KI-Richtlinie erstellen: Leitfaden für Unternehmen mit Checkliste
Eine KI-Richtlinie ist ein internes Regelwerk, das festlegt, wer im Unternehmen welche KI-Werkzeuge mit welchen Daten für welche Zwecke nutzen darf – und wer über Ausnahmen entscheidet. Sie ist kein juristisches Dokument für die Ablage, sondern eine Arbeitsanweisung für den Alltag.
Ihr Zweck ist doppelt: Sie gibt Mitarbeitenden die Grundlage, im Einzelfall richtig zu entscheiden, und sie erzeugt die Dokumentation, die Datenschutzrecht, Berufsrecht und Aufsicht verlangen.
Dieser Leitfaden beschreibt Aufbau, Inhalte und Einführung – mit einem Vorschlag für Datenklassen, den sich die meisten Unternehmen direkt zu eigen machen können.
Warum eine Richtlinie mehr ist als ein Verbot
Richtlinien, die nur verbieten, scheitern an der Praxis: Sie beantworten nicht die Frage, die Mitarbeitende tatsächlich haben – nämlich was erlaubt ist. Das Ergebnis ist entweder Stillstand oder Umgehung.
Eine wirksame Richtlinie benennt deshalb zuerst das erlaubte Werkzeug und die erlaubten Anwendungsfälle und erst danach die Grenzen. Sie ist damit auch die Antwort auf Schatten-KI: Wer eine offizielle Alternative hat, weicht seltener auf private Accounts aus.
Zugleich ist sie ein Nachweis. Art. 4 EU AI Act verlangt seit dem 2. Februar 2025 ausreichende KI-Kompetenz des Personals; eine dokumentierte Richtlinie samt Schulung ist der pragmatische Beleg dafür.
Der Aufbau: neun Bausteine
Eine Richtlinie muss nicht lang sein. Fünf bis acht Seiten genügen in der Regel, wenn diese Bausteine enthalten sind.
- Geltungsbereich: für wen die Richtlinie gilt – ausdrücklich einschließlich Aushilfen, Praktikantinnen, freier Mitarbeitender und externer Dienstleister.
- Zugelassene Werkzeuge: welche Systeme freigegeben sind, und über welchen Zugang sie zu nutzen sind.
- Datenklassen: welche Daten in welche Werkzeuge dürfen. Der wichtigste Abschnitt.
- Erlaubte und ausgeschlossene Anwendungsfälle, jeweils mit Beispielen aus dem eigenen Arbeitsalltag.
- Prüfpflicht: Ergebnisse gelten als Entwurf; für Zahlen, Fristen und Rechtsgrundlagen ist eine Prüfung an der Quelle verbindlich.
- Kennzeichnung: wann KI-Unterstützung intern oder gegenüber Kunden offenzulegen ist.
- Rollen: wer die Richtlinie verantwortet, wer Werkzeuge freigibt, wer über Ausnahmen entscheidet.
- Meldewege: an wen sich Mitarbeitende bei Zweifeln oder nach einem Fehler wenden – ausdrücklich ohne Sanktionsdrohung.
- Geltungsdauer und Überprüfung: ein festes Datum für die nächste Revision.
Datenklassen festlegen
Der praktisch wichtigste Teil der Richtlinie ist eine Tabelle, die Datenarten den zugelassenen Werkzeugen zuordnet. Sie muss so konkret sein, dass sie im Einzelfall ohne Rückfrage anwendbar ist. Der folgende Vorschlag lässt sich an die eigene Lage anpassen.
| Klasse | Beispiele | Zugelassen in |
|---|---|---|
| Öffentlich | Publizierte Inhalte, Website-Texte, allgemeine Recherche ohne Firmenbezug | Allen freigegebenen Werkzeugen |
| Intern | Vorlagen, Protokolle ohne Personenbezug, Entwürfe für interne Kommunikation | Der zentralen Unternehmensplattform |
| Vertraulich | Kunden- und Personendaten, Angebote, Verträge, Personalunterlagen | Der zentralen Plattform, sofern Hosting in der EU oder der Schweiz und Training vertraglich ausgeschlossen ist |
| Streng vertraulich | Berufsgeheimnis, Gesundheitsdaten, laufende Verfahren, Transaktionsdaten | Nur nach dokumentierter Einzelfallprüfung durch die zuständige Rolle |
Rollen und Zuständigkeiten
Ohne benannte Personen bleibt die Richtlinie folgenlos. Drei Rollen genügen in kleineren Unternehmen, sie können auch in Personalunion besetzt werden.
- Verantwortung für die Richtlinie: verabschiedet, überprüft und aktualisiert sie – in der Regel die Geschäftsführung.
- Freigabe von Werkzeugen: prüft neue Systeme vor dem Einsatz auf Verarbeitungsstandort, Vertrag und Trainingsausschluss.
- Ansprechperson für Zweifelsfälle: entscheidet über Einzelfälle der Klasse „streng vertraulich“ und dokumentiert die Entscheidung.
Die Richtlinie einführen
Die Einführung entscheidet über die Wirkung. Eine per E-Mail verteilte Richtlinie ohne Werkzeug und ohne Schulung wird nicht befolgt.
- Bestandsaufnahme: Welche Werkzeuge werden heute genutzt und wofür? Ohne Sanktionsdruck, sonst bleiben die Antworten unvollständig.
