KI-Richtlinie im Unternehmen: Inhalte und Einführung

Eine KI-Richtlinie im Unternehmen legt schriftlich fest, welche KI-Werkzeuge dein Team wofür nutzen darf, welche Daten dabei tabu sind und wer Ergebnisse prüft und bei Fragen hilft. Sobald in deinem Betrieb jemand mit Chat-Assistenten, Übersetzungs- oder Schreibhilfen arbeitet, lohnt sich so eine Richtlinie, auch wenn es nur wenige Leute sind. Hier liest du, wozu sie dient, was hineingehört und wie du die Richtlinie so einführst, dass dein Team auch danach arbeitet.

Du suchst direkt eine Vorlage? Im Artikel KI-Richtlinie Muster findest du eine Vorlage als Word-Datei zum Anpassen.

Was eine KI-Richtlinie ist

Eine KI-Richtlinie, oft auch KI-Nutzungsrichtlinie genannt, ist eine interne Regel für den Umgang mit künstlicher Intelligenz bei der Arbeit. Die Richtlinie beantwortet drei Fragen: Was ist erlaubt? Was ist nicht erlaubt? Und wer entscheidet im Zweifel?

Die deutsche Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzbehörden, nennt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom Mai 2024 zwei Formen: eine Dienst- oder Handlungsanweisung oder eine Betriebsvereinbarung mit dem Betriebsrat. Die KI-Richtlinie ist auch nicht dasselbe wie eine KI-Strategie: Die Strategie legt fest, wohin dein Unternehmen mit KI will. Die Richtlinie fasst diese Ausrichtung kurz zusammen und hält fest, welche Regeln im Alltag gelten.

Warum dein Unternehmen eine KI-Richtlinie braucht

Dieser ganze Artikel ist ein Überblick und keine Rechtsberatung. Welche Pflichten für dein Unternehmen gelten, klärst du mit deiner Rechtsberatung und mit der Person, die bei dir für Datenschutz zuständig ist.

KI wird ohnehin schon genutzt. In derselben Orientierungshilfe schreibt die DSK: „Ohne klare Regelungen, ob und wie KI-Anwendungen im Arbeitsalltag eingesetzt werden dürfen, besteht das Risiko, dass Beschäftigte KI-Anwendungen eigenmächtig und unkontrolliert nutzen.“ Die DSK ging 2024 davon aus, dass das in vielen Unternehmen und Behörden bereits Realität ist. Dazu kommt laut der KI-Servicestelle der RTR, der Rundfunk und Telekom Regulierungs-GmbH, einer österreichischen Regulierungsbehörde: KI steckt in vielen Softwareprodukten, und Updates bestehender Standardsoftware bringen oft neue KI-Funktionen mit. Manches läuft also womöglich schon, ohne dass die Zuständigen im Betrieb davon wissen.

Daten und Geschäftsgeheimnisse schützen. Die RTR nennt ein Beispiel: Stellst du deinem Team einen Chatbot bereit, musst du darauf achten, dass weder personenbezogene Daten noch Geschäftsgeheimnisse unrechtmäßig beim Anbieter landen. Die DSGVO verlangt unter anderem, dass personenbezogene Daten nur für festgelegte Zwecke verarbeitet werden und auf das notwendige Maß beschränkt bleiben (Artikel 5 Absatz 1). Verarbeitet ein externer KI-Dienst dabei personenbezogene Daten in deinem Auftrag, liegt laut DSK häufig eine Auftragsverarbeitung vor. Dann brauchst du mit dem Anbieter einen Vertrag nach Artikel 28 Absatz 3 DSGVO.

Ergebnisse sind nicht automatisch richtig. Die DSK hält fest, dass Ergebnisse von KI-Anwendungen mit Personenbezug kritisch hinterfragt werden müssen. Die DSK verweist darauf, dass die Anbieter großer Sprachmodelle selbst häufig klarstellen, dass die erzeugten Texte keinen Anspruch auf Richtigkeit haben.

