KI-Richtlinie für den Verwaltungsrat: Inhalt und Muster

Eine KI-Richtlinie für den Verwaltungsrat beantwortet vier praktische Fragen. Welche KI-Werkzeuge dürfen Mitglieder und VR-Sekretariat für VR-Arbeit nutzen? Welche Unterlagen dürfen hinein? Wer prüft das Ergebnis, bevor es ins Protokoll gelangt? Und was darf nie eingegeben werden? Zwei Seiten genügen, wenn der Verwaltungsrat die Richtlinie genehmigt und jedes Mitglied sie gelesen hat. Ohne Richtlinie entscheidet jedes Mitglied von Fall zu Fall, oft mit privaten Konten.

Warum braucht der Verwaltungsrat eine eigene KI-Richtlinie?

Die allgemeine KI-Richtlinie der Gesellschaft ist für Mitarbeitende geschrieben. Verwaltungsräte sind anders. Die meisten sind keine Angestellten, sie nutzen eigene Geräte, sitzen in mehreren Gremien und gehen mit den heikelsten Informationen der Gesellschaft um. Wer ein Übernahmeangebot in ein kostenloses Chat-Konto einfügt, um eine Zusammenfassung zu erhalten, hat es einem Dritten gegeben, dessen Bedingungen er vermutlich nie gelesen hat.

Das VR-Sekretariat steht vor einer ähnlichen Frage von der anderen Seite. KI kann Protokolle entwerfen, Traktanden übersetzen und lange Berichte zusammenfassen. Gut eingesetzt spart sie Stunden. Ohne Regeln entstehen Entwürfe, die niemand geprüft hat, und Kopien, die niemand kontrolliert. Eine Richtlinie schützt auch jene, die KI sauber nutzen wollen: Sie wissen, was erlaubt ist, ohne jedes Mal nachzufragen.

Was sollte die Richtlinie abdecken?

Die Tabelle zeigt die Abschnitte einer Richtlinie, die auf eine Seite passt. Danach folgen Musterformulierungen für die Klauseln, nach denen Gremien am häufigsten fragen.

Musterklauseln

Diese Sätze sind Ausgangspunkte, keine Rechtsberatung. Passen Sie die Angaben in Klammern an Ihre Gesellschaft an.

• Grundsatz. «KI darf die Arbeit des Verwaltungsrats vorbereiten und festhalten. Sie nimmt an den Beratungen nicht teil und entscheidet nicht. Die Verantwortung für jede Unterlage und für das Protokoll bleibt bei der Person, die sie vorlegt oder unterzeichnet.»
• Zugelassene Werkzeuge. «Unterlagen des Verwaltungsrats werden nur in Werkzeuge eingegeben, die auf der Liste der zugelassenen Werkzeuge stehen, die [das VR-Sekretariat] führt. Kostenlose oder private KI-Konten, Browser-Erweiterungen und Notiz-Assistenten, die von selbst einem Anruf beitreten, sind nicht zugelassen, solange sie nicht auf der Liste stehen.»
• Prüfung. «Eine benannte Person prüft jedes KI-Ergebnis, bevor es verwendet oder weitergegeben wird. Beim Protokoll ist das [das VR-Sekretariat], das Namen, Zahlen, den Wortlaut jedes Beschlusses und die Abstimmungen gegen die Notizen prüft.»
• Aufzeichnung. «Eine Sitzung wird nur aufgezeichnet oder transkribiert, wenn das Präsidium es zu Beginn angekündigt hat und niemand widerspricht.»
• Vorfall. «Unterlagen des Verwaltungsrats, die in ein nicht zugelassenes Werkzeug gelangt sind, werden sofort [Name] gemeldet und wie ein Sicherheitsvorfall behandelt.»

Welche Unterlagen dürfen in welches Werkzeug?

Ein einfaches Schema mit drei Klassen lässt sich besser befolgen als eine lange Liste. Mitglieder sollen in wenigen Sekunden entscheiden können, ohne das Sekretariat anzurufen.

Der Verwaltungsrat entscheidet, in welche Klasse welche Unterlage fällt. Eine kotierte Gesellschaft stuft meist mehr als «eingeschränkt» ein als ein Familienunternehmen.

Welche Bedingungen sollte ein zugelassenes Werkzeug erfüllen?

• Der Anbieter verwendet Unterlagen des Gremiums nicht zum Training seiner Modelle.
• Eingaben und Ergebnisse werden nicht gespeichert oder nur für einen kurzen, genannten Zeitraum.
• Die Daten werden an einem Ort bearbeitet, den die Gesellschaft akzeptiert.
• Das Werkzeug ist Teil eines Vertrags mit der Gesellschaft, kein privates Abonnement.
• Administratoren können KI-Funktionen ausschalten.
• Unterauftragsverarbeiter sind genannt, und ein Auftragsbearbeitungsvertrag ist abgeschlossen.

Diese Bedingungen machen aus einer vagen Sorge eine Checkliste, die VR-Sekretariat und IT bei jedem Werkzeug anwenden können. Unser Beitrag zu KI-Briefings ohne Halluzinationen behandelt die zweite Hälfte des Problems: dass das Ergebnis an die Unterlagen gebunden bleibt.

