In vielen Betrieben nutzt jemand im Team längst KI-Tools: für Offerten, Mails, Übersetzungen oder Social Posts. Oft ohne Absprache und ohne Gedanken daran, was dabei eingegeben wird. Eine kurze, schriftliche KI-Richtlinie schafft Klarheit, bevor etwas schiefgeht. Dieser Ratgeber zeigt, was hineingehört, welche Schweizer Rechtsgrundlagen dahinterstehen und wie Sie in einer halben Stunde eine erste Fassung haben. Eine Rechtsberatung ist er nicht.
Braucht ein KMU in der Schweiz eine KI-Richtlinie?
Eine allgemeine gesetzliche Pflicht, eine KI-Richtlinie zu haben, kennen wir im Schweizer Recht nicht. Das Bundesamt für Justiz hält fest, dass es in der Schweiz keine spezifische KI-Gesetzgebung gibt (Bundesamt für Justiz: Künstliche Intelligenz, Beschluss des Bundesrats vom 12. Februar 2025). Auch eine Meldung des KMU-Portals vom 23. September 2026 spricht von fehlenden spezifischen, bereichsübergreifenden Rechtsvorschriften. Der Bundesrat will die KI-Konvention des Europarats ratifizieren. Ein geplantes Gesetzesprojekt soll unter anderem Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht regeln. Die Vernehmlassungsvorlage ist laut dieser Meldung für das Frühjahr 2027 vorgesehen; ursprünglich war Ende 2026 geplant (KMU-Portal des Bundes). Diese Pläne können sich ändern.
Das heisst nicht, dass KI im Betrieb rechtlich ein leeres Feld wäre. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im November 2023 mitgeteilt, dass das Datenschutzgesetz auch für KI-gestützte Datenbearbeitungen gilt (EDÖB, Mitteilung vom 9. November 2023). Und das Obligationenrecht gibt Ihnen als Arbeitgeber das Recht, Weisungen zu erteilen. Eine Richtlinie ist genau so eine Weisung.
Was gehört in eine KI-Richtlinie?
Für ein Team von 5 bis 50 Personen reichen ein bis zwei Seiten. Diese sieben Punkte decken das Wichtigste ab:
- Geltungsbereich: Für wen gilt die Regel (auch Lernende, Aushilfen, Externe) und auf welchen Geräten, auch privaten, wenn damit Firmendaten bearbeitet werden.
- Erlaubte Tools: Eine Liste freigegebener Programme und eine zuständige Person. Neue Tools nur nach Freigabe. Private Gratis-Konten sind für Firmendaten kein guter Ort.
- Datenregeln: Was darf eingegeben werden, was nicht? Am einfachsten funktioniert eine Ampel: Rot (nie), Gelb (nur anonymisiert), Grün (frei).
- Verantwortung für Resultate: KI liefert Entwürfe. Wer sie verwendet, prüft Zahlen, Quellen und Ton und bleibt verantwortlich.
- Transparenz: Wann weisen Sie Kundschaft auf KI-Einsatz hin?
- Meldeweg bei Pannen: Wer wird informiert, wenn doch einmal Kundendaten eingegeben wurden, und bis wann?
- Überprüfung: Mindestens einmal jährlich und bei neuen Tools. Wer ist zuständig?
Die Datenampel als Beispiel
| Stufe | Beispiele | Regel |
|---|---|---|
| Rot | Namen, Adressen, E-Mails und Telefonnummern von Kundschaft oder Mitarbeitenden, Gesundheits- und Lohndaten, Passwörter, Verträge, unveröffentlichte Zahlen | Nie eingeben |
| Gelb | Fallbeschreibungen, Offertentexte, interne Abläufe | Nur anonymisiert: Namen, Orte, Beträge entfernen |
| Grün | Öffentliche Informationen, allgemeine Textentwürfe, Ideen, Vorlagen ohne Personenbezug | Frei nutzbar |
Die Faustregel dazu: Im Zweifel gilt Rot. Ein Beispiel für Gelb: Statt «Frau Meier aus Luzern schuldet CHF 2'340» schreiben Sie «Kundin schuldet CHF [Betrag]» und setzen den Betrag nach der Antwort wieder ein.
Kurzvorlage: 8 Regeln zum Anpassen
Das ist eine abgespeckte Fassung zum Übernehmen und Anpassen. Ersetzen Sie die [Platzhalter] und besprechen Sie den Text mit Ihrer Geschäftsleitung, bevor Sie ihn verteilen.
KI-Regeln bei [Firma] (gültig ab [Datum], verantwortlich: [Name])
- Wir nutzen KI-Tools, um Routinearbeit zu erleichtern. Erlaubt sind nur die Tools auf der Freigabeliste von [Name].
