Was ab dem ersten KI-Werkzeug gilt

Ab dem ersten Werkzeug, unabhängig von der Nutzung.

Erster Schritt

In 1 Stunde eine erste Liste erstellen Versammeln Sie die Teamverantwortlichen für 1 Stunde und listen Sie in einer Tabelle jedes genutzte Tool auf: Name, Zweck, wer es nutzt, welche Daten es bearbeitet. Speichern Sie die datierte Datei in einer gemeinsamen Ablage.

Ergebnis

Inventar der digitalen und KI-Tools, datiert

Anhaltspunkte

KI-VO Art. 26 (ab dem 2. Dezember 2027) · Gute Praxis ISO/IEC 42001

Ab dem ersten Werkzeug, unabhängig von der Nutzung.

Erster Schritt

Verfassen Sie eine 2-seitige KI-Charta Halten Sie schriftlich fest: was nie in ein KI-Tool eingegeben wird (identifizierbare Kundendaten, Geschäftsgeheimnisse), die zugelassenen Tools, an wen ein Zweifel gemeldet wird. Ein einfaches Dokument ist besser als ein unlesbares Reglement.

Ergebnis

Von allen unterzeichnete KI-Nutzungscharta

Anhaltspunkte

KI-VO Art. 4 · DSG Art. 8

Weil Ihre Daten zu einem Anbieter gehen, dessen Hosting Sie noch nicht kennen.

Erster Schritt

Den Bestand durchgehen Nehmen Sie Ihr Tool-Inventar zur Hand und suchen Sie für jeden KI- oder Cloud-Anbieter das Land des Datenhostings in seiner Datenschutzerklärung oder seiner «Sicherheit»-Seite. Vervollständigen Sie die entsprechende Spalte des Inventars.

Ergebnis

Anbieter-Bewertungsraster (1 Seite)

Anhaltspunkte

URG Art. 2, 10 · DSG Art. 9, 16 · KI-VO Art. 25 (ab dem 2. Dezember 2027)

Weil Personendaten in das Werkzeug eingegeben werden.

Erster Schritt

Machen Sie eine Bestandsaufnahme Ihrer Kanäle Listen Sie auf, wo Sie Ihre Kundschaft und Mitarbeitenden bereits informieren: Website, Formulare, Verträge, HR-Dokumente. Lesen Sie Ihre aktuelle Datenschutzerklärung und markieren Sie alles, was nicht Ihrer tatsächlichen Praxis entspricht.

Ergebnis

Datierte und versionierte Datenschutzerklärung

Anhaltspunkte

DSG Art. 19–21 · KI-VO Art. 50

Weil Personendaten in das Werkzeug eingegeben werden.

Erster Schritt

Überall die Zwei-Faktor-Authentifizierung aktivieren Aktivieren Sie die Zwei-Faktor-Authentifizierung (ein Code zusätzlich zum Passwort) für E-Mail, Administratorkonten und Cloud-Tools, beginnend mit den Konten der Geschäftsleitung. Führen Sie einen Passwortmanager für das Team ein und bewahren Sie einen Screenshot der Einstellungen auf.

Ergebnis

Einseitige Sicherheitsrichtlinie, verteilt

Anhaltspunkte

DSG Art. 8 · DSG Art. 24 · DSV Art. 15 Abs. 4 · DSGVO Art. 32

Weil Personendaten in das Werkzeug eingegeben werden.

Erster Schritt

Bestimmen Sie eine einzige Kontaktstelle Wählen Sie eine verantwortliche Person und eine Stellvertretung und erstellen Sie eine eigene Adresse (z. B. daten@ihre-firma.ch). Veröffentlichen Sie sie in Ihrer Datenschutzerklärung.

Ergebnis

1-seitiges Verfahren

Anhaltspunkte

DSG Art. 25 · DSG Art. 25 Abs. 2 Bst. f · DSG Art. 32 · DSGVO Art. 15–22

Weil Daten von Mitarbeitenden oder Bewerbenden betroffen sind.

Erster Schritt

Kartieren, wo Ihre Daten leben Listen Sie in einer 1-stündigen Sitzung Ihre grossen Datenkategorien auf (Kundschaft, HR, Buchhaltung, Projekte) und wo jede gespeichert ist: Server, Cloud, Mailboxen, Excel-Dateien. Halten Sie alles in einer einfachen Tabelle fest.

Ergebnis

Zugriffsmatrix (wer greift worauf zu)

Anhaltspunkte

OR Art. 328b · DSG Art. 6, 8 · KI-VO Art. 26(4) (ab dem 2. Dezember 2027) · DSG Art. 7 Abs. 3 · EDÖB «Verschiedene Phasen des Arbeitsverhältnisses»

Weil das Werkzeug Entscheidungen über Personen beeinflussen wird.

Erster Schritt

Erkennen, was ohne Kontrolle hinausgeht Gehen Sie Ihre automatisierten Tools durch und markieren Sie jene, deren Ergebnis direkt angewendet wird, ohne menschlichen Blick: automatische E-Mails, Ablehnungen, Scores, veröffentlichte Inhalte. Ordnen Sie sie nach ihrer Wirkung auf Personen.

