KI-Richtlinie im Unternehmen: Vorlage und klare Regeln

In den meisten Unternehmen wird längst mit KI gearbeitet — nur weiß es niemand offiziell. Mitarbeiter kopieren Kundenmails in ChatGPT, lassen Angebote formulieren, übersetzen Verträge. Ohne Regeln ist das ein echtes Risiko: Datenschutzverstöße, vertrauliche Daten in fremden Systemen, ungeprüfte KI-Texte an Kunden. Die Lösung ist keine Verbotskultur, sondern eine klare, kurze KI-Richtlinie. Hier steht, was hineingehört — mit einer Muster-Gliederung, die Sie direkt übernehmen können.

Warum Sie eine KI-Richtlinie brauchen (auch als 20-Mann-Betrieb)

• Schatten-KI ist der Normalfall: Verbieten funktioniert nicht — die Tools sind zu nützlich. Ohne Richtlinie entscheidet jeder Mitarbeiter selbst, welche Daten er wohin kopiert.
• DSGVO: Personenbezogene Daten in einem Consumer-Chatbot ohne Auftragsverarbeitungsvertrag sind ein meldepflichtiger Verstoß — Unwissenheit schützt nicht.
• EU AI Act: Seit Februar 2025 müssen Unternehmen für KI-Kompetenz ihrer Beschäftigten sorgen (Artikel 4). Eine Richtlinie plus dokumentierte Schulung ist der praktikabelste Nachweis.
• Qualität: Die Richtlinie legt fest, dass KI-Ergebnisse geprüft werden, bevor sie das Haus verlassen. Das schützt vor peinlichen und teuren Fehlern.

Die Muster-Gliederung: 8 Abschnitte, 2–4 Seiten

Eine gute KI-Richtlinie passt auf wenige Seiten. Diese Struktur hat sich bewährt:

1. Zweck und Geltungsbereich

Für wen gilt die Richtlinie (alle Mitarbeiter, auch Freelancer?), für welche Werkzeuge (generative KI-Tools, integrierte KI-Funktionen in Standardsoftware).

2. Erlaubte Tools (Whitelist)

Konkrete Liste der freigegebenen Dienste mit Konto-Typ — z. B. „ChatGPT nur über den Team-Account des Unternehmens, nicht über Privatkonten“. Plus: wer neue Tools freigibt.

3. Datenklassen: Was darf hinein, was nie

Der wichtigste Abschnitt, am besten als Ampel:

• Grün: Öffentliche Informationen, allgemeine Texte ohne Personen- oder Kundenbezug.
• Gelb (nur in freigegebene Firmen-Accounts): Interne Dokumente, anonymisierte Kundenvorgänge.
• Rot (niemals): Personenbezogene Daten ohne Rechtsgrundlage, Gesundheitsdaten, Passwörter, Geschäftsgeheimnisse, Daten unter Verschwiegenheitsvereinbarung.

4. Prüfpflicht (Human in the Loop)

KI-Ergebnisse sind Entwürfe. Alles, was an Kunden, Behörden oder in Verträge geht, wird von einem Menschen fachlich geprüft. Verantwortlich bleibt immer der Mitarbeiter, nicht „die KI“.

5. Kennzeichnung

Wann wird KI-Einsatz offengelegt (z. B. bei KI-generierten Bildern, Chatbots im Kundenkontakt)? Der AI Act verlangt Transparenz an mehreren Stellen — hier regeln Sie das praktisch.

6. Urheberrecht und Ergebnisse

KI-Texte und -Bilder können Rechte Dritter berühren. Regel: keine Logos/Markennamen generieren, Bildquellen dokumentieren, generierte Inhalte vor kommerzieller Nutzung prüfen.

7. Schulung und Verantwortlichkeiten

Wer ist KI-Ansprechpartner im Haus? Welche Schulung ist passend, wie wird sie dokumentiert? Siehe unseren Leitfaden zu KI-Schulungen für Mitarbeiter.

8. Verstöße und Aktualisierung

Was passiert bei Verstößen, und wann wird die Richtlinie überprüft? (Empfehlung: halbjährlich — der Markt bewegt sich schnell.)

