In vielen Betrieben wird KI längst genutzt, nur hat es niemand geregelt. Der Vertrieb lässt Angebotstexte schreiben, der Einkauf übersetzt Lieferantenmails, jemand im Büro fasst Protokolle zusammen. Das ist meist kein Problem. Es wird eines, wenn Kundenpreise, Personaldaten oder Zeichnungen in einem Werkzeug landen, das dafür nicht freigegeben ist.
Wozu eine KI-Richtlinie
Die Richtlinie gibt Ihrem Team Sicherheit. Wer weiß, was erlaubt ist, nutzt KI offener und fragt nach, wenn etwas unklar ist. Wer es nicht weiß, nutzt sie heimlich oder gar nicht.
Dazu kommt die Pflicht zur KI-Kompetenz aus dem EU AI Act. Eine Richtlinie ist dort ein guter Beleg dafür, dass Sie etwas getan haben. Was genau Artikel 4 verlangt, steht in unserem Artikel zur KI-Kompetenz nach dem EU AI Act. Hier geht es nur um die Richtlinie selbst.
Die acht Bausteine einer KI-Richtlinie
Diese acht Punkte decken ab, was in einem mittelständischen Betrieb im Alltag zählt. Mehr braucht es zum Start selten.
1. Geltungsbereich
Für wen gilt die Richtlinie? Für alle Beschäftigten, für Auszubildende und für externe Kräfte, die in Ihrem Auftrag arbeiten.
2. Freigegebene Werkzeuge
Eine kurze Liste mit Namen, Version oder Lizenz und Einsatzzweck. Was nicht auf der Liste steht, ist für betriebliche Daten nicht freigegeben.
3. Datenklassen
Welche Daten in welches Werkzeug dürfen. Das ist der wichtigste Teil. Eine Tabelle dazu finden Sie weiter unten.
4. Prüfpflicht
KI-Ergebnisse können falsch sein, auch wenn sie überzeugend klingen. Wer ein Ergebnis weitergibt, hat es geprüft. Bei Zahlen, Preisen, Fristen und technischen Angaben gilt das ohne Ausnahme.
5. Kennzeichnung
Wann muss erkennbar sein, dass ein Text mit KI entstanden ist? Für interne Entwürfe meist nie. Für veröffentlichte Inhalte oder Bilder kann es sinnvoll oder vorgeschrieben sein. Legen Sie eine einfache Regel fest.
6. Verbotene Einsätze
Was ausdrücklich nicht gemacht wird. Zum Beispiel: keine Entscheidungen über Personen allein durch KI, keine Bewertung von Bewerbungen ohne Freigabe der Geschäftsführung, keine automatischen Zahlungen.
7. Zuständigkeit
Eine Person, die Fragen beantwortet und neue Werkzeuge freigibt. In kleineren Betrieben ist das oft die Geschäftsführung oder die IT, in größeren ein Key User je Abteilung.
8. Schulung und Überprüfung
Wer die Richtlinie erklärt bekommt, wann sie überprüft wird und wie Vorfälle gemeldet werden.
Muster zum Übernehmen
Den folgenden Text können Sie kopieren und anpassen. Ersetzen Sie die Angaben in eckigen Klammern. Streichen Sie, was bei Ihnen nicht passt. Ein Text, den Ihre Leute in fünf Minuten lesen, wirkt mehr als einer mit zwanzig Seiten.
KI-Richtlinie der [Firmenname]
1. Geltung. Diese Richtlinie gilt ab [Datum] für alle Beschäftigten der [Firmenname] und für externe Personen, die in unserem Auftrag mit KI-Werkzeugen arbeiten.
2. Freigegebene Werkzeuge. Für betriebliche Daten dürfen nur diese Werkzeuge genutzt werden: [Werkzeug 1, Lizenz], [Werkzeug 2, Lizenz]. Die aktuelle Liste liegt unter [Ablageort]. Private Konten sind für betriebliche Daten nicht erlaubt.
3. Daten. Es gilt die Tabelle der Datenklassen im Anhang. Im Zweifel gilt die strengere Klasse. Personenbezogene und vertrauliche Daten gehören nur in Werkzeuge, die dafür ausdrücklich freigegeben sind.
4. Prüfung. KI-Ergebnisse sind Entwürfe. Wer ein Ergebnis an Kunden, Lieferanten oder Behörden weitergibt oder in Unterlagen übernimmt, hat es vorher fachlich geprüft und trägt dafür die Verantwortung.
5. Kennzeichnung. Veröffentlichte Bilder und Texte, die überwiegend mit KI erstellt wurden, kennzeichnen wir nach Absprache mit [Zuständige Person].
