AI Governance Buildup: KI-Governance in 4–10 Wochen aufbauen
Sie wissen, was Ihrem KI-Einsatz noch fehlt. Der Buildup setzt Ihren Massnahmenplan in 4–10 Wochen um: Rollen, Richtlinien, Schulung und Nachweise für den Alltag. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch.
Vereinbarter Festpreis ab CHF 9'800Rollen, Richtlinien, Schulung mit NachweisBetriebsfähig in 4–10 Wochen je nach Paket
Kostenlos und unverbindlich · 30 Minuten · vertraulich unter NDA · Offerte innert 24 Stunden
Recht und Technik aus einem Mandat. Das Team hinter Ihren KI-Richtlinien hat Zugriffsrechte, Protokolle und Freigaben für KI selbst gebaut. Es kennt die Pflicht hinter jeder Regel.
Für KMU, Mittelstand und regulierte Branchen
Dr. iur., LL.M., CIPP/E
Freigabe durch das Team von Dr. Staiger
Struktur nach ISO/IEC 42001
Zertifizierung bleibt Ihre Wahl
Vertraulich, Unterlagen in der Schweiz
NDA, Schweigepflicht, Art. 321 StGB wo anwaltlich
Beratung und Prüfung getrennt
glaubwürdig gegenüber Zertifizierern
Verantwortlich für dieses Mandat
Mohamed Afhim
Senior Associate · Daten- und Datenschutzrecht (DSG, DSGVO, KI-VO)
Mohamed Afhim leitet den Buildup und erarbeitet mit Ihren Fachbereichen die KI-Richtlinien und ersten Folgenabschätzungen. Das Team von Dr. Dominic Staiger gibt die rechtliche Einordnung und die Vertragsklauseln frei. Technische Kontrollen prüft Mohamed Afhim mit dem InfoSec-Team um Oliver Stutz, Co-Founder und Leiter des SIDD-Entwicklungszentrums.
Der AI Governance Buildup setzt Ihren KI-Massnahmenplan um. Er umfasst KI-Inventar, Risikoregister, Rollen mit AI Officer, Richtliniensatz und Schulung nach Art. 4 KI-VO. Dazu kommen Vorlagen für Folgenabschätzungen, eine Klauselbibliothek für Verträge und Nachweise in der Priverion-Plattform. Nach 4–10 Wochen nimmt die Geschäftsleitung das Ergebnis ab und Ihr AI Officer übernimmt. Alles folgt ISO/IEC 42001:2023, ohne Pflicht zur Zertifizierung.
Voraussetzung ist eine Standortbestimmung, meist der AI Governance Check. Ein verlässliches Inventar aus anderer Quelle übernehmen wir. Fehlt beides, erstellt das Paket Essentials zuerst ein kompaktes Inventar. Der Check zeigt, was fehlt. Der Buildup setzt es um.
Wollen Sie von Anfang an das Zertifikat, wählen Sie das ISO 42001 Aufbauprojekt. Der Buildup passt, wenn Sie zuerst Governance für den Alltag brauchen.
Wann ein AI Governance Buildup sinnvoll ist
Der Buildup lohnt sich, wenn der Handlungsbedarf bekannt ist und die Umsetzung stockt. Die KI-VO gilt, wenn Ihre KI in der EU auf den Markt kommt oder ihre Ergebnisse dort genutzt werden. Ohne EU-Bezug gilt das DSG, doch EU-Kunden und Auditoren messen Sie an der KI-VO.
1
Der Massnahmenplan ist da, aber nicht umgesetzt: Ihr AI Governance Check ist Monate alt. Es fehlt ein Projekt mit verantwortlicher Person, Terminen und Vorlagen.
2
KI ist überall im Einsatz, aber nicht formell freigegeben: Marketing arbeitet mit ChatGPT. Jemand hat mit Lovable ein Tool mit Kundendaten gebaut. Vor dem ersten Vorfall brauchen Sie Nutzungsrichtlinie, Freigabeprozess und Inventar. Das Tool selbst prüft bei Bedarf der Security Review für Vibe-Coded Projekte.
