KI-Richtlinie für Finanz-KMU: Vorlage zum Herunterladen

Eine KI-Richtlinie für ein Finanz-KMU muss nicht lang sein. Zwei Seiten genügen, wenn sie klar regeln, welche Werkzeuge erlaubt sind, welche Daten wohin dürfen und wer neue Anwendungen freigibt. Dieser Artikel zeigt, was in eine solche Richtlinie gehört und wie Sie sie in einer einzigen Teamsitzung einführen. Die Vorlage dazu finden Sie weiter unten als PDF und als editierbare Word-Datei.

Wissen Sie, welche KI-Werkzeuge Ihr Team heute nutzt?

In der Studie der Hochschule Luzern und von Finup vom Juli 2026 geben 49 Prozent der befragten unabhängigen Vermögensverwalter an, KI zu nutzen. Zwei Drittel dieser Anwendungen bleiben Experimente, nur 11 Prozent sind produktiv im Einsatz (AI Use Cases and Crypto Assets in External Asset Management, Juli 2026).

Experiment heisst in der Praxis: Mitarbeitende probieren öffentliche Werkzeuge aus, oft mit privatem Konto, und niemand im Haus weiss genau, welche Daten wohin fliessen. Das ist kein Vorwurf an die Teams. Das Bedürfnis dahinter ist legitim: schnellere Entwürfe, bessere Zusammenfassungen, weniger Zeit für Formulierungen. Das Problem ist nicht die Nutzung, sondern dass sie ungeregelt passiert.

Darum stelle ich in Erstgesprächen gern eine einfache Frage: Wissen Sie, welche KI-Werkzeuge Ihr Team heute nutzt? Die ehrliche Antwort ist fast immer: ungefähr. Genau dafür ist die Richtlinie da. Sie macht aus der stillen Nutzung eine besprochene.

Warum genügt eine kurze Richtlinie?

Ein Verbot funktioniert nicht. Es verlagert die Nutzung auf private Geräte und private Konten, wo Sie sie am wenigsten sehen. Was funktioniert, ist eine kurze, verbindliche Regel, die jede Person im Team anwenden kann.

Eine Richtlinie auf zwei Seiten beantwortet vier Fragen: Was ist erlaubt? Welche Daten dürfen wohin? Wer entscheidet im Zweifel? Was passiert, wenn etwas schiefgeht? Mehr braucht es nicht, damit aus Experimenten geregelte Nutzung wird.

Grosse Institute lösen dasselbe Problem mit Governance-Frameworks von vierzig Seiten, weil dort Tausende Mitarbeitende und eine Aufsicht im Hintergrund stehen. Ein Haus mit fünf oder fünfzehn Personen braucht dieselbe Klarheit, aber nicht denselben Apparat. Die zwei Seiten sind die KMU-Version davon.

Wichtig ist auch, was die Richtlinie nicht ist: kein Rechtsdokument und kein Bürokratie-Projekt. Sie ist eine Arbeitsregel, die in einer Teamsitzung besprochen wird und danach im Alltag trägt.

Was gehört in eine KI-Richtlinie?

Die Vorlage unten besteht aus acht Abschnitten. Jeder Abschnitt enthält einen fertig formulierten Leitsatz mit Platzhaltern und eine Ausfüllhilfe, die sagt, was Sie an Ihr Haus anpassen müssen.

Abschnitt	Was er regelt
1. Zweck und Geltungsbereich	Für wen und für welche Werkzeuge die Richtlinie gilt, inklusive privater Nutzung mit geschäftlichen Inhalten
2. Erlaubte Werkzeuge	Nur freigegebene Werkzeuge aus dem Inventar, keine privaten Konten für geschäftliche Inhalte
3. Datenklassen	Die Ampel: grün (öffentlich), gelb (anonymisiert), rot (vertraulich und personenbezogen)
4. Freigaben	Neue Werkzeuge und neue Anwendungsfälle mit gelben oder roten Daten brauchen eine dokumentierte Freigabe
5. Verantwortung	Eine Person besitzt Richtlinie, Inventar und Freigaben; KI-Ergebnisse prüft vor der Verwendung immer ein Mensch
6. Inventar	Eine einfache Liste aller Werkzeuge mit Anbieter, Zweck, Datenklasse, Standort und Vertrag
7. Schulung	Alle lesen die Richtlinie bei Eintritt und nach Änderungen; die Datenklassen werden mit echten Beispielen geübt
8. Umgang mit Vorfällen	Irrtümliche Eingaben werden sofort gemeldet, ausdrücklich ohne disziplinarische Folgen

Die Ampel aus Abschnitt 3 eignet sich als Poster fürs Büro: ein Blatt, drei Zeilen, keine Ausnahmediskussionen.

