Ob du es erlaubt hast oder nicht: In deinem Unternehmen wird mit hoher Wahrscheinlichkeit längst KI genutzt. Laut einer LinkedIn-Befragung, über die das Handelsblatt berichtet, nutzen rund sieben von zehn Beschäftigten in Deutschland KI-Tools, die ihr Arbeitgeber nicht bereitgestellt hat. Das heißt im Klartext: Kundendaten, Kalkulationen und interne Dokumente landen in Diensten, die niemand in deinem Haus je geprüft hat.
Eine KI-Richtlinie löst genau dieses Problem. Sie legt fest, welche Tools erlaubt sind, welche Daten hinein dürfen, wie Ergebnisse geprüft und gekennzeichnet werden und wer wofür verantwortlich ist. In diesem Artikel bekommst du eine konkrete Gliederung mit acht Abschnitten, die du direkt übernehmen kannst – ohne Download, ohne Anwaltsdeutsch, zugeschnitten auf mittelständische Unternehmen.
Warum unkontrollierte KI-Nutzung ein echtes Risiko ist
Das Phänomen hat einen Namen: Schatten-KI. Mitarbeitende nutzen private Konten von ChatGPT, Gemini oder anderen Tools, weil die Werkzeuge ihnen schlicht helfen – und weil das Unternehmen keine Alternative anbietet. Das Problem ist nicht der Wille der Mitarbeitenden, sondern das Fehlen von Leitplanken.
Die Risiken sind dabei sehr konkret:
- Datenabfluss: Eingaben in kostenlose Consumer-Versionen können je nach Einstellung für das Training der Modelle verwendet werden. Was einmal im Prompt stand, holst du nicht mehr zurück.
- Qualitätsrisiken: KI-Modelle erfinden Fakten. Landet eine erfundene Zahl ungeprüft im Angebot oder im Kundenanschreiben, fällt das nicht auf das Tool zurück, sondern auf dein Unternehmen.
Ein Totalverbot löst davon nichts. Es verlagert die Nutzung nur ins Verborgene und macht sie damit unsteuerbar. Eine Richtlinie ist der Mittelweg: KI ja, aber mit klaren Regeln.
Die Vorlage: 8 Abschnitte für deine KI-Richtlinie
Hier ist die Gliederung, die sich in der Praxis bewährt hat. Du kannst sie eins zu eins als Grundgerüst übernehmen und pro Abschnitt eine halbe bis eine Seite ausformulieren:
- Ziel und Geltungsbereich: Wozu die Richtlinie dient und für wen sie gilt – alle Mitarbeitenden, aber auch Werkstudenten, Freelancer und externe Dienstleister, die für dich arbeiten.
- Erlaubte Tools (Whitelist): Eine konkrete Liste der freigegebenen KI-Tools inklusive Konto-Typ, zum Beispiel ChatGPT Business ja, private Gratis-Konten nein. Alles, was nicht auf der Liste steht, ist nicht freigegeben.
- Datenklassen und Daten-Ampel: Welche Informationen in KI-Tools eingegeben werden dürfen und welche nicht – mit konkreten Beispielen statt abstrakter Kategorien. Dieser Abschnitt ist das Herzstück (mehr dazu unten).
- Freigabeprozess für neue Tools: Wie Mitarbeitende ein neues Tool vorschlagen, wer es prüft (fachlich, IT-Sicherheit, Umgang mit Daten) und in welchem Zeitrahmen entschieden wird. Ein schneller Prozess ist die beste Versicherung gegen Schatten-KI.
- Menschliche Kontrolle der Ergebnisse: KI-Ergebnisse sind Entwürfe, keine Endprodukte. Wer ein Ergebnis verwendet, prüft es und trägt die Verantwortung dafür – besonders bei Zahlen, Rechtsaussagen und allem, was an Kunden geht.
- Kennzeichnung KI-generierter Inhalte: Wann und wie KI-Einsatz offengelegt wird – intern, gegenüber Kunden und öffentlich.
- Schulung und KI-Kompetenz: Wer wann geschult wird – bei Einführung, beim Onboarding neuer Mitarbeitender und bei wesentlichen Änderungen. Schulungen werden dokumentiert.
- Verantwortlichkeiten, Verstöße und Pflege: Wer im Unternehmen für KI-Themen zuständig und ansprechbar ist, wie Vorfälle gemeldet werden und was bei Verstößen passiert. Dazu ein fester Rhythmus, in dem die Richtlinie überprüft und aktualisiert wird.
Mehr braucht es für den Start nicht. Eine gute KI-Richtlinie im Mittelstand passt auf vier bis sechs Seiten.