- Neue Tools nur nach Rückfrage bei [Name]. Für Firmendaten verwenden wir keine privaten Gratis-Konten.
- Es gilt die Datenampel: rote Daten nie, gelbe nur anonymisiert, grüne frei. Im Zweifel gilt rot.
- Namen, Kontaktdaten, Gesundheits-, Lohn- und Vertragsdaten gehören nicht in KI-Tools.
- KI-Antworten sind Entwürfe. Wer sie verwendet, prüft Inhalt, Zahlen und Quellen und trägt die Verantwortung.
- Über Personen (Anstellung, Kündigung, Kreditwürdigkeit) entscheidet nie allein die KI.
- Wurden aus Versehen rote Daten eingegeben, informieren Sie sofort [Name]. Eine Meldung führt nicht zu Vorwürfen, ein Verschweigen schon.
- Diese Regeln werden mindestens einmal pro Jahr überprüft. Mit Ihrer Unterschrift bestätigen Sie, dass Sie sie gelesen haben.
Welche Schweizer Rechtsgrundlagen stehen dahinter?
Die folgenden Verweise sind eine Orientierung. Den genauen Wortlaut finden Sie auf Fedlex, dem Portal des Bundesrechts (Quellen unten).
- Weisungsrecht (Art. 321d OR): Der Arbeitgeber kann Weisungen über die Ausführung der Arbeit und das Verhalten im Betrieb erteilen. Die Mitarbeitenden müssen sie nach Treu und Glauben befolgen.
- Datenschutzgesetz (DSG, in Kraft seit 1. September 2023): Es verlangt unter anderem die Einhaltung der Bearbeitungsgrundsätze (Art. 6), angemessene Datensicherheit (Art. 8) und besondere Sorgfalt, wenn Dritte Daten für Sie bearbeiten (Art. 9). Viele KI-Anbieter verarbeiten Daten im Ausland. Für die Bekanntgabe ins Ausland gelten besondere Vorgaben (Art. 16 und 17 DSG).
- Informationspflicht (Art. 19 und 21 DSG): Wer Personendaten beschafft, muss die betroffenen Personen angemessen informieren. Für Entscheide, die ausschliesslich automatisiert getroffen werden und für die Person erhebliche Folgen haben, gilt eine besondere Informationspflicht.
- Meldung von Datenpannen (Art. 24 DSG): Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko für die betroffenen Personen sind dem EDÖB so rasch wie möglich zu melden. Darum lohnt sich ein klarer Meldeweg im Betrieb.
- Personaldaten (Art. 328b OR): Der Arbeitgeber darf Daten über Mitarbeitende nur bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind. Lohn- und Personaldaten gehören darum in der Datenampel auf Rot.
- EU-Kundschaft: Wer Kundschaft in der EU bedient, kann zusätzlich der DSGVO unterliegen. Ob das bei Ihnen zutrifft, klären Sie im Einzelfall.
Wollen Sie die KI-Nutzung im Team kontrollieren oder protokollieren, beachten Sie die Vorgaben zur Überwachung am Arbeitsplatz (Art. 26 Abs. 1 ArGV 3, Verordnung 3 zum Arbeitsgesetz). Kontrollen zur reinen Überwachung des Verhaltens sind danach nicht zulässig. Das ist ein Fall für eine Fachperson.
Berufsgeheimnis und Geschäftsgeheimnis: besondere Vorsicht
Wenn Ihr Betrieb einem Berufsgeheimnis unterliegt (zum Beispiel Anwaltskanzleien, Arztpraxen, Zahnarztpraxen oder Apotheken nach Art. 321 des Strafgesetzbuchs), reicht die Datenampel allein nicht. Wer ein Berufsgeheimnis offenbart, kann sich strafbar machen. Eine Eingabe von Patienten- oder Mandatsdaten in ein Cloud-KI-Tool kann eine Offenbarung bedeuten, wenn keine Einwilligung, keine Entbindung vom Geheimnis und keine saubere vertragliche Grundlage vorliegen. Ob Cloud-Anbieter als Hilfspersonen gelten, ist in der Lehre umstritten. Für solche Betriebe ist das Muster nur ein Ausgangspunkt, bitte lassen Sie die Regeln vor der Einführung von Ihrem Berufsverband oder einer Fachperson prüfen.
Auch ohne Berufsgeheimnis gibt es Daten, die Sie nicht aus der Hand geben sollten: Kalkulationen, unveröffentlichte Preise, Verträge und Strategien. Die Geheimhaltungspflicht nach Art. 321a Abs. 4 OR verbietet zudem, Geschäftsgeheimnisse zu verraten. Legen Sie darum in Ihrer Richtlinie fest, was bei Ihnen als vertraulich gilt.
