KI-Nutzungsrichtlinie Raptus AG

Zweck

Diese Richtlinie legt fest, unter welchen Bedingungen die Raptus AG Werkzeuge mit künstlicher Intelligenz (KI) einsetzt. Sie ergänzt die Auftragsbearbeitungsvereinbarung (ADV), die technischen und organisatorischen Massnahmen (TOM), die Subunternehmerliste und die AGB. Bei Widerspruch gehen ADV und AGB vor.

Intern wird sie durch die Regeln zum Umgang mit KI im Organisationshandbuch konkretisiert, die Bestandteil des Arbeitsvertrags sind.

Geltungsbereich

Die Richtlinie gilt für jede Nutzung von KI im Rahmen der Auftragserfüllung, unabhängig davon, ob die KI als eigenständiges Werkzeug oder als Funktion innerhalb einer eingesetzten Software zur Verfügung steht.

Nicht erfasst sind KI-Funktionen, die ausschliesslich auf Systemen des Kunden laufen und vom Kunden selbst verantwortet werden.

Grundsätze

• KI-Werkzeuge werden von Raptus geprüft, beschafft und intern freigegeben
• KI-Ergebnisse werden durch eine Person geprüft
• KI trifft keine Entscheidungen mit Rechtsfolge oder erheblicher Auswirkung für betroffene Personen
• Der Einsatz von KI wird gegenüber Kunden offengelegt, nicht verborgen.

Eingesetzte Anbieter

Die eingesetzten KI-Anbieter sind in der öffentlichen Subunternehmerliste der Raptus AG aufgeführt.

Der Beizug erfolgt nach den Regeln der ADV. Werkzeuge, die nicht freigegeben sind, dürfen nicht mit Kundendaten verwendet werden.

Keine Nutzung von Kundendaten für das Training von Modellen

Für alle freigegebenen KI-Werkzeuge gilt:

• Kundendaten werden nicht zum Training oder zur Verbesserung von Modellen des Anbieters verwendet
• Eingaben und Ausgaben werden nicht zur Auswertung durch Personal des Anbieters herangezogen, ausser zur Missbrauchserkennung im vertraglich vereinbarten Rahmen.
• Es werden Geschäfts- oder Enterprise-Tarife mit entsprechenden Zusicherungen genutzt. Kostenlose oder private Konsumentenkonten sind für Kundendaten untersagt.
• Aufbewahrungsfristen beim Anbieter werden auf das betrieblich nötige Mass begrenzt.

Die Zusicherung wird vor der Freigabe anhand des Anbietervertrags belegt und bei Vertragsänderungen erneut geprüft.

Was nicht in KI-Werkzeuge gehört

Auch in freigegebenen Werkzeugen gilt Datensparsamkeit. Nicht eingegeben werden:

• Zugangsdaten, Schlüssel, Zertifikate und Wiederherstellungscodes
• Vollständige Datenbestände, wo ein Auszug genügt
• Besonders schützenswerte Personendaten ohne vorgängige Freigabe im Einzelfall
• Daten von Kunden, die den Einsatz von KI vertraglich ausgeschlossen haben

Kundendaten in nicht freigegebenen Werkzeugen gelten als Datenschutzverletzung und sind zu melden.

Human in the Loop

KI liefert Vorschläge, nicht Resultate. Vor Wirksamwerden prüft eine fachlich zuständige Person das Ergebnis auf Richtigkeit, Vollständigkeit und Angemessenheit. Verantwortlich bleibt immer die Mitarbeiterin oder der Mitarbeiter, nicht das Werkzeug.

Nachvollziehbarkeit und Verfügbarkeit ohne KI

KI-gestützte Vorschläge und Entscheidungen müssen überprüfbar bleiben. Wird KI zur Auswahl oder Filterung eingesetzt, kann sichtbar gemacht werden, was herausgefiltert wurde.

Abläufe und Automatisierungen der Raptus AG sind so ausgelegt, dass sie auch ohne KI funktionieren. Eine vollständige Abhängigkeit von KI-Werkzeugen wird vermieden.

Schulung und Kompetenz

- Mitarbeitende werden vor der Nutzung freigegebener KI-Werkzeuge instruiert und danach regelmässig aufgefrischt.
- Inhalte: zulässige Werkzeuge, Umgang mit Kundendaten, Grenzen und typische Fehler generativer Modelle, Prüfpflichten nach Ziffer 7, Meldewege.
- Neueintretende werden im Rahmen des Onboardings instruiert.
- Die Teilnahme wird dokumentiert.

Vorfälle

KI-bezogene Vorfälle werden wie andere Sicherheitsvorfälle behandelt: unverzügliche Meldung an die Geschäftsleitung, Abklärung, Dokumentation. Betroffene Kunden werden informiert. Besteht ein hohes Risiko für betroffene Personen, erfolgt die Meldung an den EDÖB nach Art. 24 DSG.

Als Vorfälle gelten namentlich: Eingabe von Kundendaten in ein nicht freigegebenes Werkzeug, unbeabsichtigte Offenlegung von Daten durch ein KI-Werkzeug sowie Schäden durch ein ungeprüft übernommenes KI-Ergebnis.

Rechte Dritter

Der Einsatz von KI darf keine Rechte Dritter verletzen, namentlich Urheber-, Marken- und Persönlichkeitsrechte. KI-Ergebnisse werden vor der Verwendung angemessen geprüft.

Stand: 1. September 2026