Kurzantwort: Eine brauchbare KI-Richtlinie für ein Treuhandbüro sollte mindestens Geltungsbereich, zugelassene Tools, Datenklassen, Rollen, Fachprüfung, Protokollierung, Vorfallweg und einen regelmässigen Review enthalten. Sie sollte so konkret sein, dass Mitarbeitende damit eine reale Eingabe entscheiden können.
Warum eine Richtlinie mehr ist als ein PDF
Ohne gemeinsame Regeln entscheiden Mitarbeitende bei jeder neuen KI-Funktion selbst: Welche Daten sind okay? Welches Konto darf verwendet werden? Darf ein Ergebnis an den Mandanten gehen? Das führt nicht zu Innovation, sondern zu unterschiedlichen und schwer kontrollierbaren Arbeitsweisen.
Eine gute Richtlinie verkürzt diese Unsicherheit. Sie erlaubt risikoarme Arbeit, sperrt klare rote Linien und beschreibt, wie neue Anwendungsfälle geprüft werden. Damit wird sie zum Betriebssystem für KI-Workflows – nicht zu einem Dokument, das nach einer Schulung abgelegt wird.
Musterstruktur: neun Abschnitte
- Zweck und Geltungsbereich: Für wen gilt die Regel, welche Systeme und welche Arbeitsformen umfasst sie?
- Zugelassene Tools: Welche Konten, Tenants und Integrationen sind freigegeben? Was ist ausdrücklich gesperrt?
- Datenampel: Welche Daten sind grün, gelb oder rot?
- Erlaubte Anwendungsfälle: Welche Aufgaben dürfen ohne Einzelfreigabe erfolgen?
- Rollen: Wer ist Tool-Eigentümer, fachlich verantwortlich, Administrator und Datenschutzkontakt?
- Fachprüfung: Welche Ausgaben dürfen nie ungeprüft an Mandanten oder Behörden gehen?
- Dokumentation: Was wird für Freigaben, Konstruktoren, Tests und Änderungen festgehalten?
- Vorfallweg: Was geschieht bei Falscheingabe, Fehlantwort, unberechtigtem Zugriff oder verdächtigem Verhalten?
- Review: Wann werden Rechte, Quellen, Anbieterinformationen und reale Nutzung erneut geprüft?
Ein Freigabeprozess für neue Anwendungsfälle
Die Richtlinie sollte nicht jede mögliche Anwendung vorwegnehmen. Besser ist ein kurzer, wiederholbarer Freigabeprozess: Mitarbeitende beschreiben Ziel und Datenklasse, der Tool-Eigentümer prüft die technische Umgebung, die Fachverantwortung beurteilt das Ergebnisrisiko, und bei Bedarf wird Datenschutz oder Recht einbezogen.
Die Entscheidung endet immer in einer von drei Varianten: freigegeben, freigegeben mit Bedingungen oder nicht freigegeben. So bleibt ein möglicher Nutzen sichtbar, ohne dass ein unklarer Fall einfach in den Alltag rutscht. Bei Änderungen an Modell, Integration oder Datenfluss wird der gleiche Prozess erneut durchlaufen.
Die Datenampel gehört in die Richtlinie – mit Beispielen
Abstrakte Begriffe helfen im Tagesgeschäft wenig. Die Richtlinie sollte deshalb konkrete Treuhand-Beispiele enthalten. Grün: öffentliche Gesetzestexte, eigene neutrale Textbausteine, synthetische Testfälle. Gelb: freigegebene pseudonymisierte Arbeitsauszüge in einem definierten System. Rot: Zugangsdaten, ungeschwärzte vollständige Akten, sensible Dokumente ausserhalb eines freigegebenen Datenflusses.
Die Liste ist kein Ersatz für Beurteilung. Sie schafft aber einen gemeinsamen Ausgangspunkt und macht sichtbar, wann Mitarbeitende anhalten und eine Freigabe einholen müssen.
So wird die Richtlinie tatsächlich genutzt
Starten Sie nicht mit einer hundertseitigen Governance-Sammlung. Schreiben Sie eine verständliche Kernregel, zeigen Sie drei reale Fälle aus dem Büro und testen Sie, ob Mitarbeitende den richtigen Weg wählen. Jede neue Funktion oder jeder neue Anbieter wird dann über denselben kurzen Freigabeprozess ergänzt.
Verknüpfen Sie die Richtlinie mit dem Onboarding, dem Austrittsprozess und den regelmässigen Team-Reviews. Wer ein Tool nutzt, muss wissen, wo die aktuelle Version liegt und an wen Fragen oder Vorfälle gehen. Eine veraltete Richtlinie kann gefährlicher sein als keine, weil sie falsche Sicherheit schafft.
Rollen müssen Namen haben
«Die IT» oder «die Geschäftsleitung» ist keine ausreichende Rollenzuweisung. Die Richtlinie sollte für jedes produktive Tool einen verantwortlichen Eigentümer nennen. Diese Person hält die freigegebene Konfiguration, die Nutzergruppen und die nächste Überprüfung zusammen. Daneben braucht es eine fachliche Verantwortung für den jeweiligen Anwendungsfall.
Damit lassen sich operative Fragen schnell entscheiden: Wer sperrt einen Zugang? Wer stoppt einen fehlerhaften Konstruktor? Wer beurteilt, ob eine neue Datenquelle in einen Wissensspeicher darf? Klare Namen reduzieren Reibung und verhindern, dass sensible Entscheidungen zwischen Teams liegen bleiben.
Häufige Fragen
Braucht ein kleines Treuhandbüro eine KI-Richtlinie?
Gerade ein kleines Team profitiert von klaren, einfachen Regeln. Entscheidend ist nicht die Länge, sondern dass die Richtlinie zu den tatsächlich genutzten Tools und Daten passt.
Wer soll die Richtlinie freigeben?
Die Geschäftsleitung sollte die Regel verantworten. Fachverantwortliche, IT und Datenschutz bringen ihre jeweiligen Prüfungen in die Freigabe ein.
Wie oft muss sie aktualisiert werden?
Bei neuen Tools, Integrationen oder wesentlichen Änderungen sofort; zusätzlich in einem festen periodischen Review.
Quellen und Prüfbasis
Hinweis: Dieser Beitrag ist eine praktische Orientierung und keine Rechtsberatung. Die Beurteilung eines konkreten Mandats hängt von Daten, Vertrag, Rolle, Konfiguration und allfälligen besonderen Geheimhaltungspflichten ab.
Transparenz zur Erstellung: Dieser Beitrag wurde mit KI-Unterstützung erstellt und einer redaktionellen Quellen- und Plausibilitätsprüfung unterzogen. Er wurde nicht durch eine externe Rechtskanzlei begutachtet und ersetzt keine verbindliche Rechtsberatung.
KI-Einsatz im Treuhandbüro kontrolliert freigeben
Das KI-Governance-Audit prüft Datenklassen, Berechtigungen und Freigaben für Ihren konkreten KI-Workflow – Festpreis CHF 2'900, Ergebnis in 14 Tagen.
Audit ansehen