KI-Richtlinie für NGOs: klar entscheiden, was erlaubt ist
Für NGOs und NPOs in der Schweiz: ein moderierter Prozess für Leitung und Gremium — mit einer beschlussfähigen Kurzrichtlinie, einem pflegbaren Anhang und klaren Prüfpunkten für die Praxis.
Erstgespräch: Datenarten und Gremienweg klärenWas Sie erhalten
- Eine beschlussfähige Kurzrichtlinie auf zwei Seiten
- Einen pflegbaren Freigabeanhang für Werkzeuge und Datenarten
- Eine Beschlussvorlage für Vorstand oder Stiftungsrat
- Ein Kommunikationspaket für die Belegschaft
- Eine Eskalationsliste mit Fragen, die anwaltlich zu klären sind
Die KI-Richtlinie für eine NGO oder NPO in der Schweiz ist das Ergebnis eines moderierten Entscheidungsprozesses. Leitung und Gremium beantworten sechs Kernfragen zu Datenarten, Zuständigkeiten und Verantwortung. Daraus entstehen eine beschlussfähige Kurzrichtlinie, ein pflegbarer Freigabeanhang und ein klarer Weg für offene Rechtsfragen. Ziel ist keine Rechtssicherheit im Einzelfall, sondern eine belastbare Grundlage für den Alltag.
Die Lücke
In gemeinnützigen Organisationen nutzen drei von vier Mitarbeitenden KI. Neun Prozent der Organisationen haben Regeln dafür.
Das heisst nicht, dass nichts passiert. Es heisst, dass es unsichtbar passiert: in Privatkonten, mit unklaren Daten, ohne dass jemand es freigegeben hätte und ohne dass jemand davon erfährt, wenn etwas schiefgeht. Eine Richtlinie schafft diese Nutzung nicht — sie holt sie ans Licht.
Was eine Richtlinie leisten muss
Erlauben statt verbieten
Die meisten verfügbaren Muster sind Verbotslisten. Ein Verbotspapier senkt die Nutzung nicht, es verlagert sie ins Verborgene. Gesucht ist eine Form, die sagt, was geht — gestuft nach Datenart.
Zwei Seiten Kern, änderbarer Anhang
Werkzeugnamen im beschlossenen Text sind in neun Monaten falsch. In den Kern gehören Grundsätze, Datenklassen und Zuständigkeiten; in den Anhang die Werkzeuge, die eine Geschäftsleitung ohne neuen Gremienbeschluss anpassen darf.
Beschlossen wird der Rahmen, nicht die Liste
Der Vorstand entscheidet über Risikobereitschaft, Verantwortlichkeiten und den Änderungsmechanismus. Danach kostet jede neue Software keinen Vorstandstermin mehr.
Einen Weg für Fehler
Wer eine versehentliche Eingabe melden muss und dafür bestraft wird, meldet sie nicht. Meldepflicht ohne Sanktion bei Fahrlässigkeit ist der einzige Weg, von Vorfällen überhaupt zu erfahren.
Vom offenen Chat bis lokal — und was es kostet
Die Frage ist nie nur, welches Werkzeug sicher ist. Sie ist immer doppelt: Welche Daten gehen hinein, und wo werden sie verarbeitet?
Der wirksamste und billigste Hebel ist keiner von beiden: Daten reduzieren. Namen raus, Fall statt Person, Auszug statt Gesamtakte. Das kostet nichts und verschiebt viele Aufgaben aus der heikelsten Klasse heraus. Die vorgelagerte Frage lautet ohnehin: Braucht diese Aufgabe überhaupt Personendaten?
| Stufe | Wofür | Kostenordnung |
|---|---|---|
| PrivatkontoKeine Auftragsbearbeitung, in Gratis-Stufen oft Training auf den Eingaben, keine Verwaltung. | Ausschliesslich öffentliche Informationen | 0 bis rund 25 pro Monat |
| Geschäftlicher TarifVertraglicher Ausschluss des Trainings, Auftragsbearbeitungsvertrag, Administration, Protokolle. | Interne Arbeitsdaten ohne Personenbezug | Pro Platz; NPO-Konditionen prüfen |
| Schnittstelle mit wählbarer RegionVerarbeitungsort vertraglich festgelegt, Abrechnung nach tatsächlichem Verbrauch. | Interne bis heikle Fälle in kleiner Menge | Verbrauchsabhängig, oft günstiger als Plätze |
| Schweizer Anbieter, offene ModelleVerarbeitung im Inland, keine Bindung an einen Grosskonzern. | Erhöhte Anforderungen, Bedenken im Gremium | Abo oder Verbrauch |
| Lokal auf eigener HardwareNichts verlässt das Haus. Dafür trägt die Organisation Betrieb, Aktualisierung und Absicherung selbst. | Einzelne wirklich heikle Textarbeiten | Einmalige Hardware |
| Bewusst nichtEine vollwertige Option, kein Scheitern. | Berufsgeheimnis, fehlende Rechtsgrundlage | 0 |
Ein Hinweis gegen den Reflex: Selbst betrieben klingt am sichersten und ist für eine kleine Organisation oft das Gegenteil, weil niemand aktualisiert und überwacht. Ein ungepflegter eigener Server ist ein grösseres Risiko als ein Vertrag mit sauberer Auftragsbearbeitung.
