KI-Richtlinie für dein Unternehmen erstellen

Eine KI-Richtlinie regelt vier Dinge: Werkzeuge, Daten, Freigabe, Dokumentation

Eine KI-Richtlinie für dein Unternehmen muss nicht lang sein, um zu wirken. Sie muss vier Fragen eindeutig beantworten: Welche KI-Werkzeuge dürfen Mitarbeitende überhaupt nutzen? Welche Daten dürfen hinein, und welche nie? Wer gibt ein neues Werkzeug oder einen neuen Anwendungsfall frei? Und was wird dokumentiert, damit die Antwort auf all das auch in einem Jahr noch nachvollziehbar ist?

Ohne eine solche Richtlinie entscheidet jede Person für sich, oft nach Bauchgefühl. Das Ergebnis ist selten ein Verbot, sondern ein Flickenteppich aus privaten Accounts, kopierten Kundendaten in fremde Chatfenster und Ergebnissen, die niemand mehr einer Quelle zuordnen kann. Eine Richtlinie ersetzt dieses Bauchgefühl durch eine kleine Zahl klarer Regeln, an die sich das Team tatsächlich hält, weil sie im Alltag praktikabel sind.

Warum eine informelle Regel nicht reicht

„Wir sagen den Leuten einfach, sie sollen vorsichtig sein” ist keine Richtlinie, sondern eine Absichtserklärung. Sie beantwortet keine der vier Fragen oben und lässt jede Person allein mit der Einschätzung, ob eine Kundenanfrage, ein Vertragsentwurf oder eine interne Kalkulation in ein öffentliches KI-Tool eingegeben werden darf.

Diese Unsicherheit führt in der Praxis zu sogenannter Schatten-KI: Mitarbeitende nutzen private Accounts kostenloser Werkzeuge, weil eine offizielle Lösung fehlt oder zu langsam freigegeben wird. Genau das will eine Richtlinie verhindern, nicht indem sie KI verbietet, sondern indem sie einen schnellen, klaren Weg zu einer erlaubten Nutzung anbietet.

Baustein 1: Welche Werkzeuge sind erlaubt

Lege eine kurze Liste erlaubter Werkzeuge an, keine lange Verbotsliste. Für jedes Werkzeug prüfst du vor der Aufnahme dieselben Punkte:

• Gibt es einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter?
• Wo werden die Daten verarbeitet, und werden Eingaben zum Training genutzt?
• Für welchen Zweck ist das Werkzeug freigegeben, und für welchen ausdrücklich nicht?
• Wer im Unternehmen ist für dieses Werkzeug verantwortlich, wenn Fragen auftauchen?

Ein Werkzeug ohne AVV oder mit unklarer Datenverwendung gehört nicht auf die Liste, unabhängig davon, wie gut es sonst ist. Für einen ersten Anwendungsfall lohnt sich außerdem der Blick auf den kleinsten sinnvollen Umfang statt auf ein unternehmensweites Rollout in einem Schritt. Wie ein solcher erster Anwendungsfall sauber begrenzt wird, beschreiben wir ausführlich im Beitrag KI-Projekt im Unternehmen sicher einführen.

Baustein 2: Welche Daten dürfen hinein

Die zweite Frage entscheidet über das eigentliche Risiko. Nicht jedes Werkzeug darf jede Information sehen. Eine einfache Klassifizierung hilft, das im Alltag schnell zu entscheiden:

Für anonymisierte oder frei erfundene Beispieldaten gilt diese Tabelle nicht in gleicher Strenge. Sie sind der richtige Weg, um ein neues Werkzeug überhaupt erst auszuprobieren, bevor echte Kunden- oder Personaldaten beteiligt sind.

Baustein 3: Wer gibt frei

Nicht jede Freigabe braucht dieselbe Instanz. Für die alltägliche Nutzung eines bereits freigegebenen Werkzeugs im vereinbarten Rahmen reicht die eigene Einschätzung nach der Richtlinie. Für ein neues Werkzeug, einen neuen Datentyp oder eine kundenseitig sichtbare Anwendung braucht es eine benannte Person oder Rolle, die AVV, Zweck und Datenklasse vorab prüft. Für Anwendungen, die Kunden direkt betreffen oder besonders sensible Daten verarbeiten, gehört eine zusätzliche Rücksprache mit der Geschäftsführung oder dem Datenschutzverantwortlichen in den Prozess.

