Blog · KI im Unternehmen
KI-Richtlinie für Mitarbeitende: Inhalte und Muster zum Übernehmen
In fast jedem Unternehmen wird schon mit KI gearbeitet – oft mit privaten Konten und ohne klare Regeln. Eine kurze KI-Richtlinie schafft Sicherheit für alle: Das Team weiß, was erlaubt ist, die Geschäftsführung behält Datenschutz und Haftung im Griff, und Sie erfüllen einen wichtigen Teil der Pflichten aus dem AI Act. Unten finden Sie ein vollständiges Muster, das Sie anpassen können.
Das Wichtigste in Kürze
- Ohne Regeln nutzt Ihr Team KI trotzdem – nur mit privaten Konten und ohne Kontrolle über die Daten.
- Eine gute Richtlinie passt auf ein bis zwei Seiten und ist in klarer Sprache geschrieben.
- Kern sind drei Fragen: Welche Tools sind erlaubt, welche Daten sind tabu, wer prüft die Ergebnisse?
- Zusammen mit einer kurzen Schulung belegt sie die KI-Kompetenz nach Artikel 4 AI Act.
- Einmal im Jahr prüfen – KI-Tools und Regeln ändern sich schnell.
Grundlagen
Warum Sie eine KI-Richtlinie brauchen
Viele Mitarbeitende nutzen ChatGPT, Claude, Copilot oder Übersetzungstools längst im Arbeitsalltag – häufig mit privaten, kostenlosen Konten. Fachleute nennen das Schatten-KI. Das Problem dabei: Bei kostenlosen Privattarifen können Eingaben je nach Anbieter und Einstellung zum Training der Modelle verwendet werden, es gibt keinen Auftragsverarbeitungsvertrag, und das Unternehmen weiß nicht, welche Daten wohin fließen.
Ein Verbot hilft selten weiter – die Tools sind zu nützlich, und Verbote werden umgangen. Besser ist ein klarer Rahmen: freigegebene Tools mit Business-Tarif, verständliche Regeln für Daten und Ergebnisse und eine Anlaufstelle für Fragen.
Was der AI Act verlangt
Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, nach Artikel 4 des AI Act Maßnahmen zur KI-Kompetenz ihrer Mitarbeitenden ergreifen. Eine Richtlinie ist dafür nicht ausdrücklich vorgeschrieben, sie ist aber zusammen mit einer dokumentierten Schulung der einfachste und überzeugendste Nachweis. Hinzu kommen die Transparenzpflichten für Chatbots und Deepfakes, die seit dem 2. August 2026 gelten und in der Richtlinie geregelt werden sollten.
Unsere Faustregel: Lieber zwei Seiten, die alle lesen und verstehen, als zwanzig Seiten, die in der Schublade liegen.
Inhalte
Was in eine KI-Richtlinie gehört
| Baustein | Die Frage dahinter |
|---|---|
| Geltungsbereich | Für wen und für welche Tools gilt die Richtlinie? |
| Erlaubte Tools | Welche KI-Anwendungen sind freigegeben – und in welchem Tarif? |
| Daten | Welche Informationen dürfen eingegeben werden, welche nie? |
| Prüfpflicht | Wer kontrolliert KI-Ergebnisse, bevor sie verwendet oder verschickt werden? |
| Kennzeichnung | Wann muss KI-Einsatz offengelegt werden? |
| Urheberrecht | Was gilt für Bilder, Texte und Code aus der KI? |
| Verbotene Einsätze | Wofür darf KI nicht genutzt werden, etwa für Entscheidungen über Menschen? |
| Schulung und Ansprechpartner | Wer schult, wer beantwortet Fragen, wer gibt neue Tools frei? |
| Verstöße und Vorfälle | Was tun, wenn versehentlich vertrauliche Daten eingegeben wurden? |
Muster
Muster: KI-Richtlinie zum Anpassen
Das folgende Muster ist für kleine und mittlere Unternehmen gedacht, die KI im Büroalltag nutzen. Ersetzen Sie die Angaben in eckigen Klammern und streichen Sie, was bei Ihnen nicht zutrifft.
