In 5 Schritten zur KI-Compliance: Praktischer Leitfaden für Schweizer KMU

Wer als Schweizer KMU Künstliche Intelligenz einsetzen will, muss nicht nur Chancen nutzen, sondern auch neue regulatorische Risiken aktiv steuern. Mit einem kompakten 5-Schritte-Plan gelingt der Start in die KI-Compliance einfach und praxistauglich – von der Risiko-Kartierung bis zur rechtssicheren Dokumentation.

Warum KI-Compliance für Schweizer KMU jetzt notwendig wird

Die Schweiz bereitet aktuell einen eigenen Entwurf zur KI-Regulierung vor und verpflichtet sich schon jetzt zu mehr Transparenz, Datenschutz und Kontrolle – nicht zuletzt durch die Übernahme zentraler Aspekte des EU AI Acts. Insbesondere kleine und mittlere Unternehmen müssen verstehen: Auch überschaubare KI-Anwendungen im Alltag unterliegen bald neuen Pflichten. Die Regelwerke verlangen nachvollziehbare Prozesse, sichere Datenverarbeitung und Schutz vor Diskriminierung. Wer den Wandel früh aktiv gestaltet, baut Vertrauen bei Kunden, Partnern und Behörden auf.

Schritt 1: KI-Anwendungen im Unternehmen erfassen und klassifizieren

Fassen Sie zunächst alle aktuell genutzten und geplanten KI-Systeme zusammen – egal ob selbst entwickelt, extern zugekauft oder als Cloud-Service eingesetzt. Dokumentieren Sie für jedes Tool:

• Zweck und Einsatzbereich (z. B. Texterstellung, Prognosen, Bilderkennung)
• Art und Herkunft der verwendeten Daten
• Zugriffs- und Benutzergruppen im Unternehmen
• Schnittstellen zu anderen Systemen

Praxis-Tipp: Verwenden Sie eine einfache Tabelle und ergänzen Sie, ob das KI-System eher für interne Zwecke oder mit Kundenkontakt genutzt wird. So erhalten Sie einen schnellen Überblick.

Schritt 2: Risiken und Pflichten für jede KI-Anwendung einschätzen

Analysieren Sie pro Anwendung, welche Risiken und rechtlichen Anforderungen relevant sind. Prüfen Sie insbesondere:

• Werden personenbezogene Daten verarbeitet? (Relevanz für DSG und EU AI Act)
• Besteht ein Risiko für Diskriminierung, z. B. durch automatisierte Entscheidungen?
• Ist das System erklärbar oder handelt es sich um eine "Black Box"?
• Wie kritisch wäre ein Ausfall oder eine Fehlfunktion?

Hilfsmittel: Das BAG, die NCSC und das Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) bieten Checklisten und Praxisguides an. Ziehen Sie je nach Anwendungsfall den passenden Leitfaden hinzu.

Schritt 3: Transparenz und Nachvollziehbarkeit sicherstellen

Das neue Schweizer und europäische KI-Recht verlangt, dass Entscheidungen von KI-Systemen für Betroffene verständlich erklärt werden können. Setzen Sie folgende Massnahmen um:

• Hinterlegen Sie für jede KI-Anwendung eine kurze, laienverständliche Beschreibung des Funktionsprinzips und der Datenquellen.
• Führen Sie ein "Change-Log": Welche Modelle und Trainingsdaten wurden wann aktualisiert?
• Dokumentieren Sie, wie Ergebnisse zustande kommen (z. B. mithilfe von Explainability-Tools oder regelbasierten Entscheidungsprotokollen).

Praxisbeispiel: Ein Dienstleistungsunternehmen erklärt für jedes mit KI erzeugte Angebotsschreiben, wie und auf Basis welcher Daten Vorschläge generiert werden.

Schritt 4: Datenschutz und Zugriffskontrolle gezielt umsetzen

Gerade bei Personaldaten, Kundendaten oder sensiblen Geschäftsinformationen ist besonderer Schutz Pflicht:

• Prüfen Sie, ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist – besonders bei sensiblen Daten.
• Beschränken Sie die Zugriffsrechte auf KI-Systeme strikt auf berechtigte Nutzergruppen.
• Nutzen Sie möglichst Schweizer oder ausdrücklich DSG/EU DSGVO-konforme Anbieter.
• Verzichten Sie auf öffentliche KI-Dienste für sensible Unternehmensanwendungen (wie es etwa PostFinance vormacht).

Technische Massnahmen: Monitoring der KI-Nutzung, Protokollierung von Zugriffen und regelmässige Sicherheitsaudits.

Schritt 5: Überwachung, Incident-Handling und laufende Dokumentation

KI-Compliance ist keine einmalige Aktion, sondern ein laufender Prozess. Richten Sie deshalb ein System zur Überwachung und Nachverfolgung ein:

• Bestimmen Sie eine verantwortliche Person oder ein kleines Team, das Vorfälle ("Incidents") protokolliert und Massnahmen ableitet.
• Halten Sie alle Compliance-relevanten Vorgänge und Anpassungen in einer fortlaufenden, zentral gepflegten Dokumentation fest (z. B. in einem digitalen Compliance-Handbuch).
• Schulen Sie Mitarbeitende regelmässig zu Risiken, Pflichten und Meldewegen.

Erfahrung aus der Praxis: Unternehmen, die schon heute ihre KI-Prozesse protokollieren und Verantwortungen klar zuordnen, sind im Fall neuer Gesetze oder Audits deutlich schneller und sicherer handlungsfähig.

---

Mit diesen fünf Schritten ist KI-Compliance für Schweizer KMU nicht länger eine Hürde, sondern wird zum Wettbewerbsvorteil: Sie schaffen Sicherheit, stärken Ihr Markenvertrauen und sind regulatorisch bestens aufgestellt.