3
Sie bauen KI in Ihr Produkt ein: Ein Chatbot oder KI-Agent läuft bei Kunden in der EU. Seit dem 02.08.2026 müssen Nutzer erkennen, dass sie mit KI zu tun haben. Vorher vermarktete generative Systeme brauchen bis zum 02.12.2026 eine maschinenlesbare Kennzeichnung. Wichtig ist, ob Sie die KI als Anbieter entwickeln oder als Betreiber einsetzen (Art. 3 Nr. 3 und 4 KI-VO). Kunden wollen Ihre Freigabepraxis in Richtlinie und Vertrag sehen.
4
Kunden, Auditoren oder die Aufsicht verlangen Nachweise: Ein EU-Kunde will Ihre KI-Richtlinie und Ihren KI-Schulungsnachweis sehen. Seit dem 02.08.2026 können ihn auch Marktüberwachungsbehörden verlangen. Die FINMA erwartet ein zentrales KI-Inventar mit Risikoeinstufung und klaren Zuständigkeiten.
5
Ein Hochrisiko-System ist absehbar, die Frist bekannt: KI für die Vorauswahl von Bewerbungen oder für Bonitätsprüfungen fällt unter Anhang III KI-VO. Die Pflichten dafür gelten ab dem 02.12.2027. Es bleiben rund 13 Monate: ein Quartal für den Aufbau, drei Quartale für den nachweislichen Betrieb.
Was uns einzigartig macht
Recht, Engineering und KI-Entwicklung in einem Team
Jurist:innen fehlt oft die Praxis mit KI-Modellen, Engineers das Wissen um die Pflicht hinter einer Regel. Bei uns schreiben Jurist:innen, Engineers und KI-Entwickler den Richtliniensatz gemeinsam. Diese Kombination kann weder eine reine Rechtsanwaltskanzlei noch eine klassische Beratung leisten. So entstehen Regeln, die Ihre Teams umsetzen und Aufsicht und Kunden nachvollziehen können.
01
Tiefe rechtliche Expertise
Das Team von Dr. Dominic Staiger gibt jede Richtlinie und Vertragsklausel rechtlich frei. Dr. Staiger ist Dr. iur., LL.M. und CIPP/E sowie Attorney at Law (New York) und Solicitor (UK). Mohamed Afhim übersetzt KI-VO und DSG in Regeln, die Ihre Fachbereiche ohne juristische Vorkenntnisse anwenden.
02
Eigene Software-Engineers
Unser Entwicklungszentrum hat in der Priverion-Plattform Modellzugriff, Protokollierung und Freigaben selbst gebaut. Diese Engineers schreiben Ihre Richtlinien für Entwicklung und KI-Betrieb mit.
03
Eigene KI-Entwicklung
Wir entwickeln und betreiben eigene KI-Systeme wie die Rechts-KI LexCommand. Wechselt ein Anbieter sein Modell, passen wir selbst Inventar, Risikoregister und Richtlinie an.
Was wir aufbauen
Der Buildup umfasst zehn Bausteine. Am Ende hat jeder Baustein einen Owner, also eine verantwortliche Person in Ihrem Haus.
KI-Inventar und Risikoregister: Das Inventar listet alle KI-Anwendungen, das Register ihre Risiken. Je Anwendung erfassen wir Owner, Zweck, Datenflüsse, Risikoklasse und Ihre Rolle als Anbieter oder Betreiber. Ein fester Ablauf hält das Register in der Priverion-Plattform aktuell.
Rollen und RACI: Die RACI-Tabelle zeigt, wer verantwortet, mitwirkt oder informiert wird. Der AI Officer führt die Governance und berichtet an die Geschäftsleitung. Diese Funktion besetzen Sie intern oder per Mandat. Dazu kommen System-Owner, Datenschutzberater:in, CISO sowie Freigabe- und Eskalationswege. Regelmässige Berichte belegen die Sorgfaltspflicht von Verwaltungsrat und Geschäftsleitung.
