In vielen Betrieben nutzen Mitarbeitende längst KI-Werkzeuge, oft ohne dass die Geschäftsführung genau weiß, wofür und mit welchen Daten. Eine KI-Richtlinie schafft hier Klarheit: Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten tabu bleiben, wer Ergebnisse prüft und wen man fragt. Kurz, verständlich und mit einer Schulung eingeführt, gibt sie dem Team Sicherheit, statt KI zu verbieten.
Als Agentur, die Unternehmen bei der Automatisierung von Abläufen begleitet, erleben wir immer wieder dasselbe: Verbote helfen nicht, weil die Werkzeuge dann heimlich genutzt werden. Klare Regeln helfen, weil sie zeigen, was geht und was nicht.
Warum eine Richtlinie jetzt sinnvoll ist
- Vertrauliche Daten schützen: Wer Kundendaten, Angebotskalkulationen oder Konstruktionsdetails in ein frei verfügbares Werkzeug kopiert, gibt sie möglicherweise aus der Hand.
- Betriebsgeheimnisse absichern: Das Gesetz zum Schutz von Geschäftsgeheimnissen schützt Informationen unter anderem nur dann, wenn der Inhaber angemessene Geheimhaltungsmaßnahmen getroffen hat (§ 2 GeschGehG). Klare Regeln zum Umgang mit KI-Werkzeugen können ein Baustein solcher Maßnahmen sein.
- Qualität sichern: KI-Werkzeuge liefern schnell plausible Ergebnisse, die trotzdem falsch sein können. Ohne Prüfregeln landen Fehler beim Kunden.
- Kompetenz aufbauen: Die europäische KI-Verordnung enthält in Artikel 4 Vorgaben zur KI-Kompetenz von Personen, die im Auftrag eines Unternehmens mit KI-Systemen arbeiten. Der Artikel wurde 2026 durch den sogenannten KI-Omnibus geändert. Den aktuellen Stand und was er für Ihr Unternehmen bedeutet, erläutert die Bundesnetzagentur. Unabhängig von der Rechtslage gilt: Wer KI nutzt, sollte wissen, was sie kann und wo ihre Grenzen liegen.
Dieser Beitrag ersetzt keine Rechts- oder Datenschutzberatung. Er zeigt, wie Sie die Richtlinie praktisch aufbauen und einführen.
Schritt 1: Bestandsaufnahme ohne Schuldzuweisung
Fragen Sie offen nach, welche KI-Werkzeuge heute im Haus genutzt werden, wofür und mit welchen Daten. Machen Sie deutlich, dass es nicht um Kontrolle geht, sondern um eine gemeinsame Grundlage. Sie werden vermutlich überrascht sein, wie vielfältig die Nutzung schon ist, vom E-Mail-Entwurf über Übersetzungen bis zur Auswertung von Tabellen.
Schritt 2: Werkzeuge einordnen
Teilen Sie die Werkzeuge in drei Gruppen:
| Gruppe | Bedeutung | Typische Bedingungen |
|---|---|---|
| Freigegeben | Darf für die beschriebenen Zwecke genutzt werden | Firmenkonto statt Privatkonto, vertragliche Regelungen zum Datenschutz geprüft, Einstellungen zur Datennutzung festgelegt |
| Eingeschränkt | Nur für bestimmte Zwecke oder ohne vertrauliche Inhalte | Etwa für allgemeine Recherche oder Formulierungshilfen ohne Kunden- und Firmendaten |
| Nicht erlaubt | Darf für dienstliche Zwecke nicht genutzt werden | Werkzeuge, deren Datenverarbeitung nicht geklärt ist |
Pflegen Sie diese Liste an einer Stelle und benennen Sie eine Person, die über neue Werkzeuge entscheidet.
Schritt 3: Datenklassen festlegen
Die wichtigste Regel einer KI-Richtlinie betrifft die Daten. Bewährt hat sich eine einfache Ampel:
- Grün, unbedenklich: öffentlich verfügbare Informationen, allgemeine Fragen, eigene Formulierungen ohne vertrauliche Details.
- Gelb, nur in freigegebenen Werkzeugen: interne Informationen ohne Personenbezug, etwa anonymisierte Abläufe oder allgemeine Produktbeschreibungen.
- Rot, nie: personenbezogene Daten von Kunden, Mitarbeitenden oder Bewerbern, Kalkulationen, Konstruktionsdaten, Verträge und alles, was als Betriebsgeheimnis gilt, es sei denn, ein ausdrücklich dafür freigegebenes Werkzeug mit geprüfter Vereinbarung ist vorgesehen.
