Das Wichtigste im Überblick: Eine KI-Richtlinie regelt auf meist zwei bis vier Seiten, welche KI-Werkzeuge Ihre Mitarbeitenden nutzen dürfen, welche Daten dabei verwendet werden dürfen und wer die Ergebnisse verantwortet. Nötig ist sie aus drei Gründen: Ohne Regeln nutzen Mitarbeitende KI längst, nur eben unkontrolliert über Privataccounts – die sogenannte Schatten-KI. Seit Februar 2025 verlangt der EU AI Act zudem nachweisbare KI-Kompetenz im Unternehmen, für alle, die mit KI arbeiten. Und nicht zuletzt ist zu erwähnen, dass die DSGVO auch dann gilt, wenn Mitarbeitende Kundendaten „mal schnell“ in ein Chatfenster kopieren. Eine brauchbare Richtlinie entsteht an einem Nachmittag, die Gliederungsvorlage dafür steht in diesem Artikel. Die häufigste Fehleinschätzung, die uns in Erstgesprächen begegnet: "KI-Regeln brauchen wir erst, wenn wir KI offiziell einführen." Die Realität in praktisch jedem Unternehmen, mit dem wir sprechen sieht anders aus. Die Teams stecken längst mittendrin. Texte werden mit ChatGPT entworfen, E-Mails übersetzt, Code-Schnipsel generiert: meist über private Accounts, ohne dass jemand weiß, welche Firmendaten dabei den Rechner verlassen. Die Frage ist also nicht, ob KI im Unternehmen genutzt wird, sondern wie und ob es dafür Regeln gibt.
Warum eine Richtlinie nötig ist
Erstens: Schatten-KI ist das eigentliche Risiko. Nicht die offiziell eingeführte KI-Lösung ist das Datenschutzproblem, sondern der Privataccount, in den ein gut meinendes Teammitglied den Vertragsentwurf eines Kunden kopiert. Wie real das ist, habe ich als Kunde bereits selbst erlebt: Ein Bankmitarbeiter hat meine gesamte Finanzhistorie durch ChatGPT auswerten lassen, über seinen privaten Account. Kontobewegungen, Vermögensdaten, persönliche Verhältnisse, alles in einem Dienst, mit dem die Bank keinerlei Vereinbarung hatte. Der Mitarbeiter wollte mir nicht schaden, er wollte gut vorbereitet für das Gespräch sein. Genau so passiert es: nicht durch Böswilligkeit, sondern durch Unwissenheit und Hilfsbereitschaft ohne Leitplanken. Ein kategorisches Verbot löst das Problem nicht, es verlagert die Nutzung nur tiefer in den Schatten. Eine Richtlinie mit freigegebenen Werkzeugen holt die Nutzung zurück ins Licht: Wer einen erlaubten, datenschutzkonformen Weg hat, braucht den heimlichen nicht.
Zweitens: Der EU AI Act verlangt es faktisch. Seit Februar 2025 gilt die Pflicht, für KI-Kompetenz innerhalb des Unternehmens zu sorgen, nachweisbar. Die KI-Richtlinie ist das zentrale Dokument dieses Nachweises: Sie hält die betrieblichen Regeln fest, ist Grundlage der Schulung und zeigt im Zweifel, dass das Unternehmen seine Sorgfaltspflicht ernst nimmt.
Drittens: Verantwortung braucht vor dem ersten Vorfall Klarheit. Wer haftet, wenn ein KI-generiertes Angebot einen Rechenfehler enthält? Darf ein KI-Text ungeprüft an Kunden gehen? Diese Fragen beantwortet man besser in Ruhe im Vorfeld, als hektisch nach dem ersten Schadensfall.
Was hineingehört und was nicht
Eine gute KI-Richtlinie ist kurz, konkret und positiv formuliert. Die Faustregel: zwei bis vier Seiten, verständlich für jeden Mitarbeitenden, mit einer klaren Positivliste statt eines Katalogs von Verboten. Konkret bedeutet das: Werkzeuge beim Namen nennen ("freigegeben sind X, Y, Z über den Firmenaccount"), Datenkategorien greifbar machen ("Kundennamen, Preise, Verträge: nur in freigegebene Tools"), und für alles Ungeregelte einen einfachen Weg definieren ("neues Tool gewünscht: kurze Anfrage an [Rolle]"). Nicht hineingehören: technische Detailkonfigurationen die veralten werden, juristische Paragraphenketten und Regelungen für hypothetische Zukunftsfälle. Die Richtlinie ist ein Gebrauchsdokument, kein Vertragswerk.