Eine schriftliche Richtlinie unterstützt die KI-Kompetenz. Die RTR hält es für sinnvoll, die Ausrichtung des Unternehmens bei KI in einer internen KI-Richtlinie abzubilden, die schriftlich vorliegt und für alle leicht auffindbar ist. Hintergrund ist Artikel 4 der EU-KI-Verordnung (AI Act): Danach ergreifen Anbieter und Betreiber von KI-Systemen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen in ihrem Auftrag zu unterstützen. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer für persönliche, nicht berufliche Zwecke. Artikel 4 gilt seit dem 2. Februar 2025 und wurde durch die Verordnung (EU) 2026/1744 geändert, die am 27. Juli 2026 in Kraft trat. Was das für Schulungen heißt und welche Folgen ein Verstoß haben kann, liest du im Artikel KI-Schulung für Mitarbeiter. Kurz gesagt: Wenn dein Team KI für die Arbeit nutzt, schreib die Regeln auf und schule dein Team darin.

Was in eine KI-Richtlinie gehört – Abschnitt für Abschnitt

Laut RTR sollte eine KI-Richtlinie die Ausrichtung des Unternehmens beschreiben, auf andere interne Richtlinien verweisen, klare Rollen festlegen, im Unternehmen klar kommuniziert werden und leicht auffindbar sein. Die folgenden elf Abschnitte entsprechen der Vorlage. Die Vorlage hat zwölf, weil sie zusätzlich Begriffe und eine Unterschrift zur Kenntnisnahme enthält und Urheberrecht und Rechte Dritter unter „Umgang mit Ergebnissen“ führt. In einem kleinen Betrieb kannst du Abschnitte zusammenlegen.

