KI-Nutzungsrichtlinie: das vergessene Sicherheitsprojekt vieler IT-Leiter

Künstliche Intelligenz ist längst im Unternehmensalltag angekommen. Die Frage ist nicht mehr ob Mitarbeitende KI nutzen. Die Frage ist: Nutzen sie KI kontrolliert, sicher und im Sinne des Unternehmens?

Viele IT-Leiter, Geschäftsführer und Datenschutzverantwortliche beschäftigen sich aktuell mit Firewalls, Backups, Microsoft 365, Cloud-Sicherheit, Zugriffsrechten und Endpoint Protection. Doch ein neues Risiko wächst oft im Hintergrund: Mitarbeitende kopieren Inhalte in KI-Tools, lassen Texte formulieren, analysieren Dokumente, fassen Kundendaten zusammen oder prüfen interne Informationen, manchmal ohne klare Regeln, ohne Freigabe und ohne technische Kontrolle.

Genau hier entsteht eine neue Lücke in der Unternehmenssicherheit. Eine KI-Nutzungsrichtlinie ist deshalb kein theoretisches Compliance-Dokument, sie ist ein praktisches Sicherheitsinstrument für Unternehmen, die KI produktiv einsetzen möchten, ohne die Kontrolle über Daten, Prozesse und Verantwortung zu verlieren.

KI wird bereits genutzt, oft ohne klare Regeln

Viele Unternehmen glauben, sie hätten noch Zeit. Doch in der Praxis sind KI-Tools bereits im Einsatz. Mitarbeitende nutzen Chatbots, Textgeneratoren, Übersetzungstools, Analysefunktionen oder KI-Assistenten, um schneller zu arbeiten. Das ist verständlich. KI spart Zeit, vereinfacht Routineaufgaben und hilft bei Texten, Ideen, Zusammenfassungen und Analysen.

Aber ohne klare Richtlinien entstehen kritische Fragen: Welche Daten dürfen in ein KI-System eingegeben werden? Dürfen Kundendaten verwendet werden? Was ist mit Verträgen, Offerten, Rechnungen oder HR-Daten? Welche KI-Tools sind erlaubt? Wer prüft die Ergebnisse? Wie wird dokumentiert, was mit KI verarbeitet wurde?

Eine ISACA-Erhebung von 2025 zeigt: In Europa berichten knapp drei von vier IT- und Cybersecurity-Professionals, dass Mitarbeitende generative KI am Arbeitsplatz nutzen, aber nur etwa ein Drittel der Organisationen verfügt über formelle Richtlinien dafür. KI-Nutzung wächst schneller als Governance, Sicherheit und interne Regeln. Das gleiche Muster sehen wir in Schweizer KMU, wie wir im Beitrag Warum Microsoft Copilot viele KMU enttäuscht aus der Tool-Perspektive analysiert haben.

Warum ein PDF allein nicht reicht

Viele Unternehmen reagieren auf dieses Thema mit einem internen Dokument, einer KI-Policy, einem Merkblatt, einer kurzen Liste mit Do's and Don'ts. Das ist ein wichtiger erster Schritt. Aber es reicht nicht.

Denn ein PDF verhindert nicht, dass Mitarbeitende sensible Daten in ein externes Tool kopieren. Es erkennt keine personenbezogenen Informationen. Es prüft keine Rollen. Es stoppt keine falsche Freigabe. Es dokumentiert nicht automatisch, welche Prozesse betroffen waren.

Eine moderne KI-Nutzungsrichtlinie muss deshalb mehr sein als ein Dokument. Sie muss im Arbeitsalltag wirken, dort, wo Mitarbeitende mit E-Mails, CRM-Daten, Rechnungen, Projekten, Kundeninformationen und Unternehmenswissen arbeiten.

Was eine gute KI-Nutzungsrichtlinie regeln sollte

Eine professionelle KI-Nutzungsrichtlinie sollte klar beantworten, wie KI im Unternehmen eingesetzt werden darf. Dazu gehören:

• erlaubte und verbotene KI-Tools
• Umgang mit Kundendaten und Personendaten
• Umgang mit Finanzdaten, Verträgen und Offerten
• Regeln für vertrauliche Unternehmensinformationen
• Verantwortlichkeiten von Mitarbeitenden und Führungskräften
• menschliche Prüfung von KI-Ergebnissen
• Freigabeprozesse für kritische Aufgaben
• Dokumentation und Nachvollziehbarkeit
• Schulung der Mitarbeitenden
• Datenschutz nach Schweizer DSG und DSGVO
• Umgang mit externen KI-Anbietern

EU AI Act Art. 4, AI Literacy ist Pflicht

Mit dem EU AI Act wird das Thema AI Literacy verbindlich. Artikel 4, in Kraft seit dem 2. Februar 2025, verpflichtet Anbieter und Betreiber von KI-Systemen, Massnahmen zu treffen, damit Mitarbeitende über ausreichende KI-Kompetenz verfügen. Für Schweizer KMU mit EU-Bezug (Kunden, Lieferanten, Niederlassungen) ist das relevant, und unabhängig vom EU-AI-Act schon aus reiner Risikohygiene sinnvoll. Wir haben das hier vertieft: EU AI Act bei hegyon.ai.

