KI-Richtlinie für Unternehmen: Vorlage zum direkten Einsatz
Eine KI-Richtlinie legt schriftlich fest, welche KI-Tools dein Unternehmen erlaubt, welche Daten dabei nicht verwendet werden dürfen und wer für Schulung und Einhaltung verantwortlich ist. Sie ist der praktische Ausgangspunkt, um die KI-Kompetenz-Pflicht aus Artikel 4 des EU AI Act zu erfüllen. Die Vorlage unten kannst du direkt für dein Unternehmen anpassen.
#Warum du eine KI-Richtlinie brauchst, auch ohne große IT-Abteilung
In den meisten Unternehmen nutzen Mitarbeitende längst KI-Tools im Alltag, oft ohne dass es eine offizielle Regel dazu gibt. Marketing schreibt Texte mit ChatGPT, der Kundenservice testet KI-Chatbots, Einzelne laden Dokumente in Claude oder Gemini hoch, um sie zusammenzufassen. Ohne Richtlinie entscheidet jede Person für sich, was erlaubt ist, und das führt fast immer zu Problemen: vertrauliche Kundendaten landen in einem öffentlichen Tool, oder niemand weiß, ob ein KI-generierter Text noch geprüft werden muss.
Eine schriftliche Richtlinie löst das nicht durch Verbote, sondern durch Klarheit. Sie beantwortet die Fragen, die sonst jede Person einzeln und unterschiedlich beantwortet: Welche Tools sind erlaubt? Welche Daten dürfen rein? Wer prüft das Ergebnis? Genau diese Klarheit ist auch der Kern dessen, was Artikel 4 des AI Act von Unternehmen verlangt: ein nachvollziehbarer, dokumentierter Umgang mit KI-Systemen.
Eine KI-Richtlinie allein erfüllt Artikel 4 noch nicht vollständig. Die Pflicht verlangt zusätzlich, dass Mitarbeitende die Richtlinie auch tatsächlich kennen und verstehen, nicht nur, dass sie existiert. Mehr dazu im Artikel zur KI-Kompetenz-Pflicht.
#Was eine KI-Richtlinie enthalten muss
Eine funktionierende Richtlinie deckt sieben Bereiche ab:
| Abschnitt | Kernfrage |
|---|---|
| Zweck und Geltungsbereich | Für wen gilt die Richtlinie, und welche Tools sind gemeint? |
| Erlaubte und nicht erlaubte Nutzung | Welche Aufgaben dürfen mit KI erledigt werden, welche nicht? |
| Umgang mit vertraulichen Daten | Welche Informationen dürfen niemals in ein KI-Tool eingegeben werden? |
| Kennzeichnung KI-generierter Inhalte | Wann muss offengelegt werden, dass KI beteiligt war? |
| Qualitätskontrolle | Wer prüft KI-Ergebnisse, bevor sie verwendet werden? |
| Schulung und Nachweis | Wie wird KI-Kompetenz vermittelt und dokumentiert? |
| Verstöße und Meldewege | Was passiert bei Regelverstößen, und wer ist Ansprechpartner? |
Die folgende Vorlage füllt jeden Abschnitt mit einem Startpunkt, den du direkt übernehmen und an dein Unternehmen anpassen kannst.
#Vorlage: KI-Nutzungsrichtlinie
1. Zweck und Geltungsbereich Diese Richtlinie regelt den Einsatz von KI-Systemen (z. B. ChatGPT, Copilot, Claude, Gemini) durch alle Mitarbeitenden von [Unternehmensname]. Sie gilt für dienstliche Zwecke unabhängig davon, ob ein Tool unternehmensweit lizenziert oder privat genutzt wird.
2. Erlaubte und nicht erlaubte Nutzung Erlaubt: Textentwürfe, Recherche-Unterstützung, Zusammenfassungen interner, nicht vertraulicher Dokumente, Programmierhilfe im Rahmen bestehender Freigaben. Nicht erlaubt ohne vorherige Freigabe: automatisierte Entscheidungen über Personen (z. B. Bewerbungsauswahl), Nutzung nicht freigegebener KI-Tools für Kundendaten.
3. Umgang mit vertraulichen und personenbezogenen Daten Kundendaten, Personaldaten, unveröffentlichte Finanzzahlen und Geschäftsgeheimnisse dürfen nicht in öffentliche KI-Tools eingegeben werden. Nur unternehmensweit freigegebene, vertraglich abgesicherte Tools sind für solche Daten zulässig.
4. Kennzeichnungspflicht für KI-generierte Inhalte Extern kommunizierte Inhalte mit wesentlichem KI-Anteil (z. B. Marketing-Texte, Berichte) werden intern entsprechend dokumentiert. [Hier ergänzen: konkrete Kennzeichnungsregel für dein Unternehmen.]
5. Qualitätskontrolle KI-generierte Inhalte werden vor Verwendung von einer fachkundigen Person geprüft. Bei KI-Ergebnissen mit Auswirkung auf Kunden oder rechtliche Fragen ist eine zweite Prüfung vorgeschrieben.
