KI-Richtlinie fürs Unternehmen: Leitfaden mit Muster

Die KI-Richtlinie in einem Satz

Eine KI-Richtlinie ist das interne Regelwerk, das festlegt, welche KI-Werkzeuge im Unternehmen für welche Aufgaben mit welchen Daten genutzt werden dürfen, wer freigibt, wer prüft und wer haftet – üblicherweise auf drei bis sechs Seiten, verbindlich für alle Mitarbeitenden.

Der häufigste Fehler: Die Richtlinie wird als Verbotsliste geschrieben. Das Ergebnis ist vorhersehbar – Mitarbeitende nutzen KI trotzdem, nur unsichtbar über private Konten. Eine gute Richtlinie beantwortet zuerst die Frage „Was darf ich?" und macht den erlaubten Weg bequemer als den heimlichen.

Warum ihr eine braucht – drei getrennte Gründe

Rechtlich. Der EU AI Act verpflichtet Unternehmen, die KI einsetzen, zu ausreichender KI-Kompetenz ihrer Beschäftigten. Die DSGVO verlangt dokumentierte technisch-organisatorische Maßnahmen. Eine Richtlinie ist der Ort, an dem beides sichtbar zusammenläuft. Was der EU AI Act sonst noch fordert, erklärt Der EU AI Act verständlich erklärt.

Operativ. Ohne Regeln entscheidet jede Abteilung selbst, welches Werkzeug sie einkauft. Nach einem Jahr existieren zwölf Abos, drei Datenschutzrisiken und keine gemeinsame Qualitätsbasis.

Kulturell. Unsicherheit bremst stärker als jedes Verbot. Wer nicht weiß, ob KI-Nutzung geduldet ist, nutzt sie entweder gar nicht oder verschweigt sie. Beides kostet.

Die zehn Bausteine einer KI-Richtlinie

Diese Struktur lässt sich direkt übernehmen und in eigener Reihenfolge füllen. Sie ist bewusst schlank gehalten – eine Richtlinie, die niemand liest, wirkt nicht.

Der Kern: Datenklassen statt Bauchgefühl

Kein Abschnitt entscheidet so stark über die Wirksamkeit wie dieser. Statt „Sei vorsichtig mit sensiblen Daten" braucht es eine Einteilung, die im Arbeitsalltag in fünf Sekunden anwendbar ist. Drei Klassen reichen meist:

Die Klassen funktionieren nur zusammen mit einer klaren Aussage dazu, welche Konten geschäftlich sind. Der Unterschied zwischen einem privaten Abo und einem geschäftlichen Arbeitsbereich ist dabei kein Komfort-, sondern ein Haftungsthema – nachzulesen unter ChatGPT für Unternehmen. Die datenschutzrechtlichen Grundlagen liefert KI und Datenschutz: DSGVO-konform arbeiten.

Menschliche Kontrolle richtig staffeln

Pauschale Sätze wie „Alle KI-Ergebnisse sind zu prüfen" werden ignoriert, weil sie im Alltag unrealistisch sind. Besser ist eine Staffelung nach Wirkung:

• Interne Entwürfe (Notizen, Brainstorming, Rohtexte): keine formale Prüfung nötig.
• Externe Kommunikation (Website, Angebot, Newsletter, Social): fachliche Freigabe durch eine benannte Person, alle Zahlen und Zitate gegengeprüft.
• Entscheidungen mit Personenbezug (Bewerbung, Bewertung, Kündigung, Kreditwürdigkeit): KI liefert höchstens Zuarbeit, nie die Entscheidung – und das wird dokumentiert.
• Fachlich riskante Ausgaben (Recht, Medizin, Finanzen, Technik): Vier-Augen-Prinzip mit fachlicher Qualifikation.

Der Grund für diese Staffelung ist keine Formalie: KI-Systeme erfinden Fakten in derselben souveränen Tonlage wie korrekte Angaben. Warum das strukturell passiert, erklärt KI-Halluzinationen: warum KI Fakten erfindet.

Muster-Formulierungen zum Übernehmen

Diese Sätze lassen sich fast unverändert in ein eigenes Dokument übertragen und an die Gegebenheiten anpassen:

Geltungsbereich: „Diese Richtlinie gilt für alle Beschäftigten sowie für freie Mitarbeitende und Dienstleister, die im Auftrag des Unternehmens tätig sind. Sie gilt für jede Nutzung KI-gestützter Systeme im dienstlichen Kontext, unabhängig davon, auf welchem Gerät und über welches Konto sie erfolgt."

