KI-Richtlinie Vorlage für KMU

Mitarbeitende nutzen ChatGPT, Copilot und andere KI-Dienste, oft ohne klare Regeln. Eine kurze KI-Nutzungsrichtlinie legt fest, welche Tools erlaubt sind und welche Daten nie hineingehören. Hier finden Sie eine kostenlose Vorlage zum Anpassen: als Word-Datei und als ausfüllbares PDF, ohne Anmeldung und ohne Mailadresse.

Word-Vorlage (DOCX, 5 KB) Ausfüllbares PDF (35 KB)

Kostenlos, ohne Anmeldung und ohne Mailadresse. Stand 14.10.2026.

Warum eine KI-Richtlinie?

• Datenschutzgesetz (DSG): Es gilt auch für KI. Das hält der Eidgenössische Datenschutzbeauftragte (EDÖB) fest. Wer Personendaten in einen KI-Dienst eingibt, gibt sie an einen Anbieter weiter. Die Firma muss die Bearbeitungsgrundsätze einhalten (Art. 6), für angemessene Datensicherheit sorgen (Art. 8) und Auftragsbearbeiter sorgfältig auswählen (Art. 9). Für die Bekanntgabe ins Ausland gelten zusätzliche Regeln (Art. 16).
• DSGVO: Mitarbeitende brauchen Anweisungen. Wer Personendaten von Menschen in der EU bearbeitet, muss technische und organisatorische Massnahmen treffen (Art. 32) und Auftragsverarbeiter vertraglich binden (Art. 28). Nach Art. 32 Abs. 4 bearbeiten Mitarbeitende Personendaten nur auf Anweisung. Eine schriftliche Richtlinie ist eine solche Anweisung.
• EU AI Act, Art. 4: KI-Kompetenz fördern. Art. 4 gilt seit dem 2. Februar 2025 für Anbieter und Betreiber von KI-Systemen. Betreiber ist auch eine Firma, die KI-Dienste beruflich nutzt. Seit der Neufassung durch die Änderungsverordnung (EU) 2026/1744 («Digital Omnibus», in Kraft seit 27. Juli 2026) müssen Betreiber Massnahmen treffen, die die KI-Kompetenz ihres Personals fördern; ein bestimmtes Niveau wird nicht verlangt. Schweizer Firmen sind betroffen, wenn sie in der EU niedergelassen sind, KI-Systeme in der EU anbieten oder die Ergebnisse der KI in der EU verwendet werden (Art. 2).
• Geheimnisse: zusätzliche Pflichten. Arztpraxen, Anwaltskanzleien, Revisionsstellen und Banken unterstehen dem Berufs- bzw. Bankgeheimnis (Art. 321 Strafgesetzbuch, Art. 47 Bankengesetz). Viele weitere Firmen haben vertragliche Verschwiegenheitspflichten. Geschäftsgeheimnisse schützt Art. 162 Strafgesetzbuch.

Vor allem aber verhindert eine Richtlinie Unsicherheit im Team: Wer weiss, was erlaubt ist, nutzt KI sicherer und muss nicht heimlich auf private Konten ausweichen. Mehr dazu im Ratgeber Shadow AI im KMU.

ChatGPT-Richtlinie für Mitarbeitende: das regelt die Vorlage

Die Vorlage passt auf zwei Seiten plus eine Seite zum Unterschreiben und gilt für ChatGPT, Copilot, Gemini, Claude und andere KI-Dienste gleichermassen. Die Abschnitte:

1. Zweck: wofür KI genutzt werden darf und was geschützt wird.
2. Geltungsbereich: für wen die Regeln gelten, auch auf privaten Geräten.
3. Erlaubte KI-Tools: Feld für Dienste, Kontoart und Zweck. Private Konten sind für Firmendaten nicht erlaubt.
4. Daten, die nie in KI-Tools gehören: Personendaten, AHV-Nummern, IBAN, Passwörter, Gesundheitsdaten, Verträge und Geschäftsgeheimnisse, dazu ein Feld für Ihre eigenen Fälle.
5. Umgang mit Ergebnissen: prüfen, Verantwortung, keine Entscheidungen über Personen allein durch KI.
6. Schulung: Feld für Form, Dauer und Termin (KI-Kompetenz nach Art. 4 AI Act).
7. Technische Hilfsmittel: Warnungen vor dem Senden ergänzen die Regeln.
8. Vorfälle melden: an eine interne Stelle, ohne Strafe für schnelles Melden.
9. Verstösse und Überprüfung, dazu eine Bestätigung zum Unterschreiben.

