KI-Governance für Schweizer KMU: Rollen, Verantwortung und aktuelle Regelwerke

KI-Governance für Schweizer KMU: Rollen, Verantwortung und aktuelle Regelwerke

KI-Governance für Schweizer KMU: Rollen, Verantwortung und aktuelle Regelwerke

Künstliche Intelligenz ist nicht mehr nur ein Zukunftsthema – sie ist Realität in vielen Schweizer Unternehmen. Mit dieser Realität kommen neue regulatorische Anforderungen. Die Europäische KI-Verordnung, das neue Datenschutzgesetz (nDSG) und internationale Standards wie ISO 42001 schaffen einen Rahmen, in dem Schweizer KMU handeln müssen – besonders jene, die mit europäischen Partnern arbeiten oder deren Daten in KI-Systemen verarbeitet werden. Dieser Artikel gibt einen praktischen Überblick über die wichtigsten Regelwerke und zeigt auf, wie KMU Rollen und Verantwortung sinnvoll verteilen.

Die wichtigsten Regelwerke im Überblick

1. Die Europäische KI-Verordnung (EU-KI-VO)

Die EU-KI-Verordnung klassifiziert KI-Systeme nach Risiko: verbotene Systeme (z.B. Manipulationstechniken), hochriskante Systeme (z.B. HR-Recruitment, Kreditvergabe) und allgemeine Systeme. Für Schweizer Export-KMU ist das relevant: Wenn Sie KI-Lösungen mit Europa vertreiben oder darin tätig sind, müssen Sie diese Anforderungen erfüllen. Die vollständige EU-KI-Verordnung (2024/1689) ist seit Februar 2025 in Kraft.

2. Das neue Datenschutzgesetz (nDSG) der Schweiz

Das revidierte Datenschutzgesetz (nDSG) folgt dem europäischen Vorbild und stärkt den Datenschutz erheblich. Für KI ist entscheidend: Datenverarbeitung in KI-Systemen muss transparent, rechtmässig und zweckmässig sein. Die OECD AI Recommendations und der nDSG bilden eine praktische Grundlage.

3. ISO 42001: KI-Management-Systeme

ISO 42001 ist der internationale Standard für KI-Governance in Organisationen. Er definiert Anforderungen an Planung, Umsetzung, Bewertung und Verbesserung von KI-Risiken. Schweizer KMU, die Wert auf Zertifizierung legen, können diesen Standard als Orientierungshilfe nutzen.

Rollen und Verantwortung in der KI-Governance

Eine klare Rollenverteilung ist zentral. Hier eine praktische Übersicht:

• Chief Technology Officer (CTO) / Technische Leitung: Verantwort für die technische Architektur von KI-Systemen, Qualitätssicherung und Sicherheit. Sie müssen sicherstellen, dass Systeme keine verbotenen oder hochriskanten Anforderungen verletzen.
• Datenschutz & Compliance: Überwacht Datenschutz-Konformität, Transparenz gegenüber Nutzern und Einhaltung von Regulierungen. Diese Rolle muss eng mit dem CTO zusammenarbeiten.
• Human Resources: Verantwortlich für transparente Nutzung von KI in HR-Prozessen (Recruiting, Leistungsbewertung). Die EU-KI-VO und nDSG sehen hier strenge Anforderungen vor.
• Geschäftsleitung / Management: Trägt ultimative Verantwortung für das KI-Governance-Framework und dessen Umsetzung. Muss sicherstellen, dass Risiken identifiziert und mitigiert werden.
• Externe Partner & Lieferanten: Falls KI-Services von Dritten eingekauft werden, sind Verträge und Auditrechte entscheidend.

AI-Literacy für verschiedene Rollen

KI-Kompetenz ist keine Aufgabe nur für Techniker. Praktische AI-Literacy bedeutet:

• Für die Geschäftsleitung: Verstehen Sie, welche KI-Systeme Ihr Unternehmen nutzt, welche Daten sie verarbeiten und welche Risiken entstehen. Fordern Sie von Ihrem CTO oder Vendor regelmässige KI-Audits.
• Für HR: Machen Sie sich mit Bias-Risiken in Recruiting-KI vertraut. Dokumentieren Sie, wie Entscheidungen getroffen werden – und dass Menschen Entscheidungen überprüfen.
• Für alle Mitarbeitende: Grundverständnis von KI-Grenzen: Was kann KI gut, wo macht sie Fehler? Kritisches Hinterfragen ist wichtiger als technisches Tiefwissen.

Häufige Fallstricke und wie Sie sie vermeiden

• Mangelnde Dokumentation: Regulatoren erwarten transparente Dokumentation. Halten Sie fest, welche KI-Systeme Sie nutzen, woher die Trainingsdaten stammen und wie Sie Risiken kontrollieren.
• Zu wenig Audit und Überwachung: KI-Systeme verändern sich. Wenn Sie neue Daten einführen oder das Modell updaten, können neue Risiken entstehen. Planen Sie regelmässige Audits ein.
• Unklare Haftung: Bei kritischen Systemen (z.B. Kreditentscheidungen) muss klar sein: Wer trägt Verantwortung? Definieren Sie intern klare Accountability und Eskalationswege.
• Fehlende Nutzertransparenz: Nach EU-KI-VO und nDSG müssen Nutzer wissen, wenn sie mit KI interagieren (z.B. Chatbots). Machen Sie das deutlich.

Nächste Schritte

KI-Governance ist nicht kompliziert, aber sie erfordert bewusste Aufmerksamkeit. Beginnen Sie damit, ein einfaches Inventar zu erstellen: Welche KI-Systeme nutzen wir? Wer hat Zuständigkeit? Wo liegen unsere grössten Risiken? Auf dieser Grundlage können Sie dann systematisch Regeln, Verantwortung und Kontrollen aufbauen.

Laden Sie unsere KI-Governance-Checkliste für Schweizer KMU herunter und beginnen Sie heute mit der Strukturierung Ihrer KI-Verantwortung.

Quellen

• Europäische KI-Verordnung (2024): EUR-LEX – Regulation (EU) 2024/1689
• Schweizer nDSG (Revision 2020): Bundesrat und Parlament Schweiz, Datenschutzgesetz
• OECD AI Recommendations: OECD Recommendation on Artificial Intelligence