KI-Richtlinie der [Firma]
Stand: [Datum] · Verantwortlich: [Name, Funktion]
1. Zweck und Geltungsbereich
Diese Richtlinie regelt den Einsatz von Anwendungen mit künstlicher Intelligenz (KI), insbesondere von Textassistenten, Übersetzungs-, Bild- und Programmierwerkzeugen. Sie gilt für alle Mitarbeitenden, Auszubildenden, Praktikantinnen und Praktikanten sowie für freie Mitarbeitende, die für [Firma] tätig sind – auf Firmengeräten und auf privaten Geräten, soweit sie dienstlich genutzt werden.
2. Freigegebene Tools
Dienstlich dürfen ausschließlich die folgenden KI-Anwendungen genutzt werden, und zwar nur mit dem Firmenkonto:
- [z. B. Microsoft 365 Copilot Chat / Microsoft 365 Copilot]
- [z. B. ChatGPT Business oder Claude Team mit Firmenkonto]
- [z. B. DeepL Pro]
Private oder kostenlose Konten dürfen für dienstliche Inhalte nicht verwendet werden. Neue Tools, Browser-Erweiterungen und KI-Funktionen in bestehender Software werden vor der Nutzung bei [Ansprechpartner] zur Freigabe angefragt.
3. Umgang mit Daten
In freigegebene Tools dürfen allgemeine Informationen, eigene Entwürfe und interne Inhalte ohne besonderen Schutzbedarf eingegeben werden. Nicht eingegeben werden dürfen – auch nicht in freigegebene Tools, sofern unten nicht ausdrücklich erlaubt:
- Passwörter, Zugangsdaten, API-Schlüssel und Bankverbindungen,
- besondere Kategorien personenbezogener Daten wie Gesundheitsdaten,
- Personal- und Gehaltsdaten, Bewerbungsunterlagen und Beurteilungen,
- als „vertraulich“ oder „streng vertraulich“ gekennzeichnete Dokumente,
- Geschäftsgeheimnisse und Kundendaten, für die eine Verschwiegenheitsvereinbarung gilt.
Personenbezogene Daten von Kunden und Geschäftspartnern werden nur so weit eingegeben, wie es für die Aufgabe nötig ist – wenn möglich anonymisiert. [Optional: In Microsoft 365 Copilot dürfen Inhalte verarbeitet werden, auf die die jeweilige Person ohnehin Zugriff hat.]
4. Prüfpflicht und Verantwortung
KI-Ergebnisse können falsch, veraltet oder erfunden sein. Wer KI nutzt, prüft das Ergebnis vor der Verwendung auf inhaltliche Richtigkeit, Vollständigkeit und Tonalität. Fakten, Zahlen, Zitate, Rechtsauskünfte und Quellen werden immer gegengeprüft. Die Verantwortung für ein Arbeitsergebnis liegt bei der Person, die es verwendet oder verschickt – nicht beim Tool.
5. Kennzeichnung und Transparenz
Chatbots und andere KI-Systeme, mit denen Kunden oder Bewerbende direkt kommunizieren, werden als KI erkennbar gemacht. Täuschend echt wirkende, KI-erzeugte oder veränderte Bilder, Videos und Tonaufnahmen realer Personen, Orte oder Ereignisse werden als KI-generiert gekennzeichnet. Veröffentlichte Texte, die mit KI erstellt wurden, werden vor der Veröffentlichung von einer verantwortlichen Person geprüft und freigegeben.
6. Urheberrecht und Rechte Dritter
Es werden keine fremden geschützten Werke, Logos oder Markenzeichen gezielt nachgeahmt. KI-generierte Bilder und Texte werden vor einer Veröffentlichung auf mögliche Rechte Dritter geprüft. Bilder realer Personen werden nur mit deren Einwilligung bearbeitet. [Für Programmcode: KI-generierter Code wird vor der Übernahme geprüft und unterliegt denselben Review-Regeln wie anderer Code.]
7. Unzulässige Einsätze
KI wird nicht eingesetzt, um Entscheidungen über Menschen automatisiert zu treffen oder vorzubereiten – etwa bei der Auswahl von Bewerbenden, bei Beförderungen, Leistungsbewertungen oder Kündigungen –, sofern dies nicht vorher von der Geschäftsführung [und dem Betriebsrat] freigegeben und rechtlich geprüft wurde. Unzulässig sind außerdem die Überwachung von Mitarbeitenden, Emotionserkennung am Arbeitsplatz und manipulative Werbung.
