KI-Richtlinie im Unternehmen: was hineingehört

In den meisten Betrieben wird längst mit KI gearbeitet, nur weiß es die Geschäftsführung nicht immer. Der Vertrieb lässt Angebote von ChatGPT glätten, die Buchhaltung fasst Verträge zusammen, ein Sachbearbeiter übersetzt Kundenmails, alles über private Konten, weil es kein Firmenwerkzeug gibt. Branchenverbände nennen das Schatten-KI, und sie nimmt zu. Nach Zahlen des Bitkom hat erst rund ein Viertel der Unternehmen Regeln für den Einsatz von KI-Werkzeugen aufgestellt. Der Rest verlässt sich darauf, dass schon nichts passiert.

Dazu kommt der rechtliche Rahmen. Seit dem 2. August 2026 gilt die KI-Verordnung im Grundsatz vollständig. Artikel 4 verlangt von Unternehmen, die KI-Kompetenz ihrer Mitarbeiter zu fördern, Artikel 50 regelt die Transparenz gegenüber Menschen, die mit KI zu tun haben. Der Digital Omnibus hat im Sommer 2026 die Pflichten für Hochrisiko-Systeme verschoben, diese beiden Punkte nicht. Was die Verordnung im Einzelnen von kleinen Betrieben will, steht unter Was verlangt die KI-Verordnung von kleinen Unternehmen?

Warum eine Richtlinie, und warum eine kurze

Eine KI-Richtlinie beantwortet die Fragen, die sich Mitarbeiter ohnehin stellen: Darf ich das? Womit? Mit welchen Daten? Wer entscheidet, wenn ich unsicher bin? Ohne Antwort entscheidet jeder selbst, und zwar meist in Richtung Bequemlichkeit. Mit einer Antwort gibt es einen Rahmen, auf den sich alle beziehen können, auch gegenüber Kunden, Datenschutzaufsicht oder Versicherer.

Die Richtlinie muss dafür gelesen werden. Ein zwanzigseitiges Dokument im Intranet wird es nicht. Eine Seite, die am Arbeitsplatz hängt und in der Schulung durchgesprochen wurde, schon. Alles, was über diese eine Seite hinausgeht, gehört in die Schulung oder in die technischen Einstellungen, nicht in den Text.

Was hineingehört

Freigegebene Werkzeuge: welche KI-Dienste genutzt werden dürfen, und zwar über ein Firmenkonto, nie über ein Privatkonto

Erlaubte Daten: was eingegeben werden darf, etwa öffentliche Informationen und eigene Entwürfe ohne Personenbezug

Verbotene Daten: Personendaten von Kunden und Mitarbeitern, Geschäftsgeheimnisse, Vertragsinhalte mit Geheimhaltungsklausel, Quellcode, wenn Verträge es ausschließen

Prüfpflicht: KI-Ergebnisse werden vor der Verwendung geprüft, Zahlen, Zitate und Rechtsaussagen immer gegen die Quelle

Kennzeichnung: veröffentlichte Bilder, Videos und Texte, die KI erzeugt hat, werden so gekennzeichnet, wie es die Verordnung verlangt

Zuständigkeit: eine benannte Person, die Fragen beantwortet und neue Werkzeuge freigibt

Freigabeweg: wie ein Mitarbeiter ein neues Werkzeug vorschlägt und wer es in welcher Zeit prüft

Schulungsnachweis: wer wann an der Schulung teilgenommen hat, dokumentiert und aufbewahrt

Der Punkt mit den Daten ist der wichtigste und der, an dem die meisten Richtlinien zu vage bleiben. „Keine sensiblen Daten eingeben" hilft niemandem, weil im Alltag unklar ist, was sensibel ist. Besser sind Beispiele aus dem eigenen Betrieb: Die Kundenliste nein, der Textbaustein für die Auftragsbestätigung ja, die Bewerbung eines Kandidaten nein, der eigene Entwurf einer Stellenanzeige ja. Wer die Grenze mit drei Beispielen zeigt, wird verstanden. Wo Daten das Haus grundsätzlich nicht verlassen dürfen, gibt es den Weg über lokale KI auf eigenen Servern, dann stellt sich die Frage nach dem Cloud-Dienst gar nicht erst.

Die Prüfpflicht hängt mit einer Eigenschaft der Werkzeuge zusammen, die viele unterschätzen: Sprachmodelle erfinden Inhalte, wenn ihnen Wissen fehlt, und tun das in überzeugendem Ton. Warum das so ist und wie man damit umgeht, erklärt Kann man KI-Ergebnissen trauen?

Was eine Richtlinie nicht leistet

Papier ändert kein Verhalten. Wer die Richtlinie per Mail verschickt und auf Bestätigung wartet, hat ein Dokument, aber keine Wirkung. Die Regel trägt erst, wenn die Leute verstanden haben, warum sie gilt und wie sie im konkreten Fall anzuwenden ist. Das passiert in der Schulung, nicht beim Lesen.

Der zweite Irrtum ist das Verbot ohne Alternative. Wer KI im Betrieb untersagt, aber kein Firmenwerkzeug anbietet, bekommt genau die Schatten-KI, die er verhindern wollte: private Konten auf dem Diensthandy, Firmendaten in einem Chat, den niemand kontrolliert. Die Richtlinie funktioniert nur zusammen mit einem freigegebenen Werkzeug, sei es Microsoft Copilot, ein Firmenzugang zu ChatGPT oder ein eigener Assistent. Was beim dienstlichen Einsatz von ChatGPT zu beachten ist, steht unter Darf ich ChatGPT im Unternehmen nutzen?

Und schließlich: Die Richtlinie ersetzt nicht den Datenschutz. Auftragsverarbeitung, Löschfristen und die technischen und organisatorischen Maßnahmen gelten daneben weiter. Die KI-Richtlinie ist der Teil davon, den die Mitarbeiter täglich in der Hand haben.

Wie Sie vorgehen

Inventur

Welche KI wird bei Ihnen schon genutzt, offiziell und inoffiziell? Fragen Sie ohne Vorwurf, sonst erfahren Sie es nicht.

Werkzeuge freigeben

Ein oder zwei Dienste über Firmenkonten bereitstellen, mit Vertrag zur Auftragsverarbeitung und ohne Training auf Ihren Daten.

Regeln festlegen

Die acht Punkte oben auf eine Seite bringen, mit Beispielen aus dem eigenen Alltag statt abstrakter Kategorien.

Schulung mit Nachweis

Die Regeln an echten Aufgaben durchgehen, Teilnahme dokumentieren, nach einem Jahr auffrischen, weil sich die Werkzeuge ändern.

Die Reihenfolge ist bewusst so gewählt. Wer mit den Regeln anfängt, bevor ein Werkzeug da ist, schreibt an der Praxis vorbei. Wer mit dem Werkzeug anfängt und die Regeln nachreicht, hat die ersten Wochen Wildwuchs. Beides zusammen, in dieser Folge, ist der Weg, der in kleinen Betrieben an einem Nachmittag beginnt und nach ein paar Wochen steht.

Wie wir Sie dabei unterstützen

Wir schreiben keine Richtlinien am Schreibtisch, sondern bringen Werkzeug, Regeln und Leute in derselben Schulung zusammen. In der KI-Schulung arbeiten wir an Ihren echten Aufgaben, der Datenschutz ist ein fester Teil davon, und die Teilnahme wird dokumentiert, damit Sie den Nachweis haben, wenn jemand danach fragt. Die Richtlinie entsteht dabei fast nebenbei, weil die Fragen aus dem Team zeigen, was wirklich geregelt werden muss.