Ausfüllbare Platzhalter: Firmenname, gültig ab, verantwortliche Person, erlaubte Tools, weitere verbotene Daten, Schulung, Meldestelle und nächste Überprüfung. In Word sind sie gelb markiert, im PDF füllen Sie die Felder direkt im PDF-Programm aus oder ergänzen sie auf dem Ausdruck von Hand.

So führen Sie die Richtlinie ein

Technisch durchsetzen mit AImori

Eine Richtlinie wirkt nur, wenn man im Alltag daran denkt. AImori ist eine kostenlose Browser-Erweiterung für Chrome und Edge: Sie prüft Eingaben auf KI-Seiten lokal im Browser und warnt vor dem Senden, wenn IBAN, AHV-Nummern, Passwörter oder Kundendaten darin stehen. So wird aus Abschnitt 4 der Richtlinie eine Erinnerung im richtigen Moment. Auch Abschnitt 3 lässt sich abbilden: Auf KI-Seiten, die nicht freigegeben sind, zeigt AImori einen Hinweis oder eine Sperrseite mit Knopf zum erlaubten Tool.

Per Intune oder Gruppenrichtlinie ist die Erweiterung auf allen Arbeitsplätzen, ohne Server und ohne Benutzerkonten. Inhalte gehen weder an die IT noch an Dritte. Mehr: Was erkannt wird

Häufige Fragen zur KI-Richtlinie

Muss ein KMU eine KI-Richtlinie haben?

Eine ausdrückliche Pflicht zu genau diesem Dokument gibt es im Schweizer Recht nicht. Wer Personendaten bearbeitet, muss aber für Datensicherheit sorgen und Mitarbeitende anweisen. Eine schriftliche Richtlinie ist dafür der einfachste Weg und zeigt im Ernstfall, dass die Firma Regeln hatte.

Gilt der EU AI Act in der Schweiz?

Nicht direkt. Er betrifft Schweizer Firmen, wenn sie in der EU niedergelassen sind, KI-Systeme in der EU anbieten oder die Ergebnisse dort verwendet werden. Ob das zutrifft, klären Sie im Einzelfall mit einer Fachperson.

Darf ich die Vorlage verändern und weitergeben?

Ja. Sie dürfen die Vorlage frei anpassen und in Ihrer Firma verwenden, auch für Kunden, die Sie betreuen.

Reicht eine Richtlinie allein?

Sie ist die Grundlage. Im Alltag passieren trotzdem Versehen, etwa beim Kopieren eines ganzen Mailverlaufs. Schulung und technische Hilfen wie AImori fangen solche Fehler ab.

Weiterlesen: Dürfen Mitarbeitende Kundendaten in ChatGPT eingeben? · IBAN, AHV-Nummer & Co.: was nie in KI-Tools gehört

Quellen

Stand der Angaben: 14.10.2026.

• EDÖB: Geltendes Datenschutzgesetz ist auf KI direkt anwendbar (Mitteilung vom 9.11.2023, englische Fassung)
• Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 6, 8, 9, 16
• DSGVO (Verordnung (EU) 2016/679), Art. 28 und 32
• KI-Verordnung (EU) 2024/1689, «AI Act», Art. 2, 3 Nr. 4, 4 und 113
• Änderungsverordnung (EU) 2026/1744, «Digital Omnibus», Neufassung von Art. 4
• Strafgesetzbuch, Art. 162 und 321 · Bankengesetz, Art. 47