Rollen, Zuständigkeiten und Governance in Schweizer KMU – mit Orientierung an der EU-KI-Verordnung
Ein mittelgrosses Treuhandunternehmen in der Deutschschweiz führt ein KI-gestütztes Tool ein. Das System ordnet Buchhaltungsdaten zu, erkennt Auffälligkeiten, entwirft Mandantenberichte. Die Einführung folgt dem bekannten Muster: Software lizenziert, Workshop absolviert, produktiver Einsatz gestartet. Alles läuft reibungslos. Vorerst.
Nach einigen Monaten die Entdeckung: Das System hat vertrauliche Mandantendaten an einen Cloud-Dienst mit Servern ausserhalb der Schweiz übertragen. Schwerer wiegt: Ein Mitarbeitender hat eine KI-erzeugte steuerliche Einschätzung ungeprüft in einen offiziellen Bericht übernommen. Der Mandant fragt nach der rechtlichen Grundlage für dieses Vorgehen. Das Vertrauensverhältnis beginnt zu bröckeln.
Die Geschäftsleitung zeigt sich überrascht – eine Reaktion, die bei näherer Prüfung das eigentliche Problem offenlegt. Schnell wird klar: Niemand hatte sich beim KI-Einsatz zuständig für eine Prüfung und Kontrolle des KI-Outputs gefühlt: keine Überwachung, keine Freigaberolle, keine Steuerungsstruktur. Auf dem Papier wurde «nur Software eingesetzt». Tatsächlich geht es hier aber um ein System, das Entscheidungen vorbereitet und Risiken erzeugt, für die eine Zuweisung der Verantwortlichkeit fehlt.
In solchen Situationen kann es zu sogenannten «Halluzinationen» kommen. Das System nennt mit grosser Überzeugungskraft einen Gesetzesartikel, eine Praxis oder eine steuerliche Regelung, die es in dieser Form gar nicht gibt. Die Aussagen sind sprachlich sauber, argumentativ schlüssig aufgebaut und wirken fachlich fundiert. Gerade diese Plausibilität macht sie gefährlich: Mitarbeitende stellen die Ergebnisse oft nicht mehr ausreichend in Frage, sondern übernehmen sie ungeprüft. Die KI formuliert nicht «unsicher» oder «hypothetisch», sondern mit dem Tonfall fachlicher Gewissheit – und senkt damit unmerklich die menschliche Aufmerksamkeit. Ohne klar geregelte Prüf- und Freigabeprozesse gelangen solche fehlerhaften Aussagen direkt in offizielle Berichte, mit entsprechenden rechtlichen und reputativen Risiken.
Dieses Beispiel wiederholt sich in zahlreichen Schweizer KMU. Die Technik verbreitet sich schneller im Unternehmensalltag, als die organisatorischen Verantwortlichkeiten, Entscheidungswege und Kontrollmechanismen mitwachsen. Es fehlt an klarer Zuordnung und Steuerung – bis die ersten Fragen auftauchen.
Die Schweiz kennt derzeit kein KI-Gesetz nach europäischem Vorbild. Das ändert wenig an den Tatsachen: KI-Systeme bzw. -Anwendungen haben in der schweizerischen Wirtschaft längst Fuss gefasst – besonders dort, wo Routinearbeiten anfallen und grosse Datenmengen zu bewältigen sind.
Treuhand- und Beratungsunternehmen setzen schlaue Systeme für Buchhaltung, Lohnabrechnung und Berichtswesen ein. Grosse Datenmengen werden selbsttätig bearbeitet, Muster erkannt, genormte Berichte erstellt. KI wertet Unterlagen aus, ordnet Dokumente zu, prüft Eingänge vor. Selbst die Schreibarbeit – E-Mails, Zusammenfassungen, Entwürfe – wird zunehmend an rechnergestützte Helfer übertragen.
Ob KI eingesetzt werden soll, hat sich für die meisten Schweizer KMU erledigt. Die Frage ist beantwortet, oft stillschweigend, ohne Geschäftsleitungsbeschluss.
Was bleibt, ist die wichtigere Frage: Wie lässt sich dieser Einsatz so gestalten, dass die Vorteile genutzt werden, ohne die Risiken auszublenden?
Hinzu kommt ein rechtlicher Einfluss. Wer Mandanten in EU-Ländern betreut, Niederlassungen im EU-Raum unterhält, Daten europäischer Bürger und Bürgerinnen bearbeitet oder Softwareanbieter mit EU-Sitz nutzt, gerät in den Wirkungsbereich der europäischen KI-Verordnung. Selbst Unternehmen ohne unmittelbare EU-Verflechtung richten sich zunehmend nach deren Vorgaben – als tatsächlichem weltweitem Massstab für verantwortungsvollen KI-Einsatz.
