KI-Leitfaden – Teil 1: Genereller Umgang mit KI im Unternehmen

Das Thema KI ist in aller Munde. Es wirft viele Fragen auf, und dennoch weiss kaum jemand so genau Bescheid. Was müssen Sie als Unternehmer beachten? Wo sollten Sie sofort handeln, und wo lohnt es sich, Zeit zu investieren und strategisch vorzugehen?

Mit dieser Serie möchten wir Sie bei der Beantwortung dieser Fragen unterstützen – praxisnah, mit fundierten Informationen sowie klar und verständlich aufbereitet.

Sofortmassnahmen: Den unregulierten Einsatz von KI durch Mitarbeitende gezielt steuern und sichere Alternativen bereitstellen – statt KI pauschal zu verbieten.

Das Wichtigste für jedes Unternehmen, unabhängig von seiner Grösse oder Branche, ist die Klärung und Erarbeitung von Prozessen und Richtlinien zum Umgang mit externen KI-Tools. Viele Mitarbeiter nutzen bereits die bekannten Tools aus den USA wie ChatGPT und Claude. Weitere kostenlos verfügbare Anwendungen werden verwendet für Analysen und Kommunikation, unabhängig von den Unternehmensvorgaben. Dabei werden Unternehmens- und Kundendaten an Dritte weitergegeben, die oft nicht dem Schweizer Recht unterliegen, wo die Daten zu Trainingszwecken verwendet werden. Dabei sind diese ausserhalb der Kontrolle des Unternehmens. Hier ist schnelles Handeln gefordert, insbesondere in sensiblen Branchen wie Banking, Treuhand oder Anwaltskanzleien.

Die Risiken informelle Nutzung von KI durch Mitarbeiter

Vielen Unternehmen ist nicht bewusst, dass in den meisten Büros bereits KI eingesetzt wird, geschweige denn welche Tools und das ohne Regeln oder Erlaubnis. In der IT spricht man in diesem Zusammenhang oft von Shadow AI. Damit ist der ungeregelte und gegen die Richtlinien verstossende Einsatz von KI durch Mitarbeiter gemeint. Verschiedene Erhebungen sprechen von 30 bis 60 Prozent unreguliertem oder gegen die Regeln verstossendem KI-Einsatz in Unternehmen. Wichtig ist, dass es hier nicht darum geht, dass Ihre Mitarbeiter dem Unternehmen bewusst Schaden zufügen wollen. Sie möchten ihre Arbeit vereinfachen und bessere Leistungen erbringen, zum Beispiel durch verbesserte Berichte, E-Mails oder Blogartikel. Sie sind begeistert von den neuen Tools und den Möglichkeiten, die diese bieten. Sie befinden sich im gleichen Dilemma wie wir alle. Wir sind wie Kinder: offen, verspielt, aber auch naiv und uns unseres Unwissens oft nicht bewusst.

Datenschutz

Oft machen sich nicht nur die Mitarbeiter, sondern auch die Geschäftsleitung keine Gedanken darüber, was dies für den Datenschutz der eigenen Daten und derer von Kunden bedeutet. Der Datenschutz wird oft als lästig empfunden, als etwas, das irgendwie dazugehört, aber nicht so wichtig ist. Oft muss erst ein Vorfall eintreten, damit dies bei Unternehmen an Relevanz gewinnt – vielleicht ist es dann aber bereits zu spät.

WICHTIG zu beachten!

DSG

Cloud Act

Zusätzliches Risiko bei Unternehmen mit US-Mutterkonzern oder US-Bezug. Weitere Informationen finden Sie hier.

