KI-Richtlinie fürs Unternehmen erstellen: Was reingehört

Ob du es erlaubt hast oder nicht: In deinem Unternehmen wird mit hoher Wahrscheinlichkeit längst KI genutzt. Laut einer LinkedIn-Befragung, über die das Handelsblatt berichtet, nutzen rund sieben von zehn Beschäftigten in Deutschland KI-Tools, die ihr Arbeitgeber nicht bereitgestellt hat. Das heißt im Klartext: Kundendaten, Kalkulationen und interne Dokumente landen in Diensten, die niemand in deinem Haus je geprüft hat.

Eine KI-Richtlinie löst genau dieses Problem. Sie legt fest, welche Tools erlaubt sind, welche Daten hinein dürfen, wie Ergebnisse geprüft und gekennzeichnet werden und wer wofür verantwortlich ist. In diesem Artikel bekommst du eine konkrete Gliederung mit zehn Abschnitten, die du direkt übernehmen kannst – ohne Download, ohne Anwaltsdeutsch, zugeschnitten auf mittelständische Unternehmen.

Warum unkontrollierte KI-Nutzung ein echtes Risiko ist

Das Phänomen hat einen Namen: Schatten-KI. Mitarbeitende nutzen private Konten von ChatGPT, Gemini oder anderen Tools, weil die Werkzeuge ihnen schlicht helfen – und weil das Unternehmen keine Alternative anbietet. Das Problem ist nicht der Wille der Mitarbeitenden, sondern das Fehlen von Leitplanken.

Die Risiken sind dabei sehr konkret:

• Datenabfluss: Eingaben in kostenlose Consumer-Versionen können je nach Einstellung für das Training der Modelle verwendet werden. Was einmal im Prompt stand, holst du nicht mehr zurück.
• DSGVO-Verstöße: Wer Namen, E-Mail-Adressen oder Bewerbungsunterlagen in ein nicht geprüftes Tool eingibt, verarbeitet personenbezogene Daten ohne Rechtsgrundlage und ohne Auftragsverarbeitungsvertrag.
• Verlust von Geschäftsgeheimnissen: Rechtlichen Schutz genießen Geschäftsgeheimnisse nach dem Geschäftsgeheimnisgesetz nur, wenn du angemessene Geheimhaltungsmaßnahmen nachweisen kannst. Unkontrollierte KI-Nutzung spricht genau dagegen.
• Qualitätsrisiken: KI-Modelle erfinden Fakten. Landet eine erfundene Zahl ungeprüft im Angebot oder im Kundenanschreiben, haftet nicht das Tool – sondern dein Unternehmen.

Ein Totalverbot löst davon nichts. Es verlagert die Nutzung nur ins Verborgene und macht sie damit unsteuerbar. Eine Richtlinie ist der Mittelweg: KI ja, aber mit klaren Regeln.

Was AI Act und DSGVO von dir verlangen

Eine KI-Richtlinie ist als Dokument nirgendwo wörtlich vorgeschrieben. Sie ist aber der praktikabelste Weg, mehrere echte Rechtspflichten nachweisbar umzusetzen:

• KI-Kompetenz (Art. 4 KI-Verordnung): Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Das betrifft praktisch jedes Unternehmen, das KI-Tools im Arbeitsalltag einsetzt.
• Transparenzpflichten (Art. 50 KI-Verordnung): Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 der KI-Verordnung. Wer etwa einen Chatbot im Kundenkontakt einsetzt, muss erkennbar machen, dass Menschen mit einer KI interagieren – außer, es ist offensichtlich. Auch Deepfakes und bestimmte KI-generierte Inhalte müssen gekennzeichnet werden. Bei Verstößen drohen nach Art. 99 Abs. 4 der Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
• DSGVO: Sobald personenbezogene Daten in Prompts landen, liegt eine Datenverarbeitung vor. Du brauchst eine Rechtsgrundlage – und wenn der Tool-Anbieter die Daten in deinem Auftrag verarbeitet, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Business-Versionen der großen Anbieter bieten solche Verträge an, kostenlose Privat-Versionen in der Regel nicht.

Welche Pflichten aus der KI-Verordnung wann für kleinere Unternehmen greifen, habe ich im Artikel zu den EU-AI-Act-Pflichten für KMU im Detail aufgeschlüsselt.