Die Daten-Ampel: das Herzstück in der Praxis
Abschnitt 3 entscheidet darüber, ob deine Richtlinie im Alltag funktioniert. Mitarbeitende müssen in Sekunden entscheiden können, ob eine Eingabe in Ordnung ist. Dafür hat sich ein Ampelmodell bewährt:
- Grün – frei nutzbar: Öffentlich verfügbare Informationen, allgemeine Textentwürfe, Recherchen ohne Firmenbezug, Formulierungshilfen. Beispiel: „Formuliere eine freundliche Terminbestätigung.“
- Gelb – nur in freigegebenen Business-Tools: Interne Inhalte ohne Personenbezug, etwa Prozessbeschreibungen, anonymisierte Auswertungen oder Entwürfe interner Dokumente. Beispiel: ein Protokoll zusammenfassen, aus dem Namen entfernt wurden.
- Rot – tabu: Personenbezogene Daten von Kunden, Mitarbeitenden oder Bewerbern, Gesundheitsdaten, Zugangsdaten, Verträge, Kalkulationen und alles, was ein Geschäftsgeheimnis ist. Diese Daten gehören in kein KI-Tool, für das es keine ausdrückliche Freigabe gibt.
Wichtig: Arbeite mit Beispielen aus deinem eigenen Betrieb. „Vertrauliche Daten“ versteht jeder anders – „die Stückliste der Baugruppe X“ versteht jeder gleich.
So führst du die Richtlinie ein, ohne dass sie in der Schublade landet
Das beste Dokument nützt nichts, wenn es nur im Intranet liegt. So kommst du in vier Schritten zu einer gelebten Richtlinie:
- Bestandsaufnahme: Frage anonym ab, welche Tools heute tatsächlich genutzt werden. Das Ergebnis ist fast immer überraschend – und die ehrlichste Grundlage für deine Whitelist.
- Entwurf mit den richtigen Leuten: Geschäftsführung, IT und ein bis zwei Personen aus den Fachbereichen reichen.
- Vorstellen statt verteilen: Stelle die Richtlinie in einer kurzen Schulung vor und lass den Empfang dokumentieren. Ein kompakter KI-Workshop für das ganze Team erledigt Schulung und Praxiseinstieg in einem Termin.
- Pflegen: Lege einen festen Termin fest, etwa alle sechs bis zwölf Monate, an dem Whitelist und Regeln überprüft werden. KI-Tools ändern sich schnell – deine Richtlinie muss mithalten.
Typische Fehler – und wie du sie vermeidest
- Totalverbot: Verbote ohne Alternative erzeugen genau die Schatten-KI, die du verhindern willst. Biete mindestens ein freigegebenes Tool an.
- Juristendokument: Zwanzig Seiten Paragrafenprosa liest niemand. Schreibe so, dass ein neuer Mitarbeitender die Regeln in fünfzehn Minuten versteht.
- Fremde Vorlage ungeprüft übernehmen: Eine Richtlinie, die nicht zu deinen Tools, Daten und Abläufen passt, wird ignoriert. Die Gliederung oben ist ein Gerüst – die Inhalte müssen aus deinem Unternehmen kommen.
- Niemand ist zuständig: Ohne benannten Ansprechpartner versanden Fragen und Tool-Wünsche – und die Nutzung wandert zurück ins Private.
- Einmal schreiben, nie anfassen: Eine Richtlinie mit veralteter Toolliste verliert sofort ihre Glaubwürdigkeit.
Wenn du unsicher bist, wie streng deine Regeln ausfallen sollten oder welche Tools sich für deine Prozesse eignen, hilft ein Blick von außen: In einer KI-Beratung klären wir Toolauswahl, Datenklassen und Freigabeprozess passend zu deinem Betrieb.
Häufige Fragen
Reicht die kostenlose Version von ChatGPT für den Firmeneinsatz?
Für die Arbeit mit internen oder personenbezogenen Daten: nein. Bei Consumer-Versionen können Eingaben je nach Einstellung für das Training verwendet werden. Wie du stattdessen einen offiziellen Weg anbietest, erkläre ich im Artikel zu Schatten-KI.
Wie lang sollte eine KI-Richtlinie sein?
So kurz wie möglich. Vier bis sechs Seiten reichen im Mittelstand fast immer. Eine kurze Richtlinie, die jeder gelesen hat, schützt dich besser als ein vollständiges Werk, das niemand kennt.
Was passiert, wenn Mitarbeitende gegen die Richtlinie verstoßen?
Das regelst du in Abschnitt 8. Meist sind Gespräch und Nachschulung der richtige Weg. Noch wichtiger ist eine Meldekultur: Wer einen Fehler sofort meldet, gibt dir die Chance, den Schaden zu begrenzen.
Fazit
Deine Mitarbeitenden nutzen KI – die einzige Frage ist, ob mit oder ohne Leitplanken. Eine KI-Richtlinie mit den acht Abschnitten aus diesem Artikel gibt dir die Grundlage, damit dein Team KI produktiv statt heimlich einsetzt. Fang mit der Bestandsaufnahme und der Daten-Ampel an, halte das Dokument kurz und stelle es persönlich vor.
Du willst deine KI-Richtlinie nicht allein aufsetzen? Dann melde dich bei mir – gemeinsam entwickeln wir Richtlinie, Toolauswahl und Schulung in einem Rutsch, passend für dein Unternehmen im Ostalbkreis und darüber hinaus.