Drei Fehler, die wir immer wieder sehen

• Die 30-Seiten-Richtlinie: Niemand liest sie, niemand lebt sie. Kurz, konkret, mit Beispielen schlägt juristisch vollständig.
• Das Totalverbot: Treibt die Nutzung in den Untergrund — dann haben Sie Schatten-KI und keine Kontrolle.
• Einmal schreiben, nie anfassen: Eine Richtlinie von 2024 kennt weder die heutigen Tools noch die aktuellen AI-Act-Pflichten.

So führen Sie die Richtlinie ein

1. Entwurf anhand der Gliederung oben erstellen (mit Geschäftsführung und, falls vorhanden, Datenschutzbeauftragtem).
2. In einer kurzen Team-Runde vorstellen — als Erlaubnis mit Leitplanken, nicht als Verbotskatalog.
3. Bestätigung der Kenntnisnahme einsammeln (reicht formlos per E-Mail).
4. Mit einer praktischen Schulung kombinieren — dann wird aus dem Papier gelebte Praxis.

Eine Daten-Ampel, die Mitarbeiter wirklich verstehen

„Keine vertraulichen Daten eingeben“ klingt vernünftig, hilft im Alltag aber wenig. Ist eine Kundennummer vertraulich? Darf ein internes Angebot hinein? Was ist mit einer Bewerbung ohne Namen? Genau deshalb braucht jede Ampel Beispiele aus dem eigenen Betrieb.

Grün sind öffentliche oder frei erfundene Inhalte. Gelb sind interne Informationen, die nur in freigegebenen Firmenkonten verarbeitet werden dürfen. Rot sind Passwörter, besondere personenbezogene Daten, ungeschützte Geschäftsgeheimnisse und Inhalte, die einer Verschwiegenheitspflicht unterliegen. Ergänzen Sie pro Farbe mindestens drei echte Beispiele aus Ihrem Alltag.

Wer die Richtlinie besitzen sollte

Eine Richtlinie ohne Verantwortlichen veraltet schnell. Benennen Sie deshalb eine Person, die neue Tools prüft, Fragen sammelt und die Version halbjährlich aktualisiert. In kleinen Unternehmen kann das die Geschäftsführung oder ein KI-Verantwortlicher übernehmen. In größeren Betrieben arbeiten IT, Datenschutz, Fachbereiche und gegebenenfalls Betriebsrat zusammen.

Wichtig ist eine klare Freigabe. Mitarbeiter dürfen nicht raten müssen, ob ein neues Browser-Plugin oder ein kostenloser KI-Dienst erlaubt ist. Ein einfaches Formular mit Tool, Zweck, Datenarten und Ansprechpartner reicht für den Start.

Compliance-Regeln für konkrete KI-Tools

Die KI-Richtlinie sollte ChatGPT, Copilot und andere freigegebene KI-Tools namentlich nennen. Sie erklärt verbindlich, welche Unternehmensdaten genutzt werden dürfen, wie KI-generierte Inhalte geprüft werden und wer bei einem Risiko entscheidet. Besonders vertrauliche Informationen und Geschäftsgeheimnisse brauchen klare Regeln.

Für den Umgang mit KI im Arbeitsalltag gehören Datenschutz, KI-Kompetenz, Schulung und Verantwortlichkeiten zusammen. Die Richtlinie übersetzt AI Act und KI-Verordnung in den konkreten KI-Einsatz. Sie legt fest, welche KI-Anwendungen erlaubt sind, welche KI-Systeme nur im Pilot laufen und wann der Einsatz von künstlicher Intelligenz gestoppt wird. So wird KI-Nutzung nicht nur technisch möglich, sondern Teil einer nachvollziehbaren Compliance.

Fazit

Eine KI-Richtlinie ist an einem Nachmittag entworfen und erspart Ihnen Datenschutzverstöße, Qualitätspannen und AI-Act-Ärger. Sie ist außerdem die Grundlage, auf der Ihr Team KI selbstbewusst nutzen darf — und genau das ist ihr eigentlicher Wert.

Sie möchten Richtlinie und Team-Schulung in einem Schritt erledigen? In unseren KI-Workshops erarbeiten wir beides gemeinsam mit Ihrem Team. Eine mögliche Förderung prüfen Sie bitte vor der Buchung. Erstgespräch vereinbaren.

Häufige Fragen