Die Vorlage: 10 Abschnitte für deine KI-Richtlinie

Hier ist die Gliederung, die sich in der Praxis bewährt hat. Du kannst sie eins zu eins als Grundgerüst übernehmen und pro Abschnitt eine halbe bis eine Seite ausformulieren:

1. Ziel und Geltungsbereich: Wozu die Richtlinie dient und für wen sie gilt – alle Mitarbeitenden, aber auch Werkstudenten, Freelancer und externe Dienstleister, die für dich arbeiten.
2. Erlaubte Tools (Whitelist): Eine konkrete Liste der freigegebenen KI-Tools inklusive Konto-Typ, zum Beispiel ChatGPT Business ja, private Gratis-Konten nein. Alles, was nicht auf der Liste steht, ist nicht freigegeben.
3. Datenklassen und Daten-Ampel: Welche Informationen in KI-Tools eingegeben werden dürfen und welche nicht – mit konkreten Beispielen statt abstrakter Kategorien. Dieser Abschnitt ist das Herzstück (mehr dazu unten).
4. Freigabeprozess für neue Tools: Wie Mitarbeitende ein neues Tool vorschlagen, wer es prüft (fachlich, IT-Sicherheit, Datenschutz) und in welchem Zeitrahmen entschieden wird. Ein schneller Prozess ist die beste Versicherung gegen Schatten-KI.
5. Menschliche Kontrolle der Ergebnisse: KI-Ergebnisse sind Entwürfe, keine Endprodukte. Wer ein Ergebnis verwendet, prüft es und trägt die Verantwortung dafür – besonders bei Zahlen, Rechtsaussagen und allem, was an Kunden geht.
6. Kennzeichnung KI-generierter Inhalte: Wann und wie KI-Einsatz offengelegt wird – intern, gegenüber Kunden und öffentlich. Hier setzt du die Transparenzpflichten aus Art. 50 der KI-Verordnung für dein Unternehmen konkret um.
7. Datenschutz und Verträge: Grundsatz: keine personenbezogenen Daten in KI-Tools ohne geprüfte Rechtsgrundlage und Auftragsverarbeitungsvertrag. Zuständig für die Prüfung ist dein Datenschutzbeauftragter oder eine benannte Person.
8. Urheberrecht und Geschäftsgeheimnisse: Keine fremden geschützten Werke ohne Erlaubnis hochladen, keine Geschäftsgeheimnisse in nicht freigegebene Tools. Dazu Regeln, wie mit generierten Inhalten umgegangen wird, bevor sie veröffentlicht werden.
9. Schulung und KI-Kompetenz: Wer wann geschult wird – bei Einführung, beim Onboarding neuer Mitarbeitender und bei wesentlichen Änderungen. Schulungen werden dokumentiert, damit du die Kompetenzpflicht aus Art. 4 belegen kannst.
10. Verantwortlichkeiten, Verstöße und Pflege: Wer im Unternehmen für KI-Themen zuständig und ansprechbar ist, wie Vorfälle gemeldet werden und was bei Verstößen passiert. Dazu ein fester Rhythmus, in dem die Richtlinie überprüft und aktualisiert wird.

Mehr braucht es für den Start nicht. Eine gute KI-Richtlinie im Mittelstand passt auf vier bis sechs Seiten.

Die Daten-Ampel: das Herzstück in der Praxis

Abschnitt 3 entscheidet darüber, ob deine Richtlinie im Alltag funktioniert. Mitarbeitende müssen in Sekunden entscheiden können, ob eine Eingabe in Ordnung ist. Dafür hat sich ein Ampelmodell bewährt:

• Grün – frei nutzbar: Öffentlich verfügbare Informationen, allgemeine Textentwürfe, Recherchen ohne Firmenbezug, Formulierungshilfen. Beispiel: „Formuliere eine freundliche Terminbestätigung.“
• Gelb – nur in freigegebenen Business-Tools: Interne Inhalte ohne Personenbezug, etwa Prozessbeschreibungen, anonymisierte Auswertungen oder Entwürfe interner Dokumente. Beispiel: ein Protokoll zusammenfassen, aus dem Namen entfernt wurden.
• Rot – tabu: Personenbezogene Daten von Kunden, Mitarbeitenden oder Bewerbern, Gesundheitsdaten, Zugangsdaten, Verträge, Kalkulationen und alles, was ein Geschäftsgeheimnis ist. Diese Daten gehören in kein KI-Tool, für das es keine ausdrückliche Freigabe mit vertraglicher Grundlage gibt.

Wichtig: Arbeite mit Beispielen aus deinem eigenen Betrieb. „Vertrauliche Daten“ versteht jeder anders – „die Stückliste der Baugruppe X“ versteht jeder gleich.

