Brauchen wir eine KI-Richtlinie?

Eine KI-Richtlinie ist eine interne Spielregel, so wie die Regel, wer den Firmenwagen fahren darf. Sie muss nicht lang sein. Wichtig ist, dass jeder sie versteht und weiß, wo sie liegt.

Vorweg: Das hier ist eine Erklärung, keine Rechtsberatung. Für die Prüfung im Einzelfall sind Ihr Datenschutzbeauftragter oder eine Anwältin zuständig.

Warum eine Richtlinie sinnvoll ist

Ohne Regeln entscheidet jeder selbst, welches Werkzeug er nutzt und was er dort eingibt. In einer Bitkom-Umfrage von 2025 hatten nur 23 % der befragten Unternehmen ab 20 Beschäftigten Regeln für den Einsatz von KI-Tools. Das ist eine Selbstauskunft der Unternehmen, keine Messung.

Gleichzeitig nutzen viele Beschäftigte längst KI. Laut einer Befragung des IW Köln von 2026 greifen 29,1 % der Beschäftigten, die beruflich KI nutzen, zu Tools, die ihr Arbeitgeber nicht bereitgestellt hat. In Betrieben unter 50 Beschäftigten sind es 33,5 %. Auch das sind Selbstauskünfte. Mehr zu den Zahlen und ihren Grenzen steht in der Antwort auf Was ist Schatten-KI?

Bitkom empfiehlt, in einer Unternehmensrichtlinie festzulegen, welche KI-Tools zu welchem Zweck genutzt werden dürfen. Dazu können eine Kennzeichnung KI-generierter Inhalte und eine Pflicht zur Offenlegung des KI-Einsatzes kommen. Außerdem sollte die Richtlinie Risiken für Geschäftsgeheimnisse, Urheberrecht und Datenschutz ansprechen.

Die Datenschutzkonferenz rät in ihrer Orientierungshilfe zu KI ebenfalls zu klaren internen Weisungen: ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen genutzt werden dürfen. Konkrete Beispiele für erlaubte und untersagte Einsätze hält sie für hilfreich. Gibt es bei Ihnen einen Betriebsrat, gehört er früh an den Tisch. Die DSK weist darauf hin, dass die Einführung einer KI-Anwendung in manchen Fällen mitbestimmungspflichtig ist.

Was die KI-Verordnung dazu sagt

KI-Kompetenz, Art. 4 KI-Verordnung (Stand: 31. Oktober 2026): gilt seit 2. Februar 2025, seit 27. Juli 2026 in der Fassung des „Digital Omnibus“. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Laut EU-Kommission sind weder ein Zertifikat noch ein KI-Beauftragter vorgeschrieben. Die Maßnahmen richten sich nach Rolle, Vorwissen und Einsatz, eine Dokumentation ist sinnvoll.

„Betreiber“ ist in der Verordnung, wer ein KI-System in eigener Verantwortung beruflich einsetzt. Arbeitet Ihr Team mit ChatGPT oder einem anderen KI-Werkzeug, betrifft Art. 4 in der Regel also auch Sie.

Eine Richtlinie verlangt Art. 4 nicht ausdrücklich. Sie ist aber ein guter Baustein: Sie zeigt, welche Werkzeuge erlaubt sind und wie man sie richtig nutzt. Zusammen mit dokumentierten Schulungen können Sie damit zeigen, was Sie für die KI-Kompetenz Ihres Teams tun. Ein Zertifikat brauchen Sie dafür laut EU-Kommission nicht. Vorsicht also bei Angeboten, die so tun, als sei ein bestimmter Schein Pflicht.

Was in eine KI-Richtlinie gehört: Gliederung als Muster

Diese Gliederung ist ein Gerüst, keine fertige Vorlage und keine Rechtsberatung. Sie zeigt, welche Punkte in einer KI-Richtlinie für ein mittelständisches Unternehmen meist vorkommen. Was unter jedem Punkt steht, hängt von Ihren Werkzeugen, Daten und Abläufen ab.

