Mitarbeitende nutzen KI längst, ob es eine Richtlinie gibt oder nicht. Sie lassen Texte formulieren, fassen Protokolle zusammen, übersetzen E-Mails und recherchieren. Die eigentliche Frage ist nicht, ob KI im Unternehmen eingesetzt wird, sondern ob dieser Einsatz geregelt ist oder im Verborgenen und unkontrolliert stattfindet.
Eine KI-Nutzungsrichtlinie schafft genau diese Ordnung. Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten hineingegeben werden dürfen und wo eine Person die Ergebnisse prüfen muss, bevor etwas nach außen geht. Dieser Leitfaden erklärt, warum eine solche Richtlinie inzwischen auch rechtlich erwartet wird, und liefert eine Gliederung, die Sie Abschnitt für Abschnitt an Ihr Unternehmen anpassen können.
Warum jedes Unternehmen eine KI-Richtlinie braucht
Ohne klare Regeln entsteht sogenannte Schatten-KI: Beschäftigte greifen zu kostenlosen Consumer-Tools, kopieren Kundendaten, Verträge oder Personaldaten hinein und ahnen nicht, dass diese Eingaben je nach Anbieter gespeichert oder zum Training verwendet werden können. Für das Unternehmen entstehen daraus drei konkrete Risiken:
- Datenschutz. Personenbezogene Daten in einem Tool ohne Auftragsverarbeitungsvertrag verlassen unter Umständen den erlaubten Rahmen der DSGVO.
- Berufs- und Geheimnisschutz. In Kanzleien, Praxen und Beratungen kann die Weitergabe von Mandanten- oder Patientendaten das Haftungsrisiko nach §203 StGB erhöhen.
- Fehlerhafte Ergebnisse. KI erfindet Fakten, Quellen und Zahlen. Ohne Prüfpflicht landen solche Fehler ungefiltert in Angeboten, Gutachten oder Kundenkommunikation.
Seit dem 2. Februar 2025 gilt zudem Artikel 4 der KI-Verordnung (KI-VO), die sogenannte KI-Kompetenzpflicht. Unternehmen müssen sicherstellen, dass Personen, die in ihrem Auftrag KI-Systeme einsetzen, über ausreichende Kompetenz im Umgang damit verfügen. Eine dokumentierte Richtlinie samt Schulung ist der praktischste Weg, diese Pflicht nachweisbar zu erfüllen. Wie die KI-VO insgesamt aufgebaut ist, welche Risikoklassen sie kennt und welche Fristen greifen, erläutert unser Leitfaden zum EU AI Act.
Bevor Sie die Richtlinie schreiben: das Werkzeug entscheiden
Eine Richtlinie, die verbotene Tools auflistet, aber keine erlaubte Alternative anbietet, wird ignoriert. Menschen brauchen ein Werkzeug, das die Arbeit erledigt. Die sinnvolle Reihenfolge lautet deshalb: zuerst eine oder wenige freigegebene Plattformen auswählen, dann die Richtlinie darum herum bauen.
Achten Sie bei der Auswahl auf drei Punkte: EU-Hosting, keine Nutzung Ihrer Daten zum Training des Modells und ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter. Worauf es in einem solchen AVV mit KI-Anbietern konkret ankommt, behandelt der Beitrag AVV mit KI-Anbietern. Eine tiefere Einordnung, was eine Plattform überhaupt DSGVO-konform einsetzbar macht, finden Sie unter DSGVO-konforme KI.
Wysor ist als privater, EU-gehosteter KI-Arbeitsplatz genau für diesen Zweck gebaut: mehrere Modelle (Claude, GPT, Gemini und weitere) in einer Oberfläche, ohne Datenspeicherung, ohne Training auf Ihren Daten, mit AVV je Modellanbieter. So können Sie eine einzige freigegebene Plattform in Ihrer Richtlinie benennen, statt für jede Aufgabe ein separates Consumer-Tool zu dulden.
Die Gliederung zum Anpassen
Die folgenden Abschnitte bilden ein vollständiges Gerüst. Übernehmen Sie die Überschriften, füllen Sie die Klammern mit Ihren Angaben und streichen Sie, was für Ihr Unternehmen nicht passt. Eine gute Richtlinie ist kurz genug, dass sie tatsächlich gelesen wird, meist zwei bis vier Seiten.
1. Zweck und Geltungsbereich
Beschreiben Sie in wenigen Sätzen, warum es die Richtlinie gibt und für wen sie gilt. Nennen Sie ausdrücklich, dass sie für alle Beschäftigten, Werkstudierenden, Praktikanten und freien Mitarbeitenden gilt, und dass sie sowohl private Consumer-Tools am Arbeitsplatz als auch die freigegebenen Unternehmenswerkzeuge umfasst.