Zwei Abschnitte verdienen einen genaueren Blick. Die Datenklassen sind das Herzstück: Ohne sie endet jede Diskussion im Einzelfall, mit ihnen ist die Antwort meistens sofort klar. Beachten Sie, dass Anonymisieren schwieriger ist, als es klingt: «Mein Kunde, 58, Unternehmer aus Zug, verkauft gerade seine Firma» ist auch ohne Namen identifizierbar. Gelb heisst, dass selbst die Kombination der Merkmale niemanden erkennen lässt.

Das Inventar ist der unterschätzte Abschnitt. Eine schlichte Tabelle mit sechs Spalten genügt. Gegenüber der Aufsicht und im Kundengespräch ist diese Liste der schnellste Nachweis, dass Sie den Überblick haben. Die FINMA nennt in ihrer Aufsichtsmitteilung 08/2024 zu künstlicher Intelligenz genau solche Grundlagen: Übersicht über die eingesetzten Anwendungen, klare Verantwortlichkeiten, funktionierende Kontrollen (FINMA, Dezember 2024). Die Mitteilung richtet sich zwar an beaufsichtigte Institute, ihre Logik ist aber für jedes Finanz-KMU eine gute Orientierung.

Wie führen Sie die Richtlinie in einer Teamsitzung ein?

Rechnen Sie mit 60 bis 90 Minuten. Der Ablauf, der sich in der Praxis bewährt hat:

1. Bestandesaufnahme ohne Vorwurf (15 Minuten). Fragen Sie offen, wer heute welche Werkzeuge wofür nutzt. Kündigen Sie vorher an, dass diese Runde keine Folgen hat. Erfahrungsgemäss kommt mehr auf den Tisch, als die Geschäftsleitung erwartet.
2. Die Ampel einführen (10 Minuten). Erklären Sie die drei Datenklassen an zwei bis drei echten Beispielen aus Ihrem Alltag: ein Kundenmail, ein Marktbericht, ein Gesprächsprotokoll.
3. Die Vorlage gemeinsam ausfüllen (30 Minuten). Gehen Sie Abschnitt für Abschnitt durch und ersetzen Sie die Platzhalter. Die Diskussion über die gelbe Klasse ist meist die wertvollste Viertelstunde des Termins.
4. Verantwortung und Inventar (15 Minuten). Bestimmen Sie eine Person, und legen Sie mit dem Inventar der heute genutzten Werkzeuge gleich los.
5. Meldeweg vereinbaren (10 Minuten). Sagen Sie ausdrücklich, dass Melden erwünscht ist und keine Folgen hat. Nur was gemeldet wird, kann begrenzt werden.
6. Review-Termin festlegen. Einmal pro Jahr die Richtlinie und das Inventar durchgehen, denn Anbieter ändern Tarife und Datennutzung. Ein Termin im Kalender genügt.

Verkaufen Sie die Richtlinie im Team nicht als Verbot, sondern als Freigabe: Ab heute dürft ihr diese Werkzeuge nutzen, und hier steht, wie. Das ändert die Stimmung im Raum vollständig.

Aus meiner Praxis: Dass grosse Institute ihre KI-Governance nicht dem Zufall überlassen, erlebe ich laufend bei additiv. Das Muster ist überall dasselbe: ein Inventar der Anwendungen, klare Rollen und ein Protokoll der Entscheide. Was sich übertragen lässt, sind nicht die Gremien, sondern die Fragen. Ein kleines Haus beantwortet dieselben Fragen auf zwei Seiten und ist damit weiter als die meisten. Die häufigste Überraschung in diesen Gesprächen: Sobald offen auf dem Tisch liegt, wer was nutzt, verschwindet die Schattennutzung von selbst, weil es eine erlaubte, bessere Alternative gibt.

