Eine KI-Richtlinie ist kein Bürokratie-Papier — sie ist die Spielregel, die deinen Mitarbeitern Sicherheit gibt. Ohne sie passiert eins von zwei Dingen: Entweder benutzt keiner KI (aus Angst), oder alle benutzen private Accounts mit Firmendaten (Schatten-KI). Wir zeigen den Aufbau, der wirklich gelebt wird.
Warum eine KI-Richtlinie 2026 Pflicht ist
- DSGVO Art. 32: „angemessene technische und organisatorische Maßnahmen" — eine Richtlinie ist eine zentrale organisatorische Maßnahme.
- EU AI Act Art. 4 (ab 2026): KI-Kompetenz der Mitarbeiter sicherstellen — eine Richtlinie ist ein Baustein.
- BetrVG § 87 Abs. 1 Nr. 6: Mitbestimmungspflicht — Betriebsrat einbinden.
- Haftung: Ohne Richtlinie haftet das Unternehmen praktisch immer mit, wenn ein Mitarbeiter Kundendaten in eine private KI füttert.
Der bewährte 10-Punkte-Aufbau
1. Geltungsbereich
Für wen gilt die Richtlinie? Alle Mitarbeiter, Werkstudenten, Praktikanten, Freelancer mit Zugang zu Firmendaten. Auch externe Dienstleister, wenn sie KI mit Firmendaten nutzen.
2. Welche KI-Tools sind erlaubt
Positivliste: „Genehmigt sind: Cortexion, [Weitere…]". Andere Tools nur nach schriftlicher Freigabe durch IT/Datenschutz. Das ist der wichtigste Punkt — eine klare Liste verhindert 80 % aller Schatten-KI-Vorfälle.
3. Verbotene Inhalte (Negativliste)
Beispielformulierung: „In KI-Tools dürfen NICHT eingegeben werden: personenbezogene Daten Dritter ohne Rechtsgrundlage, Gesundheitsdaten, Bewerberdaten, Vertragsentwürfe mit Geschäftsgeheimnissen, Quellcode mit Lizenzschutz, vertrauliche Finanzdaten."
4. Umgang mit KI-Ausgaben
Beispielformulierung: „Jede KI-Ausgabe gilt als Entwurf, nicht als endgültiges Ergebnis. Vor Versand, Veröffentlichung oder Weitergabe ist eine fachliche Prüfung durch den verantwortlichen Mitarbeiter erforderlich." Dazu: Quellenprüfung bei Faktenaussagen, Plagiats-Bewusstsein bei kreativen Inhalten.
5. Transparenz gegenüber Dritten
Wann muss kommuniziert werden, dass eine KI beteiligt war? Praktische Regel: Bei automatisierten Antworten an Kunden (z. B. Support) muss erkennbar bleiben, dass KI im Einsatz war (z. B. Disclaimer in der Mail-Signatur).
6. Urheberrecht und KI-generierte Inhalte
Reine KI-Outputs sind in Deutschland nicht urheberrechtlich geschützt. Heißt: Wer reinen KI-Content veröffentlicht, kann ihn nicht exklusiv beanspruchen. Aufnahme in die Richtlinie: „Bei kreativen Inhalten, die geschützt werden sollen (Marketing-Kampagnen, Slogans, Bildmaterial), ist eine erkennbare menschliche Bearbeitung erforderlich."
7. Datenschutz und personenbezogene Daten
Verweis auf die DSGVO-Schulung. Klare Regel: Vor jeder Eingabe von personenbezogenen Daten muss eine Rechtsgrundlage geprüft sein. Beispiele für sichere und unsichere Eingaben.
8. KI in Personalentscheidungen
Beispielformulierung: „KI darf zur Vorbereitung von Personalentscheidungen (Sichtung, Vorsortierung) eingesetzt werden. Die finale Entscheidung trifft immer ein Mensch. Bewerber haben das Recht auf eine menschliche Überprüfung gemäß Art. 22 DSGVO."
9. Schulung und Kompetenz
Pflichtschulung beim Onboarding, jährliche Auffrischung. Lerninhalte: Prompts schreiben, Halluzinationen erkennen, Quellen prüfen, Datenschutz im Alltag.
10. Verstöße und Sanktionen
Verhältnismäßigkeit ist Pflicht. Eskalationsstufen:
- Erstmaliger geringfügiger Verstoß → Gespräch, Dokumentation
- Wiederholung oder grober Verstoß → schriftliche Ermahnung
- Schwere Verstöße mit Datenschutzfolgen → arbeitsrechtliche Konsequenzen
Beispielformulierungen für die wichtigsten Klauseln
Schatten-KI-Verbot
Für die Verarbeitung von Firmendaten dürfen ausschließlich die unter Punkt 2 aufgeführten genehmigten KI-Tools verwendet werden. Die Nutzung privater KI-Accounts mit Firmendaten ist untersagt.
Vier-Augen-Prinzip
Bei Geschäftsbriefen, rechtlich relevanten Texten und Veröffentlichungen, die KI-gestützt erstellt wurden, gilt das Vier-Augen-Prinzip. Eine zweite, fachlich qualifizierte Person prüft vor Versand.
Halluzinations-Awareness
KI-Systeme können fehlerhafte Inhalte erzeugen, die plausibel klingen, aber sachlich falsch sind („Halluzinationen"). Jede Faktenaussage in einem KI-Output ist vor Verwendung zu verifizieren — bevorzugt durch Quellenprüfung gegen die hinterlegte Wissensdatenbank.
Was eine gute Richtlinie NICHT macht
- Sie ist nicht 30 Seiten lang. 4–6 Seiten reichen — sonst liest sie keiner.
- Sie verbietet KI nicht pauschal — sie ermöglicht den sicheren Einsatz.
- Sie ist nicht statisch — sie wird halbjährlich überprüft (Tools, Modelle, Regulierung ändern sich).
- Sie steht nicht im Bereich „abgeheftet" — sie wird im Onboarding besprochen und einmal jährlich aktiv ins Team-Meeting gebracht.
Der Veröffentlichungsprozess
- Entwurf intern abstimmen (Geschäftsführung, IT, Datenschutz, HR)
- Datenschutzbeauftragten unterschreiben lassen
- Betriebsrat einbinden (§ 87 BetrVG — Mitbestimmung!)
- Mitarbeiter informieren und schulen
- Bestätigung per Unterschrift einholen (z. B. via DocuSign)
- Im Intranet dauerhaft zugänglich machen
- Halbjährlich auf Aktualität prüfen
Du willst eine KI-Richtlinie schreiben, die wirklich gelebt wird? Wir geben dir in einem 30-Minuten-Gespräch unsere bewährte Vorlage und schauen, wie sie auf dein Unternehmen passt.