Beispiel: Prüfung eines Werkzeugs

Die Muster AG (ein erfundenes Unternehmen) will ein Transkriptionswerkzeug für das VR-Sekretariat zulassen. Die Sekretärin hält pro Bedingung eine kurze Notiz fest.

Eine nicht erfüllte Bedingung bedeutet: Das Werkzeug bleibt von der Liste, bis sich die Bedingungen ändern oder der Verwaltungsrat die Speicherdauer schriftlich akzeptiert. Darin liegt der Sinn der Notiz: Der Entscheid ist sichtbar und wiederholbar.

Was erwartet das Schweizer Recht?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat festgehalten, dass das seit dem 1. September 2023 geltende Datenschutzgesetz direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Gemäss EDÖB müssen Anbieter und Nutzer Zweck, Funktionsweise und Datenquellen KI-gestützter Bearbeitungen transparent machen, Betroffene können automatisierten Bearbeitungen widersprechen und verlangen, dass automatisierte Einzelentscheide von einer Person überprüft werden, und Bearbeitungen mit hohem Risiko verlangen eine Datenschutz-Folgenabschätzung. Eine KI-Richtlinie des Verwaltungsrats ist ein praktischer Weg zu zeigen, dass die Gesellschaft diese Punkte bedacht hat.

Wie führen Sie die Richtlinie ein?

Die Einführung einer Richtlinie ist ein Entscheid des Verwaltungsrats; behandeln Sie sie auch so. Die folgenden Schritte brauchen einen Sitzungszyklus.

1. Das VR-Sekretariat entwirft Richtlinie und Liste der zugelassenen Werkzeuge, zusammen mit IT und Datenschutzberatung.
2. Das Präsidium setzt den Entwurf zur Beschlussfassung auf die Traktandenliste, offene Wahlmöglichkeiten sind markiert.
3. Der Verwaltungsrat genehmigt sie und hält den Beschluss im Protokoll fest.
4. Das VR-Sekretariat schickt den genehmigten Text an alle Mitglieder und bittet um eine einmalige Bestätigung der Kenntnisnahme.
5. Bei jeder Änderung wird die Bestätigung wiederholt, und nach einem Jahr wird die Richtlinie überprüft, weil sich die Werkzeuge rasch ändern.

Muster für den Beschlusstext

«Der Verwaltungsrat genehmigt die KI-Richtlinie für Unterlagen des Verwaltungsrats und der Geschäftsleitung vom [Datum] samt der Liste der zugelassenen Werkzeuge im Anhang. [Das VR-Sekretariat] führt die Liste und meldet Änderungen dem Präsidium. Die Richtlinie wird bis [Datum im nächsten Jahr] überprüft.»

Welche Fehler sind häufig?

• Eine Richtlinie ohne Werkzeugliste. «Zugelassene Werkzeuge verwenden» heisst nichts, wenn keine Liste existiert. Schreiben Sie die Liste, bevor der Verwaltungsrat abstimmt.
• Ein Verbot, das niemand befolgt. Ein generelles KI-Verbot treibt die Nutzung in private Konten. Bieten Sie einen zugelassenen Weg an.
• Regeln, die vom Gedächtnis des Präsidiums abhängen. Legen Sie Prüf- und Löschpflichten auf benannte Rollen, nicht auf guten Willen.
• Keine Regel für KI, die von selbst einem Anruf beitritt. Viele Videotools können einen Notiz-Assistenten hinzufügen. Die Richtlinie soll festlegen, wer ihn einschalten darf.
• Kein Nachweis der Nutzung. Eine kurze Notiz mit Datum, Werkzeug, Zweck und prüfender Person genügt und beantwortet Fragen der Revision oder eines neuen Mitglieds.
• KI in bestehender Software übersehen. KI-Funktionen tauchen in Werkzeugen auf, die die Gesellschaft schon nutzt.

Was ändert sich je nach Art der Gesellschaft?

• Kotierte und regulierte Gesellschaften. Die eingeschränkte Klasse ist grösser und die Zulassung strenger; stimmen Sie sich mit Recht und Compliance ab.
• Stiftungen und Vereine. Ehrenamtliche Mitglieder nutzen oft private Geräte und Konten, deshalb muss der zugelassene Weg einfach und überraschungsfrei sein. Halten Sie die Richtlinie kurz.
• Gruppen. Entscheiden Sie, ob der Verwaltungsrat der Holding eine Richtlinie für alle Tochtergesellschaften festlegt oder ob jedes Gremium auf derselben Vorlage eine eigene genehmigt.
• Mitglieder in mehreren Gremien. Halten Sie fest, dass die strengste anwendbare Regel gilt, wenn Unterlagen zweier Gesellschaften betroffen sind.

Wie passt Konsaro zu einer KI-Richtlinie?

Die KI-Copilots von Konsaro nutzen KI-Modelle in der EU mit Zero Data Retention. Unterlagen des Gremiums werden nicht zum Training von KI-Modellen verwendet, KI-Ergebnisse sind Entwürfe, die das VR-Sekretariat prüft, bevor sie geteilt werden, und Organisations-Admins können die KI für die ganze Organisation ausschalten. Der Translation Copilot übersetzt keine Sitzungsunterlagen. Die Seite zu den KI-Copilots beschreibt jeden Copilot, und die Seite für Verwaltungsräte sowie die Seite für das VR-Sekretariat zeigen, wie jede Rolle im Portal mit KI arbeitet.