KI-Systeme arbeiten grundlegend anders als herkömmliche Software. Dieser Unterschied hat Folgen – und er begründet, weshalb klare Verantwortlichkeiten keine Kür, sondern Pflicht sind.
Ohne festgelegte Verantwortlichkeiten treten vorhersehbare Risiken ein. KI-erzeugte Ergebnisse fliessen ungeprüft in die Mandantenpost. Wenn keine Rolle für eine Qualitätsprüfung besteht, fehlt der prüfende Blick auf Stimmigkeit und Richtigkeit. Im ungünstigsten Fall erreichen fehlerhafte Angaben den Kunden – mit rechtlichen und rufschädigenden Folgen.
Ein schwerwiegendes Risiko betrifft Datenschutz und Berufsgeheimnis. Fehlen Regelungen darüber, welche Daten ein KI-System bearbeiten darf und wohin diese übertragen werden, können vertrauliche Angaben unkontrolliert abfliessen. Für Berufsgruppen mit gesetzlich geschütztem Geheimnis – Treuhänder, Anwälte, Ärzte – kann das bedrohlich werden.
Ungeklärte Verantwortlichkeiten untergraben auch die Nachvollziehbarkeit von Entscheidungen.
Ohne klare Regelungen bleibt rechtliche Ungewissheit. Und Führungskräfte verlieren die Steuerung über eine Technik, deren Gefahren sie nicht einschätzen können.
Auch ohne unmittelbare Rechtswirkung in der Schweiz bietet die europäische KI-Verordnung also einen geordneten Rahmen, der sich für Schweizer KMU als Richtschnur eignet. Die Verordnung legt Grundsätze fest, die auch jenseits ihres Geltungsbereichs Sinn ergeben.
Zu den zentralen Steuerungsgrundsätzen zählt die eindeutige Zuweisung von Verantwortlichkeiten.
Die Verordnung führt zudem eine Abstufung nach Gefahrenpotenzial ein.
Diese Unterscheidung ermöglicht einen verhältnismässigen Ansatz: Der Regelungsaufwand entspricht dem tatsächlichen Risiko.
Hinzu treten Aufzeichnungs- und Nachweispflichten.
Für KMU ist entscheidend: Die EU-Verordnung zielt nicht auf Bürokratie, sondern auf klare Zuständigkeiten und Abläufe, die im Tagesgeschäft funktionieren.
Das Ziel besteht darin, diese klaren Zuständigkeiten entlang wirklicher Geschäftsabläufe zu schaffen. Die Anforderungen lassen sich mit überschaubarem Aufwand umsetzen – wenn der Blick auf das Wesentliche gerichtet bleibt.
Die oberste Verantwortung für den KI-Einsatz liegt bei der Geschäftsleitung – wie beim Datenschutz oder der Datensicherheit. Diese Verantwortung ist nicht vollständig übertragbar, auch wenn Tagesaufgaben weitergegeben werden können. Die Geschäftsleitung trägt letztlich die Verantwortung dafür, dass der KI-Einsatz ordnungsgemäss erfolgt und geltenden Massstäben entspricht.
Zu den Kernaufgaben gehört die grundsätzliche Entscheidung: ob und wofür KI eingesetzt werden soll. Diese Entscheidung kann nicht von einzelnen Abteilungen eigenmächtig getroffen werden; sie erfordert jedoch Zustimmung auf höchster Ebene.
Damit verbunden ist die Festlegung des annehmbaren Risikoausmasses, d. h. welche Risiken das Unternehmen einzugehen bereit ist, welche Anwendungsfälle ausgeschlossen bleiben.
In KMU hat sich bewährt, eine zweckmässige Rolle für die KI-Verantwortung einzurichten – statt einer förmlichen Einzelstelle wie einem herkömmlichen Beauftragten. Diese Rolle kann von einer Person wahrgenommen werden, die bereits andere Aufgaben hat; sie muss keine Vollzeitstelle sein. Entscheidend ist, dass eine klar benannte Stelle den Überblick über die KI-Tätigkeiten behält und als erste Anlaufstelle dient.
Neben der übergreifenden KI-Stelle sollte für jeden wichtigen Anwendungsfall eine fachlich verantwortliche Person benannt sein. Sie trägt die Verantwortung für einen bestimmten Einsatzbereich, in dem sie über das erforderliche Fachwissen verfügt.
Am Beispiel eines Treuhandunternehmens:
Die Aufgaben umfassen die klare Bestimmung des Einsatzzwecks:
Diese Abgrenzung verhindert schleichende Ausweitung auf ungeeignete Anwendungsfälle. Hinzu kommt die Bewertung fachlicher Risiken:
Auf Grundlage dieser Gefahrenbewertung legt die fachlich verantwortliche Person Prüf- und Freigabeabläufe fest, nämlich wann und in welchem Umfang KI-erzeugte Ergebnisse geprüft werden müssen.