- Zugelassenes Werkzeug bereitstellen, bevor die Regel kommuniziert wird.
- Datenklassen mit den Fachbereichen abstimmen – sie kennen die Grenzfälle, die in der Zentrale niemand sieht.
- Mitbestimmung klären, wo sie greift, und die Richtlinie entsprechend abstimmen.
- Schulen mit echten Beispielen aus dem eigenen Haus statt mit allgemeinen Folien; Teilnahme dokumentieren.
- In Kraft setzen, Ansprechperson benennen, Meldeweg kommunizieren.
- Nach drei Monaten überprüfen: Welche Fälle sind aufgetreten, welche Regel war unklar, welches Werkzeug fehlt?
Mitbestimmung: was in DE, AT und CH gilt
Wer eine KI-Plattform mit Audit-Logs einführt, führt zugleich ein System ein, das Verhalten und Leistung abbilden kann. Die drei Länder behandeln das unterschiedlich.
In Deutschland ist der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen, wenn eine technische Einrichtung zur Überwachung von Verhalten oder Leistung geeignet ist. Auf die Absicht kommt es nicht an – die Eignung genügt, und Audit-Logs erfüllen sie regelmäßig.
In Österreich sind § 96 und § 96a ArbVG einschlägig: Kontrollmaßnahmen, die die Menschenwürde berühren, und die Verarbeitung von Personaldaten sind an eine Betriebsvereinbarung gebunden. In der Schweiz existiert keine vergleichbare Mitbestimmung; dort setzen Art. 328b OR und Art. 26 ArGV 3 die Grenzen, wobei Überwachungssysteme zur Verhaltenskontrolle unzulässig sind.
Verbindung zu den übrigen Dokumenten
Die KI-Richtlinie steht nicht allein. Vier Dokumente müssen zueinander passen, sonst entsteht ein Widerspruch, der bei der ersten Prüfung auffällt.
- Verzeichnis der Bearbeitungstätigkeiten: die KI-gestützte Bearbeitung gehört als eigener Eintrag hinein.
- Datenschutzerklärung: sie muss den Einsatz abdecken, wenn dabei Personendaten bearbeitet werden.
- Auftragsverarbeitungsvertrag mit dem Anbieter, bei Berufsgeheimnisträgern ergänzt um eine Verschwiegenheitsverpflichtung.
- Arbeitsvertragliche Regelungen oder Betriebsvereinbarung, wo Mitbestimmung greift.
Häufige Fehler
Drei Muster führen dazu, dass Richtlinien wirkungslos bleiben.
- Die Richtlinie kommt vor dem Werkzeug: Es wird verboten, ohne dass eine Alternative bereitsteht. Die Nutzung wandert ins Private.
- Die Datenklassen bleiben abstrakt: Formulierungen wie „keine sensiblen Daten“ sind im Einzelfall nicht anwendbar. Ohne Beispiele entscheidet jede Person anders.
- Es gibt keinen sanktionsfreien Meldeweg: Wer einen Fehler nicht melden kann, ohne Konsequenzen zu fürchten, meldet ihn nicht – und das Unternehmen verliert die Chance auf eine fristgerechte Meldung nach Art. 24 DSG oder Art. 33 DSGVO.
Häufige Fragen
Wie lang sollte eine KI-Richtlinie sein?
Fünf bis acht Seiten genügen in den meisten Unternehmen. Entscheidend ist nicht der Umfang, sondern die Konkretheit der Datenklassen und der Beispiele. Eine Richtlinie, die niemand zu Ende liest, wirkt nicht.
Brauchen auch kleine Unternehmen eine KI-Richtlinie?
Ja. Die Pflichten aus dem Datenschutzrecht und die KI-Kompetenzpflicht aus Art. 4 EU AI Act kennen keine Untergrenze. In kleinen Unternehmen ist die Richtlinie kürzer, aber nicht verzichtbar – und sie ist oft schneller wirksam, weil die Wege kurz sind.
Muss der Betriebsrat beteiligt werden?
In Deutschland regelmäßig ja, sobald das System zur Überwachung von Verhalten oder Leistung geeignet ist – § 87 Abs. 1 Nr. 6 BetrVG stellt auf die Eignung ab, nicht auf die Absicht. In Österreich greifen § 96 und § 96a ArbVG. In der Schweiz gibt es keine vergleichbare Mitbestimmung.
Wie oft sollte die Richtlinie überprüft werden?
Mindestens jährlich, zusätzlich anlassbezogen: bei einem neuen Werkzeug, einem Vorfall oder einer Änderung der Rechtslage. Ein festes Revisionsdatum im Dokument verhindert, dass die Prüfung liegen bleibt.
Sollten wir private KI-Accounts verbieten?
Für dienstliche Daten ja – aber nur, wenn eine offizielle Alternative bereitsteht. Ein Verbot ohne Angebot verlagert die Nutzung auf private Geräte und beseitigt lediglich die Sichtbarkeit. Die Reihenfolge ist deshalb: erst Werkzeug, dann Regel.
Wer sollte die Richtlinie schreiben?
Sinnvoll ist ein kleines Team aus Geschäftsführung, IT und einer Person aus dem Fachbereich mit der höchsten Datensensibilität. Die Fachbereiche liefern die Grenzfälle; die Geschäftsführung verabschiedet. Eine rein juristisch verfasste Richtlinie ohne Praxisbezug bleibt in der Ablage.
Quellen
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Custodos mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten