Ihri Lüt bruuchet KI scho. Nur weiss es im Betrieb niemer!

Die Zahlen sind unmissverständlich. Der IGEM-Digimonitor 2026 zeigt, dass 80 Prozent der internetnutzenden Bevölkerung zwischen 15 und 75 Jahren KI-Anwendungen mindestens gelegentlich nutzen, doppelt so viele wie 2024. 61 Prozent tun das beruflich oder in der Ausbildung. Befragt wurden im März und April 2026 durch Intervista 1957 Personen in der ganzen Schweiz.

Die Accenture-Studie «Pulse of Change» zeigt für die Arbeitswelt in dieselbe Richtung, misst aber etwas anderes: 49 Prozent der Befragten greifen täglich zu KI-Werkzeugen, 88 Prozent haben über den Arbeitgeber vollen oder teilweisen Zugang dazu. Zwei Vorbehalte gehören dazu. Befragt wurden zwischen April und Juni 2026 nur 200 Personen in der Schweiz, davon die Hälfte Führungskräfte auf oberster Ebene, was den Wert nach oben zieht. Und Accenture verkauft KI-Transformationsberatung, die Studie ist auch ein Verkaufsargument.

Was in diesen Zahlen fehlt: eine Angabe darüber, wie viele Betriebe schriftlich festgehalten haben, was erlaubt ist. In der Praxis sind es wenige.

Warum braucht ein KMU überhaupt schriftliche KI-Regeln?

Weil ohne Regeln jede Person selbst entscheidet, was sie in ein fremdes System eingibt. Datenschutzrechtlich verantwortlich ist der Betrieb. Das entlastet die einzelne Person nicht vollständig, denn die Strafbestimmungen des Datenschutzgesetzes richten sich an natürliche Personen; erst bei Bussen bis 50’000 Franken kann die Behörde stattdessen den Betrieb büssen. Eine schriftliche Regel ist ausserdem das Einzige, was Sie einer Kundschaft, einer Revisionsstelle oder im Streitfall einem Gericht vorlegen können.

Dazu kommt ein weicher, aber wichtiger Punkt. Wo nichts geregelt ist, arbeiten Leute heimlich. Sie verwenden KI, sprechen aber nicht darüber, weil sie nicht wissen, ob es erlaubt ist. Damit verliert der Betrieb genau das, was ihn weiterbringen würde: das Wissen, wofür es funktioniert und wofür nicht.

Was gehört auf diese eine Seite?

Sieben Punkte reichen, jeder in einem Satz, ohne Paragraphenlyrik: zugelassene Werkzeuge, erlaubte Daten, Verantwortung für das Ergebnis, Pflicht zum Gegenlesen, Transparenz gegenüber Kundschaft, Vorgehen bei Fehlern und ein Datum für die nächste Überprüfung. Mehr braucht ein Betrieb mit zehn bis fünfzig Leuten nicht, und weniger reicht nicht aus.

1. Welche Werkzeuge sind zugelassen. Nennen Sie sie beim Namen. Alles, was nicht auf der Liste steht, braucht eine Freigabe.
2. Welche Daten dürfen hinein. Am einfachsten mit der Tabelle unten, aufgeteilt in drei Stufen.
3. Wer trägt die Verantwortung für das Ergebnis. Immer die Person, die es verwendet. Ein KI-Text, der an Kundschaft geht, ist Ihr Text.
4. Was gegengelesen werden muss. Alles, was den Betrieb verlässt, plus alle Zahlen.
5. Wo Transparenz nötig ist. Ob und wie Sie Kundschaft darüber informieren, wenn KI im Spiel ist.
6. Was bei einem Fehler passiert. An wen melden, innert welcher Frist. Ohne diesen Punkt meldet niemand etwas.
7. Wann die Regel überprüft wird. Ein Datum, einmal im Jahr. Sonst gilt sie in zwei Jahren als überholt und wird ignoriert.

Welche Daten dürfen in ein KI-Werkzeug?

Teilen Sie die Daten in drei Stufen. Frei sind öffentliche und anonymisierte Inhalte, sie dürfen in jedes zugelassene Werkzeug. Nur mit Freigabe gehen interne Zahlen und Projektunterlagen hinein, und zwar ausschliesslich in Dienste, mit denen ein Auftragsbearbeitungsvertrag besteht. Liegt der Anbieter im Ausland, kommt die Prüfung der Auslandbekanntgabe dazu. Verboten sind Personendaten mit Namen, Gesundheits- und Lohndaten sowie Verträge Dritter.

