Vorlage · KI-Governance
KI-Richtlinie für Unternehmen: Mustervorlage
Closed Beta / geschlossene Pilotphase: Die rechtlichen Dokumente bilden den aktuellen Entwicklungs- und Betriebsstand ab.
Kontaktstelle
PromptAudit™ Switzerland, c/o Vault Operations, Rapperswil-Jona, Schweiz. Für rechtliche, datenschutzbezogene oder vertragliche Anfragen: info@promptaudit-vault.ch
1. Zweck und Geltungsbereich
Diese Richtlinie regelt die Nutzung generativer KI-Dienste (z. B. Chat-Assistenten, Code- und Textgeneratoren) durch alle Mitarbeitenden, Beauftragten und Dienstleister von [Unternehmen]. Sie gilt für geschäftliche Geräte, Konten und Daten, unabhängig vom Arbeitsort.
2. Zugelassene KI-Dienste
Zulässig sind ausschliesslich die von [IT/CISO] freigegebenen Dienste gemäss der aktuellen Tool-Liste. Neue Dienste werden vor dem Einsatz hinsichtlich Datenstandort, Vertragsbedingungen, Training mit Kundendaten und Auslandbekanntgabe geprüft.
3. Datenklassen und Verbote
Öffentlich: Eingabe erlaubt.
Intern: nur in freigegebenen Diensten mit Unternehmensvertrag.
Vertraulich / Personendaten: nur nach vorgängiger Maskierung oder Pseudonymisierung (z. B. Namen, IBAN, AHV-Nummern, Kundennummern).
Geheim / Berufsgeheimnis: Eingabe in externe KI-Dienste untersagt.
4. Prüfung von KI-Ergebnissen
KI-Ausgaben gelten als Entwurf. Mitarbeitende prüfen Richtigkeit, Rechte Dritter und Vertraulichkeit, bevor Ergebnisse extern verwendet werden. Automatisierte Einzelentscheidungen über Personen bedürfen einer menschlichen Überprüfung.
5. Protokollierung und Nachweis
Die geschäftliche KI-Nutzung wird in angemessenem Umfang protokolliert, um Nachweispflichten, interne Kontrollen und Vorfallabklärungen zu unterstützen. Protokolle werden verschlüsselt und manipulationsnachweisbar aufbewahrt; der Zugriff ist auf berechtigte Rollen beschränkt. Mitarbeitende werden über Art und Zweck der Protokollierung informiert.
6. Verantwortlichkeiten
[Geschäftsleitung]: Genehmigung der Richtlinie. [CISO/IT]: Tool-Freigaben und technische Massnahmen. [Datenschutzberater/-in]: datenschutzrechtliche Beurteilung. Vorgesetzte: Schulung und Einhaltung im Team.
7. Vorfälle und Verstösse
Versehentlich eingegebene vertrauliche Daten oder Personendaten sind unverzüglich an [Meldestelle] zu melden. Verstösse gegen diese Richtlinie können arbeitsrechtliche Massnahmen nach sich ziehen.
8. Schulung, Überprüfung und Inkraftsetzung
Mitarbeitende werden vor der ersten Nutzung geschult. Die Richtlinie wird mindestens jährlich überprüft. Inkraftsetzung: [Datum], Version [x.y].
Umsetzung mit PromptAudit
Für Abschnitt 5 kann PromptAudit KI-Interaktionen im Browser verschlüsseln und in einer SHA-256-Hashkette protokollieren. PromptAudit befindet sich in einer geschlossenen Pilotphase; Maskierungsfunktionen sind teilweise in Vorbereitung.