KI-Verantwortlichkeit im KMU: Rollen und Entscheidungskompetenzen

KI-Verantwortlichkeit im KMU: Rollen und Entscheidungskompetenzen

Die grundsaetzliche Frage: Wer ist verantwortlich fuer KI?

Im Zeitalter von Sprachmodellen und automatisierten Entscheidungssystemen stellt sich fuer schweizer KMU eine zentrale Governance-Frage: Wer traegt die Verantwortung, wenn ein KI-System eine fehlerhafte Rekomendation gibt, Kundendaten gefaehrdet oder sich anders unerwuenscht verhaelt? Diese Frage laesst sich nicht pauschal beantworten – sie haengt von der Betriebsgroesse, den eingesetzten Systemen und den internen Strukturen ab.

Nach aktuellen Leitfaeden von Schweizer Behoerden (etwa des Eidgenoessischen Datenschutzbeauftragten) und internationalen Standards wie ISO 42001 sollten KMU ihre KI-Governance entlang von drei Ebenen klaeren: der strategischen (Geschaeftsfuehrung), der technischen (IT/Datenschutz) und der operativen (Einzelne Abteilungen oder Prozessverantwortliche).

Praktische Rollenverteilung nach Betriebsgroesse

Klein-KMU (bis 25 Mitarbeitende):
Hier traegt meist die Geschaeftsfuehrung oder ein Geschaeftsfuehrungs-Team die zentrale Verantwortung. Es empfiehlt sich, eine Person als “KI-Koordinator” zu benennen – das kann ein Büro-Mitarbeitender sein, der KI-Tools evaluiert und deren Einsatz dokumentiert. Diese Person arbeitet eng mit einem Datenschutz-Verantwortlichen oder mit der IT zusammen, um Datenschutz und Sicherheit zu gewaehrleisten.

Mittlere KMU (26–250 Mitarbeitende):
Hier bildet sich typischerweise eine KI-Governances-Gruppe: Vertreter aus der IT, der Compliance/des Datenschutzes, der Personalabteilung (falls KI in HR-Prozesse einfliesst) und einer Geschaeftsfuehrungsperson. Diese Gruppe entscheidet ueber neue KI-Einsaetze, ueberprueft Risiken und sorgt dafuer, dass Einsaetze dokumentiert bleiben.

Groessere KMU (251+ Mitarbeitende):
Diese koennen ein eigenstaendiges KI-Governance-Team oder sogar einen Chief AI Officer ernennen. Regelmaessige Audits, formalisierte Prozesse zur Risikobewertung und eine klare Eskalationskette sind dann Standard.

Haftung und Dokumentation: Das Fundament der Verantwortung

Ein haeufiges Missverstaendnis: “Wenn die KI einen Fehler macht, haelt der Tool-Anbieter den Fehler aus.” Das stimmt nur teilweise. Im schweizer Recht (Obligationenrecht, Datenschutzgesetz) traegt der Betreiber – also das KMU – eine Mitverantwortung, wenn es:

• KI-Systeme eingesetzt hat, die fuer den gegebenen Zweck ungeeignet sind
• Keine Kontrolle der KI-Outputs durchgefuehrt hat
• Keine Vorkehrungen traf, um Risiken zu minimieren
• Die Einrichtung oder den Betrieb nicht dokumentiert hat

Deshalb ist Dokumentation nicht bloss ein lästiges Compliance-Pflichtprogramm, sondern auch Schutz: Ein KMU, das nachweist, dass es bewusst und verantwortungsvoll ein KI-System eingeführt hat, haftet bei echten Herstellerfehler nicht.

Was muss dokumentiert werden?

• Einsatzzweck: Wozu nutzen Sie das System (z. B. “Automatische Kategorisierung von Rechnungen”)? Fuer welche Geschaeftsprozesse ist es gedacht?
• Tool und Konfiguration: Welches Tool, welche Version, welche Parameter?
• Daten: Welche Daten werden eingegeben? Enthaelt es personenbezogene Daten, Geschaeftssekrete?
• Risikobeurteilung: Welche Auswirkungen hat ein Fehler? Wie gross ist das Fehlerrisiko selbst?
• Verantwortlichkeit: Wer traegt Verantwortung? Wer ueberprueft die Outputs?
• Audit-Spur: Wann wurde die Einrichtung genehmigt? Wann wurde letzte Überprüfung durchgeführt?

Diese Dokumentation muss regelmaessig aktualisiert werden – mindestens jaehrlich, bei Aenderungen zum System oder der Nutzung auch ad hoc.

Wichtig: Die Dokumentation ist nicht zuletzt eine Versicherung gegen Haftungsansprueche. Sie zeigt, dass das KMU professionell und verantwortungsvoll handelt hat. Viele Versicherungen waehren Haftungsschutz auch nur, wenn eine solche Dokumentation vorhanden ist.

Ein praktisches Beispiel

Ein KMU nutzt ein KI-System, um E-Mails automatisch in Kategorien einzusortieren (“Rechnung”, “Anfrage”, “Spam”). Die Geschaeftsfuehrung hat folgende Struktur klaeren lassen:

• Strategische Verantwortung: Geschaeftsfuehrendes Mitglied entscheidet ueber Go/No-Go des Systems.
• Technische Verantwortung: IT-Verantwortlicher waehlt das System, konfiguriert es, traegt Sorge zur Sicherheit.
• Operative Verantwortung: Poststelle-Mitarbeiterin ueberprueft die KI-Kategorisierung taeglich und korrigiert bei Bedarf. Sie dokumentiert systematische Fehler.
• Compliance/Datenschutz: Ein Datenschutz-Betreuer prueft jaehrlich, ob personenbezogene Daten sauber behandelt werden und keine Regeln verletzt werden.

Durch diese klare Aufteilung weiss jeder, wer fuer was zustaendig ist – und im Streitfall ist transparent, wer welche Vorkehrungen getroffen hat.

Praktische Checklist fuer die naechsten Schritte

Sie koennen die KI-Verantwortlichkeit in Ihrem KMU sofort klaeren:

1. Inventar: Welche KI-Systeme setzt Ihr KMU bereits ein? (ChatGPT, Bilderkennungs-Tools, Automatisierungs-Software usw.)
2. Rollen bennen: Waehlen Sie pro System (oder pro Bereich) eine Person aus, die sich um die Dokumentation und Governance kuemmert.
3. Risiken sammeln: Was ist das Worst-Case-Szenario pro System? Welche Daten sind betroffen? Wie kritisch ist der Prozess?
4. Dokumentation anlegen: Erstellen Sie eine einfache Tabelle oder ein Formular, in dem diese Punkte festgehalten werden.
5. Ueberprüfung planen: Terminieren Sie jaehrlich (oder bei Aenderungen) eine Neubeurteilung.
6. Feedback-Loop: Sammeln Sie von den Nutzern des Systems Rückmeldungen ueber Fehler, Missbrauch oder Verbesserungen.

Wer diese Schritte umsetzt, handelt bereits nach internationalem Best Practice – und ist im Falle von Streitigkeiten oder Regulierungsanforderungen deutlich besser aufgestellt.

Quellenverzeichnis

• Eidgenoessischer Datenschutzbeauftragter (EDOEB): Künstliche Intelligenz und Datenschutz
• ISO/IEC 42001: Information technology – Artificial intelligence – Management system
• SwissICT: KI im Unternehmenseinsatz – Best Practices fuer KMU