6. Nicht erlaubt. Entscheidungen über Personen, etwa zu Bewerbungen, Leistung oder Kündigungen, werden nicht von KI getroffen. Zahlungen werden nicht automatisch durch KI ausgelöst. Neue Werkzeuge werden nicht ohne Freigabe eingesetzt.
7. Ansprechpartner. Fragen, Freigaben neuer Werkzeuge und Meldungen gehen an [Name, Funktion, E-Mail].
8. Vorfälle. Wenn Daten versehentlich in ein nicht freigegebenes Werkzeug gelangt sind, melden Sie das bitte sofort an [Ansprechpartner]. Eine schnelle Meldung hat keine Nachteile für Sie.
9. Schulung und Überprüfung. Alle Beschäftigten, die KI-Werkzeuge nutzen, erhalten eine Einweisung. Die Richtlinie wird [jährlich / bei neuen Werkzeugen] überprüft. Freigegeben von [Geschäftsführung] am [Datum].
Das Muster hat neun Abschnitte, weil Vorfälle einen eigenen Punkt verdienen. Inhaltlich gehören sie zum achten Baustein.
Datenklassen: was darf wohin
Vier Klassen reichen für die meisten Betriebe. Die Beispiele sind typisch für Großhandel und Fertigung. Passen Sie sie an Ihre eigenen Daten an.
| Klasse | Beispiele | Erlaubt in |
|---|---|---|
| Öffentlich | Website-Texte, Produktbeschreibungen aus dem Katalog, veröffentlichte Pressemitteilungen | Allen freigegebenen Werkzeugen |
| Intern | Arbeitsanweisungen, interne Protokolle ohne Namen, allgemeine Prozessbeschreibungen | Freigegebenen Werkzeugen mit Firmenkonto, bei denen Eingaben nicht zum Training genutzt werden |
| Personenbezogen | Kundenkontakte, Bewerbungen, Personaldaten, E-Mails mit Namen | Nur Werkzeugen mit Vertrag zur Auftragsverarbeitung, ausdrücklich für diesen Zweck freigegeben |
| Vertraulich | Kundenpreise, Kalkulationen, Zeichnungen, Verträge, Zahlen vor Veröffentlichung | Nur einzeln freigegebenen Werkzeugen in Ihren eigenen Konten, nach Rücksprache mit [Ansprechpartner] |
Die Tabelle ist der Teil, den Ihre Leute am häufigsten nachschlagen werden. Hängen Sie sie als eine Seite an die Richtlinie an und legen Sie sie dort ab, wo das Team ohnehin sucht.
Einführung in drei Wochen
Woche 1: Bestand und Entwurf
Fragen Sie die Abteilungen, welche KI-Werkzeuge sie heute nutzen und wofür. Füllen Sie das Muster aus und tragen Sie die Werkzeuge ein, die Sie behalten wollen. Für Werkzeuge mit personenbezogenen Daten klären Sie, ob ein Vertrag zur Auftragsverarbeitung vorliegt.
Woche 2: Abstimmung
Geben Sie den Entwurf zwei oder drei Personen aus verschiedenen Abteilungen. Sie merken schnell, wo eine Regel im Alltag nicht funktioniert. Wenn Sie einen Betriebsrat haben, beziehen Sie ihn früh ein. Die Einführung von KI-Werkzeugen kann seine Mitbestimmungsrechte berühren.
Woche 3: Freigabe und Einweisung
Die Geschäftsführung gibt die Richtlinie frei. Danach folgt eine kurze Einweisung, gern mit Beispielen aus dem eigenen Betrieb. Halten Sie fest, wer teilgenommen hat. In unserer KI-Schulung erarbeiten wir die Richtlinie mit Ihnen gemeinsam und schulen das Team an echten Aufgaben. Die Dokumentation der Teilnahme liefern wir mit.
Typische Fehler
- Zu lang. Eine Richtlinie mit 15 Seiten liest niemand. Zwei Seiten plus Tabelle reichen.
- Nur Verbote. Wenn alles verboten ist, wird KI trotzdem genutzt, nur ohne Regeln. Nennen Sie auch, was ausdrücklich erwünscht ist.
- Keine Werkzeugliste. Allgemeine Formulierungen wie „geeignete Werkzeuge“ helfen im Alltag nicht. Nennen Sie Namen.
- Kein Ansprechpartner. Ohne Namen bleiben Fragen liegen.
- Einmal beschlossen, nie wieder angesehen. Die Werkzeuge ändern sich schnell. Planen Sie einen festen Termin zur Überprüfung ein.
Hinweis
Stand Oktober 2026, keine Rechtsberatung. Das Muster ist ein Ausgangspunkt aus unserer Praxis. Ob Ihre Richtlinie arbeits- oder datenschutzrechtlich passt, klären Sie bitte mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten und bei Bedarf mit einer Anwältin oder einem Anwalt.
