Mitarbeitende nutzen ChatGPT oder Copilot – Software enthält zunehmend KI-Funktionen. Was häufig fehlt, ist ein einheitlicher Rahmen für den Umgang damit. Genau hier setzt KI-Governance an.
Dabei geht es nicht darum, möglichst viele Regeln aufzustellen oder jede einzelne Nutzung genehmigen zu lassen. KI-Governance soll vielmehr sicherstellen, dass ein Unternehmen weiss, wo und wofür KI eingesetzt wird, welche Risiken damit verbunden sind und wer darüber entscheidet. Ohne diesen Überblick entstehen unterschiedliche Praktiken, unklare Zuständigkeiten und Anwendungen, die niemand als solche erfasst hat.
Der erste Schritt ist deshalb eine Bestandsaufnahme. Welche KI-Systeme beziehungsweise KI-Funktionen werden bereits verwendet und von wem? Für welche Aufgaben? Welche Daten werden dabei bearbeitet und welche Risiken bestehen für die betroffenen Personen?
Danach müssen die einzelnen KI-Anwendungen eingeordnet werden. Wer mit KI einen allgemeinen Textentwurf erstellt, schafft eine andere Ausgangslage als ein Unternehmen, das Personaldossiers auswertet, Kunden beurteilt oder Entscheidungen automatisiert vorbereitet. Massgebend sind insbesondere Zweck, Art und Umfang der bearbeiteten Daten und die möglichen Risiken und Auswirkungen auf die betroffenen Personen.
Darauf aufbauend werden die notwendigen Prüfungen festgelegt. Zunächst ist zu klären, welche Daten eingegeben werden dürfen. Personenbezogene, vertrauliche oder geheimhaltungspflichtige Informationen erfordern besondere Aufmerksamkeit. Ebenso müssen Zugriffsrechte geprüft werden: Wer darf eine Anwendung nutzen und auf welche Informationen kann sie zugreifen? Hinzu kommen Datenschutz, Informationssicherheit und Vertragsfragen. Wo werden die Daten bearbeitet? Nutzt der Anbieter Eingaben für eigene Zwecke oder zur Weiterentwicklung seiner Modelle? Welche Unterauftragnehmer sind beteiligt? Weitere rechtliche oder branchenspezifische Vorgaben können hinzukommen.
Governance braucht klare Verantwortlichkeiten. Wer darf neue Anwendungen freigeben? Wann müssen Datenschutz, Rechtsdienst, Informationssicherheit oder andere Fachstellen beigezogen werden? Und wer ist dafür verantwortlich, dass Ergebnisse vor ihrer Verwendung fachlich geprüft werden? Nicht jede Anwendung muss durch ein grosses Gremium. Die Zuständigkeiten und Eskalationswege sollten aber klar sein.
Schliesslich brauchen Mitarbeitende klare Handlungsregeln, die sie im Arbeitsalltag anwenden können. Sie müssen wissen, welche Nutzungen ohne weitere Prüfung zulässig, nur unter bestimmten Bedingungen erlaubt oder ausgeschlossen sind. Wichtig ist, dass die Mitarbeitenden die Regeln nicht nur kennen, sondern auch verstehen, weshalb sie gelten. Nur so können sie auch in neuen, nicht geregelten Situationen richtig entscheiden.
Aus alldem entsteht der Rahmen der KI-Governance. Sie legt fest, welche KI-Anwendungen wie überprüft und freigegeben werden müssen, welche Daten darin verwendet werden dürfen und wer welche Verantwortung trägt. Die Handlungsanweisungen für die Mitarbeitenden konkretisieren diesen Rahmen im Arbeitsalltag und machen ihn wirksam.
KI-Governance ist kein einmaliges Projekt. Anwendungen verändern sich, Anbieter führen neue Funktionen ein und Unternehmen finden neue Einsatzmöglichkeiten. Bestehende Freigaben und Schutzmassnahmen müssen deshalb regelmässig überprüft werden.
Michèle Balthasar, Rechtsanwältin, Gründerin und Managing Partnerin von Balthasar Legal mit Standorten in Zürich und Luzern, berät kleine, mittlere und international tätige Unternehmen in den Bereichen Datenschutz, Governance, IT- und Energierecht. In ihrer Kolumne im «Swiss IT Magazine» beleuchtet sie aktuelle Fragestellungen im Spannungsfeld von Digitalisierung, Regulierung und Unternehmenspraxis.