So führen Sie die Richtlinie ein
- Bestandsaufnahme (15 Minuten): Fragen Sie im Team, welche Tools schon genutzt werden und wofür. Ohne Vorwurf, sonst erfahren Sie nichts.
- Verantwortliche Person bestimmen: Eine Person führt die Freigabeliste und ist Anlaufstelle.
- Text anpassen: Kurzvorlage oben übernehmen, Platzhalter füllen, mit der Geschäftsleitung abstimmen. Prüfen Sie, ob Arbeitsverträge, Personalreglement oder ein Gesamtarbeitsvertrag etwas Abweichendes regeln.
- Team informieren: Kurze Besprechung statt nur Mail. Zeigen Sie zwei Beispiele für Rot und Gelb aus Ihrem Alltag.
- Kenntnisnahme festhalten: Unterschrift oder Bestätigung per Mail, mit Datum. Wer wurde wann informiert?
- Nach drei Monaten nachfragen: Was war unklar? Was wird umgangen? Passen Sie die Regeln an.
Wenn Sie mehr als die Kurzfassung brauchen: Das KI-Richtlinie & Reglemente-Set für Schweizer KMU enthält die ausführliche KI-Nutzungsrichtlinie mit DSG-Bezug, dazu Homeoffice-, Spesen- und Geschäftsgeräte-Reglement, Info-Mails an das Team, eine Einführungs-Checkliste und eine Schulungs- und Freigabeliste. Sie sehen alles vorher online, bezahlen erst danach und nur, wenn es Ihnen nützt. Das Set ist ein Muster, keine Rechtsberatung.
Häufige Fragen
Darf mein Team Kundendaten in ChatGPT eingeben?
Als sichere Grundregel: nein. Personendaten gehören nicht in KI-Tools, ausser die Geschäftsleitung hat das Tool und die Rechtsgrundlage geprüft und schriftlich freigegeben. Besonders heikel sind Gesundheitsdaten und alles, was einem Berufsgeheimnis unterliegt.
Muss ich Kundschaft über den KI-Einsatz informieren?
Das hängt vom Einsatz ab. Wo Personendaten bearbeitet werden, gelten die Informationspflichten des DSG. Bei Entscheiden, die allein von einer Maschine getroffen werden und erhebliche Folgen haben, gilt eine besondere Informationspflicht (Art. 21 DSG). Unabhängig vom Gesetz ist ein Hinweis fair, wenn jemand sonst glauben würde, mit einem Menschen zu schreiben, etwa bei einem Chatbot.
Reicht ein Satz im Arbeitsvertrag?
Ein Satz ersetzt keine Richtlinie, denn Mitarbeitende brauchen konkrete Beispiele: Was darf hinein, was nicht, wen frage ich? Eine Richtlinie als Weisung lässt sich auch leichter aktualisieren als ein Vertrag.
Gilt der EU AI Act für mein Schweizer KMU?
Der EU AI Act ist EU-Recht. Er kann Schweizer Unternehmen betreffen, die KI-Systeme in der EU anbieten oder deren Ergebnisse dort verwenden. Für die interne Nutzung gängiger Büro-KI-Tools in einem rein schweizerischen Betrieb ist die Richtlinie meist wichtiger als der AI Act. Ob er bei Ihnen eine Rolle spielt, klären Sie im Einzelfall mit einer Fachperson.
Wie oft sollte ich die Richtlinie anpassen?
Mindestens einmal pro Jahr und immer dann, wenn ein neues Tool dazukommt oder sich die Rechtslage ändert. Die Schweiz arbeitet an der Umsetzung der KI-Konvention des Europarats. Es lohnt sich, den Stand zu beobachten.
Stand und Quellen
Stand: 6. November 2026. Dieser Ratgeber ist allgemeine Information und keine Rechtsberatung. Bei Unsicherheit, besonders bei Berufsgeheimnis, Gesundheitsdaten oder EU-Bezug, ziehen Sie eine Fachperson bei.
- Bundesgesetz über den Datenschutz (DSG, SR 235.1) auf Fedlex
- Obligationenrecht (OR, SR 220) auf Fedlex: Art. 321a, 321d, 328b
- Strafgesetzbuch (StGB, SR 311.0) auf Fedlex: Art. 321
- Verordnung 3 zum Arbeitsgesetz (ArGV 3, SR 822.113), Art. 26, abrufbar über die SR-Suche auf Fedlex
- Bundesamt für Justiz: Künstliche Intelligenz (Beschluss des Bundesrats vom 12. Februar 2025)
- KMU-Portal des Bundes: Meldung vom 23. September 2026 zum Zeitplan der KI-Regulierung
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB): Mitteilung vom 9. November 2023 zur Anwendbarkeit des DSG auf KI