KI-Richtlinie für Schweizer KMU: Muster mit zwölf Klauseln
· Aktualisiert am
Joaquín Trapero in Fachmann für künstliche Intelligenz und Datenschutz, Gründer von Nonimo.
Rechtlich ist eine KI-Richtlinie in einem Schweizer KMU fast immer eine Weisung der Arbeitgeberin. Sie legt fest, welche KI-Dienste das Team mit welchem Konto nutzt, welche Angaben dort nie hineingehören und wer ein Ergebnis prüft, bevor es den Betrieb verlässt.
Dass das Datenschutzgesetz direkt auf KI anwendbar ist, sagt der EDÖB seit 2025; die Einordnung steht in unserem Leitfaden zum DSG im Büro mit KI. Diese Seite liefert den Text für Ihr Team: zwölf Klauseln, jede mit ihrem Rechtsgrund.
Kein Gesetz verlangt eine KI-Richtlinie, aber OR und DSG machen sie für fast jedes KMU sinnvoll. Gestützt auf das Weisungsrecht nach Art. 321d OR legen Sie Dienste, Konten und gesperrte Daten fest. Die zwölf Klauseln unten kopieren Sie einzeln und ergänzen die eckigen Klammern.
Weisung statt Gesetz: worauf sich eine KI-Richtlinie stützt
Nach Art. 321d OR darf die Arbeitgeberin allgemeine Anordnungen über die Ausführung der Arbeit und das Verhalten im Betrieb erlassen. Mitarbeitende befolgen sie nach Treu und Glauben. Eine Regel zum Umgang mit KI-Diensten ist genau so eine Anordnung, und sie gilt auch ohne Unterschrift.
Zwei Grenzen zieht das OR selbst. Art. 328b OR erlaubt die Bearbeitung von Daten über das Personal nur, soweit sie die Eignung für die Stelle betreffen oder für den Arbeitsvertrag nötig sind. Und Art. 321a Abs. 4 OR verbietet, Geschäftsgeheimnisse zu verwerten oder anderen mitzuteilen.
Gegenüber der Kundschaft bindet eine Weisung niemanden; dort zählt der Vertrag, wie der Leitfaden zur KI-Klausel im Mandatsvertrag zeigt. Im Titel setze ich auf «Weisung» statt «Richtlinie», weil dann niemand den Text für eine unverbindliche Empfehlung hält.
Die Rechtsgrundlagen hinter den zwölf Klauseln
Die markierte Zeile gibt Ihnen das Recht, die Regeln überhaupt zu erlassen.
| Norm | Inhalt in einem Satz | Klauseln |
|---|---|---|
| Art. 321d OR | Arbeitgeberin erlässt Anordnungen, das Team befolgt sie nach Treu und Glauben | 1 |
| Art. 321a OR | Sorgfalt bei der Arbeit, Geschäftsgeheimnisse bleiben im Haus | 5, 7 |
| Art. 328b OR | Personaldaten nur für Eignung und Arbeitsvertrag | 6 |
| Art. 5 bis 8 DSG | Besonders schützenswerte Daten, verhältnismässig bearbeiten, Schutz durch Technik und Organisation | 3, 4, 5, 10 |
| Art. 9, 16 und 61 DSG | Anbieter als Auftragsbearbeiter, Daten ins Ausland, Busse bei Verstoss | 2 |
| Art. 19, 21 und 24 DSG | Information, Entscheide durch Menschen, Meldung an den EDÖB | 8, 9, 11 |
| Art. 26 ArGV 3, Mitwirkungsgesetz | Keine Verhaltensüberwachung; Information und Anhörung des Personals | 12 |
Nach OR (SR 220), DSG (SR 235.1), Verordnung 3 zum Arbeitsgesetz (SR 822.113) und Mitwirkungsgesetz (SR 822.14) in der Fassung auf fedlex.admin.ch, abgerufen am 10. November 2026.
Treuhandbüro, Praxis, Handwerk oder Kanzlei: welche Klauseln Sie brauchen
Ein Malergeschäft mit Offerten und Einsatzplänen hat andere Daten als eine Hausarztpraxis. Die Auswahl unten zeigt, welche Klauseln wir je Branche als unverzichtbar ansehen und welche Sie kürzen dürfen. Das ist unsere Einschätzung, keine gesetzliche Liste.