Richtliniensatz: Ihre internen KI-Regeln in fünf bis neun Dokumenten, je nach Paket. An der Spitze steht die KI-Governance-Weisung (ISO/IEC 42001 Kapitel 5.2). Sie regelt Geltungsbereich, Grundsätze, Rollen, Risikoappetit und Freigabe-Gates vor dem Go-live. Vier Kernrichtlinien regeln KI-Nutzung, Beschaffung, Daten sowie Vorfälle und Meldungen. Ab Standard kommen dazu: Entwicklung und MLOps, menschliche Aufsicht, Transparenz sowie Modell- und Änderungsmanagement. MLOps heisst Betrieb und Pflege von KI-Modellen. Jede Richtlinie ist kurz und nennt ihre Norm. Die Geschäftsleitung setzt sie in Kraft.
Entwicklungs- und MLOps-Richtlinie: Sie gilt, wenn Sie selbst KI-Funktionen bauen. Jede Komponente mit Sprachmodell braucht ein Threat Model, also eine Analyse möglicher Angriffe. Dazu kommen Test- und Freigabe-Gates, Datenherkunft und getrennte Umgebungen (ISO 27001 Annex A 8.31). Die Protokollierung zeichnet auf, was ein System tut. Den Entwurf prüft bei Bedarf der Security Architecture Review. Eine KI-generierte App prüft der Security Review für Vibe-Coded Projekte. Den Angriffstest übernimmt die AI-Security-Prüfung.
KI-Kompetenzprogramm nach Art. 4 KI-VO: Wir schulen nach Rollen: alle Mitarbeitenden, Power-User, Entwicklung, menschliche Aufsicht und beauftragte Externe. Sie erhalten Teilnahmenachweise und eine jährliche Auffrischung. Art. 4 verlangt seit dem 02.02.2025 Massnahmen zur KI-Kompetenz, aber kein Zertifikat. Wir richten das Schulungsregister ein, das laut Kommission als Nachweis dienen kann (Fragen und Antworten zu Art. 4 vom 27.07.2026).
DSFA- und FRIA-Vorlagen mit Erstdurchläufen: DSFA und FRIA sind Folgenabschätzungen für Datenschutz und Grundrechte. Die DSFA-Vorlage folgt DSG und Art. 35 DSGVO und enthält KI-Fragen. Eine FRIA brauchen nur bestimmte Betreiber: öffentliche Stellen und Dienste, Bonitätsprüfung sowie Lebens- oder Krankenversicherung. Zwei bis drei Durchläufe machen wir mit Ihnen und der Person, die als externe:r oder interne:r Datenschutzberater:in die DSFA weiterführt.
Technische Dokumentation und Protokollierung: Vorlagen für die technische Dokumentation nach Anhang IV KI-VO, mit Model Cards und Datenblättern. KMU und kleine Midcaps dürfen eine vereinfachte Fassung nutzen. Die Vorgaben sehen Protokolle mit mindestens sechs Monaten Aufbewahrung vor. Betreiber legen dort die Angaben des Anbieters für Aufsicht und DSFA ab.
Vorfall- und Meldeprozess: Ein Ablaufplan verbindet KI-Vorfälle mit Ihren Meldewegen nach Art. 24 DSG sowie Art. 33 und 34 DSGVO. Schwerwiegende Vorfälle bei Hochrisiko-Systemen fallen unter Art. 73 KI-VO. Die Frist beträgt 15 Tage, bei Todesfällen 10 Tage. Bei weitverbreiteten Verstössen oder kritischer Infrastruktur sind es 2 Tage. Für Produkte mit digitalen Elementen gilt seit dem 11.09.2026 zusätzlich Art. 14 CRA. Der Plan regelt Ersteinschätzung, Rollen, Vorlagen und Behördenkontakte. Wir üben ihn einmal am Tisch.
