Blog

KI-Richtlinie fürs Unternehmen: Muster mit 10 Regeln

Veröffentlicht am · aktualisiert am

Gläsernes Klemmbrett mit leeren Zeilen und goldenem Siegel, daneben drei gläserne Leitplanken-Tafeln; vor dunkelblauem Hintergrund.

Hinweis: Das Muster ist eine Vorlage zum Anpassen, kein Rechtsdokument. Lassen Sie Ihre Fassung von Datenschutz und Rechtsberatung prüfen.

Kurz beantwortet

Eine KI-Richtlinie legt fest, welche KI-Werkzeuge Mitarbeitende wofür nutzen dürfen, welche Daten tabu sind und wer Ergebnisse prüft. Die folgenden 10 Regeln sind ein Muster zum Anpassen.

Wozu braucht ein Unternehmen eine KI-Richtlinie?

  • Datenschutz: Personenbezogene Daten dürfen nur im Rahmen der DSGVO verarbeitet werden – auch in KI-Werkzeugen (Grundsätze der Verarbeitung und Regeln zur Auftragsverarbeitung).
  • Geschäftsgeheimnisse: Was in ein öffentliches Werkzeug eingegeben wird, verlässt unter Umständen Ihre Kontrolle. Informationen sind nur dann Geschäftsgeheimnisse im Sinne des GeschGehG, wenn ihr rechtmäßiger Inhaber sie mit angemessenen Geheimhaltungsmaßnahmen schützt (§ 2 Nr. 1 Buchst. b GeschGehG); klare Regeln zu erlaubten Werkzeugen können dazu gehören.
  • Qualität: KI-Ergebnisse können falsch sein. Klare Prüfpflichten verhindern, dass Fehler beim Kunden landen.
  • KI-Kompetenz: Anbieter und Betreiber von KI-Systemen müssen nach Art. 4 der KI-Verordnung (Verordnung (EU) 2024/1689) in der Fassung von Art. 1 Nr. 5 der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026, Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind; ein bestimmtes Niveau muss nicht garantiert werden. Eine Richtlinie ist dafür ein naheliegender Baustein.

Eine Versuchsreihe von Meyers, Briker und Bigman in The Leadership Quarterly untersuchte, wie sich die Nutzung großer Sprachmodelle durch Mitarbeitende auf das Vertrauen ihrer Vorgesetzten auswirkt. Die Autoren führten sechs Studien durch, fünf als ökonomische Spiele mit finanziellem Anreiz und eine im Feld mit Vorgesetzten aus der Wissenschaft. Wer das Ergebnis eines Sprachmodells verwendete, erhielt weniger Vertrauen der Vorgesetzten, als wenn die Person die Arbeit selbst erstellt hätte, aber mehr Vertrauen, als wenn sie das Ergebnis plagiiert hätte (Studie 1). In der Feldstudie senkte eine breitere Nutzung von Sprachmodellen das Vertrauen (Studie 6). Geprüft wurde, ob die Regelung im Unternehmen, die Kritikalität der Aufgabe und die KI-Erfahrung der Vorgesetzten den Effekt verändern. Nur die Regelung beeinflusste den Effekt bedeutsam: Wurde die Nutzung ausdrücklich erwünscht (im Vergleich zu Verbot oder fehlender Regelung), verringerte die KI-Nutzung das Vertrauen nicht signifikant. Die Ergebnisse stammen überwiegend aus Experimenten; eine Handlungsanweisung für einzelne Betriebe lässt sich daraus nicht ableiten.

Das Muster: 10 Regeln

1. Zugelassene Werkzeuge Mustertext: „Für die Arbeit dürfen nur die KI-Werkzeuge genutzt werden, die in der Liste im Anhang freigegeben sind. Neue Werkzeuge beantragen Sie bei [Ansprechperson].“ Erläuterung: Eine Positivliste ist klarer als Verbote. Halten Sie sie kurz und aktuell.

2. Verbotene Daten Mustertext: „In KI-Werkzeuge, die nicht ausdrücklich dafür freigegeben sind, dürfen keine personenbezogenen Daten, Kundendaten, Geschäftsgeheimnisse, Zugangsdaten oder vertraulichen Dokumente eingegeben werden.“ Erläuterung: Nennen Sie Beispiele aus Ihrem Alltag, damit die Regel greifbar wird.