Für Ärztinnen, Anwälte, Notarinnen, Revisoren und die übrigen Berufe aus Art. 321 StGB gilt eine strafrechtliche Schweigepflicht, auch für ihre Hilfspersonen. Treuhänderinnen stehen nicht auf dieser Liste. Die Folgen für KI-Dienste beschreibt der Leitfaden zum Berufsgeheimnis.
Klausel 6 unterschreibe ich auch für das Handwerk. Auch dort entstehen Arbeitszeugnisse und Lehrlingsbeurteilungen, und genau die landen gern in einem Chat.
Ihre Branche, Ihre Pflichtklauseln
Wählen Sie Ihren Betrieb. Die Zusatzklausel für Geheimnisträger können Sie direkt kopieren.
Unverzichtbar: 1 bis 7 und 10 bis 12. Lohnlisten, AHV-Nummern und Steuerunterlagen sind Ihr Alltag, Klausel 4 trägt hier die Hauptlast. Kürzen möglich: 8 und 9, solange Sie keinen Chat für Kundschaft betreiben. Mehr zur Branche auf der Seite für Treuhandbüros.
Unverzichtbar: alle zwölf, dazu die Zusatzklausel. Gesundheitsdaten sind besonders schützenswert, und die MPA gilt als Hilfsperson. Wie ein Bericht ohne Patientenbezug entsteht, zeigt der Leitfaden zur KI in der Arztpraxis.
Angaben, die dem Berufsgeheimnis nach Art. 321 StGB unterstehen, gehen in keinen KI-Dienst, solange sie eine Patientin oder einen Patienten erkennen lassen. Das gilt für die Berufsleute selbst ebenso wie für MPA, Lernende und Praktikanten.
Unverzichtbar: 1 bis 7, 11 und 12. Kürzen möglich: 8 und 9 ganz, solange niemand Bewerbungen oder Kundendialoge an eine KI gibt. Klausel 10 genügt als kurze Einführung bei der Zuteilung des Kontos.
Unverzichtbar: alle zwölf, dazu die Zusatzklausel. Prüfen Sie bei jedem Dienst, ob eine Geheimhaltungspflicht die Übertragung verbietet, wie es Art. 9 Abs. 1 lit. b DSG verlangt. Lösungen für die Branche: Seite für Kanzleien.
Mandatsangaben, die dem Berufsgeheimnis nach Art. 321 StGB unterstehen, gehen in keinen KI-Dienst, solange sie eine Klientin, einen Klienten oder eine Gegenpartei erkennen lassen. Das gilt auch für Sekretariat, Substitutinnen und Lernende.
Einteilung nach unserer Einschätzung für Betriebe mit 5 bis 50 Personen. Berufsliste nach Art. 321 Ziff. 1 StGB (SR 311.0).
Das Muster zum Kopieren: Klauseln 1 bis 6 zu Diensten, Konten und Daten
Jede Klausel steht in einem eigenen Kasten und lässt sich einzeln kopieren. Was in eckigen Klammern steht, ersetzen Sie: [Firma], [verantwortliche Person], [Datum]. Unter dem Text steht jeweils der Rechtsgrund, den Sie nicht mitkopieren müssen.
Das Eidgenössische Institut für Geistiges Eigentum rät auf dem KMU-Portal des SECO, die Nutzungsbedingungen der Plattformen zu lesen, weil manche erzeugte Inhalte zum Training weiterverwenden. Darauf baut Klausel 2. Wie das bei einem bekannten Dienst konkret aussieht, zeigt der Leitfaden zu ChatGPT und dem Schweizer Datenschutz.
Ich verstehe Klausel 4 als Kern des Musters: Wird sie im Alltag eingehalten, sind die übrigen Klauseln selten ein Problem.
Weisung über KI-Dienste, Teil 1
Kopfzeile und Klauseln 1 bis 6. Der Rechtsgrund steht jeweils unter dem Kasten.
Weisung über den Einsatz von KI-Diensten der [Firma]. Gültig ab [Datum]. Zuständig: [verantwortliche Person], erreichbar unter [Telefon, E-Mail].