Klauselbibliothek für Lieferanten- und Kundenverträge: Für Lieferanten enthält sie geprüfte Klauseln für Auftragsbearbeitungsverträge nach DSG und DSGVO. Sie regeln Trainingsnutzung, Datenstandort und Bekanntgabe ins Ausland (Art. 16 und 17 DSG). Dazu kommen Haftung, Auditrechte, Modellwechsel und Ausstieg. Anbieter von Hochrisiko-Systemen erhalten die Vereinbarung mit Zulieferern nach Art. 25 Abs. 4 KI-VO. Als Prüfraster dienen die EU-Musterklauseln für öffentliche KI-Beschaffung (MCC-AI, Fassung vom 05.03.2025). Wer KI-Funktionen verkauft, erhält Vorlagen für Kundenverträge. Sie regeln Rollen und Zweck (Art. 25 Abs. 1 KI-VO), Transparenz (Art. 50) und Betreiber-Support (Art. 13).
Evidenz in der Priverion-Plattform und ISO/IEC 42001-Abgleich: Richtlinien, Register, Verträge und Testergebnisse liegen prüffähig in der Priverion-Plattform mit Hosting in der Schweiz. Zum Abschluss erhalten Sie eine Lückenliste gegen Annex A der KI-Managementnorm ISO/IEC 42001:2023. Plus ergänzt ein Dokumentationsgerüst für die Kapitel 4 bis 10 mit Statement of Applicability.
Nicht enthalten sind Zertifizierung, internes Audit, Managementbewertung, Angriffstests und der laufende Betrieb. Zertifizieren kann nur eine akkreditierte Stelle. Den Betrieb übernimmt nach der Übergabe Ihr Owner oder der externe AI Officer. Eine Compliance-Garantie geben wir nicht. Unsere Nachweise sind für Aufsicht, Kunden und Auditoren nachvollziehbar.
Was nach dem Check oft offen bleibt
Regeln wirken nur, wenn jemand sie pflegt. Nach einem Check bleiben meist vier Lücken offen.
Typische Lücken
Eine Richtlinie ohne Freigabeprozess: Private KI-Konten sind verboten, aber niemand kann Werkzeuge offiziell beantragen. Also nutzen die Teams private Konten weiter. Ein Inventar ohne Owner: Die Liste aus dem Check pflegt nach der Übergabe niemand. Schulung ohne Register: Wer wann welche Schulung absolviert hat, ist nicht belegt. Verträge ohne KI-Klauseln: Der Auftragsbearbeitungsvertrag mit dem Cloud-Anbieter von 2022 regelt weder Trainingsnutzung noch Modellwechsel.
Warum Richtlinien allein nicht reichen
Drei datierte Zahlen zu KI-Richtlinien und Schatten-KI, also KI-Nutzung ohne Freigabe. Sie zeigen Muster, nicht Ihren Fall.
20 %
der Organisationen mit Datenleck meldeten einen Vorfall durch Schatten-KI. War sie stark verbreitet, kostete das Leck im Schnitt USD 670'000 mehr. 63 % der Betroffenen hatten noch keine fertige KI-Governance-Richtlinie (IBM Cost of a Data Breach Report 2025, 30.07.2025).
1 von 3
Schweizer KMU mit KI-Einsatz hat eine klare Datenschutzregel für KI. Bei 5–9 Mitarbeitenden sind es nur 23 % (AXA KMU-Arbeitsmarktstudie 2025, 300 KMU, 08.10.2025).
57 %
der Beschäftigten mit KI-Nutzung verschweigen diese oder geben KI-Output als eigene Arbeit aus. Nur 40 % kennen eine Arbeitgeber-Regel zu generativer KI (KPMG/University of Melbourne, Trust, attitudes and use of AI, April 2025). Befragt wurden 48'340 Personen in 47 Ländern.
Leistungspakete
Sie wählen das Paket nach Zahl der KI-Anwendungen, Eigenentwicklung und Regulierung. Alle Preise verstehen sich exkl. MwSt. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch.
Buildup Essentials
Vereinbarter Festpreis ab CHF 9'800 bis 10 KI-Anwendungen · 4–6 Wochen
Für KMU bis rund 50 Mitarbeitende mit KI-Werkzeugen wie ChatGPT und ohne eigene KI-Entwicklung. Über zehn Anwendungen oder ohne verlässliches Inventar: höherer Aufwand. Fünf bis sechs Beratungstage inklusive rechtlicher Freigabe.