1. Zweck und Geltungsbereich. Warum es die Richtlinie gibt und für wen sie gilt: alle Beschäftigten, auch Azubis, Aushilfen und Freie, die für Sie arbeiten. Dazu ein Satz, was mit KI-Werkzeug gemeint ist, zum Beispiel Chat-Assistenten, Übersetzer und Bildgeneratoren.
2. Erlaubte Werkzeuge und Konten. Eine Liste der freigegebenen Werkzeuge mit Firmenkonto. Private Konten sind für die Arbeit tabu. Und wer neue Werkzeuge freigibt, wenn jemand eins vorschlägt.
3. Erlaubte und unerwünschte Einsätze. Konkrete Beispiele aus Ihrem Alltag, so wie es die Datenschutzkonferenz empfiehlt. Etwa: E-Mails entwerfen ja, Bewerbungen bewerten nein.
4. Daten. Was nicht hineingehört, etwa Personaldaten, Kundendaten, Geschäftsgeheimnisse und Passwörter, außer in ausdrücklich freigegebene Werkzeuge. Ein praktischer Tipp dazu: Namen vorher durch Platzhalter ersetzen.
5. Prüfen und Verantwortung. Was KI erstellt, liest ein Mensch, bevor es rausgeht. Verantwortlich bleibt, wer es verschickt.
6. Kennzeichnung und Offenlegung. Wann KI-generierte Inhalte als solche gekennzeichnet werden, zum Beispiel Bilder auf der Website oder Texte für Kunden.
7. Urheberrecht und Geschäftsgeheimnisse. Wie Sie mit fremden Texten und Bildern umgehen und welche vertraulichen Unterlagen nie in ein KI-Werkzeug gehören.
8. Schulung und Ansprechperson. Wer im Haus Fragen beantwortet, wie neue Kolleginnen und Kollegen lernen und wo festgehalten wird, wer welche Schulung bekommen hat. Das hilft auch beim Nachweis zu Art. 4 KI-Verordnung.
9. Fehler melden. Was passiert, wenn doch etwas Falsches eingegeben wurde: sofort Bescheid sagen, ohne Ärger fürchten zu müssen. Wer Angst hat, schweigt, und dann erfahren Sie es zu spät.
10. Überprüfung. Ein Datum, an dem die Richtlinie wieder angeschaut wird, und eine Versionsnummer. KI ändert sich schnell.

Gibt es bei Ihnen einen Betriebsrat, sprechen Sie die Richtlinie vorher mit ihm ab. Und lassen Sie den Entwurf von Ihrem Datenschutzbeauftragten lesen.

Warum ein Muster aus dem Internet selten reicht

Eine KI-Richtlinie als Vorlage aus dem Internet ist ein Anfang, passt aber selten wirklich. Die Regeln müssen zu Ihren Werkzeugen und Abläufen passen, sonst liest sie niemand. Mein Tipp: Bleiben Sie bei zwei Seiten, in normalen Sätzen. Den Entwurf einer KI-Richtlinie erarbeite ich deshalb in Phase 1 der Einführung gemeinsam mit Ihnen, im Paket KI-Startklar ist er enthalten.

Eine Richtlinie wirkt erst, wenn das Team sie kennt. Deshalb gehört eine kurze Schulung dazu, mehr dazu unter KI-Schulungen. Wenn Sie vermuten, dass im Team schon private KI-Konten laufen, lesen Sie auch Schatten-KI. Die rechtlichen Grundlagen in kurzen Sätzen stehen unter Sicherer KI-Einsatz.

Praxisbeispiel

Erfundenes Beispiel. Ein Elektrobetrieb mit 25 Mitarbeitenden. Im Büro wird KI für E-Mails und Angebotstexte genutzt, auf der Baustelle für Fotos von Typenschildern. Die Richtlinie passt auf zwei Seiten: Erlaubt ist das geschäftliche Konto, Namen und Adressen von Kunden kommen nicht hinein, und Angebote prüft immer die Bauleitung, bevor sie rausgehen. Dazu gibt es für jede Gruppe eine Stunde Schulung, die in einer kurzen Liste dokumentiert wird. Nach einem halben Jahr schaut die Geschäftsführung, ob die Regeln noch passen.