem Rahmen	Nie
Berufsgeheimnis (Arzt, Anwalt, Treuhand)	Nur sauber abgesichert	Nie

Die Logik dahinter ist einfach: Je sensibler die Daten, desto strenger der Rahmen, in dem sie überhaupt verarbeitet werden dürfen. Und: In ein nicht freigegebenes Gratis-Tool gehören grundsätzlich keine Personendaten — dort fehlt die vertragliche Garantie, was damit geschieht.

Verbieten oder regeln? Die ehrliche Einordnung

Viele Geschäftsführer reagieren auf Schatten-KI mit dem Reflex: erst mal verbieten. Verständlich — aber meist die schlechtere Wahl. Ein Verbot löst das Bedürfnis nicht auf, das hinter der Nutzung steckt; es macht es nur unsichtbar. Wer wirklich Kontrolle will, ersetzt das Verbot durch eine bessere Alternative.

	Wegschauen	Pauschal verbieten	Klar regeln
Datenschutz	Unkontrolliert	Risiko bleibt (Schatten-KI)	Im Griff
Tatsächliche Nutzung	Heimlich	Heimlich, nur privater	Offen & nachvollziehbar
Produktivität	Zufällig	Gebremst	Gefördert, aber sicher
Vertrauen im Team	Naiv	Misstrauen	Klarheit

Klare Regeln plus ein, zwei freigegebene Tools gewinnen fast immer. Sie nehmen den Druck raus, etwas heimlich tun zu müssen, und geben dem Team Werkzeuge, mit denen es sicher schneller wird. Das ist das Pilot-Prinzip, angewandt auf Governance: klein starten, beobachten, anpassen — nicht alles auf einmal regeln wollen.

Mitarbeitende schulen — der unterschätzte Schritt

Eine Richtlinie auf Papier ändert noch kein Verhalten. Der Hebel ist die kurze, ehrliche Schulung: nicht erhobener Zeigefinger, sondern ein gemeinsames Verständnis, warum es die Regeln gibt.

Drei Dinge sollte jede Mitarbeiterin und jeder Mitarbeiter nach der Schulung mitnehmen:

KI kann überzeugend falschliegen. Ergebnisse werden geprüft, nicht blind übernommen — denn KI-Systeme erfinden Fakten, wenn sie keine kennen. Warum das passiert, erklärt KI-Halluzinationen.
Daten haben ein Zuhause. Was sensibel ist, gehört nur in ein freigegebenes Tool — und manches gar nicht in eine KI.
Bei Menschen entscheidet ein Mensch. Wo es um Personen geht, bereitet KI vor und ein Mensch entscheidet. Das Prinzip dahinter steht unter Mensch in der Schleife.

Wer das verstanden hat, braucht keine Überwachung — er trägt die Regel selbst.

Wie FrontierX hier hilft

Eine Richtlinie ist der eine Teil; freigegebene, sauber gebaute Tools sind der andere. FrontierX baut Schweizer KMU genau die Automatisierungen, die deine Mitarbeitenden sonst über Schatten-KI nachbauen — nur datenschutzkonform und in deinem Rahmen:

Freigegebene Lösungen statt Gratis-Tools. Wir bauen den konkreten Vorgang als saubere Automatisierung — mit Auftragsbearbeitungsvertrag, ohne Nutzung deiner Daten fürs Modelltraining, auf Wunsch mit Schweizer Hosting.
Mensch in der Schleife verankert. Bei Entscheidungen über Personen legen wir die Freigabe immer dem Menschen vor — nicht als Häkchen, sondern im Ablauf.
Pilot-Prinzip. Wir starten klein mit einem klar abgegrenzten Prozess, messen und bauen aus — statt eines Grossprojekts, das niemand mehr überblickt.

So ersetzt du das Risiko «irgendwer nutzt heimlich irgendwas» durch ein Werkzeug, das du kennst und das der Prüfung standhält. Wenn du wissen willst, wo dein Betrieb steht und welche ein, zwei Abläufe sich zuerst lohnen, machen wir eine kurze Auslegeordnung — ohne Verkaufsdruck.

Schlusshinweis

Dieser Beitrag erklärt das Thema allgemeinverständlich und nach bestem Wissen — er ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung deiner konkreten Situation, besonders bei Berufsgeheimnis oder besonders schützenswerten Daten, ziehe eine Fachperson für Datenschutzrecht bei.