Diese Weisung erlässt die [Firma] gestützt auf ihr Weisungsrecht als Arbeitgeberin. Sie gilt für alle Mitarbeitenden, Lernenden und Temporären und für jede Software, die mit KI Texte, Bilder, Tabellen oder Auswertungen erzeugt, auch für KI-Funktionen in Programmen, die wir schon nutzen.
Rechtsgrund Art. 321d OR. Für Beauftragte ohne Arbeitsvertrag gehört dieselbe Regel in den Vertrag.
Gearbeitet wird nur mit den Diensten im Anhang, für die dort genannten Zwecke. Einen neuen Dienst nimmt [verantwortliche Person] erst auf, wenn geklärt ist, in welchem Land die Daten liegen, ob Eingaben zum Training dienen und welche Nutzungsbedingungen gelten.
Rechtsgrund Art. 9 Abs. 1 und 2 DSG (Auftragsbearbeiter), Art. 16 DSG (Ausland). Wer vorsätzlich ohne diese Voraussetzungen auslagert, riskiert nach Art. 61 lit. b DSG eine Busse.
Für die Arbeit werden nur Konten verwendet, die die [Firma] eröffnet hat. Private Konten und Gratis-Apps auf dem eigenen Handy bleiben für Firmendaten gesperrt. Die Nutzung der Eingaben zum Training wird ausgeschaltet, wo der Dienst das erlaubt. Beim Austritt wird der Zugang am letzten Arbeitstag geschlossen.
Rechtsgrund Art. 7 DSG (datenschutzfreundliche Voreinstellungen), Empfehlung von BACS und EDÖB.
Texte über Kundschaft, Team oder Dritte gehen nur in einen KI-Dienst, wenn Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, AHV-Nummern und IBAN vorher durch Platzhalter ersetzt sind. Verraten Ort, Funktion und Datum zusammen die Person, wird auch das verallgemeinert.
Rechtsgrund Art. 6 Abs. 2 DSG (Verhältnismässigkeit), Art. 8 DSG (Datensicherheit).
Nie eingegeben werden besonders schützenswerte Personendaten: Angaben über Gesundheit, Intimsphäre und Ethnie, über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, genetische und biometrische Daten, Straf- und Verwaltungsverfahren oder -sanktionen und Massnahmen der sozialen Hilfe. Ebenso wenig Passwörter, Zugangsschlüssel und Geschäftsgeheimnisse der [Firma] und ihrer Kundschaft. Ausnahmen bewilligt [verantwortliche Person] schriftlich und im Einzelfall.
Rechtsgrund Art. 5 lit. c DSG (besonders schützenswerte Personendaten), Art. 321a Abs. 4 OR.
Angaben über Mitarbeitende, Bewerbende und Lernende werden nur für Aufgaben eingegeben, die das Arbeitsverhältnis betreffen, etwa für den Entwurf eines Zeugnisses, und auch dann ohne Namen. Lohn, Absenzen und Beurteilungen bleiben im Personalsystem.
Rechtsgrund Art. 328b OR.
Eigene Formulierung für Schweizer KMU. Gesetzesstellen nach OR und DSG auf fedlex.admin.ch, Stand 10. November 2026.
Klauseln 7 bis 12 des Musters: prüfen, informieren, melden
Die zweite Hälfte regelt, was nach der Eingabe passiert. Auf dem KMU-Portal des SECO steht ein Satz, der als Begründung für Klausel 7 reicht: Keine KI ist unfehlbar. Wer ein Ergebnis weitergibt, schuldet nach Art. 321a Abs. 1 OR die nötige Sorgfalt.
Klausel 11 funktioniert nur, wenn niemand Angst hat, ein Versehen zuzugeben. Ob ein Vorfall an den EDÖB geht, beurteilt die zuständige Person nach Art. 24 DSG; das Vorgehen beschreibt der Leitfaden zur Meldung an den EDÖB.
Bei Klausel 12 zögere ich mit jeder Kontrolle. Art. 26 ArGV 3 verbietet Systeme, die das Verhalten am Arbeitsplatz überwachen sollen; angekündigte Stichproben in Firmenkonten sind etwas anderes. Wer eine Cyberversicherung hat, prüft dort die eigenen Meldefristen.
