- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Chatbot: Funktionsweise, Kontrolle und Nachvollziehbarkeit im Servicebetrieb
Ein Chatbot ist eine Software, die im Dialog Anfragen von Menschen entgegennimmt, sie einer Absicht zuordnet und mit einer fest hinterlegten, aus Wissensquellen abgeleiteten oder von einem Sprachmodell erzeugten Antwort reagiert. Für Organisationen mit Aufsichts- oder Dokumentationspflichten ist entscheidend, welche dieser Antwortquellen zum Einsatz kommt. Davon hängt ab, ob sich eine Antwort im Nachhinein begründen lässt.
Ein Chatbot im Kundendienst oder im internen IT-Support bearbeitet Personendaten, trifft Vorentscheide und greift je nach Ausbau auf andere Systeme zu. Er gehört deshalb in dieselbe Kontrolllogik wie jede andere Geschäftsanwendung: Inventar, verantwortliche Stelle, Tests vor Änderungen, Protokolle und eine geregelte Datenhaltung.
Kernpunkte
- Antwortquellen: Regel, kuratierte Wissensbasis oder generatives Modell, in dieser Reihenfolge mit abnehmender Vorhersagbarkeit.
- Nachvollziehbarkeit: Gesprächsverlauf, genutzte Quelle und Übergabe an Mitarbeitende gehören in das Ticket.
- Recht: Das DSG kennt keine eigene Chatbot-Vorschrift. Es gelten Transparenz, Informationspflichten und die Regeln zu automatisierten Einzelentscheidungen. Beaufsichtigte Institute beachten die FINMA-Aufsichtsmitteilung 08/2024. Wird die Ausgabe in der EU verwendet, kommt die EU-KI-Verordnung hinzu.
- Datenhaltung: Der Standort von Chatbot, Sprachmodell und Ticketsystem ist getrennt zu klären.
Stand: November 2026 · Abgeglichen mit dem Datenschutzgesetz (Fedlex), der FINMA-Aufsichtsmitteilung 08/2024, der EU-KI-Verordnung und der Produktdokumentation von ky2help® (Quellen am Ende des Artikels)
Woher die Antworten eines Chatbots stammen
Technisch erkennt ein Chatbot zuerst die Absicht einer Nachricht (Intent) und die darin genannten Angaben, etwa eine Applikation oder eine Vertragsnummer. Für die Kontrolle wichtiger ist der zweite Schritt: die Frage, woher die Antwort kommt. Es gibt drei Varianten, und jede verlangt eine andere Prüfung.
1. Fest hinterlegte Antworten
Regelbasierte Bots geben nur Texte aus, die vorher geschrieben und freigegeben wurden. Jede mögliche Antwort ist bekannt und lässt sich vor dem Einsatz vollständig prüfen. Der Preis: Der Bot versteht nur, was vorgesehen ist.
2. Antworten aus einer kuratierten Wissensbasis
Der Bot sucht passende Wissensartikel und zeigt sie an oder fasst sie zusammen. Kontrolliert wird hier vor allem die Wissensbasis: Wer darf Artikel freigeben, wie oft werden sie überprüft, und wird die verwendete Quelle im Chat angezeigt?
3. Von einem Sprachmodell erzeugte Antworten
Ein Large Language Model formuliert die Antwort selbst. Meist erhält es dabei gefundene Passagen aus der Wissensbasis als Kontext (Retrieval-Augmented Generation). Das verbessert die Treffsicherheit, garantiert aber keine korrekte Aussage. Das NIST beschreibt das Risiko plausibel klingender Falschaussagen in seinem Profil für generative KI als «Confabulation». Prüfen lässt sich ein solcher Bot nur mit Testfragen, Stichproben und laufender Überwachung.
Sonderfall: Bots, die handeln
Sobald ein Chatbot nicht nur antwortet, sondern Aktionen auslöst, etwa ein Konto entsperrt oder eine Bestellung erfasst, wird er zum privilegierten Benutzer. Dann gelten dieselben Regeln wie für technische Konten: minimale Berechtigungen, Bestätigung durch die anfragende Person und ein Protokoll jeder Aktion. OWASP führt die Manipulation von Sprachmodellen durch präparierte Eingaben («Prompt Injection») an erster Stelle seiner Top 10 für LLM-Anwendungen.
Chatbot-Typen aus Kontrollsicht
Für Risikobeurteilung und Nachweise genügt die Frage «Chatbot ja oder nein» nicht. Zu unterscheiden sind mindestens drei Rollen:
- Chatbot mit direktem Kundenkontakt: Antworten erreichen Kundinnen, Kunden oder Mitarbeitende ohne menschliche Prüfung. Hier wiegen Falschaussagen am schwersten.
- Assistenz für Mitarbeitende: Das System schlägt im Ticket Lösungen oder ähnliche Fälle vor. Ein Mensch entscheidet, ob der Vorschlag übernommen wird.
- Agent mit Systemzugriff: Das System führt Schritte in anderen Anwendungen selbst aus. Berechtigungen und Protokollierung werden zum zentralen Prüfpunkt.
Innerhalb der ersten Rolle unterscheiden sich regelbasierte und generative Bots deutlich:
| Regelbasiert | Generativ (LLM) |
|---|---|
| Freigabe der Antworten | |
| Jeder Text einzeln vorab | Nur Quellen und Vorgaben, nicht der einzelne Text |
| Vorhersagbarkeit | |
| Vollständig | Eingeschränkt, Antworten variieren |
| Testverfahren | |
| Alle Pfade durchspielen | Testfragen, Stichproben, Monitoring |
| Nachweis im Einzelfall | |
| Dialogpfad im Protokoll | Verlauf plus genutzte Quellen sichern |
| Änderungen | |
| Neue Texte und Pfade | Auch Modellwechsel und neue Quellen |
Für regulierte Bereiche bewährt sich eine Mischform: feste Antworten für Themen mit rechtlicher oder sicherheitsrelevanter Wirkung, generative Antworten nur für allgemeine Wissensfragen und stets mit Angabe der Quelle.
Chatbot im nachvollziehbaren Serviceprozess
Ein Chatbot, der ausserhalb des Ticketsystems arbeitet, erzeugt eine Lücke in der Dokumentation: Was er geantwortet hat, steht nirgends dort, wo Fälle später geprüft werden. Deshalb gehören drei Punkte in den Prozess.
- Verlauf im Ticket: Jede Übergabe an Mitarbeitende und jedes aus dem Chat erstellte Ticket enthält den vollständigen Gesprächsverlauf.
- Gesperrte Themen: Für definierte Themen, etwa Sicherheitsvorfälle, Kündigungen oder Rechtsfragen, gibt der Bot nur einen festen Text aus und übergibt sofort.
- Änderungen als Change: Neue Wissensquellen, geänderte Dialoge oder ein Modellwechsel durchlaufen das Change Management mit Test und Freigabe.
Ein Beispiel aus einer Versicherung
Angenommen, ein Mitarbeiter einer Versicherung in Bern fragt den internen Bot: «Ich habe eine verdächtige Mail mit Anhang geöffnet, was nun?» Das Thema ist als sicherheitsrelevant markiert. Der Bot formuliert deshalb keine eigene Antwort, sondern zeigt die freigegebene Sofortanweisung an, eröffnet ein Ticket mit hoher Priorität für das Security-Team und übernimmt den Verlauf. Ob der Vorfall meldepflichtig ist, beurteilen danach Menschen, nicht der Bot.
Wie ky2help® das unterstützt
ky2help® integriert den Chatbot «Apptiva Klar» des Schweizer Partners Apptiva aus Sempach. Laut Produktbeschreibung nutzt er die ky2help® Knowledge Base und weitere festgelegte Quellen, erstellt bei Bedarf während des Chats ein Ticket mit dem gesamten Verlauf und leitet ungelöste Anliegen an Mitarbeitende weiter. Die Knowledge Base unterstützt Aktualitätsprüfungen und einen Workflow zur Qualitätssicherung. Im Ticket sorgen automatische Historisierung und ein integriertes Daten-Audit für revisionssichere Nachweise. Wie solche Nachvollziehbarkeit in der Praxis aussieht, beschreibt die Referenz des Personalamts des Kantons Thurgau, dessen HR-Prozesse in ky2help® lückenlos dokumentiert und archiviert werden.
Governance: DSG, FINMA-Aufsichtsmitteilung und EU-Recht
Datenschutzgesetz (DSG)
Das seit dem 1. September 2023 geltende DSG ist technologieneutral und enthält keine eigene Vorschrift für Chatbots. Relevant sind vor allem die Grundsätze der Transparenz und Zweckbindung (Art. 6), die Datensicherheit (Art. 8), die Auftragsbearbeitung durch Dritte (Art. 9), die Bekanntgabe ins Ausland (Art. 16), die Informationspflicht (Art. 19) und die Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 22). Trifft ein System ausschliesslich automatisiert eine Entscheidung mit Rechtsfolge oder erheblicher Beeinträchtigung, verlangt Art. 21 eine Information der betroffenen Person und auf Antrag eine Überprüfung durch einen Menschen. Ein Support-Bot, der nur Auskunft gibt, fällt in der Regel nicht darunter. Ein Bot, der Anträge selbstständig ablehnt, kann es.