Ergebnis

Liste der automatisierten Entscheidungen mit ihrem Kontrollpunkt

Anhaltspunkte

ArGV 3 Art. 26 · KI-VO Art. 14, 26(2) (ab dem 2. Dezember 2027) · DSG Art. 21

Weil das Werkzeug Entscheidungen über Personen beeinflussen wird.

Erster Schritt

Die automatisierten Entscheidungen identifizieren Gehen Sie Ihr Tool-Inventar durch und markieren Sie die Tools, die eine Entscheidung beeinflussen: Bewerbungssortierung, Kundenscore, berechneter Preis, automatische Antwort. Notieren Sie für jedes, wer vom Ergebnis betroffen ist.

Ergebnis

Einseitiges Erklärungsblatt pro Tool

Anhaltspunkte

DSG Art. 25 Abs. 2 Bst. f · KI-VO Art. 13, 26 (ab dem 2. Dezember 2027) · DSG Art. 21 · Rechtsprechung EuGH C-634/21 «SCHUFA»

Weil das Werkzeug Entscheidungen über Personen beeinflussen wird.

Erster Schritt

Listen Sie die automatisierten Entscheidungen auf, die jemanden betreffen Erfassen Sie in 1 Stunde die Fälle, in denen ein Tool ohne Mensch entscheidet: Ablehnung von Kundschaft, Bewerbungssortierung, Kontosperrung, angewandter Tarif. Notieren Sie für jeden den Kanal, über den die Person von der Entscheidung erfährt.

Ergebnis

Publiziertes Rekursverfahren

Anhaltspunkte

KI-VO Art. 86 · KI-VO Art. 26(11) (ab dem 2. Dezember 2027) · DSG Art. 21 Abs. 2 · Rechtsprechung EuGH C-634/21 «SCHUFA»

Weil das Werkzeug Entscheidungen über Personen beeinflussen wird.

Erster Schritt

Legen Sie die Auslösekriterien schriftlich fest Verfassen Sie ein 1-seitiges Blatt mit den Situationen, die eine Folgenabschätzung verlangen (schriftliche Untersuchung der Risiken für die Personen): besonders schützenswerte Daten in grossem Umfang, systematische Überwachung, Profiling (automatisierte Bewertung von Personen) — auch via KI. Datieren Sie das Blatt und geben Sie es den Projektleitenden ab.

Ergebnis

Blatt der Auslösekriterien

Anhaltspunkte

OR Art. 328b · DSG Art. 22–23 · DSGVO Art. 35 · DSG Art. 7

Weil besonders schützenswerte Daten betroffen sind.

Erster Schritt

Prüfen Sie, ob die Pflicht Sie betrifft Zählen Sie Ihre Mitarbeitenden (Schwelle von 250), prüfen Sie, ob Sie besonders schützenswerte Daten in grossem Umfang bearbeiten, Profiling betreiben (automatisierte Bewertung von Personen) oder Kundschaft in der EU bedienen. Halten Sie das Fazit in einer 1-seitigen Notiz fest, datiert und von der Geschäftsleitung unterzeichnet — das Verzeichnis bleibt auch ohne Pflicht gute Praxis.

Ergebnis

Ausgefülltes Verzeichnis der Bearbeitungstätigkeiten (Tabelle oder Export)

Anhaltspunkte

DSG Art. 12 Abs. 5 · DSV Art. 24 · DSGVO Art. 30

Weil Personen sortiert oder bewertet werden.

Erster Schritt

Listen Sie die Tools auf, die Personen sortieren Versammeln Sie HR, Verkauf und IT für 1 Stunde, um jedes Tool aufzulisten, das Personen filtert, bewertet oder einstuft (Bewerbungen, Kundschaft, Tarife). Halten Sie das Ergebnis auf einer Seite fest, mit dem betroffenen Bereich.

Ergebnis

Datierte Bias-Testnotizen

Anhaltspunkte

KI-VO Art. 10, 26 (ab dem 2. Dezember 2027) · GlG Art. 3 · BV Art. 8 · Übereink. Europarat Nichtdiskriminierung

Weil Personen mit einer Maschine sprechen oder erzeugte Inhalte lesen werden.

Erster Schritt

Erfassen Sie Ihre KI-Kontaktpunkte Listen Sie in 1 Stunde auf, wo Ihre Kundschaft KI begegnet: Chatbot, generierte E-Mail-Antworten, publizierte Bilder oder Texte, Sprachnachrichten. Notieren Sie für jeden Kanal, wer ihn betreut.

Ergebnis

Auf der Website publizierte Transparenzpolitik

Anhaltspunkte

KI-VO Art. 50 · UWG Art. 3 Abs. 1 Bst. b · DSG Art. 19

Weil die Europäische Union betroffen ist.

Erster Schritt

Listen Sie alle Ihre KI-Anwendungsfälle auf Versammeln Sie die Teams für 1 Stunde und notieren Sie jede reale Nutzung: Chatbot, generierte Inhalte, CV-Sortierung, Prognosen — auch die ohne offizielle Freigabe genutzten Tools. Diese Liste ist Ihr Ausgangspunkt.

Ergebnis

Tabelle Pflichten / Verantwortliche / Fristen

Anhaltspunkte

KI-VO Art. 2 · KI-VO Art. 5 · KI-VO Art. 50 · KI-VO Art. 6, 26 (ab dem 2. Dezember 2027) · Übereink. Europarat Rahmenübereinkommen KI