Inventar und Massnahmenplan aus dem Check oder ein kompaktes neues Inventar
Rollenmodell mit AI-Officer-Funktion, System-Ownern und Eskalationsweg
KI-Governance-Weisung und vier Kernrichtlinien: KI-Nutzung, Beschaffung und Lieferantenprüfung, Daten und Aufbewahrung, Vorfälle und Meldungen
Halbtägige Schulung mit Nachweisvorlage, Vorprüfung für Folgenabschätzungen (DSFA/FRIA), Prüfraster für Lieferantenverträge
Nachweisablage in der Priverion-Plattform, Briefing der Geschäftsleitung
Vereinbarter Festpreis ab CHF 16'500 empfohlen · bis 25 KI-Anwendungen · 6–8 Wochen
Für Unternehmen mit 50–250 Mitarbeitenden, die eigene KI-Funktionen bauen oder EU-Kunden bedienen. Beispiel: KI-Suche in eigenen Dokumenten (RAG). Diese Regeln, Klauseln und Vorlagen verlangen EU-Kunden und Auditoren. Neun bis zwölf Beratungstage inklusive Schulungen und Rechtsprüfung.
Alles aus Buildup Essentials
Richtliniensatz mit neun Dokumenten. Zusätzlich: Entwicklung und Betrieb von KI-Modellen, menschliche Aufsicht, Transparenz und Kennzeichnung, Modell- und Änderungsmanagement.
DSFA- und FRIA-Vorlagen mit zwei Erstdurchläufen. Dazu Vorlagen für technische Dokumentation und Protokollierung.
Klauselbibliothek für Lieferanten- und Kundenverträge: Auftragsbearbeitung, KI-VO-Pflichten, Trainingsnutzung, Datenstandort, Output-Rechte, Haftung, Auditrechte. Abgleich mit EU-Musterklauseln MCC-AI und Prüfung der drei wichtigsten Lieferantenverträge.
Zwei Schulungen mit Schulungsregister: Geschäftsleitung einen halben Tag, Mitarbeitende einen Tag oder zwei Halbtage. Wer fehlt, erhält eine Aufzeichnung.
Priverion-Plattform mit Nachweisen, Lückenliste gegen ISO/IEC 42001 Annex A, 30 Tage Begleitung nach Übergabe, Managementbericht
Vereinbarter Festpreis ab CHF 26'000 regulierte Branchen und Hochrisiko · 8–10 Wochen
Für Unternehmen mit 250–1'000 Mitarbeitenden, für FINMA-Beaufsichtigte und das Gesundheitswesen. Auch für Gruppen in CH, EU und UK oder mit möglichen Hochrisiko-Systemen. Der Preis richtet sich nach der Zahl dieser Systeme und Anbieter. Fünfzehn bis zwanzig Beratungstage inklusive rechtlicher Begleitung.
Alles aus Buildup Standard
Hochrisiko-Vorbereitung je Rolle. Für Anbieter, die KI entwickeln: Risikomanagement, Dokumentation, Protokollierung, menschliche Aufsicht, Marktbeobachtung, Registrierung. Für Betreiber, die KI einsetzen: ihre Pflichten samt Information der Arbeitnehmenden und bei Bedarf die FRIA. Halten Sie ein Anhang-III-System nicht für hochriskant, dokumentieren wir dies nach Art. 6 Abs. 3.
Dokumentationsgerüst für Ihr KI-Managementsystem nach ISO/IEC 42001 mit Statement of Applicability und beziffertem Restaufwand bis zur Zertifizierungsreife.
Lieferantenprüfung für bis zu zehn KI-Anbieter: Fragebogen, Risikoeinstufung, Unterauftragnehmer. Bis zu fünf Verträge klauselweise geprüft, mit Nachverhandlungspunkten.
Workshop mit Verwaltungsrat und Geschäftsleitung, bei Bedarf mit FINMA-Abgleich.