Die fachliche Verantwortung ist für die Ergebnisqualität in ihrem Bereich zuständig – sie überwacht, ob das System die erwartete Leistung erbringt und leitet bei Schwierigkeiten Massnahmen ein.
Ein zentraler Bestandteil jeder verantwortungsvollen KI-Steuerung ist die wirksame menschliche Aufsicht.
Das Verständnis geht über eine förmliche Prüfstelle hinaus: Menschen müssen tatsächlich befähigt sein, KI-Systeme und -Anwendungen zu verstehen, deren Ergebnisse bewerten und berichtigend eingreifen.
In der Praxis bedeutet das zunächst: KI-erzeugte Ergebnisse werden nicht ungeprüft übernommen.
Das klingt selbstverständlich, ist es aber nicht. Wenn KI-Systeme schnell und scheinbar zuverlässig arbeiten, wird Vertrauen vorschnell geschenkt. Menschen neigen dazu, automatisch erzeugte Ergebnisse weniger zu hinterfragen als menschliche Einschätzungen – selbst wenn das System fehlerhaft ist. Fachleute nennen das «Automation Bias» (die Neigung, maschinellen Ergebnissen unkritisch zu folgen).
Um wirksame Aufsicht zu gewährleisten, müssen klare Regeln festgelegt werden:
Ein wichtiger Gesichtspunkt: Mitarbeitende müssen ausdrücklich berechtigt und ermutigt sein, KI-Vorschläge zu verwerfen oder zu berichtigen. Es darf keine Stimmung entstehen, in der die Ablehnung eines KI-Ergebnisses als Zeitverschwendung wahrgenommen wird. Prüfende Bewertung und Berichtigung sollten als wertvoller Beitrag zur Qualitätssicherung anerkannt sein.
Menschliche Aufsicht ist keine Formsache, kein Häkchen auf einer Liste. Sie ist eine tätige Prüfaufgabe, die Können, Zeit und die richtige Haltung erfordert. Unternehmen müssen nicht nur Abläufe festlegen, sondern auch die Voraussetzungen schaffen, dass diese im Alltag greifen.
Für Treuhänder und andere Berufsgruppen mit Berufsgeheimnis ist die Einbindung des Datenschutzes in die KI-Steuerung von zentraler Bedeutung. Die Relevanz dieses Aspektes besteht unabhängig von einem besonderen KI-Gesetz – sie leitet sich bereits aus bestehenden datenschutzrechtlichen Pflichten und berufsständischen Regeln ab.
Bei Einführung und Betrieb von KI-Systemen sind mehrere Fragen zu klären:
Eine vollständige Daten-Übersicht bildet hierbei die Grundlage aller weiteren Überlegungen.
Besonders heikel: die Verwendung von Mandantendaten für das Training von KI-Systemen. Viele Anbieter nutzen eingegebene Daten zur Verbesserung ihrer Lösungen. Vertrauliche Angaben können so – mit oder ohne Namensnennung – in Trainingsdaten einfliessen und ggf. von anderen Nutzern abgerufen werden. Es muss geprüft werden, ob dies mit den datenschutzrechtlichen Pflichten und dem Berufsgeheimnis vereinbar ist.
Auch die Zweckbindung muss sichergestellt sein: Personendaten dürfen grundsätzlich nur für den Erhebungszweck bearbeitet werden. Nutzt ein KI-System Daten für andere Zwecke, liegt eine Datenschutzverletzung nahe.
Der Datenschutz sollte als fester Bestandteil der KI-Steuerung verstanden werden – nicht als nachträgliche Prüfung bei bereits laufendem Betrieb. Datenschutzüberlegungen müssen von Beginn an in die Entscheidungsabläufe einbezogen werden, am besten bereits bei der Systemauswahl.
Der Begriff «Steuerung» ruft bei vielen Unternehmern Bilder von schwerfälligen Regelwerken und bürokratischen Abläufen hervor, wie sie in Grosskonzernen üblich sind. Diese Vorstellung ist nachvollziehbar, trifft auf KMU aber nicht zu.
Wirksamkeit erfordert keine Schwerfälligkeit. Im Gegenteil: Schlanke, bodenständige Ansätze übertreffen oft umfangreiche Regelwerke, die im Alltag unbeachtet bleiben.
Für die meisten KMU genügen wenige, klar umrissene Bestandteile. Ein zentrales Werkzeug ist eine KI-Leitlinie, die den grundsätzlichen Umgang mit künstlicher Intelligenz regelt.
Bei der Gestaltung der KI-Steuerung zählt nicht der Umfang, sondern die Klarheit. Ein schlankes Regelwerk, das von allen verstanden und befolgt wird, ist wirksamer als ein umfangreiches Handbuch, das im Alltag niemand gebraucht.