Schweizer DSG und EDÖB

Auch in der Schweiz ist die Lage klar: Das revidierte Datenschutzgesetz ist technologieneutral und gilt damit auch für KI-gestützte Datenbearbeitung. Der EDÖB weist ausdrücklich darauf hin, dass betroffene Personen auch beim Einsatz von KI möglichst grosse Kontrolle über ihre Personendaten und Privatsphäre behalten müssen. Für Schweizer Unternehmen heisst das: KI darf nicht unkontrolliert eingeführt werden. Es braucht klare Regeln, Schulung, technische Schutzmechanismen und nachvollziehbare Prozesse.

Die eigentliche Herausforderung: Shadow AI

Viele IT-Leiter kennen das Problem aus der Cloud-Welt: Schatten-IT. Heute entsteht eine neue Variante davon, Shadow AI.

Mitarbeitende nutzen KI-Tools, ohne dass die IT-Abteilung, die Geschäftsleitung oder der Datenschutzverantwortliche genau weiss: welche Tools verwendet werden, welche Daten eingegeben werden, wo diese Daten verarbeitet werden, ob vertrauliche Informationen betroffen sind, ob die Ergebnisse geprüft werden und ob gesetzliche oder interne Vorgaben eingehalten werden.

Shadow AI ist besonders gefährlich, weil sie oft gut gemeint ist. Mitarbeitende wollen schneller arbeiten, bessere Texte schreiben, Informationen schneller zusammenfassen. Doch genau dadurch verlassen unbeabsichtigt sensible Informationen das Unternehmen, und niemand merkt es.

Von der Richtlinie zur technischen Umsetzung

Eine KI-Nutzungsrichtlinie beschreibt, was erlaubt ist. hegyon.ai hilft, diese Regeln im Alltag technisch umzusetzen. Statt Mitarbeitenden bloss zu sagen "bitte keine sensiblen Daten in KI-Tools eingeben", schafft die Plattform vier strukturelle Leitplanken.

Sensitive Data Guard

Bevor Inhalte an ein KI-Modell gesendet werden, analysiert das System die Anfrage. Personenbezogene Daten, sensible Informationen, kritische Inhalte, Compliance-Risiken und potenzielle Datenabflüsse werden erkannt. Inhalte können, je nach Situation, blockiert, transformiert, anonymisiert, maskiert oder mit Warnungen versehen werden. Aus "bitte keine PII eingeben" wird "die Plattform setzt das technisch durch".

Compliance Guard

Der Compliance Guard kennt nicht nur Daten, sondern auch Unternehmensprozesse, Rollen, Zuständigkeiten, Freigabeprozesse und Unterschriftsregelungen.

Beispiel: Ein Mitarbeitender möchte eine grössere Rechnung freigeben. Laut interner Regel braucht es dafür eine zweite Genehmigung. Ohne technische Kontrolle könnte dieser Schritt übersehen werden. Der Compliance Guard erkennt die Situation, stoppt den Prozess, stellt Rückfragen, verlangt die zusätzliche Freigabe oder löst eine Eskalation aus. Das ist echte Governance, nicht einfache Zugriffskontrolle.

Unternehmenswissen mit RAG, Wiki und Audit-Chain

Viele Unternehmen haben wertvolles Wissen in Wikis, Prozessdokumenten, Projektordnern, E-Mails, CRM-Notizen und einzelnen Köpfen, schwer auffindbar. hegyon.ai integriert ein Wissensmanagement-System mit internem Wiki, Prozesshandbuch, Versionierung und Audit-Chain. Über RAG-Technologie greift die KI auf dieses Unternehmenswissen zu und liefert kontextbezogene Antworten.

Mitarbeitende fragen: "Welche offenen Aufgaben gibt es für Kunde X?", "Wie läuft dieser interne Prozess?", "Welche Richtlinien gelten hier?", "Welche Rechnungen sind offen?" Die KI kombiniert internes Wissen mit aktuellen Unternehmensdaten und antwortet in Sekunden, strukturiert und nachvollziehbar. Der Effekt: Mitarbeitende müssen nicht unkontrolliert externe Tools nutzen, um Informationen aufzubereiten, sie arbeiten innerhalb einer kontrollierten Unternehmensumgebung.