Wettbewerbsvorteile verlieren – Kundendaten, Strategien, Geschäftszahlen und F&E

Wenn Sie Daten in ein kostenloses oder Abomodell bei einem Sprachmodell, welches in der Cloud betrieben wird, eingeben, werden diese in der Regel für das Training des Modells verwendet. Wir zeigen dies nachfolgend in einer Tabelle ganz konkret auf – welches Tool und welches Abo mit welchem Level an Datenautonomie arbeitet. Das heisst, das Wissen, die Strategien und die Daten Ihrer Kunden, die Sie über Jahre aufgebaut haben, werden für die Schulung und die Antworten Ihrer Mitbewerber genutzt. Was in welcher Form genau genutzt wird, kann Ihnen niemand sagen. Dies liegt an den Funktionsweisen der Modelle, die nicht transparent sind. Nicht einmal die Entwickler können Ihnen genau sagen, welche Auswirkungen dies hat. Klar ist einfach, dass Sie mit der Eingabe von Daten diese mit allen teilen, welche das jeweilige Modell nutzen. Entsprechend ist das Risiko nicht von der Hand zu weisen.

Wie wird das Risiko einer KI-Anwendung beurteilt?

Nicht jede KI-Anwendung stellt automatisch ein hohes Risiko dar. Entscheidend ist vielmehr, welche Daten verarbeitet werden, wo diese verarbeitet werden und welche Auswirkungen ein Fehler oder ein Datenverlust auf das Unternehmen hätte.

Für eine erste Einschätzung braucht es weder vertiefte IT-Kenntnisse noch ein umfassendes Verständnis von künstlicher Intelligenz. Bereits mit einigen einfachen Überlegungen lässt sich das Risiko eines Anwendungsfalls gut beurteilen.

Stellen Sie sich beispielsweise folgende Fragen:

• Werden Unternehmens-, Kunden- oder Personendaten verarbeitet?
• Verlassen diese Daten das Unternehmen und werden auf einem externen Cloud-Dienst verarbeitet?
• Würde ein Datenverlust oder eine Offenlegung dem Unternehmen schaden?

Je häufiger Sie diese Fragen mit Ja beantworten, desto höher ist in der Regel auch das Risiko der jeweiligen Anwendung.

Deshalb bewertet die folgende Übersicht nicht die KI-Tools selbst, sondern den konkreten Anwendungsfall. Eine Internet-Recherche mit öffentlich verfügbaren Informationen ist beispielsweise deutlich weniger kritisch als die Analyse eines Vertrags, eines Finanzberichts oder von produktivem Quellcode. Für Unternehmen ist es deshalb wichtiger, den jeweiligen Einsatz zu bewerten als das verwendete KI-Modell als ganzes.

Welche Tätigkeiten bergen welche Risiken?

Die folgende Übersicht zeigt die wichtigsten Einsatzgebiete von KI und bewertet deren Risiken aus Unternehmenssicht. Sie dient als praxisnahe Orientierung und erhebt keinen Anspruch auf Vollständigkeit. Je nach Branche, Unternehmensgrösse und Anwendungsfall kann eine deutlich detailliertere Risikobeurteilung erforderlich sein.

Wichtig: Die Bewertung bezieht sich auf den Shadow-Einsatz von KI, also auf nicht autorisierte, öffentlich verfügbare Cloud-KI-Dienste, bei denen die Daten das Unternehmen verlassen. Selbst betriebene oder freigegebene KI-Lösungen unterliegen einer separaten Risikobeurteilung und können – bei geeigneten technischen und organisatorischen Massnahmen – deutlich anders bewertet werden.

KI-Dienste, die von Mitarbeitenden als Shadow AI genutzt werden können!

Generell gilt: On-Premises beziehungsweise eine dedizierte Cloud eines Schweizer Anbieters mit einem Open-Source-Modell ist der Goldstandard. Hier geht es jedoch um die Tools, die Mitarbeiter täglich im informellen Rahmen nutzen, also einfach zugänglich sind. Um hier Regeln zu definieren und die Mitarbeiter zu schulen, müssen Sie wissen, worauf Sie achten müssen und welche Tools sich dafür inwiefern eignen.

Tools im Vergleich

Wie zu sehen ist, gewährleisten alle Tools in den Modellen, welche die Mitarbeiter privat und somit informell nutzen, nicht, dass die Daten nicht direkt oder indirekt abfliessen.

