Kurz zusammengefasst
- Die Policy muss kurz genug für den Alltag und präzise genug für echte Entscheidungen sein.
- Erlaubte Werkzeuge und Datenklassen brauchen eine gepflegte, leicht auffindbare Liste.
- Pflichten richten sich nach Wirkung: Entwurf, Empfehlung und automatisierte Aktion sind nicht gleich.
- Schulung, Ansprechpartner und technische Kontrollen gehören zur Umsetzung dazu.
Geltungsbereich und Zweck zuerst klären
Die Policy sollte interne und externe KI-Werkzeuge, eingebettete KI-Funktionen sowie selbst entwickelte Anwendungen erfassen. Sie erklärt auch, welche Ziele das Unternehmen verfolgt und welche Grundsätze immer gelten.
- Für welche Mitarbeitenden, Gesellschaften und externen Partner gilt sie?
- Sind Chatbots, Copilots, Agents, APIs und KI in Fachsoftware umfasst?
- Welche bestehenden Regeln zu Datenschutz, Sicherheit, Urheberrecht und Kommunikation bleiben anwendbar?
- Welche Stelle verantwortet Inhalt, Aktualisierung und Ausnahmen?
Erlaubte Nutzung muss konkret beschrieben sein
Ein pauschales «verantwortungsvoll nutzen» hilft wenig. Mitarbeitende brauchen Beispiele für erlaubte, eingeschränkte und verbotene Tätigkeiten sowie einen aktuellen Katalog freigegebener Werkzeuge.
| Regelstufe | Typische Beispiele | Erforderliche Handlung | Kontrolle hinter der Policy |
|---|---|---|---|
| Erlaubt | Öffentliche Inhalte zusammenfassen, Formulierungen verbessern oder in einem freigegebenen Firmenkonto einen internen Entwurf erstellen. | Ergebnis vor der Nutzung prüfen und normale Regeln zu Vertraulichkeit und Urheberrecht einhalten. | Freigegebener Werkzeugkatalog, Firmenanmeldung und inhaltssparsame Basisprotokollierung. |
| Nur nach Freigabe | Vertrauliche Verträge, Kunden- oder Mitarbeitendendaten verwenden oder eine KI-Funktion mit einem Fachsystem verbinden. | Anwendungsfall, Datenklassen, Empfänger und geplante Prüfung der verantwortlichen Stelle vorlegen. | Risikobasierte Prüfung, eingeschränkte Rollen, Aufbewahrungseinstellungen, Testfälle und dokumentierte Auflagen. |
| Verboten | Passwörter oder Geheimnisse eingeben, nicht freigegebene sensible Daten hochladen, Berechtigungen umgehen oder folgenreiche Entscheidungen ungeprüft automatisieren. | Vorgang stoppen, die benannte sichere Alternative nutzen und versehentliche Offenlegung oder auffälliges Verhalten sofort melden. | Technische Sperre, wo möglich, klarer Vorfallweg, verhältnismässige Konsequenzen und eine brauchbare freigegebene Alternative. |
Menschliche Verantwortung darf nicht im Kleingedruckten stehen
Die Policy muss klar benennen, dass KI-Ausgaben geprüft werden und eine Person für deren Verwendung verantwortlich bleibt. Die Prüftiefe folgt dem möglichen Schaden und der Reversibilität.
- Fakten und Quellen vor externer oder geschäftskritischer Nutzung prüfen.
- Keine alleinige KI-Entscheidung bei erheblichen Folgen ohne geprüfte Rechts- und Prozessgrundlage.
- Kritische Aktionen nur mit expliziter Bestätigung oder Freigabe ausführen.
- Fehler, auffällige Ergebnisse und unzulässige Nutzung über einen bekannten Kanal melden.
Eine Policy braucht einen Betriebsprozess
Produkte und Funktionen ändern sich schneller als klassische Richtlinienzyklen. Deshalb sollte ein stabiler Grundtext mit dynamischen Anlagen für Werkzeuge, Datenklassen und Ansprechpartner verbunden werden.
- Schritt 1
Veröffentlichen
Policy, Kurzregeln und aktuelle Werkzeugliste an einem bekannten Ort bereitstellen.
- Schritt 2
Befähigen
Rollenbezogene Schulungen mit echten Beispielen und Übungen durchführen.
- Schritt 3
Unterstützen
Einen schnellen Kanal für Fragen, neue Werkzeuge und Ausnahmegesuche anbieten.
- Schritt 4
Überprüfen
Nutzung, Vorfälle und Anbieteränderungen auswerten und die Policy regelmässig aktualisieren.
Beispiel: Eine Policy auf zwei Ebenen
Eine einseitige Kurzregel zeigt Mitarbeitenden, welche Firmenwerkzeuge für öffentliche, interne und vertrauliche Daten zulässig sind. Ein ausführlicher Anhang beschreibt Freigaben, Rollen, Dokumentation und Sonderfälle. Die Werkzeugliste wird monatlich gepflegt, ohne dass der gesamte Grundtext neu genehmigt werden muss.
Was Sie mitnehmen sollten
Schreiben Sie die Policy von den häufigsten Alltagssituationen her. Jede Regel sollte eine klare Handlung, einen Ansprechpartner oder eine sichere Alternative auslösen.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft
Stand: 17. Juli 2026. Allgemeine Einordnung, keine Rechtsberatung. Die konkrete Rechtslage und der anwendbare Geltungsbereich sind für den jeweiligen Einsatz zu prüfen.