Formulierungshilfe: Diese Richtlinie regelt den Einsatz von KI-Systemen bei [Unternehmen]. Sie gilt für alle Personen, die im Auftrag von [Unternehmen] tätig sind, unabhängig vom eingesetzten Gerät.
2. Freigegebene und gesperrte Werkzeuge
Der wichtigste Abschnitt. Führen Sie die ausdrücklich erlaubten Plattformen namentlich auf und machen Sie klar, dass alle anderen KI-Dienste ohne vorherige Freigabe nicht für dienstliche Zwecke genutzt werden dürfen. Benennen Sie eine Kontaktstelle, bei der neue Tools zur Prüfung angefragt werden können.
- Freigegeben für alle Aufgaben: [freigegebene Plattform, z. B. Wysor]
- Nur nach Einzelfreigabe: [Liste]
- Nicht für dienstliche Daten erlaubt: kostenlose Consumer-Chatbots ohne AVV
3. Datenregeln: was hinein darf und was nicht
Legen Sie in einfacher Sprache fest, welche Daten in ein KI-System eingegeben werden dürfen. Eine bewährte Struktur arbeitet mit Datenkategorien:
- Grün (unbedenklich): allgemeine, öffentlich verfügbare Informationen, anonymisierte Entwürfe, interne Texte ohne Personenbezug.
- Gelb (nur in freigegebenen Tools): interne Dokumente mit Personenbezug, Kundenkorrespondenz, Vertragsentwürfe. Nur in Plattformen mit AVV und ohne Training auf Ihren Daten.
- Rot (nie eingeben): besondere Kategorien personenbezogener Daten (Gesundheit, Herkunft, politische Meinung), Zugangsdaten, Geschäftsgeheimnisse Dritter.
Ergänzen Sie eine klare Regel zu Berufsgeheimnissen: In Kanzleien, Arztpraxen und Beratungen dürfen mandanten- oder patientenbezogene Inhalte nur in einer freigegebenen, EU-gehosteten Plattform verarbeitet werden, weil dies hilft, das Haftungsrisiko nach §203 StGB zu senken.
4. Menschliche Aufsicht und Prüfpflicht
KI liefert einen Entwurf, nie ein fertiges Ergebnis. Halten Sie fest, dass eine fachlich zuständige Person jedes KI-Ergebnis prüft, bevor es das Unternehmen verlässt oder eine Entscheidung stützt. Das gilt besonders für Zahlen, Zitate, Rechtsverweise und Quellenangaben, die KI erfindet.
Formulierungshilfe: KI-generierte Inhalte sind Entwürfe. Vor jeder externen Verwendung oder Entscheidung prüft eine fachlich verantwortliche Person Richtigkeit, Vollständigkeit und Quellen.
Definieren Sie, wo die Letztverantwortung liegt. Bei einem Angebot ist es die Vertriebsleitung, bei einem Schriftsatz die zeichnende Anwältin, bei einem Arztbrief die behandelnde Ärztin.
5. Transparenz und Kennzeichnung
Regeln Sie, wann der KI-Einsatz offengelegt werden muss, etwa gegenüber Kundinnen, in Publikationen oder bei automatisierter Kommunikation. Das greift die Transparenzanforderungen der KI-VO auf und schützt zugleich das Vertrauensverhältnis.
6. KI-Kompetenz und Schulung (Artikel 4 KI-VO)
Beschreiben Sie, wie Sie die Kompetenzpflicht erfüllen: verpflichtende Einführung für alle Nutzenden, kurze Auffrischung bei neuen Funktionen, ein benannter Ansprechpartner für Rückfragen. Dokumentieren Sie Teilnahme und Datum, denn nachweisbar ist hier das entscheidende Wort.
7. Verantwortlichkeiten und Verstöße
Nennen Sie die verantwortliche Stelle (Geschäftsführung, Datenschutzbeauftragte, IT), den Meldeweg für Vorfälle und die Folgen bei Verstößen. Halten Sie den Ton sachlich: Ziel ist sicheres Arbeiten, nicht Bestrafung.
8. Geltung, Überprüfung und Kontakt
Datieren Sie die Richtlinie, legen Sie ein Überprüfungsintervall fest (etwa halbjährlich, weil sich Tools und Rechtslage schnell ändern) und nennen Sie eine Kontaktadresse für Fragen.
So setzen Sie die Richtlinie im Alltag durch
Ein Dokument im Intranet ändert kein Verhalten. Drei Schritte machen den Unterschied:
- Eine echte Alternative bereitstellen. Wenn die freigegebene Plattform die Aufgaben genauso gut erledigt wie das gesperrte Consumer-Tool, entfällt der Anreiz zur Umgehung. Eine Wissensdatenbank, in die sich PDF, DOCX, XLSX und PPTX hochladen lassen, deckt viele der Fälle ab, für die Mitarbeitende sonst Dokumente in fremde Dienste kopieren.