1. Zweck und Geltungsbereich: Wofür gibt es die Richtlinie, und für wen gilt sie? Denk auch an freie Mitarbeitende und Dienstleister, die in deinem Auftrag mit KI arbeiten. Verweise auf bestehende Regeln zu Datenschutz und IT-Sicherheit, statt sie zu wiederholen.
2. Verantwortung: Wer gibt neue Werkzeuge frei, wer beantwortet Fragen, wer pflegt die Richtlinie? Einen eigenen „KI-Beauftragten“ verlangt Artikel 4 laut RTR nicht; eine benannte Ansprechperson ist trotzdem sinnvoll. Einen Datenschutzbeauftragten, falls es einen gibt, solltest du laut DSK immer einbinden, wenn Entscheidungen über KI-Anwendungen vorbereitet oder getroffen werden.
3. Erlaubte KI-Werkzeuge und Freigabe: Halte fest, welche Werkzeuge freigegeben sind, mit welchem Konto, und wie jemand ein neues Werkzeug beantragt. Die DSK empfiehlt, konkrete Beispiele für erlaubte und verbotene Einsätze zu nennen, und rät, dass der Arbeitgeber Geräte und Konten bereitstellt, damit niemand mit privaten Konten arbeiten muss. Wo möglich, stellst du die Konten so ein, dass Eingaben nicht zum Training verwendet werden.
4. Umgang mit Daten: Teil die Daten in wenige Klassen ein und leg für jede fest, in welche Werkzeuge sie dürfen. Die Vorlage nutzt fünf: öffentlich, intern, vertraulich, personenbezogen und „nie eingeben“. Passwörter, Zugangsdaten, Schlüssel für Schnittstellen sowie Bank- und Zahlungsdaten gibt niemand in ein KI-Werkzeug ein, auch nicht in ein freigegebenes. Daten von Kundschaft und Beschäftigten, besonders geschützte Daten nach Artikel 9 DSGVO wie Gesundheitsdaten, Geschäftsgeheimnisse und Verträge brauchen eine ausdrückliche Freigabe durch die zuständige Person und kommen nur in Werkzeuge, die dafür freigegeben sind. Bei personenbezogenen Daten stimmst du dich vorher zusätzlich mit der Person ab, die bei dir für Datenschutz zuständig ist. Passt eine Angabe in mehrere Klassen, gilt immer die strengere. Laut DSK reicht es übrigens regelmäßig nicht, Namen und Anschriften zu entfernen, weil sich der Personenbezug oft aus dem Zusammenhang ergibt.
5. Umgang mit Ergebnissen: Lege fest, dass ein Mensch KI-Ergebnisse prüft, bevor sie das Haus verlassen oder in eine Entscheidung einfließen, und wer das in welchem Bereich ist. Intern kann ein kurzer Vermerk helfen, dass ein Entwurf mit KI entstanden ist.
6. Urheberrecht und Rechte Dritter: Regle kurz, was hochgeladen werden darf, zum Beispiel keine fremden Texte, Bilder oder Programmcode ohne Nutzungsrecht, und dass Ergebnisse vor einer Veröffentlichung geprüft werden. Für konkrete Fragen zu Urheber-, Marken- oder Vertragsrecht verweist die Richtlinie auf deine Rechtsberatung.
7. Transparenz gegenüber Kundschaft und Öffentlichkeit: Seit dem 2. August 2026 gelten für Betreiber Transparenzpflichten aus Artikel 50. Zum Beispiel: Erzeugst du mit KI Deepfakes, also täuschend echt wirkende Bild-, Ton- oder Videoinhalte, musst du offenlegen, dass sie künstlich erzeugt oder verändert wurden. Für KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, gilt eine ähnliche Pflicht, außer ein Mensch hat sie geprüft und jemand trägt die redaktionelle Verantwortung. Was für Chatbots gilt, steht im Artikel Kundenservice automatisieren. Die Richtlinie hält fest, wann und wie dein Unternehmen auf KI-Einsatz hinweist.
8. KI-Kompetenz und Schulung: Wer bekommt welche Schulung, und wie oft? Die RTR schreibt: Dürfen alle Beschäftigten Chatbots nutzen, sind wiederkehrende Schulungen für die ganze Belegschaft vorzusehen, auch für neue Mitarbeitende. Für die Dokumentation empfiehlt sie, je Person mindestens festzuhalten, wie geschult wurde, wer eine externe Schulung veranstaltet hat, welche Inhalte und Ziele sie hatte, wann sie stattfand und wann sie wiederholt wurde.
9. Vorfälle und Ansprechperson: Was tut jemand, der versehentlich vertrauliche Daten eingegeben oder ein falsches KI-Ergebnis an Kundschaft geschickt hat? Die Antwort: sofort bei der genannten Person melden, damit sie prüfen kann, was zu tun ist und ob Meldepflichten bestehen. Mach klar, dass eine schnelle Meldung erwünscht ist und nicht bestraft wird.
10. Verstöße: Halte fest, was gilt, wenn jemand die Richtlinie nicht einhält. Ich empfehle, auf bestehende Regeln zu verweisen, etwa den Arbeitsvertrag, statt eigene Strafen zu erfinden. Ob das für dich passt, klärst du mit deiner Rechtsberatung.
11. Überprüfung und Änderungen: Schreib ein Datum für die nächste Überprüfung hinein. Die DSK rät, regelmäßig zu prüfen, ob interne Vorgaben wegen neuer Technik oder Updates angepasst werden müssen.

KI-Richtlinie im Unternehmen einführen: so gehst du vor

Bestand erheben. Die RTR schlägt als ersten Schritt zweierlei vor: zu erheben, welche KI-Systeme schon im Einsatz sind, und zu klären, wie sich dein Unternehmen bei KI ausrichten will. Frag dein Team offen, was es heute nutzt, ohne dass jemand dafür Ärger bekommt.

Gemeinsam mit dem Team schreiben. Hol zwei oder drei Leute aus verschiedenen Bereichen dazu, die KI schon nutzen. Diese Leute kennen die Stellen, an denen eine Regel den Alltag bremst, besser als jede Vorlage. Halte die Richtlinie kurz, in einfacher Sprache und mit Beispielen aus deinem Betrieb.