• Direkt: Datendiebstahl oder Einsicht durch Behörden, wie über den Cloud Act in den USA.
• Indirekt: Die eingegebenen Daten werden genutzt, um andere Aufgaben bei Mitbewerbern zu erledigen. Dabei kann Wissen, das von Ihnen stammt, genutzt werden. Das Problem ist, dass weder Sie, der Anbieter noch der Mitbewerber dies merken. Dies ist eine Eigenheit der Funktionsweise von KI.

Welche KI-Tools sollten Unternehmen ihren Mitarbeitenden bereitstellen?

Ist der Geist einmal aus der Flasche, bekommt man ihn nicht mehr zurück. Der Geist in unserem Fall ist der Einsatz von KI im Geschäftsalltag. Wie wir später noch aufzeigen werden, ist der Effizienzgewinn, wenn die Resultate kontrolliert und qualitativ hochwertig sein sollen, gar nicht so hoch. Die Resultate können aber durchaus besser sein. Allerdings hat sich die Arbeitsweise verändert und sie können das Rad schlecht zurückdrehen. Viele würden sich nicht daran halten und andere wären vielleicht frustriert, was die Performance sinken lassen könnte. Beides sind Dinge, die sie nicht wollen. Also bieten sie schnell die beste Lösung an, die sie kurzfristig zu überschaubaren Kosten bereitstellen können.

Welche Funktionen sind wie relevant?

Wichtig: Die Relevanz wird danach bewertet, für wie viele Mitarbeitende eine Funktion im Arbeitsalltag einen konkreten Mehrwert bietet. Die Bewertung bezieht sich auf den allgemeinen Einsatz im Unternehmen – ohne vertiefte KI-Strategie oder spezifische Integrationen, sondern ausschliesslich auf eine grundlegende Schulung und die Bereitstellung der KI-Tools für alle Mitarbeitenden.

Je nach Branche, Funktion oder Aufgabenbereich kann eine hier als «gering» eingestufte Funktion dennoch einen sehr hohen Nutzen haben. Die folgende Übersicht dient daher als praxisnahe Orientierung und soll Entscheidungsträgern einen schnellen Überblick über die Prioritäten verschaffen.

Praxisnahe KI-Richtlinien statt komplexer Regelwerke

Ziel ist es, KI-Richtlinien so einfach und verständlich wie möglich zu gestalten. Komplexe Regelwerke werden im Arbeitsalltag selten konsequent angewendet und führen häufig zu Unsicherheit oder Fehlverhalten. Klare, praxisnahe Vorgaben schaffen Orientierung, erhöhen die Akzeptanz bei den Mitarbeitenden und erleichtern die Umsetzung im Unternehmen.

Richtlinien nach Funktionen und Abteilungen gestalten

Gestalten sie die Regeln für eine Tätigkeit wie «E-Mail verfassen auf Basis von Stichworten» abhängig von der Abteilung oder Funktion. Das Risiko in der externen Kommunikation ist sehr gering, schliesslich gehen die Informationen ohnehin nach aussen; die Frage ist nur wie und in welcher Form. Bei E-Mails mit potenziellen Kunden und bestehenden Kunden sieht die Situation im Sales-Bereich anders aus und nochmals anders, wenn es um die Buchhaltung geht. Wir empfehlen hier, nicht zu tief in die Anwendungen einzusteigen und es dadurch zu komplex zu machen, sondern mehr auf die Abteilungen zu fokussieren. Dies ist in der Regel einfacher und klarer für alle Beteiligten.

Mit klaren Anwendungsbeispielen arbeiten

Arbeiten Sie mit einfachen, klaren Anwendungsbeispielen. Verwenden Sie keine Aussagen wie «E-Mails mit vertraulichem Inhalt» oder «Präsentationen mit internen Zahlen». Solche Formulierungen führen zu Diskussionen, und Sie müssen genau definieren, was vertraulich ist und was nicht, was die Sache extrem komplex macht. Komplexität führt dazu, dass Richtlinien ignoriert werden – entweder aus Angst vor Konsequenzen wird dann gar nicht mit den Tools gearbeitet oder trotz Unklarheit und Unverständlichkeit werden die Regeln missachtet.