- Kurz schulen, praxisnah. Fünfzehn Minuten mit echten Beispielen aus dem eigenen Arbeitsalltag wirken mehr als ein zehnseitiges Handbuch. Zeigen Sie die grün-gelb-rot-Datenregel an konkreten Fällen.
- Zugänge steuern. Eine gemeinsame Unternehmenslösung mit klaren Konten ist leichter zu überblicken als Dutzende privater Gratis-Accounts. Für kleinere Teams reicht dafür oft ein einfacher Plan ohne Enterprise-Vertrag.
Wie eine EU-gehostete Plattform die Richtlinie trägt
Viele Anforderungen aus der Gliederung lassen sich technisch abfangen, statt sie allein der Disziplin einzelner Beschäftigter zu überlassen. Eine Plattform wie Wysor unterstützt dabei an mehreren Stellen:
- Datenregeln: Zero Data Retention und keine Nutzung Ihrer Eingaben zum Modelltraining bedeuten, dass die gelbe Kategorie überhaupt sicher verarbeitet werden kann. EU-Hosting und ein AVV je Modellanbieter bilden die vertragliche Grundlage.
- Ein Werkzeug statt vieler: Mehrere Modelle in einer Oberfläche reduzieren den Bedarf, für einzelne Aufgaben zu externen Consumer-Diensten auszuweichen.
- Prüfbare Ergebnisse: In der juristischen Recherche verweist die integrierte Rechtsdatenbank auf reale Rechtsprechung und Gesetzestexte mit Fundstellen und markiert überholte Entscheidungen. In der medizinischen Recherche durchsucht die Plattform offene Fachliteratur und Arzneimittelinformationen. Das erleichtert die in Abschnitt 4 geforderte menschliche Prüfung, weil Aussagen an belegbare Quellen gebunden sind.
- Menschliche Freigabe eingebaut: Bei der Dokumentenerstellung, etwa Briefen, Berichten oder Arztbriefen aus Notizen oder Diktat, entsteht ein Entwurf, den die verantwortliche Person prüft und freigibt.
Damit wird die Richtlinie nicht zu einer reinen Verbotsliste, sondern zu einer Beschreibung dessen, wie im Unternehmen ohnehin sicher gearbeitet werden kann. Welche Kriterien eine Plattform dafür erfüllen sollte, vertieft der Überblick zu DSGVO-konformer KI.
Häufige Fragen
Ist eine KI-Nutzungsrichtlinie gesetzlich vorgeschrieben? Es gibt kein Gesetz, das exakt das Dokument mit diesem Namen verlangt. Artikel 4 der KI-VO verpflichtet Unternehmen aber seit Februar 2025 dazu, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen, und die DSGVO verlangt technisch-organisatorische Maßnahmen. Eine dokumentierte Richtlinie samt Schulung ist der praktischste Weg, beide Pflichten nachweisbar zu erfüllen.
Wie lang sollte die Richtlinie sein? So kurz wie möglich. Zwei bis vier Seiten werden gelesen, ein dickes Handbuch nicht. Konzentrieren Sie sich auf die freigegebenen Werkzeuge, die Datenregeln und die Prüfpflicht. Alles Weitere kann in ergänzenden Dokumenten stehen.
Was ist mit Beschäftigten, die schon ChatGPT oder andere Tools nutzen? Verbote allein verlagern die Nutzung nur ins Verborgene. Wirksamer ist, eine freigegebene Alternative bereitzustellen, die dieselben Aufgaben erledigt, und die Datenregeln klar zu erklären. So wandert die vorhandene Nutzung in einen kontrollierten Rahmen.
Reicht ein kostenloses KI-Tool für den geschäftlichen Einsatz? Für allgemeine, unbedenkliche Aufgaben kann das genügen. Sobald personenbezogene oder vertrauliche Daten ins Spiel kommen, braucht es eine Plattform mit AVV, EU-Hosting und ohne Training auf Ihren Daten. Details dazu im Beitrag AVV mit KI-Anbietern.
Wie oft sollte die Richtlinie aktualisiert werden? Mindestens halbjährlich, da sich Werkzeuge und die Rechtslage rund um die KI-VO schnell entwickeln. Hinterlegen Sie ein festes Überprüfungsdatum und eine verantwortliche Person.
Eine KI-Nutzungsrichtlinie ist kein Selbstzweck, sondern die Bedingung dafür, dass KI im Unternehmen produktiv und ruhig eingesetzt werden kann. Wählen Sie zuerst ein Werkzeug, das die Datenregeln technisch trägt, und bauen Sie die Richtlinie darum herum.
Fragen zur Umsetzung in Ihrem Unternehmen? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App. Zum Einstieg gibt es einen kostenlosen Plan, Plus für 19,99 EUR/Monat und Premium für 29,99 EUR/Monat, ganz ohne Enterprise-Vertrag.