Und eine Grenze, die kein Vertrag verschiebt: Wo Berufs- oder Amtsgeheimnis gilt — Sozialberatung, Opferhilfe, Gesundheit, Migration — reicht ein Vertrag möglicherweise nicht. Das ist eine Rechtsfrage, und wir markieren sie als solche, statt sie zu beantworten.
Die Entscheidungen sind das Produkt
Nicht das Dokument. Diese sechs Fragen kann kein Muster für Sie beantworten — und wenn sie beantwortet sind, schreibt sich der Text fast von selbst.
- 01
Wie halten wir es mit kostenlosen Werkzeugen auf privaten Geräten?
Entscheidet: Geschäftsleitung mit IT und Datenschutz
- 02
Unter welchen Bedingungen dürfen Daten von Spendenden, Klientinnen oder Angestellten überhaupt in ein KI-Werkzeug?
Entscheidet: Vorstand oder Stiftungsrat mit Datenschutz
- 03
Gilt die Richtlinie auch für Ehrenamtliche, Freiwillige und Mandatierte?
Entscheidet: Vorstand oder Stiftungsrat
- 04
Wann kennzeichnen wir nach aussen, dass KI im Spiel war?
Entscheidet: Geschäftsleitung mit Kommunikation
- 05
Was passiert, wenn jemand versehentlich etwas Falsches eingibt?
Entscheidet: Vorstand und Geschäftsleitung
- 06
Wer entscheidet, wenn ein Team ein neues Werkzeug einsetzen will?
Entscheidet: Geschäftsleitung
Vorab selbst einschätzen — 5 Minuten
Zwölf Fragen, drei Gruppen. Sie bekommen sofort eine Auswertung — strukturiert, kein Score, ohne dass Ihre Daten den Browser verlassen.
- Dauer ca. 5 Minuten
- Keine Speicherung, keine Übertragung — läuft komplett im Browser.
Geeignet für — und wann nicht
Eine nüchterne Einordnung für NGOs und NPOs in der Schweiz.
Passt, wenn
- Leitung oder Gremium echten Entscheidungsbedarf haben.
- Datenarten, Zuständigkeiten und die heutige Nutzung offen geklärt werden.
- Eine Person mit Gremienzugang und Entscheidungsbefugnis mitwirkt.
Passt nicht, wenn
- Nur eine Gratis-Vorlage ohne eigene Klärung gesucht wird.
- Die sechs Entscheidungen intern bereits belastbar getroffen sind.
- Eine rechtliche Freigabe erwartet wird; die Richtlinie ist keine Rechtsberatung.
Der Ablauf
Rund zwei Wochen Kalenderzeit. Der Aufwand auf Ihrer Seite liegt bei etwa einem halben Arbeitstag, verteilt auf wenige Personen.
- 1
Vorabklärung
45 Minuten, asynchron
Bestehende Datenschutz- und IT-Regeln, tatsächlich genutzte Werkzeuge, sensible Datenarten, Rechtsform, EU-Bezug.
- 2
Entscheidungsworkshop
2,5 bis 3 Stunden
Geschäftsleitung, Datenschutz- oder IT-Verantwortung, ein bis zwei Fachvertretungen, eine Person mit Gremienzugang. Nicht das ganze Team. Ergebnis sind protokollierte Entscheidungen, nicht eine Diskussion.
- 3
Entwurf
etwa eine Woche
Zwei Seiten Kern, Freigabeanhang, und eine ausdrückliche Liste der Fragen, die anwaltlich zu klären sind.
- 4
Freigabeschleife
45 Minuten
Nur die Personen mit Entscheidungsbefugnis. Wir prüfen den Text an drei echten Fällen aus Ihrem Alltag.
- 5
Team-Launch
60 bis 90 Minuten
Keine Einführung in KI, sondern vier reale Fälle: erlaubt, erlaubt mit Auflage, Freigabe nötig, ausgeschlossen. Hier trifft die Regel zum ersten Mal auf die Arbeit.
- 6
Nachschau
30 Minuten nach 30 Tagen
Welche Fragen sind aufgetaucht, wurde das Team sicherer oder zurückhaltender, muss der Anhang angepasst werden?