Weisung über KI-Dienste, Teil 2
Klauseln 7 bis 12, der Anhang mit der Liste der Dienste und die Kenntnisnahme.
Wer ein KI-Ergebnis verwendet, prüft es vorher: Zahlen nachrechnen, Fristen und Gesetzesstellen an der Quelle kontrollieren, Namen und Beträge mit dem Dossier abgleichen. Die Verantwortung für den Inhalt trägt diese Person, nicht der Dienst.
Rechtsgrund Art. 321a Abs. 1 OR (Sorgfalt), Art. 6 Abs. 5 DSG (Richtigkeit).
Über Anstellung, Kündigung, Kredit, Mietzins oder andere Entscheide mit spürbaren Folgen für eine Person entscheidet ein Mensch, der die Unterlagen kennt. Ein KI-Dienst darf zusammenfassen und vorbereiten, aber nicht allein entscheiden.
Rechtsgrund Art. 21 DSG (automatisierte Einzelentscheidung).
Antwortet auf der Website oder per Mail ein Chatbot, wird das dort angezeigt. Gehen Kundendaten an einen KI-Dienst, nennt die Datenschutzerklärung der [Firma] diesen Zweck. Bilder und Texte, die überwiegend eine KI erzeugt hat, werden vor der Veröffentlichung von [verantwortliche Person] freigegeben.
Rechtsgrund Art. 19 DSG (Informationspflicht), Hinweise des EDÖB zu Chatbots.
Vor dem ersten Zugang erhält jede Person eine Einführung zu dieser Weisung und zum Ersetzen von Personendaten durch Platzhalter, nach jeder Änderung der Liste eine kurze Auffrischung. [verantwortliche Person] hält Datum, Inhalt und Teilnehmende fest.
Rechtsgrund Art. 7 DSG (organisatorische Massnahme); bei EU-Bezug Art. 4 der EU-KI-Verordnung.
Gelangen Personendaten oder Geheimnisse ungeschützt in einen KI-Dienst, meldet das, wer es bemerkt, sofort [verantwortliche Person] unter [Telefon]. Wer ein eigenes Versehen meldet, wird dafür nicht gemassregelt. Ob der EDÖB benachrichtigt wird, entscheidet [verantwortliche Person].
Rechtsgrund Art. 24 DSG (Meldung an den EDÖB so rasch als möglich).
Weisung und Liste werden jedes Jahr im [Monat] und vor jeder neuen Freigabe überprüft. Kontrollen beschränken sich auf angekündigte Stichproben in den Firmenkonten; einzelne Personen werden nicht laufend beobachtet. Änderungen teilt die [Firma] dem Team vor Inkrafttreten mit.
Rechtsgrund Art. 26 ArGV 3 (keine Verhaltensüberwachung); Art. 6 ArGV 3 und Art. 9 und 10 Mitwirkungsgesetz (Information und Anhörung).
Dienst und Konto: [Name, Firmenkonto]. Erlaubt für: [Entwürfe, Übersetzungen, Zusammenfassungen ohne Personenbezug]. Nicht erlaubt für: alles aus Klausel 5. Training ausgeschaltet: [ja/nein]. Freigegeben von [verantwortliche Person] am [Datum].
Ich habe die Weisung über den Einsatz von KI-Diensten der [Firma], gültig ab [Datum], erhalten und zur Kenntnis genommen. [Name, Funktion], [Ort, Datum], Unterschrift.
Eigene Formulierung. Art. 26 ArGV 3 und Mitwirkungsgesetz nach fedlex.admin.ch; Chatbot-Hinweis nach EDÖB, «KI und Datenschutz».
Öffentlich bis Berufsgeheimnis: Datenklassen für den Büroalltag
Klausel 4 und 5 werden im Alltag greifbarer, wenn das Team Datenklassen kennt. Das DSG kennt diese Klassen nicht als Begriff; sie sind ein Hilfsmittel, damit niemand bei jedem Prompt einen Gesetzesartikel suchen muss.