6. Schulung und Nachweis Alle Mitarbeitenden, die KI-Systeme nutzen, absolvieren eine Einführungsschulung vor der ersten Nutzung sowie eine jährliche Auffrischung. Abschlüsse werden dokumentiert und sind auf Anfrage nachweisbar.
7. Verstöße und Meldewege Verstöße gegen diese Richtlinie werden an [Ansprechpartner/Abteilung] gemeldet. Wiederholte oder schwerwiegende Verstöße werden im Rahmen bestehender arbeitsrechtlicher Prozesse behandelt.
Fülle zuerst nur Abschnitt 2 und 3 aus (erlaubte Nutzung, vertrauliche Daten) und veröffentliche die Richtlinie. Ein unvollständiger, aber verständlicher Entwurf schafft mehr Klarheit als ein perfektes Dokument, das drei Monate in der Abstimmung hängt. Die restlichen Abschnitte lassen sich in der ersten Überarbeitung ergänzen.
#Wie du die Richtlinie im Team verankerst
Ein Dokument im Intranet, das niemand liest, verändert nichts. Drei Schritte machen aus der Richtlinie tatsächlich gelebte Praxis:
Zuerst eine kurze, verpflichtende Einführung für alle, die mit KI-Tools arbeiten, keine einstündige Präsentation, sondern ein fokussierter Mikro-Kurs, der die Richtlinie an konkreten Beispielen aus dem eigenen Arbeitsalltag durchgeht. Konkrete Prompting-Beispiele helfen dabei, die abstrakten Regeln greifbar zu machen.
Dann eine feste Anlaufstelle für Fragen, weil Richtlinien in der Praxis immer Grenzfälle produzieren, die im Dokument nicht abgedeckt sind. Wer diese Fragen schnell beantwortet, verhindert, dass Mitarbeitende die Richtlinie einfach ignorieren.
Und schließlich eine dokumentierte Auffrischung, mindestens jährlich, weil sich sowohl die eingesetzten Tools als auch die Nutzungsmuster im Team schnell verändern.
#Häufige Fehler bei KI-Richtlinien
Zu allgemein formuliert. „KI verantwortungsvoll nutzen" ist keine Regel, sondern eine Absichtserklärung. Eine gute Richtlinie nennt konkrete Tools, konkrete Datentypen und konkrete Freigabeprozesse.
Nur verboten, nichts erlaubt. Richtlinien, die ausschließlich Einschränkungen auflisten, führen dazu, dass Mitarbeitende KI-Tools heimlich nutzen, statt sie regelkonform einzusetzen. Eine klare Liste erlaubter Anwendungsfälle ist genauso wichtig wie die Verbote.
Einmal geschrieben, nie aktualisiert. KI-Tools verändern sich schneller als die meisten anderen Unternehmensrichtlinien. Eine Richtlinie von vor einem Jahr deckt oft schon die Hälfte der heute genutzten Tools nicht mehr ab.
#Häufige Fragen
#Reicht diese Vorlage aus, um Artikel 4 des AI Act zu erfüllen?
Die Richtlinie ist ein zentraler Baustein, aber nicht der einzige. Artikel 4 verlangt zusätzlich, dass Mitarbeitende die Inhalte tatsächlich kennen und anwenden können, dafür braucht es eine begleitende Schulung mit dokumentiertem Abschluss, nicht nur das Dokument selbst.
#Muss die Richtlinie vom Betriebsrat mitbestimmt werden?
In Unternehmen mit Betriebsrat greift häufig ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG, insbesondere wenn KI-Tools Leistung oder Verhalten von Mitarbeitenden erfassen können. Mehr zum Zusammenspiel von Betriebsrat und digitalen Lernsystemen im Artikel zu Betriebsrat und E-Learning.
#Wie oft sollte die Richtlinie aktualisiert werden?
Mindestens jährlich, idealerweise sobald ein neues Tool unternehmensweit eingeführt wird. Eine veraltete Richtlinie, die aktuelle Tools nicht erwähnt, verliert schnell an Autorität im Team.
#Brauchen auch kleine Unternehmen eine schriftliche KI-Richtlinie?
Ja. Artikel 4 unterscheidet nicht nach Unternehmensgröße, und gerade in kleinen Teams ohne eigene IT- oder Rechtsabteilung schafft ein kurzes, klares Dokument mehr Sicherheit als informelle Absprachen, die niemand nachvollziehen kann.
Sobald die Richtlinie steht, ist der nächste Schritt, sie auch tatsächlich zu vermitteln statt nur zu verschicken. Mit Scibly lässt sich eine KI-Richtlinie in wenigen Minuten in einen interaktiven Mikro-Kurs umwandeln, inklusive Verständnis-Check und dokumentiertem Abschluss pro Mitarbeitendem. Der Anwendungsfall KI-Training im Unternehmen zeigt, wie das konkret aussieht.