So führst du die Richtlinie ein, ohne dass sie in der Schublade landet

Das beste Dokument nützt nichts, wenn es nur im Intranet liegt. So kommst du in vier Schritten zu einer gelebten Richtlinie:

1. Bestandsaufnahme: Frage anonym ab, welche Tools heute tatsächlich genutzt werden. Das Ergebnis ist fast immer überraschend – und die ehrlichste Grundlage für deine Whitelist.
2. Entwurf mit den richtigen Leuten: Geschäftsführung, IT, Datenschutz und ein bis zwei Personen aus den Fachbereichen reichen. Gibt es einen Betriebsrat, gehört er früh an den Tisch, denn Regeln zur Tool-Nutzung berühren regelmäßig Mitbestimmungsrechte.
3. Vorstellen statt verteilen: Stelle die Richtlinie in einer kurzen Schulung vor und lass den Empfang dokumentieren. Erst die Kombination aus Richtlinie und nachgewiesener Schulung macht deine Umsetzung der Kompetenzpflicht belegbar. Ein kompakter KI-Workshop für das ganze Team erledigt Schulung und Praxiseinstieg in einem Termin.
4. Pflegen: Lege einen festen Termin fest, etwa alle sechs bis zwölf Monate, an dem Whitelist und Regeln überprüft werden. KI-Tools ändern sich schnell – deine Richtlinie muss mithalten.

Typische Fehler – und wie du sie vermeidest

• Totalverbot: Verbote ohne Alternative erzeugen genau die Schatten-KI, die du verhindern willst. Biete mindestens ein freigegebenes Tool an.
• Juristendokument: Zwanzig Seiten Paragrafenprosa liest niemand. Schreibe so, dass ein neuer Mitarbeitender die Regeln in fünfzehn Minuten versteht.
• Fremde Vorlage ungeprüft übernehmen: Eine Richtlinie, die nicht zu deinen Tools, Daten und Abläufen passt, wird ignoriert. Die Gliederung oben ist ein Gerüst – die Inhalte müssen aus deinem Unternehmen kommen.
• Niemand ist zuständig: Ohne benannten Ansprechpartner versanden Fragen und Tool-Wünsche – und die Nutzung wandert zurück ins Private.
• Einmal schreiben, nie anfassen: Eine Richtlinie mit veralteter Toolliste verliert sofort ihre Glaubwürdigkeit.

Wenn du unsicher bist, wie streng deine Regeln ausfallen sollten oder welche Tools sich für deine Prozesse eignen, hilft ein Blick von außen: In einer KI-Beratung klären wir Toolauswahl, Datenklassen und Freigabeprozess passend zu deinem Betrieb.

Häufige Fragen

Ist eine KI-Richtlinie gesetzlich verpflichtend?

Als eigenständiges Dokument nicht. Verpflichtend sind aber die Inhalte dahinter: die Förderung von KI-Kompetenz nach Art. 4 der KI-Verordnung, die Transparenzpflichten nach Art. 50 und die DSGVO-Anforderungen an jede Datenverarbeitung. Eine Richtlinie ist der einfachste Weg, all das nachweisbar zu organisieren.

Reicht die kostenlose Version von ChatGPT für den Firmeneinsatz?

Für die Arbeit mit internen oder personenbezogenen Daten: nein. Consumer-Versionen bieten in der Regel keinen Auftragsverarbeitungsvertrag, und Eingaben können je nach Einstellung für das Training verwendet werden. Wie du ChatGPT sauber im Unternehmen einsetzt, erkläre ich im Artikel ChatGPT DSGVO-konform im Unternehmen nutzen.

Wie lang sollte eine KI-Richtlinie sein?

So kurz wie möglich. Vier bis sechs Seiten reichen im Mittelstand fast immer. Eine kurze Richtlinie, die jeder gelesen hat, schützt dich besser als ein vollständiges Werk, das niemand kennt.

Was passiert, wenn Mitarbeitende gegen die Richtlinie verstoßen?

Das regelst du in Abschnitt 10. Bei fahrlässigen Verstößen sind Gespräch und Nachschulung meist der richtige Weg, bei vorsätzlichen kommen arbeitsrechtliche Konsequenzen in Betracht. Wichtiger als Sanktionen ist eine Meldekultur: Wer einen Fehler sofort meldet, gibt dir die Chance, den Schaden zu begrenzen.

Fazit

Deine Mitarbeitenden nutzen KI – die einzige Frage ist, ob mit oder ohne Leitplanken. Eine KI-Richtlinie mit den zehn Abschnitten aus diesem Artikel gibt dir beides: Rechtssicherheit gegenüber KI-Verordnung und DSGVO und die Grundlage, damit dein Team KI produktiv statt heimlich einsetzt. Fang mit der Bestandsaufnahme und der Daten-Ampel an, halte das Dokument kurz und stelle es persönlich vor.

Du willst deine KI-Richtlinie nicht allein aufsetzen? Dann melde dich bei mir – gemeinsam entwickeln wir Richtlinie, Toolauswahl und Schulung in einem Rutsch, passend für dein Unternehmen im Ostalbkreis und darüber hinaus.