Ich warne vor allem vor der mittleren Klasse. Eine Mahnung ohne Namen, aber mit Strasse, Betrag und Datum, verrät in einem Dorf oft genauso viel. Welche Angaben das DSG strenger behandelt, steht im Leitfaden zu den besonders schützenswerten Personendaten.
Was darf in einen freigegebenen KI-Dienst?
Filtern Sie nach der Regel, die für eine Datenart gilt.
| Datenart | Beispiel | Regel | Klausel |
|---|---|---|---|
| Öffentlich | Text der eigenen Website, Gesetzesartikel | erlaubt | 2 |
| Intern ohne Personen | Checkliste für den Monatsabschluss | erlaubt | 2 |
| Kundendaten | Mahnung, Offertanfrage, Mieterbrief | nur mit Platzhaltern | 4 |
| Kennnummern | AHV-Nummer, IBAN, UID | nur mit Platzhaltern | 4 |
| Personal | Zeugnisentwurf, Stellenbeschrieb mit Namen | nur mit Platzhaltern | 6 |
| Besonders schützenswert | Arztzeugnis, Strafregister, Sozialhilfe | gesperrt, Ausnahme nur schriftlich | 5 |
| Berufsgeheimnis | Patientendossier, Mandatsakte | gesperrt, solange erkennbar | 5 und Zusatz |
| Zugang und Geheimnisse | Passwort, Preisliste für eine Ausschreibung | gesperrt | 5 |
Einteilung nach dem Muster dieser Seite; Kategorien besonders schützenswerter Daten nach Art. 5 lit. c DSG.
Verzeichnis, Ausland, Folgenabschätzung: was ein KMU zusätzlich klärt
Art. 12 DSG verlangt ein Verzeichnis der Bearbeitungstätigkeiten. Art. 24 DSV befreit Unternehmen, die am 1. Januar weniger als 250 Mitarbeitende beschäftigen, ausser sie bearbeiten besonders schützenswerte Daten in grossem Umfang oder betreiben Profiling mit hohem Risiko.
Liegen die Server des Dienstes im Ausland, kommt Art. 16 DSG dazu. Eine Datenschutz-Folgenabschätzung nach Art. 22 DSG braucht es bei hohem Risiko, etwa wenn Personaldossiers systematisch durch eine KI laufen. Für Gemeinden gilt kantonales Recht, mehr dazu unter KI in der Gemeindeverwaltung.
Ein befreites KMU muss nichts führen. Ich begrüsse es trotzdem, wenn es die Liste im Anhang so ausfüllt, als wäre sie das Verzeichnis: Zweck, Datenarten und Land des Dienstes passen auf eine halbe Seite.
Brauchen Sie ein Verzeichnis für Ihre KI-Dienste?
Drei oder vier Fragen nach Art. 12 DSG und Art. 24 DSV.
Sind Sie eine Gemeinde oder eine kantonale Stelle?
Wie viele Mitarbeitende hatte Ihre Firma am 1. Januar dieses Jahres?
Bearbeiten Sie besonders schützenswerte Personendaten in grossem Umfang, etwa als Praxis oder Spitex?
Führen Sie ein Profiling mit hohem Risiko durch, etwa automatische Bewertungen von Personen?
Nach Art. 12 DSG und Art. 24 DSV (SR 235.11), abgerufen am 10. November 2026.
Die Richtlinie einführen: Information, Mitwirkung, Kenntnisnahme
In Betrieben mit mindestens 50 Mitarbeitenden können diese eine Arbeitnehmervertretung bestellen. Sie hat nach Art. 9 Mitwirkungsgesetz Anspruch auf rechtzeitige und umfassende Information; ohne Vertretung stehen diese Rechte nach Art. 4 den Mitarbeitenden direkt zu.
Kontrollen wie in Klausel 12 berühren den Gesundheitsschutz nach Art. 26 ArGV 3. Dafür gilt das Mitspracherecht nach Art. 10 Mitwirkungsgesetz, und Art. 6 ArGV 3 verlangt eine Anhörung vor dem Entscheid. Ich plädiere dafür, die Weisung vorzustellen, bevor sie gilt, auch im Betrieb mit fünf Personen.
