Ohne verbindliche Regeln entscheidet jeder Beschäftigte selbst, was er in ein KI-Werkzeug eingibt. Und weil niemand böswillig handelt, sondern nur pragmatisch, landen dort früher oder später Dinge, die dort nicht hingehören: der Vertragsentwurf, den jemand zusammenfassen lassen will, die Bewerbungsunterlagen, die vorsortiert werden sollen, die Kundenliste, aus der eine Ansprache entstehen soll.

Eine KI-Richtlinie beantwortet diese Fragen einmal für alle. Sie ist zugleich der praktische Kern der Kompetenzpflicht nach Artikel 4 der KI-Verordnung: Schulung vermittelt Verständnis, die Richtlinie hält fest, was daraus für den Alltag folgt. Dieser Beitrag zeigt, was hineingehört – und was Sie weglassen sollten, damit sie gelesen wird.

Der Grundsatz: erlauben statt verbieten

Die häufigste Fehlentscheidung ist das pauschale Verbot. Es wirkt sicher, ist aber das Gegenteil davon. Wo KI verboten ist, verschwindet sie nicht, sondern wandert auf private Geräte und in private Konten – dorthin, wo weder Schutz noch Aufsicht besteht.

Wirksame Richtlinien arbeiten deshalb umgekehrt: Sie benennen bereitgestellte Werkzeuge, für die klare Bedingungen gelten, und ziehen dann die Grenzen. Das Signal lautet nicht „lasst die Finger davon", sondern „nutzt es – so".

Die sieben Bausteine

1. Geltungsbereich

Für wen gilt die Richtlinie? Üblicherweise für alle Beschäftigten einschließlich Auszubildender, Aushilfen und Praktikanten, sowie für Externe, die im Auftrag tätig sind. Halten Sie auch fest, dass sie für jede berufliche Nutzung gilt, unabhängig von Gerät und Konto – das schließt die Lücke der privaten Zugänge.

2. Freigegebene Werkzeuge

Eine namentliche Liste der Werkzeuge, die genutzt werden dürfen, mit dem jeweiligen Zugangsweg. Wichtig ist die Unterscheidung zwischen kostenlosen und geschäftlichen Zugängen: Bei kostenlosen Versionen werden Eingaben in aller Regel zur Verbesserung der Modelle ausgewertet, weshalb sie für betriebliche Inhalte ausscheiden.

Ergänzen Sie den Weg für neue Werkzeuge. Ohne ihn entsteht Schattennutzung, sobald jemand etwas Nützliches entdeckt.

3. Die Datengrenze

Der wichtigste Abschnitt und derjenige, der am häufigsten zu abstrakt gerät. „Keine vertraulichen Daten" hilft niemandem, weil jeder etwas anderes darunter versteht. Arbeiten Sie stattdessen mit Kategorien und Beispielen.

Bewährt hat sich eine dreistufige Einteilung: unkritisch (öffentlich verfügbare Informationen, allgemeine Formulierungen), eingeschränkt (interne Inhalte ohne Personenbezug – nur in freigegebenen geschäftlichen Zugängen) und gesperrt (personenbezogene Daten von Kunden, Bewerbern und Beschäftigten, Gesundheits- und Vertragsdaten, Zugangsdaten, Geschäftsgeheimnisse). Ausführlich behandeln wir diese Linie in ChatGPT im Büro: Wo die Grenze bei Firmendaten liegt.

4. Prüfpflicht und Verantwortung

Halten Sie ausdrücklich fest, dass KI-Ergebnisse Vorschläge sind und die fachliche Verantwortung bei der Person bleibt, die sie übernimmt. Konkretisieren Sie es: Zahlen, Namen, Zitate, Rechtsverweise und Fachaussagen sind vor der Verwendung zu prüfen. Diese Aufzählung ist wirksamer als jede allgemeine Sorgfaltsformel.

5. Kennzeichnung

Regeln Sie, wann KI-Beteiligung offenzulegen ist. Intern kann das großzügig gehandhabt werden; nach außen – etwa bei Gutachten, Bewerbungsrückmeldungen oder redaktionellen Inhalten – ist Transparenz sinnvoll und teils rechtlich geboten. Für bestimmte Inhalte sieht der AI Act eigene Transparenzpflichten vor.

6. Verbotene Anwendungen

Ein kurzer, klarer Abschnitt. Dazu gehören Anwendungen, die der AI Act untersagt, sowie solche, die Sie im Unternehmen nicht wollen: etwa die automatisierte Bewertung von Beschäftigten, das Erzeugen von Inhalten unter falscher Urheberschaft oder der Einsatz in Bereichen, in denen berufsrechtliche Pflichten entgegenstehen. Was im Personalbereich zu beachten ist, steht in KI in der Personalabteilung: Was erlaubt ist.

7. Ansprechpartner und Meldeweg

Wer beantwortet Zweifelsfragen? Und – oft vergessen – wie meldet jemand, dass etwas schiefgegangen ist? Wenn versehentlich Kundendaten in ein Werkzeug geraten sind, muss das ohne Angst gemeldet werden können, weil daraus womöglich eine Meldepflicht nach Datenschutzrecht folgt.

