Checkliste: eine KI-Nutzungsrichtlinie, die tatsächlich befolgt wird
Für: KMU, Kanzleien und Teams, die KI-Werkzeuge im Alltag nutzen
Aktualisiert: 2026-10
Eine wirksame KI-Nutzungsrichtlinie regelt in kurzer, verständlicher Form: welche Werkzeuge zugelassen sind, welche Daten hineingehören und welche nicht, dass Menschen Ergebnisse prüfen und verantworten, wann KI-Einsatz offengelegt wird, wie neue Werkzeuge freigegeben werden, welche Schulung es gibt, wie Vorfälle gemeldet werden und wann die Richtlinie überprüft wird.
In fast jedem Unternehmen nutzen Mitarbeitende bereits KI-Werkzeuge, ob es dafür Regeln gibt oder nicht. Eine Richtlinie verbietet das nicht, sondern macht es sicher und nachvollziehbar. Sie ist zugleich ein zentraler Baustein der Massnahmen zur KI-Kompetenz nach Art. 4 AI Act und einer schlanken KI-Governance.
Diese Checkliste beschreibt, was in eine Richtlinie gehört, die tatsächlich gelesen und befolgt wird. Jeder Schritt nennt, woran man erkennt, dass er erledigt ist.
Die Checkliste
- 01
Zugelassene Werkzeuge festlegen
Eine kurze Liste der freigegebenen KI-Werkzeuge mit dem jeweils erlaubten Einsatzzweck führen, etwa Textentwürfe, Übersetzung, Code oder Recherche. Unternehmenskonten mit Vertrag statt privater Konten vorsehen.
Erledigt, wenn: Eine aktuelle Liste der zugelassenen Werkzeuge mit Einsatzzweck und Kontoart liegt vor und ist allen bekannt.
- 02
Datenregeln klar formulieren
Festlegen, welche Daten in welche Werkzeuge dürfen: öffentliche Informationen ja, vertrauliche Geschäftsinformationen und Personendaten nur in Werkzeuge mit Vertrag, ausgeschlossenem Training und bekanntem Verarbeitungsort, besonders schützenswerte Daten und Berufsgeheimnisse grundsätzlich nicht. Konkrete Beispiele helfen mehr als abstrakte Kategorien.
Erledigt, wenn: Die Richtlinie enthält eine einfache Einteilung der Datenarten mit Beispielen und der jeweils erlaubten Werkzeugklasse.
- 03
Verantwortung für Ergebnisse regeln
Festhalten, dass Menschen KI-Ergebnisse prüfen und verantworten, bevor sie verwendet, versendet oder veröffentlicht werden — besonders bei fachlichen, rechtlichen und zahlenbasierten Aussagen. KI-Ergebnisse sind Entwürfe, keine Quellen.
Erledigt, wenn: Die Richtlinie benennt die Prüfpflicht und die Bereiche, in denen sie besonders streng gilt.
- 04
Transparenz festlegen
Regeln, wann KI-Einsatz offengelegt wird: bei Chatbots und automatisierten Antworten gegenüber Kunden, bei veröffentlichten Texten zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung, bei Bildern und Videos, die reale Personen oder Ereignisse nachahmen. Das entspricht den Transparenzpflichten nach Art. 50 AI Act.
Erledigt, wenn: Die Richtlinie nennt die Fälle der Offenlegung und eine Standardformulierung dafür.
- 05
Freigabe neuer Werkzeuge regeln
Einen einfachen, schnellen Weg festlegen, wie Mitarbeitende neue Werkzeuge beantragen und wer sie prüft: Datenverwendung, Verarbeitungsort, Vertrag, Kosten. Jede Freigabe wird im KI-Inventar erfasst.
Erledigt, wenn: Ein Antragsweg mit verantwortlicher Person ist beschrieben, und neue Werkzeuge erscheinen nach der Freigabe im Inventar.
- 06
Schulung planen
Eine kurze Einführung für alle Nutzenden zu Möglichkeiten, Grenzen, Halluzinationen, Datenregeln und Prompt Injection vorsehen, vertieft für Rollen mit besonderer Verantwortung. Teilnahme dokumentieren; das dient zugleich als Nachweis der Massnahmen nach Art. 4 AI Act.
Erledigt, wenn: Ein Schulungsplan pro Rolle liegt vor, und die Teilnahme wird mit Datum festgehalten.
- 07
Vorfälle melden
Festlegen, was zu tun ist, wenn vertrauliche Daten versehentlich in ein nicht zugelassenes Werkzeug gelangt sind, ein KI-Ergebnis einen Schaden verursacht hat oder ein Werkzeug sich unerwartet verhält. Eine Meldung ohne Schuldzuweisung fördert, dass Vorfälle bekannt werden.
Erledigt, wenn: Ein Meldeweg mit Ansprechperson ist beschrieben und mit dem Ablauf für Datenschutzverletzungen verknüpft.
- 08
Überprüfung festlegen
Die Richtlinie in einem festen Rhythmus und bei wesentlichen Änderungen überprüfen: neue Werkzeuge, neue Vorschriften, Erfahrungen aus Vorfällen. Kurz halten — eine Richtlinie, die niemand liest, wirkt nicht.