Wer Mitglied eines Branchenverbands ist, etwa bei Swissmem in der Industrie, fragt dort nach einer Vorlage für Mitgliedfirmen und gleicht sie mit diesem Muster ab. Für die Einführung zeigt der Leitfaden zur Pseudonymisierung von Kundendaten, was Platzhalter leisten und was nicht.
Bereit für den Start?
Haken Sie ab, was erledigt ist.
0 von 6
Noch zu früh. Ohne Bestandesaufnahme regelt die Weisung Dienste, die niemand nutzt.
Fast so weit. Die Information des Teams geht am leichtesten vergessen.
Die Weisung kann gelten. Setzen Sie die nächste Überprüfung in zwölf Monaten.
Reihenfolge nach unserer Empfehlung; Informations- und Mitspracherecht nach Art. 4, 9 und 10 Mitwirkungsgesetz.
Kundschaft in der EU: Art. 4 der EU-KI-Verordnung und Klausel 10
Art. 4 der EU-KI-Verordnung verlangt von Anbietern und Betreibern von KI-Systemen Massnahmen, die die KI-Kompetenz ihres Personals fördern. Ein Schweizer KMU trifft das nur in bestimmten Lagen, etwa mit einer Niederlassung in der EU oder wenn Ergebnisse dort verwendet werden.
Wann genau und ab welchem Datum, klärt der Leitfaden zur EU-KI-Verordnung für Schweizer Unternehmen. Auf eine zweite Weisung verzichte ich: Klausel 10 bleibt, nur der Nachweis wird genauer.
Was Klausel 10 je nach EU-Bezug leisten muss
Die markierte Zeile betrifft viele Exportbetriebe.
| Ihre Lage | Klausel 10 |
|---|---|
| Nur Schweizer Kundschaft, Ergebnisse bleiben hier | wie im Muster |
| Ergebnisse der KI gehen an Kundschaft in der EU | Einführung mit Inhalt, Dauer und Teilnehmenden belegen; Anwendbarkeit abklären |
| Niederlassung in der EU | Nachweis für das dortige Personal ebenso führen |
| Eigenes KI-Produkt auf dem EU-Markt | eigene Abklärung als Anbieter, über diese Weisung hinaus |
Nach Art. 4 der Verordnung (EU) 2024/1689 auf EUR-Lex; Einteilung der Lagen nach unserer Einschätzung.
![Ein erfundenes Geburtsdatum wird zum Etikett [GEBURTSDATUM_1]: Klausel 4 der KI-Richtlinie lässt es nur als Platzhalter in den Chat](/guias/de-ch/ki-weisung-ch-klausel-4-geburtsdatum-etikett.webp "Klausel 4: das Geburtsdatum als Platzhalter")
Klausel 4 im Alltag: Platzhalter, bevor der Prompt das Büro verlässt
Papier allein hält keine kopierte Mail-Signatur auf. Das BACS rät deshalb zusätzlich zu technischen Massnahmen. Im KMU heisst das meist: eine Software, die Personendaten ersetzt, bevor ein Text den Computer Richtung Chat verlässt. Für eine einzelne Datei genügen die Werkzeuge für Word, PDF und Text.
Die Nonimo-App tauscht auf dem Computer der Mitarbeiterin Namen, E-Mail-Adressen, AHV- und UID-Nummern gegen Platzhalter, sobald ein Text an ChatGPT, Claude oder Copilot geht. Kopiert sie die Antwort, stehen Namen und Nummern wieder dort, wo sie hingehören. Wie das aussieht, zeigt unsere Startseite für die Schweiz.
Was ein Platz im Team kostet, steht auf der Preisseite. Klausel 7 und 11 kann Ihnen keine Software abnehmen, und so soll es auch bleiben.
Welche Klausel eine Software stützt und welche beim Team bleibt
Grössere Organisationen steuern die Konten zentral über ein Gateway.
Technisch unterstützt
Klausel 3: Firmenkonten, Training ausKlausel 4: Platzhalter statt Namen und NummernAnhang: Liste der freigegebenen DiensteBleibt beim Menschen
Klausel 6: Was über Kollegen in den Chat darfKlausel 7: Ergebnis prüfenKlausel 8: EntscheidenKlausel 11: Versehen meldenZuordnung nach dem Muster dieser Seite; technische Massnahmen nach den Empfehlungen des BACS vom 16. Oktober 2026.
