Das Bundesamt für Cybersicherheit hat am 16. Oktober gemeinsam mit dem EDÖB Empfehlungen für KI im Berufsalltag veröffentlicht. Im Zentrum steht «Oversharing»: Wer eine komplette E-Mail oder Tabelle in einen Assistenten kopiert, kann mehr persönliche und vertrauliche Angaben weitergeben, als für die Aufgabe nötig sind. Für KMU ist das ein Anlass, die Eingabe selbst zum Prüfpunkt zu machen.
Die Kampagne setzt vor dem Absenden an
Die Originalmeldung des BACS empfiehlt, Eingaben auf sensible Informationen zu prüfen, Daten zu anonymisieren und möglichst die vom Unternehmen vorgesehenen Geschäftsversionen statt privater Konten zu nutzen. Auch die Verwendung von Eingaben für Trainingszwecke soll geklärt werden. Die Meldung kündigt kein neues Datenschutzgesetz an.
Unsere Einordnung: Ein Firmenkonto ist ein Baustein, aber keine automatische Erlaubnis für jedes Dokument. Für einen freundlicheren Antwortentwurf braucht die KI häufig weder die vollständige Kundenadresse noch den bisherigen Nachrichtenverlauf. Die fachlich notwendige Information lässt sich oft in wenigen neutralen Sätzen ausdrücken.
Nächster Schritt
Was heisst das für KI-Regeln und Nachweise?
- Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
- Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
- Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.
DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.
Eine Anweisung ersetzt keine Datenbegrenzung
Das unabhängige OWASP-Projekt zu Informationsabflüssen bei Sprachmodellen nennt vertrauliche Geschäftsdaten und Zugangsdaten als schützenswerte Inhalte. Es weist darauf hin, dass Beschränkungen im Systemprompt umgangen werden können. «Bitte vertraulich behandeln» ist daher aus unserer Sicht kein Ersatz dafür, unnötige Angaben vor der Übermittlung zu entfernen.
Auch die britische Justizleitlinie vom Oktober 2025 erinnert ihre eigenen Mitarbeitenden daran, keine privaten Informationen in öffentliche KI-Werkzeuge einzugeben. Sie ist hier ein getrenntes Praxisbeispiel aus einer anderen Institution, keine Schweizer Rechtsgrundlage und keine neue Vorgabe für Ihr Unternehmen.
Was heisst das für Ihr KMU?
Nehmen Sie drei typische Büroaufgaben: einen Antwortentwurf, eine Zusammenfassung und eine Übersetzung. Erstellen Sie mit erfundenen Beispieldaten je eine vollständige und eine reduzierte Eingabe. Prüfen Sie, ob die reduzierte Fassung für ein brauchbares Ergebnis reicht. Halten Sie fest, welche Angaben für die Aufgabe wirklich benötigt werden.
Vereinbaren Sie anschliessend einen kurzen Ablauf: zuständiges Werkzeug wählen, unnötige Angaben entfernen, Anhänge und zitierten Verlauf kontrollieren, dann erst absenden. Wenn die Aufgabe ohne vertrauliche Daten nicht lösbar ist, entscheidet die zuständige Person über den freigegebenen Verarbeitungsweg. So wird aus einer allgemeinen Warnung eine nachvollziehbare Entscheidung im Alltag.
Die KI-Regelmappe hilft Ihnen, die Eingabeprüfung als verständliche Teamregel festzuhalten.