Was die Richtlinie nicht leisten soll

Drei verbreitete Fehler machen Richtlinien wirkungslos.

Zu lang. Eine Richtlinie, die zwölf Seiten umfasst, wird nicht gelesen. Zwei bis vier Seiten sind das realistische Maß. Ausführliches gehört in die Schulung, nicht ins Regelwerk.

Zu technisch. Wenn die Richtlinie Begriffe wie Tokenisierung oder Modellarchitektur erklärt, hat sie den Adressaten verfehlt. Sie richtet sich an die Buchhaltung, nicht an die IT.

Zu statisch. Eine Richtlinie ohne Datum und ohne Zuständigkeit für Aktualisierung veraltet in Monaten. Setzen Sie eine Versionsnummer, ein Datum und einen jährlichen Überprüfungstermin.

Einführung: der unterschätzte Teil

Eine gute Richtlinie im Intranet verändert nichts. Was sie wirksam macht, ist die Kombination aus drei Dingen.

Erklärung statt Verteilung. Die Regeln sollten im Rahmen der Schulung erläutert werden, mit den Begründungen. Wer versteht, warum kostenlose Zugänge für Kundendaten ausscheiden, hält sich daran auch dann, wenn es unbequem ist.

Dokumentierte Kenntnisnahme. Jede Person bestätigt, die Richtlinie erhalten zu haben. Das ist zugleich ein Baustein Ihres Kompetenznachweises, wie in KI-Kompetenz nachweisen: So dokumentieren Sie richtig beschrieben.

Vorbild der Führung. Wenn die Geschäftsführung Kundendaten in ein kostenloses Werkzeug kippt, ist die Richtlinie Makulatur, egal wie gut sie formuliert ist.

Mitbestimmung nicht vergessen

Wo ein Betriebsrat besteht, ist er zu beteiligen. Regelungen zum Verhalten der Beschäftigten im Betrieb unterliegen der Mitbestimmung, und der Einsatz von Systemen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind, ebenfalls. Diese Eignung ist bei vielen KI-Werkzeugen gegeben, unabhängig davon, ob Sie sie so nutzen wollen.

Praktisch heißt das: Beziehen Sie den Betriebsrat früh ein, statt eine fertige Richtlinie vorzulegen. Der Zeitgewinn ist erheblich, weil Sie sonst am Ende ohnehin verhandeln – dann aber unter Zeitdruck.

Fazit

Eine KI-Richtlinie ist kein juristisches Werk, sondern eine Arbeitsanweisung: welche Werkzeuge, welche Daten, welche Prüfpflichten, wer hilft weiter. Vier Seiten, verständlich formuliert, in der Schulung erklärt und mit dokumentierter Kenntnisnahme verteilt – damit haben Sie mehr erreicht als mit jedem umfangreichen Regelwerk, das niemand liest.

Wenn Sie die Regeln nicht nur verteilen, sondern auch vermitteln möchten: Unser Kurs KI im Arbeitsalltag behandelt Datengrenzen, Prüfpflichten und den sicheren Umgang mit Werkzeugen über acht Wochen hinweg – so, dass die Richtlinie danach nicht erklärt werden muss, sondern verstanden ist.

Häufige Fragen zur KI-Richtlinie

Ist eine KI-Richtlinie gesetzlich vorgeschrieben?

Als solche nicht. Der EU AI Act verlangt in Artikel 4 Maßnahmen zur KI-Kompetenz, nennt aber keine Richtlinie. In der Praxis ist sie das naheliegende Mittel, um die Anforderungen umzusetzen und nachzuweisen – und aus Datenschutzsicht ohnehin geboten, sobald personenbezogene Daten im Spiel sind.

Wie lang sollte eine KI-Richtlinie sein?

Zwei bis vier Seiten. Längere Dokumente werden nicht gelesen, und eine ungelesene Richtlinie erfüllt keinen Zweck. Vertiefende Erläuterungen gehören in die Schulung.

Sollten wir KI im Unternehmen einfach verbieten?

Davon ist abzuraten. Ein Verbot verlagert die Nutzung auf private Geräte und Konten, wo weder Schutz noch Aufsicht bestehen. Wirksamer ist es, geeignete Werkzeuge bereitzustellen und die Grenzen klar zu ziehen.

Muss der Betriebsrat beteiligt werden?

Wo ein Betriebsrat besteht, in aller Regel ja. Regelungen zum Verhalten im Betrieb unterliegen der Mitbestimmung, ebenso die Einführung von Systemen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind. Diese Eignung ist bei vielen KI-Werkzeugen gegeben.

Wie oft sollte die Richtlinie überprüft werden?

Mindestens jährlich, zusätzlich anlassbezogen bei neuen Werkzeugen oder geänderten Einsatzbereichen. Versionsnummer und Datum gehören auf das Dokument, damit erkennbar bleibt, welcher Stand gilt.