8. Schulung
Alle Mitarbeitenden, die KI nutzen, nehmen an einer Schulung zu Funktionsweise, Grenzen und den Regeln dieser Richtlinie teil. Neue Mitarbeitende werden beim Einstieg geschult. Die Teilnahme wird dokumentiert.
9. Ansprechpartner
Fragen zu dieser Richtlinie, Freigabeanfragen für neue Tools und Hinweise auf Probleme richten Sie an [Name, E-Mail]. Datenschutzfragen beantwortet [Datenschutzbeauftragte/r, E-Mail].
10. Vorfälle und Verstöße
Wurden versehentlich vertrauliche oder personenbezogene Daten in ein nicht freigegebenes Tool eingegeben, wird das unverzüglich [Ansprechpartner] gemeldet, damit geprüft werden kann, ob eine Meldung nach der DSGVO nötig ist. Eine schnelle Meldung hat keine Nachteile zur Folge. Vorsätzliche oder grob fahrlässige Verstöße gegen diese Richtlinie können arbeitsrechtliche Konsequenzen haben.
11. Überprüfung
Diese Richtlinie wird mindestens einmal jährlich sowie bei der Einführung neuer Tools oder bei Rechtsänderungen überprüft.
Das Muster ist ein Ausgangspunkt und ersetzt keine Prüfung im Einzelfall. Gibt es einen Betriebsrat, sollte die Einführung mit ihm abgestimmt werden.
Einführung
In fünf Schritten eingeführt
- Bestandsaufnahme: Fragen Sie offen und ohne Vorwurf, welche KI-Tools heute schon genutzt werden und wofür.
- Tools freigeben: Wählen Sie ein bis drei Tools mit Business-Tarif und Auftragsverarbeitungsvertrag aus und stellen Sie Firmenkonten bereit.
- Richtlinie anpassen: Muster übernehmen, auf Ihr Unternehmen zuschneiden, mit Datenschutz und gegebenenfalls Betriebsrat abstimmen.
- Schulen und bekannt machen: Richtlinie in einer kurzen Schulung vorstellen, Beispiele aus dem eigenen Alltag zeigen, Teilnahme dokumentieren.
- Pflegen: Fragen sammeln, Freigaben aktualisieren und die Richtlinie einmal im Jahr überarbeiten.
Unser Fazit: Eine KI-Richtlinie ist kein Bürokratieprojekt, sondern ein Nachmittag Arbeit, der viel Unsicherheit beseitigt. Sie macht aus heimlicher Schatten-KI eine bewusste, sichere Nutzung – und ist zusammen mit einer Schulung Ihr wichtigster Nachweis für den AI Act.
Häufige Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie gesetzlich vorgeschrieben?
Nicht ausdrücklich. Der AI Act verlangt aber, dass Unternehmen die KI-Kompetenz ihrer Mitarbeitenden fördern, und die DSGVO verlangt angemessene Maßnahmen zum Schutz personenbezogener Daten. Eine Richtlinie mit dokumentierter Schulung ist dafür der einfachste Nachweis.
Reicht es, KI im Unternehmen einfach zu verbieten?
In der Regel nicht. Verbote werden erfahrungsgemäß umgangen, und die Nutzung verlagert sich auf private Konten und Smartphones – genau dort, wo Sie keine Kontrolle haben. Freigegebene Tools mit klaren Regeln sind sicherer.
Muss der Betriebsrat zustimmen?
Gibt es einen Betriebsrat, hat er bei der Einführung von KI-Tools häufig ein Mitbestimmungsrecht, etwa weil die Tools zur Leistungs- oder Verhaltenskontrolle geeignet sein können. Binden Sie ihn deshalb frühzeitig ein; oft wird die Richtlinie Teil einer Betriebsvereinbarung.
Wie oft sollte die Richtlinie aktualisiert werden?
Mindestens einmal im Jahr und immer dann, wenn neue Tools eingeführt werden oder sich die Rechtslage ändert. KI-Anbieter ändern ihre Tarife und Funktionen häufig – ein kurzer jährlicher Check reicht meist aus.
Gilt die Richtlinie auch für KI in Microsoft 365?
Ja. Copilot und andere KI-Funktionen in bestehender Software sollten Sie ausdrücklich aufnehmen. Wie Sie Copilot sicher einführen, lesen Sie in unserem Ratgeber Microsoft 365 Copilot einführen.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.
Kostenlos vorab prüfen
Passend dazu: Rechtsrahmen und Tools für KI im Unternehmen.