Ein AI Governance Check der letzten sechs Monate wird angerechnet: CHF 1'900 beim Basis-Check, CHF 2'900 beim Standard-Check. Den Betrieb danach übernimmt auf Wunsch der externe AI Officer. Für KI in eigenen Produkten gibt es den Buildup auch im AI Governance Paket. Im Erstgespräch grenzen wir den Umfang ein.
Wie wir vorgehen
Sechs Schritte, jeder mit einem abgenommenen Ergebnis. Ihr Team investiert je nach Paket drei bis acht Workshop-Halbtage, die Schulungstage und rund einen Tag pro Woche. Ohne interne Owner hält Governance nicht.
Kostenloses Scoping
Wir klären Ihre KI-Anwendungen, eigene Entwicklung, betroffene Länder und Ihren Nachweisbedarf. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch. Innert 24 Stunden erhalten Sie Umfang und Offerte schriftlich. Ein vorhandener AI Governance Check fliesst direkt ein.
Kick-off und Rollen
Wir übertragen Inventar und Massnahmenplan in die Priverion-Plattform. Im Workshop mit der Geschäftsleitung klären wir Owner und Risikoklasse je Anwendung, Freigabe neuer Werkzeuge und Berichtswege. So wird das Inventar zum Risikoregister.
Richtliniensatz
Unsere Richtlinienvorlagen passen wir in zwei Runden mit Ihren Fachbereichen an. Das Team von Dr. Dominic Staiger gibt jede Regel rechtlich frei. Mit dem InfoSec-Team prüfen wir die technischen Vorgaben auf Umsetzbarkeit.
Vorlagen und Verträge
Wir passen alle Vorlagen an Ihre Systeme an. Parallel prüfen wir die wichtigsten Lieferantenverträge auf Nachverhandlungspunkte: drei bei Standard, fünf bei Plus. Weitere Verträge übernimmt das AI-Officer-Mandat oder das AI Governance Paket.
Schulung und Erstdurchläufe
Wir schulen Geschäftsleitung, Mitarbeitende und Entwicklung und erfassen alle im Schulungsregister. Erste DSFA- und FRIA-Durchläufe und eine Vorfallübung am Tisch zeigen, ob Vorlagen und Rollen funktionieren.
Abnahme und Übergabe
Sie erhalten Managementbericht und Lückenliste. Nach der Freigabe durch die Geschäftsleitung übergeben wir an Ihren internen Owner oder den externen AI Officer. Für ein Zertifikat schliesst das ISO 42001 Aufbauprojekt direkt an.
Warum SIDD
Der Nutzen für Sie:
Jede Regel mit ihrer Norm
Jede Regel nennt ihre Grundlage in KI-VO, DSG oder ISO/IEC 42001. Das Team von Dr. Staiger gibt sie frei. Auditoren finden die Fundstelle ohne Rückfrage.
Umsetzbare Regeln für Entwickler
Unsere Engineers prüfen jede Vorgabe auf Umsetzbarkeit im Code. Was nicht geht, formulieren wir vor der Freigabe um.
Ein Owner für jeden Baustein
Eine benannte Person in Ihrem Haus führt jeden Baustein weiter. Den internen Zeitaufwand kennen Sie vorab. Ohne Owner schläft die Governance ein.
Prüffähige Nachweise
Richtlinien, Register, Verträge und Folgenabschätzungen liegen prüffähig in der Priverion-Plattform in der Schweiz. Anfragen von Kunden und Auditoren beantworten Sie so innert eines Tages.
Vertraulich, Unterlagen in der Schweiz
Wir halten Ihre Unterlagen unter NDA und Schweigepflicht auf Systemen in der Schweiz. Für anwaltliche Beratung gilt zudem das Anwaltsgeheimnis (Art. 321 StGB).
Beratung und Prüfung getrennt
Der Buildup ist Beratung, keine Zertifizierung. Manchmal testen wir später ein System, dessen Governance wir aufgebaut haben. In der AI-Security-Prüfung legen wir das offen und trennen die Mandate.
Check, Buildup und AI Officer im Vergleich
Die drei Angebote bauen aufeinander auf: Standortbestimmung, Umsetzung, laufende Führung.