Diese Tabelle ist der Kern der ganzen Übung. Hängen Sie sie aus, sie beantwortet neunzig Prozent der Fragen im Alltag.

Stufe	Beispiele	Regel
Frei	öffentliche Texte, allgemeine Fragen, Entwürfe ohne Namen, anonymisierte Beispiele	erlaubt in allen zugelassenen Werkzeugen
Nur mit Freigabe	interne Zahlen, Offerten ohne Kundenname, Projektunterlagen, Bewerbungsunterlagen in anonymisierter Form	erlaubt nur in Werkzeugen mit Auftragsbearbeitungsvertrag; bei Anbietern im Ausland zusätzlich Auslandbekanntgabe prüfen
Verboten	Kundendaten mit Namen, Gesundheitsdaten, Lohndaten, Personaldossiers, Passwörter, Verträge Dritter	nie in ein öffentliches KI-Werkzeug

Die Dreiteilung selbst steht nicht im Gesetz, sie ist eine betriebliche Konvention. Ihre Grundlage liefert aber das Datenschutzgesetz: Artikel 6 verlangt Zweckbindung und Verhältnismässigkeit, Artikel 8 angemessene Datensicherheit, Artikel 9 regelt die Auftragsbearbeitung, und Artikel 16 und 17 regeln die Bekanntgabe ins Ausland. Ein Auftragsbearbeitungsvertrag ist immer nötig, auch wenn der Anbieter in der Schweiz verarbeitet; die Schweizer Verarbeitung erspart nur die Prüfung der Auslandbekanntgabe. Wo die Bearbeitung ein hohes Risiko für die betroffenen Personen mit sich bringt, etwa bei umfangreichen besonders schützenswerten Personendaten, kommt eine Datenschutz-Folgenabschätzung nach Artikel 22 dazu. Der EDÖB hält ausdrücklich fest, dass das Gesetz technologieneutral formuliert und damit direkt auf KI anwendbar ist.

Wie Sie das an einem Nachmittag beschliessen

Nehmen Sie sich drei Stunden und laden Sie vier bis sechs Personen ein, die im Betrieb tatsächlich mit KI arbeiten. Nicht die Geschäftsleitung allein.

Erste Stunde: Jede Person sagt, was sie heute tatsächlich benutzt und wofür. Schreiben Sie mit, ohne zu werten. Diese Liste ist meistens länger, als die Geschäftsleitung erwartet hat.

Zweite Stunde: Die drei Stufen der Tabelle mit Ihren eigenen Beispielen füllen. Streiten Sie über die Grenzfälle, das ist der wertvolle Teil.

Dritte Stunde: Die sieben Punkte formulieren, ausdrucken, unterschreiben, verteilen. Fertig.

Was Sie danach haben, ist keine Compliance-Architektur. Es ist ein Blatt Papier, an das sich Leute halten können, weil sie es verstehen. Das schlägt jede zwölfseitige Richtlinie, die niemand liest.

Der häufigste Fehler

Betriebe schreiben die Regel zu streng. «KI-Nutzung nur nach Rücksprache mit der Geschäftsleitung» klingt sicher und führt dazu, dass die Regel innert eines Monats umgangen wird. Besser ist eine Regel, die grosszügig erlaubt, wo nichts passieren kann, und hart verbietet, wo es weh tut.

Weitere Beiträge zu Datenschutz und Werkzeugen im Betrieb finden Sie im Artikelarchiv von ejaj.ch.

Quellen

• IGEM-Digimonitor 2026, Studie zur Mediennutzung Schweiz: igem.ch
• persoenlich.com, «IGEM-Digimonitor: KI-Nutzung in der Schweiz verdoppelt», 25. August 2026: persoenlich.com
• Inside IT, «Hälfte der Schweizer Beschäftigten nutzt täglich KI», 28. Juli 2026: inside-it.ch
• Bundesgesetz über den Datenschutz (DSG), SR 235.1: fedlex.admin.ch
• EDÖB, «KI und Datenschutz»: edoeb.admin.ch