Was Sie behalten
- Eine Kurzrichtlinie von zwei Seiten, beschlussfähig formuliert
- Einen Freigabeanhang, den Ihre Geschäftsleitung selbst pflegen kann
- Eine Beschlussvorlage für die Vorstands- oder Stiftungsratssitzung
- Ein Kommunikationspaket für die Belegschaft
- Eine Eskalationsliste: welche Fragen anwaltlich zu klären sind und warum
- Das Protokoll Ihrer Entscheidungen — die eigentliche Substanz
Ehrliche Grenzen
Wo offene Rechtsfragen bleiben, dokumentieren wir sie als konkrete Prüfpunkte und übergeben sie an die zuständige Stelle.
- Das ist keine Rechtsberatung. Wir moderieren einen betrieblichen Entscheidungsprozess und formulieren sein Ergebnis. Wo eine Frage juristisch geklärt werden muss, sagen wir das an Ort und Stelle, statt es zu überspielen.
- Eine Richtlinie macht keinen Einsatz rechtssicher. Ob eine konkrete Verarbeitung zulässig ist, hängt an Daten, Werkzeug, Vertrag, Anwendungsfall und Rechtsraum.
- Wir versprechen keine Nutzungssteigerung. Dass klare Regeln die Nutzung erhöhen, ist plausibel und durch Praxisberichte gestützt, aber nicht kausal belegt. Wir sagen es deshalb als Erwartung, nicht als Zusage.
- Kostenlose Muster gibt es reichlich, und einige sind gut. Wenn Sie die sechs Entscheidungen intern selbst treffen können, brauchen Sie uns dafür nicht.
Häufige Fragen
Es gibt kostenlose Vorlagen. Warum sollen wir dafür zahlen?
Sollten Sie nicht, wenn Sie die Entscheidungen selbst treffen können. Bezahlt wird nicht der Text, sondern die Moderation der Zielkonflikte: Wie viel Risiko tragen wir, wer verantwortet es, was tun wir bei einem Vorfall. Eine Vorlage kann diese Fragen stellen — beantworten muss sie Ihre Organisation.
Zwei Seiten — nimmt uns das jemand ab?
Die Erfahrung aus vergleichbaren Regelwerken spricht dafür: Umfangreiche Dokumente erhöhen die Wahrscheinlichkeit, dass Regeln ignoriert werden. Der Umfang wandert nicht weg, er wandert in den Anhang, den die Geschäftsleitung pflegt. Der beschlossene Teil bleibt lesbar.
Wer muss das unterschreiben?
Das hängt von Rechtsform, Statuten und Delegationsordnung ab und lässt sich nicht pauschal beantworten. In der Regel beschliesst das oberste Organ den Kern und delegiert die Pflege des Anhangs an die Geschäftsleitung. Wir klären das in der Vorabklärung.
Wir dürfen wegen Berufsgeheimnis vieles gar nicht. Lohnt sich das dann?
Gerade dann. Der grösste Teil der Arbeit in einer Organisation berührt keine geschützten Daten. Ohne Regel gilt faktisch entweder alles oder nichts — und beides ist falsch. Die Richtlinie trennt sauber und markiert, was ausserhalb bleibt.
Müssen wir vorher wissen, welche Werkzeuge wir wollen?
Nein, und Sie sollten es auch nicht. Zuerst wird entschieden, welche Daten welche Verarbeitungsstufe brauchen. Die Werkzeuge folgen daraus — und stehen im Anhang, weil sie sich ändern.
Was, wenn bei uns längst alle ChatGPT nutzen?
Das ist der Normalfall, nicht die Ausnahme. Die Vorabklärung erfasst es anonym. Für ein Leitungsgremium ist die eigene, bisher unsichtbare Nutzung meist das überzeugendste Argument, überhaupt anzufangen.
Gilt eine solche Richtlinie in Deutschland, Österreich und der Schweiz gleichermassen?
Der organisatorische Rahmen ist weitgehend übertragbar: Datenklassen, Freigabeprozess und Eskalationsweg hängen nicht automatisch an einer Landesgrenze. Die rechtliche Prüfung ist das nicht. Sie hängt vom jeweiligen Datenschutzrecht, vom Berufs- oder Amtsgeheimnis und vom konkreten Einsatz ab. Für eine Schweizer Organisation mit Bezug zu Deutschland oder Österreich markieren wir die Punkte, die zusätzlich rechtsraumspezifisch zu prüfen sind; eine pauschale Freigabe ist das nicht.
Entscheidungsworkshop
Im Erstgespräch klären wir, welche Datenarten und heutigen KI-Nutzungen vorkommen, wer im Gremienweg entscheidet und ob dieser Prozess zu Ihrer Organisation passt.
Erstgespräch anfragenUnd wenn die Regeln stehen: Wie Ihr Team lernt, damit tatsächlich zu arbeiten.
Wie die Umsetzung im Team gelingtFotos von Vitaly Gariev und Dimitri Karastelev auf Unsplash.