KI-Sicherheitsrichtlinien für Schweizer Startups: Praktische Checkliste

KI-Sicherheitsrichtlinien für Schweizer Startups: Praktische Checkliste

KI-Tools sind für Schweizer Startups längst alltäglich geworden — sei es für Kundenservice-Chatbots, Dokumentenanalyse oder Datenverarbeitung. Doch viele Gründer und Teams befassen sich erst dann mit Sicherheitsrichtlinien, wenn es bereits zu spät ist. Diese praktische Checkliste hilft Ihnen, KI-Sicherheit proaktiv aufzubauen, ohne dabei in komplexe Compliance-Labyrinthe zu verfallen.

1. Bewusstsein und Governance

Checkliste:

• Definieren Sie einen KI-Verantwortlichen (nicht muss die gesamte IT sein)
• Dokumentieren Sie alle eingesetzten KI-Tools in einem Register
• Führen Sie ein monatliches Sicherheits-Review durch (15 Min. genügt)
• Schulen Sie Ihr Team in 30 Minuten über sichere Nutzung

Warum: Viele Sicherheitslücken entstehen aus Unwissenheit, nicht aus böser Absicht. Ein einfaches Register schafft Klarheit darüber, welche KI-Systeme Kundendaten oder Geschäftsgeheimnisse berühren.

Quelle: Das Schweizer Staatssekretariat für Wirtschaft (SECO) empfiehlt in seinen KI-Richtlinien für KMU, einen Überblick über alle Datenquellen zu bewahren.

2. Datenschutz und Datensicherheit

Praktische Regeln:

• Keine Kundendaten in kostenlose OpenAI-Chats — nutzen Sie stattdessen ChatGPT Enterprise oder lokale Modelle
• Automatische Löschung: Stellen Sie sicher, dass KI-Provider die Trainingsdaten nicht speichern
• Verschlüsselung: Alle Daten, die an Dritte übertragen werden, müssen verschlüsselt sein (HTTPS ist Minimum)
• Pseudonymisierung prüfen: Entfernen Sie vor der Übergabe an KI-Systeme sensible Identifikatoren (Namen, Nummern), wo möglich

Konkrete Beispiele:

• ✅ Richtig: „Kundendaten anonymisiert: ‚Ein Schweizer KMU mit 15 Mitarbeitern hat Herausforderung X’”
• ❌ Falsch: „Müller AG, ZH, Umsatz 2.5 Mio., sucht KI-Lösung für Marketing”

Quelle: Das Eidgenössische Datenschutzgesetz (DSG) und die europäische KI-Verordnung (EU KI VO, Anhang I) definieren die Anforderungen an Hochrisiko-KI-Systeme.

3. Tool-Audit und Vendor-Bewertung

Checklist für neue KI-Tools:

1. Datenverarbeitung: Wo werden Daten gespeichert? (Cloud-Region sollte EU/CH sein)
2. Sicherheitszertifikate: Hat der Anbieter ISO 27001, SOC 2 Type II oder ähnlich?
3. Transparenzforderung: Gibt es öffentliche Sicherheitsberichte (Security Whitepapers)?
4. Abmeldung: Wie lange dauert es, alle Daten zu löschen? (Ziel: < 30 Tage)
5. Verträge: Hat der Anbieter ein Datenverarbeitungsabkommen (Datenschutzerklärung) in Deutsch oder Englisch?

Beispiel-Tools für Startups:

Tool	Best für	Daten-Standort	Kostenlose Variante sicher?
Claude (Anthropic)	Textanalyse, Code	USA/EU	Nur für öffentliche Inhalte
Ollama (lokal)	Datenschutz-sensitiv	Lokal	Ja, aber IT-Know-how nötig
Hugging Face (selbstgehostet)	ML-Modelle	Lokal	Ja
ChatGPT Enterprise	Team-Collaboration	USA (encrypted)	Nein, kostenpflichtig

Quelle: Das AI Audit Framework des Stanford Internet Observatory bietet ein Bewertungsmodell für KI-Sicherheit.

4. Rollenverteilung und Verantwortlichkeiten

Wer braucht Zugang zu welchen KI-Tools?

Rolle	Tools	Beschränkungen
Datenscience-Team	ChatGPT, Claude, lokale Modelle	Begrenzte Kundendaten nur mit anonym.
Support/Customer Service	Chatbot-Plattformen	Nur öffentliche Wissensdatenbanken
Marketing	Bildgeneratoren, Text-KI	Keine Kundeninfos oder Preise
Geschäftsführung	Überblick-Tools, Reporting-KI	Aggregierte Daten nur

Wichtig: Dokumentieren Sie diese Rollen in einer Excel oder Google Sheets und aktualisieren Sie sie monatlich.

Quelle: Das Schweizer Sicherheitsmodell nach NIST Cybersecurity Framework empfiehlt rollenbasierte Zugriffskontrolle (RBAC).

5. Häufige Fehler und wie man sie vermeidet

Fehler	Folge	Lösung
API-Keys in GitHub hochgeladen	Unbefugter Zugang zu Daten	.gitignore, Secret Manager (1Password, Vault)
Kundenkontakte in einen kostenlosen AI-Chat eingeben	Datenschutzverletzung	Nur Enterprise-Versionen oder lokale Modelle
Keine Dokumentation von KI-Entscheidungen	Nicht nachvollziehbar, warum KI Entscheidung X getroffen hat	Logging aktivieren, einfaches Entscheidungsprotokoll
Zu viel Vertrauen in KI-Output	Fehlerhafte oder halluzinierte Antworten	Vier-Augen-Prinzip, vor Release prüfen

6. Schritt-für-Schritt Startplan (Erste 30 Tage)

Woche 1: KI-Tools-Inventar erstellen

• Alle aktuellen KI-Tools auflisten (ChatGPT, Copilot, Midjourney, etc.)
• Notieren: Wer nutzt es, Was wird eingegeben, Wo landen die Ergebnisse?

Woche 2–3: Sicherheits-Grundlagen etablieren

• Datenschutzerklärungen aller Tools durchlesen (TL;DR: Daten nicht speichern / lokal verarbeiten)
• API-Keys und Passwörter in einen Password Manager verschieben

Woche 4: Team-Training und Rollout

• 30-Minuten-Schulung durchführen: „KI sicher nutzen”
• Checkliste ausdrucken und neben jeden Arbeitsplatz hängen

7. Weitere Ressourcen

• Schweizer Datenschutzbehörde (EDÖB): https://www.edoeb.admin.ch (Leitfäden zu KI & Datenschutz)
• SECO KI-Richtlinien: https://www.seco.admin.ch (Konkrete Checklisten für KMU und Startups)
• EU KI-Verordnung (englisch): https://ec.europa.eu/info/law/artificial-intelligence-act (Regulatorischer Überblick)

Nächste Schritte

Diese Checkliste ist ein lebendiges Dokument — aktualisieren Sie sie quartalsweise, wenn neue KI-Tools hinzukommen oder sich Ihre Datenflüsse ändern.

Haben Sie Fragen zu Ihrer KI-Sicherheitsimplementierung oder benötigen Sie eine individuelle Bewertung Ihrer Prozesse?

Dieses Dokument ist eine Arbeitsgrundlage und stellt keine Rechtsberatung dar. Für verbindliche Rechtsfragen wenden Sie sich bitte an einen KI- und Datenschutzanwalt.