FINMA-Aufsichtsmitteilung 08/2024
Für beaufsichtigte Institute hat die FINMA am 18. Dezember 2024 ihre Beobachtungen zu Governance und Risikomanagement beim Einsatz von KI veröffentlicht. Sie beurteilt unter anderem, ob ein zentral geführtes KI-Inventar mit Risikoklassifizierung besteht, ob Zuständigkeiten festgelegt sind und ob Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und eine unabhängige Überprüfung geregelt sind. Bei eingekauften Lösungen achtet sie auf zusätzliche Tests, Kontrollen und Vertragsklauseln. Ein Chatbot mit Kundenkontakt gehört damit ins KI-Inventar.
EU-KI-Verordnung
Die Verordnung (EU) 2024/1689 erfasst auch Anbieter und Betreiber in Drittstaaten, wenn die Ausgabe des KI-Systems in der EU verwendet wird (Art. 2). Wer einen Chatbot auch Personen in der EU anbietet, muss daher Art. 50 beachten: Seit dem 2. August 2026 müssen Menschen spätestens bei der ersten Interaktion erfahren, dass sie mit einem KI-System kommunizieren.
Prioritäten für die Einführung
- Chatbot ins Anwendungs- oder KI-Inventar aufnehmen und eine verantwortliche Stelle benennen.
- Pro Thema festlegen, welche Antwortquelle zulässig ist: fester Text, Wissensartikel oder generativ.
- Gesperrte Themen und Übergaberegeln definieren.
- Protokollierung und Aufbewahrungsfristen der Gesprächsverläufe festlegen.
- Vor jeder Änderung an Quellen oder Modell eine Testreihe mit Referenzfragen durchführen.
- Datenstandort und Unterauftragnehmer für Chatbot, Sprachmodell und Ticketsystem dokumentieren.
Dieser Abschnitt ersetzt keine rechtliche Beurteilung im Einzelfall.
Fragen und Antworten
Was ist ein Chatbot?
Ein Chatbot ist eine Software, die per Text oder Sprache mit Menschen kommuniziert. Er erkennt das Anliegen und antwortet mit einem fest hinterlegten Text, einem Wissensartikel oder einer von einem Sprachmodell formulierten Antwort. Was er nicht lösen kann, übergibt er an Mitarbeitende.
Muss ein Chatbot in der Schweiz als KI gekennzeichnet werden?
Das DSG enthält keine ausdrückliche Kennzeichnungspflicht für Chatbots. Aus dem Transparenzgrundsatz und den Informationspflichten ergibt sich aber, dass die Bearbeitung von Personendaten erkennbar sein muss. Wird der Chatbot auch Personen in der EU angeboten, gilt seit dem 2. August 2026 zusätzlich die Hinweispflicht nach Art. 50 der EU-KI-Verordnung.
Ist eine Chatbot-Antwort eine automatisierte Einzelentscheidung?
In der Regel nicht. Eine automatisierte Einzelentscheidung nach Art. 21 DSG liegt vor, wenn eine Entscheidung ausschliesslich automatisiert getroffen wird und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. Ein Bot, der Auskünfte gibt, erfüllt das kaum. Ein Bot, der Anträge selbstständig ablehnt, kann es.
Was erwartet die FINMA beim Einsatz von Chatbots?
Die FINMA-Aufsichtsmitteilung 08/2024 nennt keine Chatbot-Sonderregeln, sondern Erwartungen an alle KI-Anwendungen: ein Inventar mit Risikoklassifizierung, klare Zuständigkeiten, Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und eine unabhängige Überprüfung.
Wie lässt sich nachweisen, was ein Chatbot geantwortet hat?
Indem der Gesprächsverlauf zusammen mit der genutzten Quelle gespeichert und mit dem Ticket verknüpft wird. Bei generativen Bots sollten zusätzlich der Stand der Wissensbasis und die eingesetzte Modellversion dokumentiert sein, damit sich eine Antwort später einordnen lässt.
Wie bindet ky2help® einen Chatbot an?
ky2help® bietet im Standard eine Chatbot-Schnittstelle und integriert den Chatbot «Apptiva Klar». Er greift auf die Knowledge Base zu, erstellt bei Bedarf ein Ticket mit dem gesamten Gesprächsverlauf und übergibt ungelöste Anliegen an Mitarbeitende. Details zeigen wir in einem Beratungstermin.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1
- FINMA: Aufsichtsmitteilung 08/2024 – Governance und Risikomanagement beim Einsatz Künstlicher Intelligenz
- EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 2 und 50
- NIST: AI 600-1, Generative Artificial Intelligence Profile
- OWASP: LLM01:2025 Prompt Injection
- KYBERNA: KI-Integrationen in ky2help®
Weiterlesen
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