3. Konten Mustertext: „Für dienstliche Zwecke werden ausschließlich vom Unternehmen bereitgestellte Konten genutzt. Private Konten sind für dienstliche Inhalte nicht zulässig.“ Erläuterung: Nur bei Firmenkonten können Sie Vertrag, Einstellungen und Datenverwendung steuern.

4. Prüfpflicht Mustertext: „KI-Ergebnisse sind vor der Verwendung inhaltlich zu prüfen. Die inhaltliche Verantwortung für die Verwendung des Ergebnisses liegt bei der Person, die es verwendet.“ Erläuterung: Die wichtigste Regel. KI ist Entwurf, nicht Entscheidung.

5. Kennzeichnung Mustertext: „Wo Gesetz, Plattformregeln oder unsere Grundsätze es verlangen, kennzeichnen wir KI-erzeugte Inhalte. Das gilt insbesondere für realistisch wirkende Bilder, Videos und Stimmen sowie für Chatbots im Kundenkontakt.“ Erläuterung: Die KI-Verordnung enthält Transparenzpflichten für Chatbots und Deepfakes.

6. Urheberrecht und Rechte Dritter Mustertext: „KI-Ergebnisse dürfen keine erkennbar fremden Werke, Marken oder Personen ohne Rechteklärung enthalten. Bei Unsicherheit wird [Ansprechperson] gefragt.“ Erläuterung: Gilt besonders für Bilder, Texte für Veröffentlichungen und Stimmen.

7. Verantwortliche Mustertext: „Ansprechperson für Fragen zur KI-Nutzung ist [Name/Funktion]. Sie pflegt die Werkzeugliste und diese Richtlinie.“ Erläuterung: Ohne zuständige Person veraltet jede Richtlinie.

8. Schulung Mustertext: „Wer KI-Werkzeuge nutzt, nimmt an der dafür vorgesehenen Schulung teil. Neue Mitarbeitende werden bei der Einarbeitung eingewiesen.“ Erläuterung: Verbindet die Richtlinie mit den Maßnahmen zur KI-Kompetenz.

9. Meldung von Fehlern und Vorfällen Mustertext: „Fehlerhafte Ergebnisse mit Folgen, versehentlich eingegebene vertrauliche Daten oder auffälliges Verhalten eines Werkzeugs werden unverzüglich an [Ansprechperson] gemeldet.“ Erläuterung: Eine fehlerfreundliche Meldekultur ist wirksamer als Strafandrohungen. Wurden personenbezogene Daten versehentlich eingegeben, kann eine Meldepflicht an die Datenschutzaufsicht bestehen: unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1 DSGVO).

10. Überprüfung Mustertext: „Diese Richtlinie wird mindestens einmal jährlich und bei wesentlichen Änderungen überprüft. Stand: [Datum].“ Erläuterung: Werkzeuge und Rechtslage ändern sich schnell.

Wie führe ich die Richtlinie ein?

  1. Entwurf abstimmen mit Geschäftsführung, IT und Datenschutz.
  2. Betriebsrat einbinden, falls vorhanden. Bei technischen Einrichtungen, die objektiv geeignet sind, Verhaltens- oder Leistungsdaten zu erheben und aufzuzeichnen, kann ein Mitbestimmungsrecht bestehen; auf eine Überwachungsabsicht kommt es dabei nicht an (BAG, Beschluss vom 08.03.2022, zu Microsoft Office 365). Das Arbeitsgericht Hamburg hat im Eilverfahren ein Mitbestimmungsrecht verneint, als Beschäftigte ChatGPT nur über private, selbst bezahlte Konten nutzten und der Arbeitgeber keinen Zugriff auf Nutzungsdaten hatte; Vorgaben zur Nutzung solcher Werkzeuge zählte es zum mitbestimmungsfreien Arbeitsverhalten (Beschluss vom 16.01.2024). Stellt das Unternehmen selbst Firmenkonten mit Admin-Zugriff bereit, kann der Arbeitgeber Nutzungsdaten einsehen; ein Mitbestimmungsrecht liegt dann näher. Das ist eine Schlussfolgerung aus der Begründung, keine gerichtliche Entscheidung.
  3. Kommunizieren: kurz erklären, warum es die Regeln gibt, nicht nur, was sie verbieten.
  4. Schulen: die Regeln an konkreten Beispielen üben.
  5. Bestätigen lassen und Stand dokumentieren.

