KI-Richtlinie

Verantwortungsvoller Einsatz von Künstlicher Intelligenz bei HoferNexus

Version: 1.0

Gültig ab: 02.07.2026

Zuletzt aktualisiert:

Jurisdiktion: Schweiz (DSG, revDSG), EU AI Act

Geltungsbereich

Diese Richtlinie gilt für alle KI-Systeme und -Agenten, die von HoferNexus entwickelt, bereitgestellt oder eingesetzt werden — intern sowie für Kundinnen und Kunden.

1. Transparenz über KI-Einsatz

Regel: KI-Systeme müssen klar als solche gekennzeichnet werden. Nutzerinnen und Nutzer erfahren, dass sie mit KI interagieren.

Umsetzung:

Alle KI-Agenten tragen ein Identifikationsmerkmal (z.B. „Powered by AI", Profil-Label)
Bei automatisierten Entscheidungen, die Nutzende betreffen, wird darauf hingewiesen
Dokumentation verfügbar machen: Wer betreibt das System? Welche Ziele verfolgt es?

Verantwortung:

Product Owner, Kundenservice

2. Datenschutz und Datensicherheit

Regel: Personendaten werden minimal, rechtmäßig und zweckgebunden verarbeitet. Datenschutz ist nicht optional.

Umsetzung:

Minimale Datenerfassung: Nur Informationen, die für die KI-Funktion notwendig sind
Explizite Einwilligungen: Nutzer müssen zustimmen, bevor Daten verarbeitet werden
Automatische Löschung: Trainings-Daten werden nach 30 Tagen gelöscht
Verschlüsselung in Transit und at Rest für alle APIs und Datenspeicher
Datenzugriff auf Team begrenzt (least privilege)

Verantwortung:

Tech Lead, Security Lead

3. Fehlerbehandlung und Menschliche Kontrolle

Regel: KI-Systeme treffen keine finalen Entscheidungen über Nutzer oder Geschäftvorfälle allein. Kritische Entscheidungen bleiben menschlich verantwortet.

Umsetzung:

KI als Ratgeber/Werkzeug: Vorschläge machen, nicht diktieren
Menschliche Überprüfung vor finalen Aktionen bei hohem Risiko
Eskalation: Unklar oder Konfidenz < 70%? → Mensch wird informiert
Fehlerbehandlung: Bei Ausfällen kein Silent Failure. Nutzer werden informiert.
Audit-Log: Alle KI-Aktionen werden geloggt (wer, was, wann, warum, Ergebnis)

Verantwortung:

Product Owner, Engineering, Customer Success

4. Fairness und Vermeidung von Diskriminierung

Regel: KI-Systeme dürfen nicht diskriminieren. Bias wird aktiv überwacht und minimiert.

Umsetzung:

Trainings-Daten überprüfen: Repräsentativität, Ausgewogenheit
Monatliche Bias-Tests für risikobehaftete Anwendungen
Dokumentation: Falls KI-Entscheidung einen Nutzer nachteilig beeinflusst, Begründung verfügbar machen
Beschwerdekanal: Nutzer können Fairness-Bedenken melden → innerhalb 5 Arbeitstage Antwort

Verantwortung:

Product Owner, Data Science, Customer Relations

5. Sicherheit und Widerstandsfähigkeit gegen Missbrauch

Regel: KI-Systeme sind robust gegen Missbrauch, Manipulation und Sicherheitslücken.

Umsetzung:

Rate Limiting: API-Endpunkte sind gedrosselt (z.B. 30 req/min pro IP)
Input-Validierung: User-Input wird gefiltert, XSS/Injection-Versuche blockiert
Prompt-Injection-Tests: Monatliche Tests, ob System sich „hacken" lässt
Sicherheits-Audits: Jährliche Penetrationstests oder externe Audits
Incident Response: Sicherheitslücken werden innerhalb 48h intern gemeldet, innerhalb 7 Tage behoben

Verantwortung:

Security Lead, Engineering

Implementierung und Verantwortung

CEO/Geschäftsführung: Einhaltung der Richtlinie gewährleisten, Budget für Compliance-Maßnahmen

Tech Lead: Technische Umsetzung, Code Review auf Richtlinien-Einhaltung

Product Owner: KI-Features gemäß Richtlinie designen, Nutzer-Kommunikation

Customer Success: Beschwerden und Feedback sammeln, monatliche Berichte

Security Lead: Datenschutz, Sicherheits-Tests, Audit-Logs

Überprüfung und Aktualisierung

Monatlich: Incidents, Feedback, Audit-Logs

Halbjährlich: Richtlinien-Update basierend auf neuen Erkenntnissen oder regulatorischen Änderungen

Jährlich: Externe Audit oder Peer Review

Service-Angebot

Diese Richtlinie können wir als Template für andere Schweizer KMU anpassen:

Branche-spezifische Anpassung (Industrie, Fintech, Gesundheit, Einzelhandel)
Größen-Anpassung (Startups bis Enterprise)
Regulatorische Besonderheiten (FINMA, BaFin, DSGVO)
Implementierungs-Support (Audit-Setup, Team-Training)

Anfragen: info@hofernexus.ch mit Subject „KI-Richtlinie Service"

Kontakt und Eskalation

Intern: tech@hofernexus.ch

Kundinnen/Kunden: info@hofernexus.ch mit Subject „KI-Richtlinie / Concern"

Datenschutz-Fragen: compliance@hofernexus.ch

1. Transparenz über KI-Einsatz

Regel: KI-Systeme müssen klar als solche gekennzeichnet werden. Nutzerinnen und Nutzer erfahren, dass sie mit KI interagieren.

Umsetzung:

Alle KI-Agenten tragen ein Identifikationsmerkmal (z.B. „Powered by AI", Profil-Label)
Bei automatisierten Entscheidungen, die Nutzende betreffen, wird darauf hingewiesen
Dokumentation verfügbar machen: Wer betreibt das System? Welche Ziele verfolgt es?

Verantwortung:

Product Owner, Kundenservice

2. Datenschutz und Datensicherheit

Regel: Personendaten werden minimal, rechtmäßig und zweckgebunden verarbeitet. Datenschutz ist nicht optional.

Umsetzung:

Minimale Datenerfassung: Nur Informationen, die für die KI-Funktion notwendig sind
Explizite Einwilligungen: Nutzer müssen zustimmen, bevor Daten verarbeitet werden
Automatische Löschung: Trainings-Daten werden nach 30 Tagen gelöscht
Verschlüsselung in Transit und at Rest für alle APIs und Datenspeicher
Datenzugriff auf Team begrenzt (least privilege)

Verantwortung:

Tech Lead, Security Lead

3. Fehlerbehandlung und Menschliche Kontrolle

Regel: KI-Systeme treffen keine finalen Entscheidungen über Nutzer oder Geschäftvorfälle allein. Kritische Entscheidungen bleiben menschlich verantwortet.

Umsetzung:

KI als Ratgeber/Werkzeug: Vorschläge machen, nicht diktieren
Menschliche Überprüfung vor finalen Aktionen bei hohem Risiko
Eskalation: Unklar oder Konfidenz < 70%? → Mensch wird informiert
Fehlerbehandlung: Bei Ausfällen kein Silent Failure. Nutzer werden informiert.
Audit-Log: Alle KI-Aktionen werden geloggt (wer, was, wann, warum, Ergebnis)

Verantwortung:

Product Owner, Engineering, Customer Success

4. Fairness und Vermeidung von Diskriminierung

Regel: KI-Systeme dürfen nicht diskriminieren. Bias wird aktiv überwacht und minimiert.

Umsetzung:

Trainings-Daten überprüfen: Repräsentativität, Ausgewogenheit
Monatliche Bias-Tests für risikobehaftete Anwendungen
Dokumentation: Falls KI-Entscheidung einen Nutzer nachteilig beeinflusst, Begründung verfügbar machen
Beschwerdekanal: Nutzer können Fairness-Bedenken melden → innerhalb 5 Arbeitstage Antwort

Verantwortung:

Product Owner, Data Science, Customer Relations

5. Sicherheit und Widerstandsfähigkeit gegen Missbrauch

Regel: KI-Systeme sind robust gegen Missbrauch, Manipulation und Sicherheitslücken.

Umsetzung:

Rate Limiting: API-Endpunkte sind gedrosselt (z.B. 30 req/min pro IP)
Input-Validierung: User-Input wird gefiltert, XSS/Injection-Versuche blockiert
Prompt-Injection-Tests: Monatliche Tests, ob System sich „hacken" lässt
Sicherheits-Audits: Jährliche Penetrationstests oder externe Audits
Incident Response: Sicherheitslücken werden innerhalb 48h intern gemeldet, innerhalb 7 Tage behoben

Verantwortung:

Security Lead, Engineering

Implementierung und Verantwortung

CEO/Geschäftsführung: Einhaltung der Richtlinie gewährleisten, Budget für Compliance-Maßnahmen

Tech Lead: Technische Umsetzung, Code Review auf Richtlinien-Einhaltung

Product Owner: KI-Features gemäß Richtlinie designen, Nutzer-Kommunikation

Customer Success: Beschwerden und Feedback sammeln, monatliche Berichte

Security Lead: Datenschutz, Sicherheits-Tests, Audit-Logs

Service-Angebot

Diese Richtlinie können wir als Template für andere Schweizer KMU anpassen:

Branche-spezifische Anpassung (Industrie, Fintech, Gesundheit, Einzelhandel)

Größen-Anpassung (Startups bis Enterprise)

Regulatorische Besonderheiten (FINMA, BaFin, DSGVO)

Implementierungs-Support (Audit-Setup, Team-Training)

Anfragen: info@hofernexus.ch mit Subject „KI-Richtlinie Service"