AI Governance Check
AI Governance Buildup
AI Officer
Zweck: Standortbestimmung mit Inventar, Einstufung und Massnahmenplan
Zweck: Umsetzung des Massnahmenplans als Projekt mit Abnahme
Zweck: laufende KI-Governance als externes Mandat
Ergebnis: Bericht, Massnahmenplan, Zusammenfassung für Verwaltungsrat und Geschäftsleitung
Ergebnis: Rollen, Richtliniensatz, Schulungsregister, Vorlagen, Klauselbibliothek, Nachweise in der Priverion-Plattform
Ergebnis: gepflegtes Inventar, Berichte an die Geschäftsleitung, benannte Ansprechperson
Dauer: 3–5 Wochen
Dauer: 4–10 Wochen je Paket, danach Übergabe
Dauer: laufend, Kündigungsfrist drei Monate
Preis: ab CHF 3'900 (Basis), ab CHF 7'500 (Standard), Enterprise auf Anfrage
Vereinbarter Festpreis ab CHF 9'800 (Essentials), ab CHF 16'500 (Standard), ab CHF 26'000 (Plus)
Preis: Bereitschaft ab CHF 500/Monat, Governance CHF 1'500–3'500/Monat, Vollmandat auf Anfrage
Wann sinnvoll: Sie brauchen eine Standortbestimmung
Wann sinnvoll: Sie kennen die Lücken und wollen sie schliessen
Wann sinnvoll: Jemand soll die Governance dauerhaft für Sie führen
Interner Aufwand: Interviews und Unterlagen
Interner Aufwand: 3–8 Workshop-Halbtage, wöchentlich rund ein Koordinationstag, Owner, Freigaben
Interner Aufwand: Ansprechpersonen je Bereich, Freigaben
Anschluss: Buildup, AI-Officer-Mandat oder eigene Umsetzung
Anschluss: AI Officer intern oder extern, optional ISO 42001 Aufbauprojekt
Anschluss: übernimmt die Buildup-Ergebnisse und führt sie weiter
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Im Buildup belegt LexCommand jede Richtlinie und Klausel mit ihrer Fundstelle in KI-VO, DSG und ISO/IEC 42001 Annex A. Gleiche Pflichten aus mehreren Regelwerken stellt es nebeneinander.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Was kostet der Buildup und wie lange dauert er?
Essentials: Vereinbarter Festpreis ab CHF 9'800 in 4–6 Wochen. Standard: Vereinbarter Festpreis ab CHF 16'500 in 6–8 Wochen. Plus: Vereinbarter Festpreis ab CHF 26'000 in 8–10 Wochen. Alle Preise verstehen sich exkl. MwSt. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch. Ihr Team stellt drei bis acht Workshop-Halbtage, rund einen Koordinationstag pro Woche und eine verantwortliche Person je Baustein.
Brauchen wir zuerst den AI Governance Check?
Nicht zwingend: Ein belastbares Inventar aus anderer Quelle genügt auch. Der Weg über den AI Governance Check ist meist kürzer und nicht teurer. Der Check liefert ab CHF 3'900 in 3–5 Wochen Inventar, Einstufung und Massnahmenplan. Ist er höchstens sechs Monate alt, rechnen wir CHF 1'900 (Basis-Check) oder CHF 2'900 (Standard-Check) an.
Was unterscheidet den Buildup vom ISO 42001 Aufbauprojekt?
Für ein Zertifikat von Anfang an ist das ISO 42001 Aufbauprojekt der direkte Weg. Es führt Ihr KI-Managementsystem nach ISO/IEC 42001 mit internem Audit (Kapitel 9.2) und Managementbewertung (9.3) bis zur Zertifizierungsreife. Der Buildup baut die Governance für den Alltag und deckt mehr ab: Nutzungsregeln, Verträge, Schulung, Entwicklung. Buildup Plus liefert das Dokumentationsgerüst mit Statement of Applicability und beziffert den Restaufwand bis zur Zertifizierungsreife.
Wer betreibt die Governance nach der Übergabe?