Werkzeug-Freigabe: „Für dienstliche Zwecke dürfen ausschließlich die in Anlage 1 gelisteten Werkzeuge genutzt werden. Die Aufnahme weiterer Werkzeuge kann formlos bei [Rolle] beantragt werden; die Prüfung erfolgt innerhalb von [X] Arbeitstagen und umfasst Datenschutz, Vertragslage und fachliche Eignung."

Datennutzung: „Daten der Klasse Rot dürfen nicht in extern betriebene KI-Systeme eingegeben werden. Dies gilt auch für Auszüge, Screenshots und paraphrasierte Fassungen. Im Zweifel gilt die höhere Klasse."

Verantwortung für Ergebnisse: „Die fachliche Verantwortung für ein Arbeitsergebnis bleibt vollständig bei der Person, die es einreicht oder veröffentlicht. Der Einsatz eines KI-Systems entbindet nicht von der Sorgfaltspflicht."

Kennzeichnung: „Bei extern veröffentlichten Inhalten, die wesentlich KI-generiert sind, erfolgt eine Kennzeichnung nach den Vorgaben in Abschnitt [X]. Für redaktionell überarbeitete Entwürfe ist keine Kennzeichnung erforderlich."

Vorfälle: „Wurde versehentlich eine unzulässige Eingabe getätigt, ist dies unverzüglich an [Rolle] zu melden. Eine Meldung führt für sich genommen zu keiner arbeitsrechtlichen Konsequenz; das Unterlassen einer Meldung kann eine solche nach sich ziehen."

Der letzte Satz ist wichtiger, als er aussieht: Wer Meldungen bestraft, bekommt keine Meldungen.

Schulung als Pflichtbestandteil

Der EU AI Act verlangt seit Februar 2025, dass Beschäftigte, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Das ist keine Empfehlung und gilt unabhängig von der Risikoklasse des Systems. In der Richtlinie gehört deshalb festgehalten: wer geschult wird, womit, in welchem Rhythmus und wie der Nachweis aussieht. Was das konkret bedeutet, behandelt Schulungspflicht nach Art. 4 EU AI Act; mögliche Formate und Nachweiswege sammelt KI-Weiterbildung: Wege zum KI-Wissen.

Betriebsrat, Abstimmung, Inkraftsetzung

KI-Werkzeuge sind in vielen Fällen mitbestimmungspflichtig – insbesondere dann, wenn sie geeignet sind, Verhalten oder Leistung zu überwachen, was auf Nutzungsprotokolle in geschäftlichen Arbeitsbereichen zutrifft. Bindet den Betriebsrat deshalb früh ein, nicht nach Vertragsunterschrift. Bewährt hat sich diese Reihenfolge: Entwurf durch die fachlich verantwortliche Rolle, Abstimmung mit Datenschutz und IT-Sicherheit, Beteiligung des Betriebsrats, Freigabe durch die Geschäftsführung, Kommunikation an alle mit kurzer Erläuterung – nicht nur als PDF-Anhang.

Setzt außerdem ein Überprüfungsintervall fest, realistisch alle sechs bis zwölf Monate. Werkzeuge, Modelle und Rechtslage bewegen sich schneller als klassische Richtlinien.

Häufige Fehler

Zu lang. Zwanzig Seiten Juristendeutsch werden nicht gelesen. Drei bis sechs Seiten plus eine Werkzeug-Anlage reichen.

Nur Verbote. Ohne Positivliste und ohne bequemen Antragsweg entsteht Schatten-IT statt Compliance.

Keine benannte Rolle. „Die IT prüft" ist keine Zuständigkeit. Ein Name oder eine konkrete Funktion gehört hinein.

Einmal geschrieben, nie angefasst. Eine Richtlinie ohne Aktualisierungsdatum verliert innerhalb eines Jahres ihre Autorität.

Ohne Einführung veröffentlicht. Die Richtlinie ist der Rahmen; die Einführung selbst braucht einen eigenen Plan – siehe KI im Unternehmen einführen: der Fahrplan.

Fazit

Eine KI-Richtlinie wirkt dann, wenn sie den erlaubten Weg klarer und bequemer macht als den heimlichen. Kern ist eine Datenklassen-Einteilung, die im Alltag in Sekunden anwendbar ist, dazu eine Positivliste freigegebener Werkzeuge, eine nach Wirkung gestaffelte Prüfpflicht und benannte Verantwortliche. Rechtlich ergänzt wird sie durch dokumentierte Schulung nach EU AI Act und die Abstimmung mit Datenschutz und Betriebsrat. Alles darüber hinaus ist Beiwerk – und je kürzer die Richtlinie, desto größer die Chance, dass sie tatsächlich gelesen wird.