KI-Richtlinie fürs KMU: Vorlage und Anleitung für Schweizer Unternehmen

Eine KI-Richtlinie für dein KMU regelt vier Dinge: welche KI-Tools erlaubt sind, welche Daten du ihnen anvertrauen darfst, wie du KI-generierte Inhalte kennzeichnest und wer im Betrieb dafür verantwortlich ist. Rechtliche Grundlage ist in der Schweiz das Datenschutzgesetz (DSG), nicht der EU AI Act. Der Bundesrat hat am 12. Februar 2025 entschieden, kein eigenes KI-Gesetz zu erlassen, sondern die Europarats-Konvention zu ratifizieren und punktuell zu regulieren. Wer online nach einer Vorlage sucht, findet fast nur deutsche und österreichische PDFs nach EU-Recht. Diese Anleitung zeigt eine Gliederung, die zum Schweizer DSG passt, mit Beispiel-Formulierungen zum direkten Übernehmen.

Braucht mein KMU überhaupt eine KI-Richtlinie?

Ja, mit hoher Wahrscheinlichkeit nutzen deine Mitarbeitenden längst KI, auch ohne Regelung dazu. Eine Umfrage von EY Schweiz bei 604 Personen zeigt: 89 Prozent nutzen KI im Berufsalltag, 29 Prozent davon über private Accounts statt über einen Firmenzugang (Stand Mai 2026, via kmu.admin.ch). Nur 3 Prozent der Firmen haben ein Vollverbot ausgesprochen, und ein Verbot verhindert die Nutzung erfahrungsgemäss ohnehin nicht. Es verschiebt sie nur ins Verborgene.

In unseren Kursen im KI Kompetenzzentrum Gebenstorf ist genau das die häufigste Ausgangslage: Mitarbeitende nutzen ChatGPT längst für Berichte oder E-Mails, oft über ihr privates Konto, weil es schlicht keine Regel dazu gibt. Eine Richtlinie macht diese Nutzung sichtbar und lenkbar, statt sie zu verbieten oder zu ignorieren.

Nach welchem Recht richtet sich eine Schweizer KI-Richtlinie?

Nach dem Schweizer Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält fest, dass das DSG technologieneutral formuliert und darum direkt auf KI-Anwendungen anwendbar ist. Für deine Richtlinie sind drei Pflichten daraus wichtig: Transparenz über Zweck, Funktionsweise und Datenquellen einer KI-Anwendung, ein Widerspruchsrecht Betroffener gegen automatisierte Einzelentscheidungen, und eine Datenschutz-Folgenabschätzung bei Anwendungen mit hohem Risiko.

Den EU AI Act musst du als Schweizer Betrieb nicht anwenden, ausser du bietest Produkte auf dem EU-Markt an. Der Bundesrat hat sich bewusst gegen ein eigenes Pendant entschieden und stattdessen die KI-Konvention des Europarats ratifiziert, unterzeichnet am 27. März 2025, dazu punktuelle Regeln in bestehenden Gesetzen. Für die Vorlage unten heisst das: Richte sie am DSG aus, nicht an den EU-Mustern, die im Netz am häufigsten kursieren.

Was gehört in eine KI-Richtlinie? Die Vorlage im Detail

Eine brauchbare KI-Richtlinie passt auf zwei bis drei Seiten und deckt sechs Punkte ab. Die folgende Gliederung kannst du direkt übernehmen und mit eigenen Beispielen füllen. Der Branchenverband Swico hat mit seinem Merkblatt «KI-Leitlinie für Mitarbeitende» (Dezember 2024) einen ähnlichen Rahmen für Schweizer Betriebe vorgeschlagen, die folgende Gliederung ergänzt ihn um die einzelnen Bausteine mit Formulierungsbeispiel.

1. Geltungsbereich

Hier legst du fest, für wen die Richtlinie gilt und welche Tätigkeiten sie erfasst. Das verhindert spätere Diskussionen darüber, ob sie auch für Teilzeitkräfte, Praktikantinnen oder externe Auftragnehmer gilt.