Die Vorlage herunterladen

Die Vorlage enthält alle acht Abschnitte als fertig formulierte Leitsätze mit Platzhaltern in eckigen Klammern, dazu je eine Ausfüllhilfe. Sie ist bewusst vorsichtig formuliert: kein Rechtsdokument, sondern ein Arbeitspapier, das Sie an Ihr Haus anpassen. Tragen Sie Ihre E-Mail-Adresse ein, und wir schicken Ihnen den Download-Link. Die Vorlage können Sie danach auch direkt hier herunterladen.

Hinweis: Wir sind keine Anwaltskanzlei. Die Vorlage und alle Angaben in diesem Artikel zu rechtlichen und regulatorischen Themen stehen unter Vorbehalt und ersetzen keine Rechtsberatung. Lassen Sie die ausgefüllte Richtlinie im Einzelfall fachlich prüfen, insbesondere bei Fragen zu Datenschutz (revidiertes Datenschutzgesetz, Fedlex), Berufsgeheimnis und Aufsichtsrecht. Für konkrete Fragen ziehen Sie bitte eine Anwältin oder einen Anwalt bei.

Fazit: Ihr nächster Schritt

Setzen Sie in den nächsten zwei Wochen eine Teamsitzung von 60 bis 90 Minuten an und legen Sie die ausgedruckte Vorlage auf den Tisch. Beginnen Sie mit der Bestandesaufnahme ohne Vorwurf, führen Sie die Ampel ein und füllen Sie die Abschnitte gemeinsam aus. Damit sind Sie weiter als zwei Drittel der Branche, die laut Studie noch im Experimentiermodus stecken.

Die datenschutzrechtlichen Pflichten hinter der Richtlinie fasst die revDSG-Checkliste für Finanzdienstleister in zehn Punkten zusammen. Wie es von der geregelten Nutzung zu produktiven Anwendungsfällen geht, steht in unserem Leitfaden KI für Finanzdienstleister: Anwendungsfälle, Kosten und Vorgehen. Was mit Kundendaten in ChatGPT konkret erlaubt ist und was nicht, steht im Artikel ChatGPT im Vermögensverwalter-Alltag. Und wenn Sie sehen möchten, wie eine geschützte Umgebung für Kundendaten konkret aussieht: Auf KI für Vermögensverwalter zeigen wir es an einem Beispiel.

FAQ

Ist diese Vorlage rechtlich verbindlich?

Nein. Sie ist ein Arbeitspapier, das Sie an Ihr Haus anpassen, und ersetzt keine Rechtsberatung. Lassen Sie die ausgefüllte Fassung im Einzelfall fachlich prüfen, besonders bei Fragen zu Datenschutz, Berufsgeheimnis und Aufsichtsrecht.

Lohnt sich eine Richtlinie auch für ein Drei-Personen-Büro?

Ja, gerade dort. In einem kleinen Team fallen Beratung, Administration und Compliance oft in dieselben Hände. Eine kurze schriftliche Regel verhindert, dass jede KI-Frage zur Einzelfalldiskussion wird, und sie ist der schnellste Nachweis gegenüber Banken, Aufsicht und Kunden, dass Sie den Umgang mit Kundendaten im Griff haben.

Wie oft sollten wir die Richtlinie aktualisieren?

Mindestens einmal pro Jahr, zusammen mit dem Inventar. Zusätzlich bei jeder neuen Freigabe und immer dann, wenn ein Anbieter Tarife oder Datennutzung ändert. Der EDÖB publiziert laufend Merkblätter zum Datenschutz, die sich als Orientierung eignen (edoeb.admin.ch).

Was ist der Unterschied zwischen Richtlinie und Datenschutzerklärung?

Die Richtlinie ist eine interne Arbeitsregel für Ihr Team. Die Datenschutzerklärung informiert nach aussen, wie Ihr Haus mit Personendaten umgeht. Beides hängt zusammen, ersetzt sich aber nicht gegenseitig: Die Richtlinie regelt das Verhalten, die Erklärung dokumentiert es gegenüber Betroffenen.

Was tun, wenn sich jemand nicht an die Richtlinie hält?

Zuerst das Gespräch, nicht die Sanktion. In den meisten Fällen steht kein böser Wille dahinter, sondern ein legitimes Bedürfnis ohne erlaubten Weg. Prüfen Sie, ob die Richtlinie ein reales Bedürfnis übersieht, und passen Sie sie an. Darum ist der Meldeweg ohne disziplinarische Folgen so wichtig: Er bringt die Fälle auf den Tisch, bei denen die Regel den Alltag noch nicht trifft.