Nach Abnahme durch die Geschäftsleitung übergeben wir an eine benannte Person in Ihrem Haus. Dazu gehören Berichtsrhythmus, Pflegeprozess und eine verantwortliche Person je Baustein. Fehlen intern Kapazität oder Fachwissen, übernimmt der externe AI Officer die laufende Führung und pflegt Ihre Regeln weiter. Im AI Governance Paket ist der Buildup der Setup-Baustein, mit einer Ansprechperson für Governance, Sicherheitsprüfungen, Datenschutzmandat und Vertragsprüfungen.
Wir haben keine EU-Kunden. Wofür bauen wir das?
Für Pflichten, die schon gelten: Art. 21 DSG zu automatisierten Einzelentscheidungen und Art. 22 DSG zur Datenschutz-Folgenabschätzung. Dazu kommt die Sorgfaltspflicht der Unternehmensleitung (Art. 717 oder 812 OR). Die KI-VO greift schon, wenn Ergebnisse Ihrer KI in der EU genutzt werden (Art. 2 Abs. 1 lit. c). Der Buildup ordnet jede Regel ihrer Rechtsgrundlage zu, damit auch künftige Pflichten in bestehende Rollen und Register passen.
Unsere KI-Richtlinie stammt aus einer Vorlage. Was bringt der Buildup?
Eine Vorlage regelt Verbote, aber nicht Freigaben, Personendaten oder Werkzeuge auf privaten Konten. Der Buildup ergänzt Freigabeprozess, Inventar mit Verantwortlichen, Schulungsregister nach Art. 4 KI-VO und KI-Klauseln für Lieferanten. Laut der AXA KMU-Arbeitsmarktstudie 2025 hat nur ein Drittel der Schweizer KMU mit KI eine klare Datenschutzregel dafür. Essentials gleicht Ihre Richtlinie mit KI-VO und DSG ab und baut in 4–6 Wochen die Prozesse dazu.
Wir haben Hochrisiko-Kandidaten nach Anhang III. Reicht der Buildup?
Für die Vorbereitung ja: Das Paket Plus deckt die Pflichten Ihrer Rolle als Anbieter oder Betreiber ab. Ob ein System wirklich hochriskant ist, klärt vorher der AI Governance Check. Die Pflichten nach Anhang III gelten ab dem 02.12.2027, für KI in Produkten nach Anhang I ab dem 02.08.2028. Ohne harmonisierte Norm im EU-Amtsblatt (Stand 21.07.2026) gilt kein System automatisch als konform, auch nicht mit ISO/IEC 42001.
Wir sind FINMA-beaufsichtigt. Deckt der Buildup die Aufsichtserwartungen ab?
Die zehn Bausteine passen auf die FINMA-Aufsichtsmitteilung 08/2024, von Governance (Ziff. 2.1) bis Erklärbarkeit (Ziff. 2.6). Im Paket Plus ordnen wir jeden Baustein diesen Ziffern und dem FINMA-RS 2023/01 (operationelle Risiken) zu. Die laufende Überwachung (Ziff. 2.4) verankern wir im Modell- und Änderungsmanagement und im Bericht an die Geschäftsleitung. Die unabhängige Überprüfung (Ziff. 2.7) machen wir nicht selbst, weil wir die Governance aufgebaut haben.
Wie verhält sich der Buildup zu unserem DSB-Mandat?
Wer als externe:r oder interne:r Datenschutzberater:in tätig ist, berät und überwacht nach Art. 10 DSG. Der Buildup liefert dazu KI-Vorlagen für Datenschutz-Folgenabschätzung und FRIA, Regeln zu automatisierten Einzelentscheidungen und KI-Klauseln für Auftragsbearbeitungsverträge. Das Rollenmodell regelt gemeinsame Entscheide mit dem AI Officer, etwa zu neuen KI-Werkzeugen mit Personendaten. Führen wir bereits Ihr Mandat als externe:r Datenschutzberater:in ab CHF 500/Monat, verkürzt sich das Scoping.
Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
KI-Governance aufbauen, die Ihre Teams anwenden
30 Minuten mit Mohamed Afhim: Sie erfahren, welches Paket passt. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch. Die Offerte folgt innert 24 Stunden.