Beispiel-Formulierung: «Diese Richtlinie gilt für alle Mitarbeitenden, Praktikantinnen und externen Mitarbeitenden von [Firma], die im Rahmen ihrer Tätigkeit KI-Tools wie ChatGPT, Copilot oder Gemini einsetzen, unabhängig davon, ob über ein Firmen- oder ein Privatkonto.»

2. Erlaubte Tools

Eine Freigabeliste schafft Klarheit, welche Tools mit Firmendaten arbeiten dürfen und welche nur für allgemeine, unkritische Zwecke gedacht sind. Ohne diese Liste entscheidet jede Person für sich selbst, und genau das führt zur eingangs erwähnten Schatten-Nutzung über private Accounts.

Beispiel-Formulierung: «Für die Arbeit mit Firmendaten sind freigegeben: [Liste einfügen, z. B. ChatGPT Enterprise, Microsoft Copilot]. Alle anderen KI-Tools dürfen nur mit öffentlich zugänglichen Informationen genutzt werden, bis die IT-Verantwortliche sie geprüft hat.»

3. Datenklassen: was darf rein, was nicht

Dieser Abschnitt ist das Herzstück der Richtlinie, weil hier die DSG-Pflichten konkret werden. Eine einfache Dreiteilung reicht für die meisten KMU völlig aus. Wie du im Alltag zwischen unbedenklichen und heiklen Informationen unterscheidest, zeigen wir im Detail im Artikel ChatGPT sicher nutzen mit Firmendaten.

Datenklasse	Öffentliche KI-Tools (Gratis-Account)	Firmen-Account mit Vertrag	Gar nicht eingeben
Öffentlich zugängliche Informationen	erlaubt	erlaubt	–
Interne, nicht kritische Texte	mit Vorsicht	erlaubt	–
Personendaten von Kundinnen oder Mitarbeitenden	–	erlaubt, mit Auftragsbearbeitungsvertrag	ohne Vertrag
Geschäftsgeheimnisse, unveröffentlichte Verträge	–	nur nach Freigabe	im Zweifel
Besonders schützenswerte Personendaten (Gesundheit, Strafregister)	–	nur mit expliziter Freigabe durch die GL	Standardfall

Beispiel-Formulierung: «Personendaten von Kundinnen und Mitarbeitenden dürfen ausschliesslich in einem Firmen-Account mit Auftragsbearbeitungsvertrag verarbeitet werden, nie in der kostenlosen Version eines KI-Tools.»

4. Kennzeichnung von KI-Output

Lege fest, ab wann ein Text, ein Bild oder eine Auswertung als «KI-unterstützt» gilt und wie das intern sichtbar gemacht wird. Das schützt vor Missverständnissen, wenn ein Ergebnis später geprüft oder weitergegeben wird, und erfüllt nebenbei die Transparenzpflicht des DSG.

Beispiel-Formulierung: «Texte, Bilder oder Auswertungen, die massgeblich mit KI erstellt wurden, werden vor der Weiterverwendung intern als ‹KI-unterstützt› markiert.»

5. Verantwortlichkeiten

Bestimme eine Person oder Rolle, die die Freigabeliste pflegt, Fragen beantwortet und die Richtlinie regelmässig überprüft. Das ist auch persönlich relevant: Verstösse gegen das DSG können nach Art. 60 ff. die verantwortliche natürliche Person mit Bussen bis CHF 250’000 treffen, nicht primär die Firma. Klare Verantwortlichkeiten sind darum kein Formalismus, sondern schützen konkrete Personen im Betrieb.

Beispiel-Formulierung: «Die Geschäftsleitung bestimmt eine KI-Verantwortliche Person. Sie pflegt die Freigabeliste, beantwortet Fragen aus dem Team und überprüft die Richtlinie mindestens einmal jährlich.»

6. Schulungspflicht

Eine Richtlinie ohne Schulung bleibt ein Papier in der Schublade. Definiere, wer wann geschult wird und wie die Teilnahme festgehalten wird, damit die Regel im Alltag tatsächlich ankommt.

Beispiel-Formulierung: «Alle Mitarbeitenden, die im Beruf mit KI-Tools arbeiten, besuchen innerhalb von sechs Monaten nach Eintritt eine Schulung zu sicherer und produktiver KI-Nutzung. Die Teilnahme wird schriftlich bestätigt.»