Erledigt, wenn: Ein Überprüfungstermin und eine verantwortliche Person sind festgelegt; die Richtlinie umfasst wenige Seiten.
Häufige Fehler
- —Eine Richtlinie, die jede KI-Nutzung verbietet und deshalb heimlich umgangen wird.
- —Abstrakte Datenkategorien ohne Beispiele, sodass im Alltag niemand weiss, was erlaubt ist.
- —Private Konten für Arbeitsdaten, weil Unternehmenskonten fehlen.
- —Ein Freigabeprozess, der Wochen dauert, sodass Teams eigene Wege gehen.
- —Schulungen ohne Dokumentation, die als Nachweis nach Art. 4 fehlt.
Was diese Checkliste nicht abdeckt
- —Diese Checkliste ist keine Rechtsberatung. Berufsgeheimnisträger wie Anwältinnen, Ärzte oder Treuhänder haben zusätzliche Pflichten, die gesondert zu prüfen sind.
- —Sie ersetzt keine arbeitsrechtliche Prüfung, etwa zur Mitwirkung von Arbeitnehmervertretungen oder zur Überwachung am Arbeitsplatz.
- —Für Unternehmen, die selbst KI-Systeme anbieten oder Hochrisiko-Systeme betreiben, reicht eine Nutzungsrichtlinie nicht; dann gelten weitergehende Pflichten.
- —Sie gibt den Rechtsstand vom Oktober 2026 wieder, einschliesslich der durch den Digital-Omnibus angepassten Fassung von Art. 4.
Übergeordnete Leistung: EU-AI-Act- & Compliance-Beratung
Passende Angebote
AI-Act-Kompetenzschulung
Artikel 4 des EU AI Act verlangt Massnahmen zur Förderung der KI-Kompetenz beim Personal. Diese Schulung erfüllt die Pflicht praxisnah und rollenbasiert: die Menschen, die KI einsetzen und beaufsichtigen, verstehen, was die Systeme tun, wo ihre Grenzen liegen und wann eine Ausgabe zu hinterfragen ist.
KI-Governance-Aufbau
KI-Governance gibt Ihrem Umgang mit KI eine wiederholbare Struktur: eine KI-Politik, ein Risikoinventar, klare Rollen und ein Lebenszyklus-Prozess — an der ISO/IEC 42001 orientiert. Ergebnis ist das organisatorische Rückgrat, das die vom AI Act verlangten Nachweise prüffest und dauerhaft produziert.
Häufige Fragen
Ist eine KI-Nutzungsrichtlinie gesetzlich vorgeschrieben?
Eine bestimmte Form schreibt der AI Act nicht vor. Art. 4 verlangt aber Massnahmen zur Förderung der KI-Kompetenz, und eine Richtlinie mit Schulung ist der einfachste Weg, solche Massnahmen umzusetzen und nachzuweisen.
Dürfen Mitarbeitende ChatGPT oder ähnliche Werkzeuge nutzen?
Ja, wenn die Richtlinie es erlaubt und die Datenregeln eingehalten werden. Für vertrauliche Informationen und Personendaten sollten Unternehmenskonten mit Vertrag und ausgeschlossenem Training verwendet werden.
Wie lang sollte eine Richtlinie sein?
So kurz, dass sie gelesen wird — meist wenige Seiten mit konkreten Beispielen. Details wie die Liste der Werkzeuge können in einem separaten, leicht aktualisierbaren Anhang stehen.
Was tun, wenn bereits vertrauliche Daten in ein Werkzeug gelangt sind?
Den Vorfall melden, prüfen, welche Daten betroffen sind und ob der Anbieter sie speichert oder zum Training nutzt, und beurteilen, ob eine Datenschutzverletzung mit Meldepflicht vorliegt.
Weitere Checklisten
Checkliste: KI-Anbieter und KI-Funktionen prüfen, bevor sie eingesetzt werden
Vor dem Einsatz eines KI-Dienstes sind zehn Fragen zu klären: Wird auf eigenen Daten trainiert, wo werden Daten verarbeitet, wie lange werden Eingaben gespeichert, gibt es einen Auftragsbearbeitungsvertrag, wie ist die Sicherheit belegt, welche Rolle hat man nach AI Act, welche Dokumentation liefert der Anbieter, wie werden Modellwechsel angekündigt, wie werden Kosten begrenzt und wie steigt man wieder aus.
Checkliste: KI in Kanzleien und Treuhandbüros sicher einsetzen
KI kann in Kanzleien und Treuhandbüros viel Zeit sparen, berührt aber Berufsgeheimnis und Datenschutz unmittelbar. Sicher wird der Einsatz mit geklärten Geheimhaltungspflichten, Werkzeugen mit Vertrag und ohne Training auf Mandantendaten, minimierten Daten, der Prüfung jeder Aussage und Fundstelle, Transparenz gegenüber Mandanten sowie Richtlinie und Schulung.
Checkliste: Website-Relaunch für Kanzleien und Treuhänder
Ein Kanzlei-Relaunch gelingt, wenn Fachgebiete und Personen klar strukturiert, alte Adressen sauber weitergeleitet, Inhalte berufsrechtlich sachlich, das Kontaktformular vertraulich gestaltet, strukturierte Daten und lokale Angaben korrekt und Indexierung sowie Anfragen nach dem Go-live gemessen werden.