Wenn sie jedoch sagen, dass die E-Mail-Erstellung für die folgenden Funktionen oder Abteilungen erlaubt ist und für diese nicht, mag dies nicht immer fair erscheinen, aber es ist klar und verständlich.

Hier unser Input, wie Sie anhand dessen eine Liste für ihr Unternehmen erstellen können.

Sie erstellen eine Liste in diesem Stil und definieren dann was erlaubt ist mit externen Tools und mit welchen Tools. Wie Sie ja gesehen haben ist ausserhalb des Enterprise Angebotes jedes Tool mit Risiken behaftet.

Was sollte geschult werden?

Die folgende Übersicht enthält die wichtigsten Themen, die in einer grundlegenden KI-Schulung behandelt werden sollten. Sie erhebt keinen Anspruch auf Vollständigkeit, sondern dient als praxisnahe Orientierung. Ergänzend empfehlen wir, die unternehmensinternen Richtlinien sowie die relevanten Datenschutzbestimmungen (DSG/DSGVO) zu vermitteln und den Mitarbeitenden als Handout sowie in elektronischer Form bereitzustellen.

Wie soll die Schulung aufgebaut sein?

Bewusstseinsbildung

Hier geht es darum, das Bewusstsein zu schärfen:

• Was kann man mit KI machen?
• Wie arbeiten KI-Modelle?
• Wie lernen KI-Modelle?
• Was verwenden welche Modelle für das Training?
• Was hat dies für Folgen?
• Was ist relevant im Umgang mit KI im Geschäftsalltag?
• Warum Halluzinationen entstehen und weshalb Ergebnisse immer überprüft werden müssen.

Es ist wichtig, dass die Teilnehmer verstehen, wie KI funktioniert und welche Auswirkungen der Einsatz von KI auf den Geschäftsalltag hat. Dies umfasst auch das Verständnis von ethischen Überlegungen und potenziellen Risiken.

Gesetzliche und regulatorische Grundlagen

Dies bezieht sich auf das Gesetz. Hier geht es also nicht darum, was ich als Unternehmen erlaube und was nicht, sondern was bezüglich des Datenschutzgesetzes überhaupt erlaubt ist mit Daten von Kunden:

• Welche Daten sind Kundendaten?
• Wo dürfen diese verarbeitet werden?

Hier wird klar, dass bereits gesetzlich das meiste ohne Information der Kunden nicht erlaubt ist, insbesondere in Umgebungen, die nicht klar getrennt sind, wie beispielsweise Enterprise-Umgebungen.

Richtlinien & Tools vorstellen

• Was ist aus welchen Gründen wie geregelt?
• Welche Tools werden allenfalls vom Unternehmen zur Verfügung gestellt?

Dazu haben wir bereits Beispiele aufgezeigt. Es ist wichtig, dass die Mitarbeiter wissen, welche Tools sie verwenden dürfen und welche nicht. Dies hilft, Missverständnisse zu vermeiden und die Sicherheit zu gewährleisten.

Rollenspiel / Szenarien-Training

Praxisbeispiele durchgehen und "Was würdest du tun?"-Fragen stellen. Hier geht es darum, das Ganze praxisbezogen zu vertiefen. Rollenspiele und Szenarien helfen den Teilnehmern, das Gelernte in realen Situationen anzuwenden und ihre Entscheidungsfähigkeiten zu verbessern.

Test

Klingt altmodisch, aber am besten sind regelmässige Szenarientrainings. Es geht nicht um einen Test im klassischen Sinn, sondern darum, dass die Themen präsent bleiben. Regelmässige Übungen helfen, das Wissen zu festigen und sicherzustellen, dass die Mitarbeiter die Richtlinien und Verfahren nicht vergessen.