Die Gliederungsvorlage
Diese Struktur nutzen wir in unseren Workshops als Ausgangspunkt. Sie passt für Unternehmen von 10 bis ca. 1.000 Mitarbeitenden und kann einfach an einem Nachmittag mit Inhalt gefüllt werden:
1. Zweck und Geltungsbereich. Zwei Sätze: Die Richtlinie regelt die Nutzung von KI-Werkzeugen im Arbeitskontext und gilt für alle Mitarbeitenden, auch für Aushilfskräfte und Externe mit Systemzugang.
2. Freigegebene Werkzeuge. Konkrete Tools mit Accounttyp: welche KI-Dienste über welche Firmenaccounts genutzt werden dürfen und wo Privataccounts ausdrücklich verboten sind. Zusätzlich sollte festgehalten werden, was der Freigabeweg für neue Tools ist, wer diese prüft und wie lang der Prozess dauern darf.
3. Datenregeln. Das Herzstück der KI-Richtlinie – aufbereitet im einfachen Ampel-System. Welche Daten dürfen in welcher Toolklasse genutzt werden? Öffentliche Informationen: kein Problem, sind ja öffentlich. Interne Informationen: nur freigegebene Tools. Personenbezogene Daten und Kundengeheimnisse: nur in Tools mit entsprechender Vereinbarung (AVV, EU-Hosting), im Zweifel gar nicht.
4. Ergebnisverantwortung. Der wichtigste Absatz der gesamten KI-Richtlinie: KI-Ergebnisse müssen vor Verwendung fachlich geprüft sein, die Verantwortung liegt dabei immer bei der Person, die das Ergebnis am Ende nutzt oder weiterverwendet (Oft auch „Human-in-the-Loop“ genannt). Für kritische Verwendungen (Angebote, Verträge, Veröffentlichungen) gilt nach wie vor das Vier-Augen-Prinzip.
5. Kennzeichnung. Wann KI-Einsatz offengelegt wird: extern gemäß den Transparenzpflichten des AI-Act (Chatbots, veröffentlichte KI-Inhalte), intern nach vereinbarter und definierter Praxis.
6. Vertraulichkeit und Urheberrecht. Hier muss klar definiert werden, wie mit internen und externen Geheimhaltungsregelungen umgegangen wird. In den meisten Fällen bedeutet das: kein Einspeisen fremder geschützter Werke ohne Berechtigung und die Beachtung von Geheimhaltungsvereinbarungen mit Kunden auch gegenüber KI-Tools.
7. Schulung und Onboarding. Es folgt ein Verweis auf die verpflichtende KI-Grundschulung, den Auffrischungsrhythmus (beispielsweise jährlich) und die notwendigen Bausteine im Onboarding neuer Mitarbeitenden.
8. Verantwortlichkeit und Pflege. Eine klare Zuweisung wer die Richtlinie und die Toolliste aktuell hält inklusive namentlicher Nennung und entsprechender Rolle schafft Transparenz und Verbindlichkeit. Auch der Überprüfungsrhythmus (halbjährlich reicht) und das Datum der letzten Änderung muss hier festgehalten sein.
9. Umgang mit Verstößen. Ganz wichtig ist, dass Sie hier keinen Strafkatalog auflisten, sondern klare Hinweise zum Vorgehen aufführen: Unsicherheiten und Fehler sollen stets offen gemeldet statt vertuscht werden – gerade bei versehentlich eingegebenen Daten zählt Geschwindigkeit.
Der häufigste Fehler bei der Einführung
Was auf keinen Fall passieren sollte: Die neue KI-Richtlinie einfach schnell per E-Mail verschicken und für erledigt erklären. Ein Dokument, das niemand kennt, erfüllt weder eine Schutzfunktion noch den AI-Act-Nachweis. Die Einführung braucht eine Schulung, in der die Regeln an echten Beispielen aus dem Arbeitsalltag durchgespielt werden ("darf ich diese Kundenmail übersetzen lassen?"). Das dauert rund 90 Minuten und entscheidet darüber, ob die Richtlinie gelebt wird oder nur im Intranet verstaubt. Sind Schulungstermin, Inhalte und Teilnehmenden-Listen direkt dokumentiert, ist damit zugleich der Kompetenznachweis nach AI-Act erbracht. In unseren Workshops erarbeiten wir die KI-Richtlinie und anschließende Schulung in einem Tag: vormittags die Regeln entlang dieser Gliederung mit Ihren Führungskräften, nachmittags die Schulung fürs Team, inklusive der Dokumentation. Wenn Sie den Stand Ihrer KI-Nutzung vorher sortieren wollen: Das Erstgespräch kostet nichts.
Über den Autor: Lars Quell ist Geschäftsführer der they consulting GmbH. Das Team aus rund 15 Beraterinnen und Entwicklern begleitet mittelständische Unternehmen von der ersten KI-Idee bis zum produktiven System, ausschließlich auf EU-Servern, DSGVO- und TISAX-konform.