Wo ein Gesamtarbeitsvertrag oder ein Personalreglement mitspielt, gehört die Weisung vor dem Start auf den Tisch einer Fachperson für Arbeitsrecht.
Quellen
- Obligationenrecht (OR), SR 220: Art. 321a, 321d und 328b.
- Datenschutzgesetz (DSG), SR 235.1: Art. 5 bis 9, 12, 16, 19, 21, 22 und 24.
- EDÖB, «KI und Datenschutz»: DSG direkt anwendbar, Transparenz bei Chatbots, menschliche Überprüfung.
- EDÖB, Generative KI am Arbeitsplatz: gemeinsame Kampagne mit dem BACS, 16. Oktober 2026.
- BACS, «KI im Berufsalltag: Chancen nutzen, Daten schützen»: Leitlinien, Business-Konten, Schulung, Data-Loss-Prevention.
- KMU-Portal des SECO, Nutzungsbedingungen generativer KI: Hinweis des IGE zu Training und Nutzungsbedingungen.
- KMU-Portal des SECO, KI in Schweizer KMU: «keine KI ist unfehlbar».
- Verordnung (EU) 2024/1689, EUR-Lex: Art. 4, KI-Kompetenz.
- Ohne Link: Datenschutzverordnung (SR 235.11) Art. 24; StGB Art. 321; Mitwirkungsgesetz (SR 822.14) Art. 3, 4 und 9; ArGV 3 (SR 822.113) Art. 26.
Abgerufen am 10. November 2026.
Weitere Leitfäden
Häufige Fragen
Ist eine KI-Richtlinie in der Schweiz Pflicht?
Nein, kein Gesetz schreibt privaten Firmen eine eigene KI-Richtlinie vor. Art. 7 und 8 DSG verlangen aber organisatorische Massnahmen, und BACS und EDÖB empfehlen klare interne Regeln zu erlaubten Diensten und gesperrten Daten.
Müssen Mitarbeitende die KI-Weisung unterschreiben?
Nein, verbindlich ist sie auch ohne Unterschrift. Nach Art. 321d OR befolgen Mitarbeitende Weisungen der Arbeitgeberin nach Treu und Glauben. Eine unterschriebene Kenntnisnahme beweist aber, dass die Person die Regeln kannte.
Was ist der Unterschied zwischen Richtlinie, Weisung und Reglement?
Rechtlich meist keiner, es zählt der Inhalt. Wer einseitig Regeln für die Arbeit festlegt, erlässt eine Weisung nach Art. 321d OR. Ein Reglement wird oft Teil des Arbeitsvertrags und lässt sich schwerer ändern.
Darf der Arbeitgeber kontrollieren, wie Mitarbeitende KI nutzen?
Ja, aber nur in Grenzen. Art. 26 ArGV 3 verbietet Systeme, die das Verhalten am Arbeitsplatz überwachen sollen. Angekündigte Stichproben in den Firmenkonten sind etwas anderes als die laufende Beobachtung einzelner Personen.
Dürfen Mitarbeitende ihr privates ChatGPT-Konto für die Arbeit nutzen?
Nur wenn die Firma es erlaubt, und davon rät das BACS ab. Es empfiehlt die Business- oder Enterprise-Version des Unternehmens. Beim Privatkonto kennt die Firma weder Vertrag noch Trainingseinstellung.
Braucht ein KMU für den KI-Einsatz ein Bearbeitungsverzeichnis?
Meist nicht, wenn es am 1. Januar weniger als 250 Mitarbeitende hat. Art. 24 DSV macht zwei Ausnahmen: besonders schützenswerte Daten in grossem Umfang und Profiling mit hohem Risiko.
Muss die Arbeitnehmervertretung bei einer KI-Weisung mitreden?
Ja, zumindest mit Information. Das Mitwirkungsgesetz gibt ihr Anspruch auf rechtzeitige und umfassende Information. Sieht die Weisung Kontrollen vor, wird sie auch angehört. Ohne Vertretung haben die Mitarbeitenden diese Rechte direkt.