Multi-Provider-KI statt Vendor-Lock-in

Abhängigkeit von einem einzigen KI-Anbieter ist eine eigene Risikoklasse. hegyon.ai unterstützt verschiedene Anbieter parallel, OpenAI, Anthropic, Google, Mistral. Je nach Anwendungsfall, Datenschutzanforderung, Kostenstruktur oder Modellqualität wird der passende Anbieter gewählt. Die Nutzung erfolgt nicht wild und unkontrolliert, sondern innerhalb einer Plattform mit Guardrails, Rollen, Prozessen und Governance.

Warum Schweizer KMU jetzt handeln sollten

Gerade Schweizer KMU stehen vor einer besonderen Herausforderung. Sie möchten KI nutzen, um produktiver zu werden. Gleichzeitig müssen sie Kundendaten, Personendaten, Finanzinformationen und vertrauliches Unternehmenswissen schützen. Viele KMU haben aber keine grossen Compliance-Abteilungen, keine eigenen KI-Governance-Teams und keine Zeit für komplexe Konzernprozesse.

Deshalb braucht es Lösungen, die praxisnah sind. hegyon.ai wurde für Schweizer und europäische Anforderungen entwickelt: Schweizer DSG, DSGVO, EU AI Act, rollenbasierte Berechtigungen, Audit-Trails, Multi-Tenancy und Sichtbarkeitsregeln. Die Daten bleiben in der Schweiz. Hinzu kommen Schweizer Standards wie QR-Rechnung nach SIX, Schweizer MWST, Mahnwesen nach OR Art. 104, ESTV-konforme Payroll und Mehrsprachigkeit.

Wie eine konkrete Einführung kulturell und operativ funktioniert (Stichwort: Mitarbeitende einbinden, nicht ersetzen), haben wir hier aufgeschrieben: KI einführen, ohne Mitarbeitende zu verlieren. Und welche Prozesse sich für eine Pilotierung wirklich eignen, steht hier: Welche Prozesse sich für Automatisierung wirklich eignen.

KI nicht verbieten, sondern richtig führen

Der falsche Ansatz wäre, KI einfach zu verbieten. Das funktioniert in der Praxis kaum: Mitarbeitende werden weiterhin Wege finden, weil der Produktivitätsgewinn offensichtlich ist. Der bessere Weg ist kontrollierte Ermöglichung.

Eine gute KI-Nutzungsrichtlinie beantwortet deshalb nicht nur die Frage "Was ist verboten?", sondern auch: "Wie können Mitarbeitende KI sicher, produktiv und verantwortungsvoll nutzen?" Genau hier setzt hegyon.ai an, die Plattform gibt Unternehmen die Möglichkeit, KI in Prozesse einzubetten, sensible Daten zu schützen, Unternehmenswissen nutzbar zu machen, Rollen und Freigaben zu berücksichtigen und KI-Nutzung nachvollziehbar zu gestalten.

Fazit: Eine KI-Nutzungsrichtlinie muss leben

Viele Unternehmen werden in den nächsten Monaten eine KI-Nutzungsrichtlinie erstellen. Der entscheidende Unterschied liegt nicht im Dokument selbst. Er liegt darin, ob die Richtlinie im Alltag tatsächlich wirkt.

• Ein PDF im Intranet schützt keine Kundendaten.
• Eine E-Mail an Mitarbeitende verhindert keine Shadow AI.
• Ein einzelner Workshop ersetzt keine technischen Leitplanken.

Was Unternehmen brauchen, ist eine Verbindung aus Richtlinie, Schulung, Technologie, Prozessen und Governance. hegyon.ai hilft Schweizer Unternehmen dabei, genau diese Verbindung herzustellen: KI nicht nur verfügbar, sondern kontrollierbar; nicht nur produktiv, sondern sicher; nicht nur modern, sondern nachvollziehbar.

Machen Sie den KI-Nutzungsrichtlinien-Check

Wissen Sie, welche KI-Tools Ihre Mitarbeitenden heute bereits nutzen? Wissen Sie, welche Daten dabei verarbeitet werden? Wissen Sie, ob sensible Informationen geschützt sind? Und wissen Sie, ob Ihre aktuellen Richtlinien im Arbeitsalltag wirklich greifen?

Wir prüfen das mit Ihnen in einer 30-Minuten-Demo durch, Sie sehen die Plattform an Ihren echten Use-Cases, nicht an einer Slideshow. Anschliessend erhalten Sie eine konkrete Einschätzung, wo bei Ihnen technische Leitplanken den grössten Hebel haben.

Schweizer Hosting. Schweizer Recht. Schweizer KMU-Fokus. Direkter Kontakt: hegyon.ai/de/contact.