Wie führst du die Richtlinie im Betrieb ein?

Am besten schrittweise statt per Rundmail über Nacht. Entwirf die sechs Punkte zuerst mit IT und, falls vorhanden, mit der Datenschutzberatung, dann stellst du sie im Teammeeting vor statt sie nur zu verschicken. Fragen und Widerstand kommen fast immer bei der Datenklassen-Tabelle, dort lohnt sich Zeit für Beispiele aus dem eigenen Betrieb.

Plane danach eine feste Überprüfung ein, mindestens einmal jährlich oder sobald sich Tools spürbar ändern. Wie schnell das gehen kann, zeigt der Wechsel von einfachen Chat-Tools zu selbstständig handelnden KI-Agenten, wie wir ihn im Artikel zu ChatGPT Work beschreiben. Ein Agent, der sich mit E-Mail-Postfach oder Firmenlaufwerk verbindet, braucht eine Freigabeliste, die diesen Fall bereits mitdenkt.

Häufige Fragen zur KI-Richtlinie

Braucht mein KMU in der Schweiz eine KI-Richtlinie? Ja, sobald Mitarbeitende KI-Tools im Beruf nutzen, was laut einer EY-Umfrage auf 89 Prozent der Befragten zutrifft. Ohne Richtlinie läuft diese Nutzung unkontrolliert, oft über private Accounts. Eine schriftliche Regelung schafft Klarheit über erlaubte Tools und Daten und erfüllt gleichzeitig die Transparenzpflichten des Schweizer Datenschutzgesetzes. Für ein KMU reicht dafür ein kurzes, klar formuliertes Dokument, kein umfangreiches Regelwerk.

Gilt der EU AI Act für Schweizer Firmen? Nein, nicht direkt. Der Bundesrat hat am 12. Februar 2025 entschieden, kein eigenes KI-Gesetz nach EU-Vorbild einzuführen, sondern die KI-Konvention des Europarats zu ratifizieren und einzelne Bereiche gezielt zu regeln. Massgeblich für Schweizer KMU bleibt das Datenschutzgesetz. Nur wer aktiv Produkte oder Dienstleistungen auf dem EU-Markt anbietet, muss zusätzlich prüfen, ob der EU AI Act für diesen Teil des Geschäfts greift.

Wer haftet, wenn ein Mitarbeitender gegen die KI-Richtlinie verstösst? Beim Schweizer Datenschutzgesetz zielen Bussen in erster Linie auf die natürliche Person, nicht auf die Firma als solche. Verstösse können nach Art. 60 ff. DSG mit bis zu CHF 250’000 geahndet werden, und zwar gegen die Person, die den Verstoss zu verantworten hat. Genau darum lohnt sich eine Richtlinie mit klaren Verantwortlichkeiten: Sie schützt die Firma und die einzelnen Mitarbeitenden gleichermassen, weil jeder weiss, woran er sich zu halten hat.

Wie oft muss eine KI-Richtlinie aktualisiert werden? Mindestens einmal jährlich, öfter wenn sich die genutzten Tools sichtbar verändern. KI-Anwendungen entwickeln sich schnell, von einfachen Chat-Funktionen hin zu Agenten, die selbstständig auf E-Mails oder Dateien zugreifen. Eine Richtlinie, die zwei Jahre unverändert bleibt, deckt solche neuen Funktionen meist nicht mehr ab. Ein fixer Termin, etwa im Rahmen der jährlichen IT-Überprüfung, verhindert, dass die Aktualisierung schlicht vergessen geht.

Eine KI-Richtlinie muss nicht perfekt sein, um zu wirken. Die sechs Punkte oben decken das ab, was ein Schweizer KMU nach DSG wirklich braucht, und lassen sich in einem Nachmittag zu einem eigenen Dokument zusammensetzen. Damit die Regeln im Alltag auch angewendet werden und nicht nur auf Papier stehen, braucht es zusätzlich Mitarbeitende, die im Umgang mit KI sattelfest sind. Genau dafür ist der Aufbaukurs KI Kompetent WORK gedacht.