Eine KI-Richtlinie für dein Unternehmen musst du nicht bei null beginnen: Hier findest du ein Muster mit zwölf kurzen Abschnitten, das du nur noch anpasst. Die Vorlage regelt, welche KI-Werkzeuge im Betrieb erlaubt sind, welche Daten nicht hineingehören, wer KI-Ergebnisse prüft, wie dein Team geschult wird und an wen man sich bei Problemen wendet. Unten findest du jeden Abschnitt erklärt, die Vorlage als Word-Datei zum Herunterladen und die Schritte, mit denen du die Richtlinie in deinem Team einführst.
Wichtig vorab: Dieser ganze Artikel und die Vorlage sind keine Rechtsberatung. Das Muster ist ein Ausgangspunkt, kein fertiges Dokument. Prüf es für dein Unternehmen und pass es an, am besten gemeinsam mit deiner Rechtsberatung. Die Angaben zur KI-Verordnung geben den Stand vom 13. Oktober 2026 wieder.
Warum eine Richtlinie sinnvoll ist und welche Fragen sie beantworten sollte, erkläre ich im Grundlagenartikel Was in eine KI-Richtlinie gehört. Hier geht es um die Praxis: die Vorlage selbst.
Das Muster: die KI-Richtlinie für dein Unternehmen, Abschnitt für Abschnitt
Die Vorlage folgt den Abschnitten aus dem Grundlagenartikel, ergänzt aber Begriffe und eine Kenntnisnahme zum Unterschreiben. Urheberrecht und Rechte Dritter stehen in der Vorlage unter „Umgang mit Ergebnissen“. Deshalb sind es hier zwölf Abschnitte. Alles in eckigen Klammern ersetzt du durch deine eigenen Angaben, zum Beispiel [Firmenname], [Datum] oder [Name der verantwortlichen Person]. Das sind die Abschnitte und ihre Kernregeln:
- Zweck und Geltungsbereich: Die Richtlinie gilt für alle Beschäftigten, auch auf privaten Geräten, sobald es um Arbeit geht. Ob sie auch für freie Mitarbeitende und Dienstleister gilt, legst du fest und vereinbarst es dann mit ihnen im Vertrag.
- Begriffe: Kurz erklärt, was mit KI-Werkzeug, Eingabe, Ergebnis, personenbezogenen Daten, Anbieter, Betreiber und Freigabeliste gemeint ist, damit alle dasselbe darunter verstehen.
- Verantwortung: Eine Person ist für die Richtlinie zuständig: [Name der verantwortlichen Person]. Für jedes Ergebnis bleibt verantwortlich, wer es verwendet, nicht das Werkzeug.
- Erlaubte Werkzeuge und Freigabe: Nur Werkzeuge auf der Freigabeliste dürfen für die Arbeit genutzt werden, und zwar über Firmenkonten. Ein neues Werkzeug wird vorher beantragt und geprüft, auch wenn es kostenlos ist.
- Umgang mit Daten: Fünf Datenklassen regeln, was in welches Werkzeug darf (siehe Tabelle unten). Passwörter und Zugangsdaten gehören in kein KI-Werkzeug.
- Umgang mit Ergebnissen: Ein Mensch prüft jedes Ergebnis, bevor es das Haus verlässt oder in eine Entscheidung einfließt. Nichts wird ungeprüft veröffentlicht. Wo eine Kennzeichnung vorgeschrieben ist, wird gekennzeichnet, und bei allem, was nach außen geht, wird auf Rechte Dritter geachtet.
- Transparenz gegenüber Kundschaft und Öffentlichkeit: Wenn Kundinnen und Kunden direkt mit einer KI kommunizieren, soll das für sie erkennbar sein. Täuschend echt wirkende, mit KI erzeugte oder veränderte Bilder, Töne und Videos werden offengelegt.
- KI-Kompetenz und Schulung: Wer KI-Werkzeuge nutzt, bekommt eine Einführung, bevor es losgeht, und eine Auffrischung, wenn sich Werkzeuge oder Regeln ändern. Die Schulungen werden dokumentiert.
- Vorfälle und Ansprechperson: Wer merkt, dass vertrauliche oder personenbezogene Daten ohne Freigabe in ein Werkzeug gelangt sind oder ein fehlerhaftes Ergebnis nach außen gegangen ist, meldet das sofort an [Ansprechperson und E-Mail-Adresse]. Melden ist erwünscht, Verschweigen nicht.
- Verstöße: Für Verstöße gelten die bestehenden Regeln von [Firmenname], etwa der Arbeitsvertrag und interne Vorgaben. Die Richtlinie schafft keine eigenen Sanktionen.
- Überprüfung: Die Richtlinie wird mindestens [alle sechs oder zwölf Monate] überprüft und außerdem, sobald ein neues Werkzeug dazukommt oder sich die Rechtslage ändert.
- Kenntnisnahme: Jede Person bestätigt mit Unterschrift, dass sie die Richtlinie gelesen hat.
Das Herzstück ist die Tabelle in Abschnitt 5. In Kurzform sieht diese Tabelle so aus; die Beispiele passt du an deinen Betrieb an. Fällt eine Angabe in mehrere Klassen, gilt die strengere Regel.
| Datenklasse | Beispiele | Eingabe in KI-Werkzeuge |
|---|---|---|
| Öffentlich | veröffentlichte Website-Texte, Prospekte | in allen freigegebenen Werkzeugen |
| Intern | Abläufe, Entwürfe ohne Personenbezug | nur in Werkzeugen, die für „intern“ freigegeben sind |
| Vertraulich | Angebote, Kalkulationen, Verträge, Geschäftsgeheimnisse | nur mit ausdrücklicher Freigabe und in dafür freigegebenen Werkzeugen |
| Personenbezogen | Namen, Kontaktdaten, Kundennummern, Bewerbungsunterlagen | nur mit ausdrücklicher Freigabe, nach Abstimmung zum Datenschutz und in dafür freigegebenen Werkzeugen |
| Nie eingeben | Passwörter, Zugangsdaten, Bank- und Zahlungsdaten | in keinem KI-Werkzeug |
In der Word-Datei steht jeder Abschnitt ausformuliert, mit Platzhaltern, der vollständigen Tabelle und einem Feld für die Unterschrift.
Vorlage als Word-Datei herunterladen
So passt du die Vorlage an und führst sie ein
Eine Richtlinie wirkt erst, wenn sie zu deinem Betrieb passt und dein Team sie kennt. Ich empfehle diese Reihenfolge, weil jeder Schritt auf dem vorigen aufbaut:
- Platzhalter ausfüllen: Setz Firmenname, verantwortliche Person, Ansprechperson und Datum ein. Entscheide bei jedem Abschnitt bewusst, ob er für dich gilt.
- Werkzeuge festlegen: Schau dir an, welche KI-Werkzeuge in deinem Team heute schon genutzt werden, auch die, die niemand offiziell eingeführt hat. Entscheide dann, welche auf die Freigabeliste kommen und für welche Datenklassen sie freigegeben sind.
- Datenklassen klären: Geh die Tabelle mit Beispielen aus deinem Alltag durch. Was ist bei dir „intern“, was „vertraulich“? Bei personenbezogenen Daten holst du die Person dazu, die bei dir für Datenschutz zuständig ist, oder deine Rechtsberatung.
- Team einbeziehen: Sprich mit den Menschen, die KI nutzen, bevor die Richtlinie gilt. Wer täglich damit arbeitet, merkt, wo Regeln im Alltag haken. Bezieh auch den Betriebsrat früh ein, falls es einen gibt. Ob er mitbestimmen darf oder zustimmen muss, klärst du mit deiner Rechtsberatung.
- Schulen: Eine Richtlinie ersetzt keine Einführung. Zeig an Beispielen aus deinem Betrieb, was erlaubt ist und was nicht. Wie eine gute Schulung aussieht, liest du im Artikel KI-Schulung für Mitarbeiter.
- Bekanntmachen und unterschreiben lassen: Leg die Richtlinie dort ab, wo dein Team sie findet, und lass die Kenntnisnahme bestätigen.
- Regelmäßig prüfen: Trag dir den Termin für die nächste Überprüfung gleich ein. KI-Werkzeuge ändern sich schnell, und auch die KI-Verordnung wurde bereits geändert.
Welche Regeln der KI-Verordnung die Vorlage aufgreift
Die Vorlage nimmt zwei Pflichten aus der EU-KI-Verordnung (AI Act) auf, in der Fassung, die der AI Act Service Desk der EU-Kommission mit Stand vom 27. Juli 2026 wiedergibt (konsolidierte Fassung auf EUR-Lex). Die Hintergründe stehen im Grundlagenartikel Was in eine KI-Richtlinie gehört.
- Abschnitt 8, KI-Kompetenz: Nach Artikel 4 ergreifen Anbieter und Betreiber von KI-Systemen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Was das für Schulungen bedeutet, steht im Artikel KI-Schulung für Mitarbeiter.
- Abschnitt 7, Transparenz: Artikel 50 gilt seit dem 2. August 2026 (Artikel 113). Die Anbieter von KI-Systemen, die für die direkte Kommunikation mit Menschen bestimmt sind, müssen sie so gestalten, dass die Menschen darüber informiert werden, außer es ist offensichtlich. Betreiber müssen unter anderem Deepfakes offenlegen.
Wer was ist, regelt Artikel 3: Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Lässt du zum Beispiel einen Chat-Assistenten bauen und setzt ihn unter deinem Namen ein, klär mit deiner Rechtsberatung, ob du damit Anbieter bist.
Datenschutz, Urheberrecht, Geschäftsgeheimnisse und Arbeitsrecht spricht die Vorlage nur allgemein an. Diese Fragen klärst du mit deiner Rechtsberatung und, für den Datenschutz, mit der Person, die bei dir dafür zuständig ist.
Typische Stolpersteine beim Anpassen der Vorlage
- Übersehene Platzhalter: Such vor der Freigabe im Dokument nach eckigen Klammern. Jede, die übrig bleibt, ist eine offene Entscheidung.
- Hinweise der Vorlage mitveröffentlichen: Der Hinweis „keine Rechtsberatung“ und die Herkunftsangabe am Anfang gehören nicht in deine fertige Richtlinie. Entferne sie, wenn die Prüfung erledigt ist.
- Beim Streichen die Verweise vergessen: Die Abschnitte verweisen aufeinander, etwa Abschnitt 6 auf Abschnitt 7. Wenn du etwas streichst oder umnummerierst, pass die Verweise an.
- Leere Freigabeliste: Eine Richtlinie mit „[Name des Werkzeugs 1]“ regelt nichts. Trag mindestens die Werkzeuge ein, die heute schon im Einsatz sind.
- Beispiele nicht auf deinen Betrieb übertragen: Die Beispiele in der Datentabelle sind allgemein. Erst mit deinen eigenen Beispielen, etwa deinen Angebotsunterlagen oder deiner Kundenkartei, wird klar, was gemeint ist.
- Rechtsstand nicht prüfen: Die Rechtsangaben der Vorlage haben ein Datum. Liegt es länger zurück, prüf vor der Einführung, ob sich etwas geändert hat.
Dein nächster Schritt
Die Vorlage gibt dir den Rahmen. Welche Werkzeuge und Abläufe bei dir auf die Freigabeliste gehören, ist die eigentliche Arbeit. Dabei hilft das KI-Audit: Ich sehe mir deine Abläufe an, und du bekommst Verbesserungen und einen 30-Tage-Fahrplan mit den ersten Schritten, für 1.250 €. Verbindliche rechtliche Bewertungen bleiben bei deiner Rechtsberatung. Für die Einführung im Team biete ich KI-Schulungen für Firmen an, online oder vor Ort, zum Beispiel in Wien; die Themen richten sich nach deiner Anfrage. Schreib mir, wo deine KI-Richtlinie gerade hakt.