Dokumentation / Meldemechanismus

• Alle Infos und Regeln müssen den Mitarbeitern in einfacher und klarer Form elektronisch zur Verfügung gestellt werden.
• Ein Meldemechanismus sollte kommuniziert werden, wie neue Anwendungen beantragt werden können und bei welcher Stelle.
• Mitarbeitende sollten wissen, an wen sie sich wenden können, wenn sie unsicher sind, ob ein Anwendungsfall zulässig ist.

Es handelt sich schliesslich um ein überaus dynamisches Umfeld und es ist wichtig, dass die Mitarbeiter wissen, wie sie neue Tools vorschlagen und Feedback geben können.

Unsere Empfehlungen zum Umgang mit Shadow AI

Regeln und Prozesse definieren

Definieren Sie klare Regeln im Umgang mit KI-Modellen. Erarbeiten Sie Prozesse, die es ermöglichen, den Umgang dynamisch weiterzuentwickeln. Dies umfasst:

• Wie Mitarbeiter die Nutzung von Tools in neuen Kontexten beantragen können.
• Wie neue Tools vorgeschlagen und bewertet werden können.
• Wie neue Mitarbeiter geschult werden.
• Wer neue Szenarien entwickelt und verantwortlich ist für die kontinuierliche Schulung

Es ist wichtig, dass diese Prozesse klar kommuniziert und leicht zugänglich sind, damit Mitarbeiter wissen, wie sie vorgehen sollen, wenn sie neue Anwendungen oder Kontexte für bestehende Tools vorschlagen möchten.

Alternative anbieten

Bieten Sie den Mitarbeitenden eine Enterprise-Lösung an, die die für den Arbeitsalltag relevanten Funktionen abdeckt. Aus unserer Sicht eignet sich Mistral AI derzeit besonders gut, da sowohl das Unternehmen als auch die Cloud-Infrastruktur in Europa angesiedelt sind. Für Unternehmen mit besonders hohen Anforderungen an Datenschutz und Compliance besteht zudem die Möglichkeit, die Modelle in einer dedizierten Umgebung oder vollständig On-Premises zu betreiben. Dadurch können datenschutzrechtliche Risiken gegenüber öffentlichen Cloud-Diensten erheblich reduziert werden.

Wer ausschliesslich auf eine Schweizer Infrastruktur setzen möchte, findet zudem verschiedene Anbieter, welche europäische oder Open-Source-Modelle in Schweizer Rechenzentren betreiben oder als Managed Service anbieten.

Schulung

Die Schulung der Mitarbeiter zu den Themen sollte wiederholt und angepasst werden, um sicherzustellen, dass alle auf dem neuesten Stand sind. Diese Schulungen sollten auch ein fester Bestandteil der Einarbeitung neuer Mitarbeiter sein. Die Schulungen sollten folgende Aspekte umfassen:

• Bewusstseinsbildung: Schärfung des Bewusstseins für die Möglichkeiten und Grenzen von KI, wie KI-Modelle funktionieren und lernen, und welche Folgen die Nutzung hat.
• Unterscheidung legal/illegal: Klärung, welche Daten Kundendaten sind und wo diese verarbeitet werden dürfen, unter Berücksichtigung der gesetzlichen Vorgaben.
• Richtlinien und Tools: Vorstellung der Unternehmensrichtlinien und der zur Verfügung gestellten Tools.
• Rollenspiel/Szenarien-Training: Praxisbeispiele und "Was würdest du tun?"-Fragen, um das Gelernte praxisbezogen zu vertiefen.
• Tests: Regelmässige Szenarientrainings, um das Wissen zu festigen und sicherzustellen, dass die Themen präsent bleiben und verstanden wurden.
• Dokumentation/Meldemechanismus: Bereitstellung aller Informationen und Regeln in einfacher und klarer Form sowie Kommunikation eines Meldemechanismus für neue Anwendungen.

Durch diese umfassende Schulung und klare Richtlinien können Unternehmen sicherstellen, dass ihre Mitarbeiter KI-Tools sicher, regelkonform und effizient nutzen und gleichzeitig den unkontrollierten Einsatz von Shadow AI deutlich reduzieren.

FAQs