Die KI-Leitlinie ist die Grundlage, auf der die zuvor festgelegten Rollen verbindlich verankert und ihr Zusammenwirken geregelt wird. Sie übersetzt Zuständigkeiten in Handlungsanweisungen. Ohne Leitlinie bleibt die Rollenverteilung Theorie; mit ihr wird sie im Alltag wirksam.
Im Kern muss die Leitlinie die Verantwortungsordnung des Unternehmens abbilden.
Die Leitlinie regelt auch die Abläufe der menschlichen Aufsicht.
Ein weiterer Aspekt betrifft die Abgrenzung von Zuständigkeiten.
KI-Steuerung sollte nicht abgetrennt aufgebaut werden, sondern an bestehende Führungssysteme anknüpfen.
Das Qualitätsmanagement ist ein weiterer natürlicher Verbündeter.
Die durchdachtesten Steuerungsstrukturen verfehlen ihre Wirkung, wenn die Menschen, die sie ausfüllen sollen, nicht über das erforderliche Können verfügen. Schulung und Aufbau von Fähigkeiten sind keine wahlfreien Ergänzungen, sondern grundlegende Voraussetzung für arbeitsfähige KI-Steuerung.
Für KMU sind bestimmte Fähigkeitsbereiche von besonderer Bedeutung.
Der Einsatz von künstlicher Intelligenz ist keine reine Fachfrage, die an die IT-Abteilung übertragen werden kann. Er ist im Kern eine Steuerungsfrage, die bewusste Entscheidungen, klare Strukturen und tätiges Mitwirken der Geschäftsleitung erfordert.
Für Schweizer KMU, insbesondere für Treuhänder und andere Berufsgruppen mit besonderer Verantwortung, ergeben sich daraus wesentliche Erkenntnisse.
Verantwortungsvoller KI-Einsatz stärkt Mandantenvertrauen und Rechtssicherheit. Mandanten und Kunden erwarten zunehmend, dass Unternehmen einen überlegten Umgang mit neuen Werkzeugen pflegen. Wer offen darlegt, wie KI eingesetzt wird und welche Massnahmen zur Qualitätssicherung ergriffen werden, wird sich im Wettbewerb abheben.
Die technische Entwicklung schreitet voran, rechtliche Anforderungen werden zunehmen, Erwartungen von Mandanten und Geschäftspartnern steigen. Wer heute die Grundlagen für verantwortungsvolle KI-Steuerung legt, ist morgen besser aufgestellt – um die Möglichkeiten der künstlichen Intelligenz zu nutzen und das Vertrauen seiner Mandanten zu bewahren.
Ja. Auch unterstützende KI beeinflusst Arbeitsabläufe und Ergebnisse und kann Datenschutz-, Haftungs- oder Qualitätsrisiken erzeugen. Ohne klare Zuständigkeiten bleibt unklar, wer prüft, eingreift und Verantwortung trägt.
Nein. KI ist keine reine IT-Frage, sondern betrifft Fachverantwortung, Geschäftsleitung, Datenschutz und Qualitätssicherung. Die IT kann unterstützen, ersetzt aber nicht fachliche und organisatorische Verantwortung.
Nicht immer, aber immer dann, wenn sie in Mandantenberichte, rechtlich relevante Unterlagen oder Entscheidungsgrundlagen einfliessen. Der Prüfumfang richtet sich nach dem Risiko des jeweiligen Anwendungsfalls. Ungeprüfte Übernahmen sind besonders kritisch.
Er kann es sein. Insbesondere wenn Mandantendaten an Cloud-Dienste oder zur Systemverbesserung des Anbieters weitergegeben werden. Ohne klare Regeln zu Datenarten, Speicherorten und Zwecken besteht ein hohes Risiko für Datenschutz- und Berufsgeheimnisverletzungen.
Rechtlich zwingend ist sie nicht, faktisch aber oft relevant. Viele Schweizer KMU haben EU-Bezug oder nutzen EU-Anbieter, und die Verordnung setzt einen anerkannten Massstab für verantwortungsvollen KI-Einsatz. Sie bietet eine praktikable Orientierung für strukturierte Governance.
«Welche Kontrollen brauchen wir konkret?» Diese Frage hören wir im Beratungsalltag regelmässig – zuletzt vermehrt nach unserem Beitrag «Risikoklassen...
Wie Risikoklassen der EU-KI-Verordnung Schweizer KMU helfen, KI sicher und verantwortungsvoll einzusetzen, von Automatisierung bis Governance.
KI in der Kanzlei erfordert nachweisbare Kompetenz. Warum Schulungen, Richtlinien und Dokumentation für Steuerberater und Wirtschaftsprüfer jetzt...
Be the first to know about new B2B SaaS Marketing insights to build or refine your marketing function with the tools and knowledge of today’s industry.