Häufige Fehler

  • Pauschalverbot: Führt dazu, dass Mitarbeitende private Werkzeuge heimlich nutzen.
  • Zu vage: „Sorgsam mit Daten umgehen“ hilft niemandem. Nennen Sie Beispiele.
  • Keine Pflege: Eine Werkzeugliste von vor einem Jahr ist meist schon überholt.
  • Ohne Schulung: Eine Richtlinie, die niemand versteht, wird nicht gelebt.

Vorlage zum Kopieren

Passen Sie die Platzhalter an und lassen Sie die Fassung prüfen.

KI-Richtlinie der [Firma] – Stand [Datum]

1. Zugelassene Werkzeuge: Nur die im Anhang freigegebenen KI-Werkzeuge
   werden dienstlich genutzt. Neue Werkzeuge beantragen Sie bei [Ansprechperson].
2. Verbotene Daten: Keine personenbezogenen Daten, Kundendaten,
   Geschäftsgeheimnisse, Zugangsdaten oder vertraulichen Dokumente in nicht
   dafür freigegebene Werkzeuge.
3. Konten: Dienstlich nur Firmenkonten, keine privaten Konten.
4. Prüfpflicht: KI-Ergebnisse vor Verwendung prüfen. Inhaltlich verantwortlich bleibt,
   wer das Ergebnis verwendet.
5. Kennzeichnung: KI-Inhalte kennzeichnen, wo Gesetz, Plattformregeln oder
   unsere Grundsätze es verlangen.
6. Rechte Dritter: Keine fremden Werke, Marken oder Personen ohne Rechteklärung.
7. Verantwortliche: Ansprechperson ist [Name/Funktion].
8. Schulung: Teilnahme an der vorgesehenen KI-Schulung ist Voraussetzung.
9. Meldung: Fehler und Vorfälle unverzüglich an [Ansprechperson] melden.
10. Überprüfung: Mindestens jährlich und bei wesentlichen Änderungen.

Anhang: Liste freigegebener Werkzeuge mit Einsatzzweck und zulässigen Daten.

Häufige Fragen

  • Muss ein Unternehmen eine KI-Richtlinie haben?

    Eine schriftliche KI-Richtlinie ist nicht ausdrücklich vorgeschrieben. Anbieter und Betreiber von KI-Systemen, also auch Unternehmen, die KI-Werkzeuge beruflich in eigener Verantwortung nutzen, müssen nach Art. 4 der KI-Verordnung (Verordnung (EU) 2024/1689) in der Fassung von Art. 1 Nr. 5 der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026, Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Eine Richtlinie kann eine solche Maßnahme sein. Dieser Beitrag ist keine Rechtsberatung.

  • Muss der Betriebsrat beteiligt werden?

    Das kann der Fall sein: Bei technischen Einrichtungen genügt, dass ein Werkzeug objektiv geeignet ist, Verhaltens- oder Leistungsdaten zu erfassen (BAG, Beschluss vom 08.03.2022). Bei privat genutzten ChatGPT-Konten ohne Zugriff des Arbeitgebers hat das Arbeitsgericht Hamburg im Eilverfahren ein Mitbestimmungsrecht verneint (Beschluss vom 16.01.2024); bei Firmenkonten mit Admin-Konsole liegt ein Mitbestimmungsrecht näher; das ist eine Schlussfolgerung, keine Entscheidung eines Gerichts.

  • Dürfen Mitarbeitende private ChatGPT-Accounts nutzen?

    Für dienstliche Inhalte ist das problematisch, weil Vertrag und Einstellungen privater Konten sich nicht steuern lassen. Stellen Sie stattdessen Firmenkonten bereit und regeln Sie das in der Richtlinie.

  • Welche Daten gehören nie in ein KI-Tool?

    In nicht freigegebene Werkzeuge gehören keine personenbezogenen Daten, Kundendaten, Geschäftsgeheimnisse, Zugangsdaten oder vertraulichen Dokumente. Was in freigegebene Werkzeuge darf, legen Sie im Anhang fest.

  • Wie oft sollte die Richtlinie aktualisiert werden?

    Mindestens einmal jährlich und immer dann, wenn neue Werkzeuge hinzukommen oder sich die Rechtslage ändert. Die Werkzeugliste braucht oft häufiger eine Aktualisierung.

  • Was ist der Unterschied zwischen KI-Richtlinie und Schulung?

    Die Richtlinie legt die Regeln fest, die Schulung vermittelt, wie man sie im Alltag anwendet. Beide zusammen sind sinnvolle Maßnahmen zur KI-Kompetenz.

Quellen

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 12.11.2026.

Alle Beiträge