Betriebsrat einbinden, falls es einen gibt. Die DSK schreibt: „In einigen Fällen wird die Einführung einer KI-Anwendung auch einen betrieblichen Mitbestimmungstatbestand erfüllen.“ Einige Stellen im Gesetz zeigen, worum es gehen kann:

• Deutschland: Nach § 90 Betriebsverfassungsgesetz muss der Arbeitgeber den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichten und die Maßnahmen mit ihm beraten. § 87 Absatz 1 gibt dem Betriebsrat ein Mitbestimmungsrecht unter anderem bei Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer (Nummer 1) und bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen (Nummer 6).
• Österreich: Nach § 96 Arbeitsverfassungsgesetz brauchen Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer die Zustimmung des Betriebsrats, wenn sie die Menschenwürde berühren. § 96a verlangt die Zustimmung unter anderem für Systeme, die personenbezogene Daten der Arbeitnehmer automationsunterstützt verarbeiten und dabei über allgemeine Angaben zur Person und fachliche Voraussetzungen hinausgehen; das Gesetz nennt dazu Ausnahmen.

Ob deine Richtlinie oder ein bestimmtes Werkzeug darunter fällt, hängt vom Einzelfall ab. Das klärst du vor der Einführung mit deiner Rechtsberatung.

Hochrisiko-KI im Personalbereich beachten. Planst du KI-Systeme im Personalbereich, etwa zur Auswahl von Bewerbungen, können sie nach Anhang III der KI-Verordnung als Hochrisiko-Systeme gelten. Für sie sieht Artikel 26 Absatz 7 vor, dass Betreiber, die Arbeitgeber sind, die Arbeitnehmervertreter und die betroffenen Beschäftigten vorab informieren; für solche Systeme gilt das ab dem 2. Dezember 2027.

Erklären statt nur verschicken. Stell die Richtlinie im Team vor, beantworte Fragen und verbinde sie mit der ersten Schulung.

Starten und nachschärfen. Sammle in den ersten Wochen Fragen und Unklarheiten und bessere die Richtlinie beim ersten Überprüfungstermin nach.

Häufige Fehler bei der Einführung

• Alles verbieten: Ein pauschales Verbot klingt sicher, kann aber dazu führen, dass KI heimlich weiter genutzt wird. Besser sind klare Regeln mit freigegebenen Werkzeugen.
• Regeln ohne Schulung: Wer nicht weiß, warum eine Regel gilt, umgeht sie im Zweifel.
• Private Konten dulden: Bei privaten Konten verlierst du den Überblick, wo deine Daten landen.
• Die Richtlinie als erledigt abhaken: Werkzeuge ändern sich laufend, und auch die KI-Verordnung wurde 2026 geändert. Ohne festen Überprüfungstermin veraltet die Richtlinie still.
• Betriebsrat und Datenschutz zu spät fragen: Gibt es einen Betriebsrat oder einen Datenschutzbeauftragten und bindest du sie erst am Ende ein, riskierst du, die Richtlinie noch einmal umschreiben zu müssen.

Dein nächster Schritt

Für einen schnellen Start nimm die Vorlage zur KI-Richtlinie und pass sie an. Wenn du deine Abläufe zuerst von außen ansehen lassen willst, ist das KI-Audit ein guter Einstieg: Dabei sehe ich mir deine Abläufe an, und du bekommst Verbesserungsvorschläge und einen 30-Tage-Fahrplan. Das KI-Audit kostet 1.250 €. Damit dein Team die Regeln auch anwenden kann, gibt es von mir KI-Schulungen für Firmen, online oder vor Ort in deinem Betrieb, zum Beispiel in Wien; die Themen richten sich nach deiner Anfrage. Schreib mir, wie dein Team heute mit KI arbeitet und welche Regel dir am meisten fehlt.

Geschrieben von Thomas Rettenbacher, AI Workflow Architect bei architect⁵.

Alle Artikel