Wichtig ist, dass diese drei Stufen bekannt sind, bevor die erste Frage im Alltag auftaucht. Eine Richtlinie, die erst im Einzelfall erfunden wird, verliert die Akzeptanz im Team schnell wieder.

Baustein 4: Was wird dokumentiert

Dokumentation muss nicht bürokratisch sein, aber sie muss existieren. Für jedes freigegebene Werkzeug reicht eine kurze, gepflegte Übersicht: Name des Werkzeugs, Zweck, verantwortliche Person, Datum der Freigabe, verlinkter AVV und erlaubte Datenklassen. Für jeden neuen Anwendungsfall reicht ein Satz, wer ihn freigegeben hat und wofür.

Diese Dokumentation erfüllt zwei Zwecke gleichzeitig. Sie beantwortet intern jederzeit, warum ein Werkzeug im Einsatz ist. Und sie ist die Grundlage, um im Ernstfall, etwa bei einer Rückfrage einer Aufsichtsbehörde oder eines Kunden, nachvollziehbar zu zeigen, dass die Nutzung nicht zufällig, sondern geprüft entstanden ist.

Der rechtliche Rahmen kurz erklärt

Hinweis: n3tz ist keine Anwaltskanzlei. Dieser Abschnitt ist eine allgemeine Orientierung und keine Rechtsberatung. Ob deine konkrete KI-Nutzung die genannten Pflichten vollständig erfüllt, hängt vom Einzelfall ab und muss bei Bedarf mit einer spezialisierten Kanzlei oder deinem Datenschutzbeauftragten geklärt werden.

Zwei Regelwerke sind für eine betriebliche KI-Richtlinie besonders relevant. Artikel 4 der KI-Verordnung (Verordnung (EU) 2024/1689, seit dem 2. Februar 2025 anwendbar) verpflichtet Anbieter und Betreiber von KI-Systemen, angemessene Maßnahmen zu treffen, damit ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt, passend zu Technikkenntnis, Erfahrung und Einsatzkontext. Eine schriftliche Richtlinie mit klaren Regeln ist ein naheliegender Baustein, um diese Kompetenz nachvollziehbar aufzubauen, ersetzt aber keine Schulung. Den vollständigen Verordnungstext findest du bei EUR-Lex. Mehr zu Transparenzpflichten bei direkter KI-Interaktion erklärt unsere Seite zur EU-KI-Verordnung.

Die DSGVO (Verordnung (EU) 2016/679) bleibt daneben die zentrale Grundlage, sobald personenbezogene Daten betroffen sind: Art. 5 verlangt Datenminimierung und Zweckbindung, Art. 6 eine tragfähige Rechtsgrundlage für jede Verarbeitung, und Art. 28 einen Auftragsverarbeitungsvertrag mit jedem eingesetzten KI-Anbieter, der in deinem Auftrag Daten verarbeitet. Den Verordnungstext findest du ebenfalls bei EUR-Lex. Unseren eigenen AVV und unsere Datenschutzerklärung nutzen wir als Referenz dafür, wie wir diese Punkte für unsere eigenen Produkte umsetzen, nicht als Vorlage für deinen Einzelfall.

Von der Richtlinie zur Praxis

Eine Richtlinie auf Papier verändert noch kein Verhalten. Das Team braucht eine kurze, verständliche Einführung, in der die vier Bausteine an echten Beispielen aus dem eigenen Betrieb durchgespielt werden, nicht an abstrakten Fällen aus einem Muster-Dokument. Für Unternehmen, die das strukturiert angehen wollen, bieten wir dafür kompakte KI-Schulungen über die n3tz Academy an, wahlweise unabhängig von unserer eigenen Software.

Sobald die Richtlinie steht, folgt der erste konkrete Anwendungsfall. Wie du ihn eng genug fasst, damit er sich sicher testen und messen lässt, beschreibt der bereits erwähnte Beitrag zur sicheren KI-Einführung im Detail.

KI-Richtlinie für den eigenen Betrieb aufsetzen: Vorhaben mit n3tz besprechen →