Schritt 4: Regeln für Ergebnisse
KI-Ergebnisse sind Entwürfe, keine fertigen Arbeitsergebnisse. Halten Sie in der Richtlinie fest:
- Wer ein Ergebnis verwendet, prüft es fachlich und trägt die Verantwortung dafür.
- Zahlen, Fakten, Zitate und rechtliche Aussagen werden immer an der Quelle überprüft.
- Texte und Bilder für Kunden oder die Öffentlichkeit werden vor der Veröffentlichung von einer zweiten Person gesehen.
- Bei Bildern und Texten wird auf Rechte Dritter geachtet, etwa bei Marken, Logos oder erkennbaren Personen.
Schritt 5: Die Richtlinie aufschreiben
Eine praxistaugliche KI-Richtlinie für den Mittelstand braucht selten mehr als zwei bis drei Seiten. Diese Gliederung hat sich bewährt:
- Zweck: Warum es die Richtlinie gibt, in zwei Sätzen.
- Geltungsbereich: Für wen sie gilt, auch für Aushilfen und externe Dienstleister, die im Auftrag arbeiten.
- Freigegebene Werkzeuge: Verweis auf die aktuelle Liste.
- Datenregeln: Die Ampel aus Schritt 3.
- Umgang mit Ergebnissen: Die Prüfregeln aus Schritt 4.
- Ansprechperson: An wen man sich mit Fragen oder neuen Werkzeugen wendet.
- Schulung: Wie und wann das Team geschult wird.
- Überprüfung: Wann die Richtlinie das nächste Mal angepasst wird.
Wenn es einen Betriebsrat gibt, binden Sie ihn früh ein. Bei der Einführung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht.
Ein hypothetisches Beispiel: Angenommen, ein Ingenieurbüro in der Wetterau mit 25 Mitarbeitenden stellt fest, dass mehrere Kolleginnen und Kollegen private Konten eines KI-Chatprogramms nutzen, teils mit Auszügen aus Projektberichten. Statt die Nutzung zu verbieten, richtet das Büro ein Firmenkonto mit geprüften Datenschutzeinstellungen ein, beschreibt in einer zweiseitigen Richtlinie die Datenampel und die Prüfpflicht und schult das Team in einer zweistündigen Sitzung mit Beispielen aus dem eigenen Alltag. Ein Projektleiter wird Ansprechpartner für neue Werkzeuge.
Einführen statt verschicken
Eine Richtlinie, die nur per E-Mail verschickt wird, wird selten gelesen. Führen Sie sie in einer kurzen Schulung ein, mit Beispielen aus Ihrem Betrieb: Was darf ich in das Werkzeug eingeben, was nicht? Wie prüfe ich ein Ergebnis? Lassen Sie Fragen zu und passen Sie die Richtlinie an, wenn sich zeigt, dass Regeln im Alltag nicht funktionieren. Wenn der Umgang mit neuen Werkzeugen größere Veränderungen in Rollen und Abläufen auslöst, ist das ein Thema für Organisationsentwicklung.
Von der Richtlinie zum Nutzen
Die Richtlinie ist die Grundlage. Der eigentliche Gewinn entsteht, wenn Sie KI gezielt dort einsetzen, wo sie Zeit spart und Qualität verbessert. Dafür lohnt es sich, die wichtigsten Abläufe zu kennen, siehe Prozesse dokumentieren, und KI als Teil Ihrer Digitalisierungsstrategie zu planen statt als Sammlung einzelner Werkzeuge. Wie wir dabei beraten, beschreibt die Seite KI- und Automatisierungsberatung. Die technische Umsetzung übernimmt unser Agenturteam, mehr dazu unter Prozessautomatisierung im Mittelstand.
Checkliste: KI-Richtlinie im Unternehmen
- Die heutige Nutzung von KI-Werkzeugen ist offen erfasst.
- Werkzeuge sind in freigegeben, eingeschränkt und nicht erlaubt eingeteilt.
- Für freigegebene Werkzeuge gibt es Firmenkonten und geprüfte vertragliche Regelungen.
- Die Datenampel ist festgelegt und mit Beispielen erklärt.
- Prüfregeln für KI-Ergebnisse sind beschrieben.
- Die Richtlinie passt auf zwei bis drei Seiten.
- Eine Ansprechperson für Fragen und neue Werkzeuge ist benannt.
- Ein vorhandener Betriebsrat ist eingebunden.
- Das Team ist geschult, die nächste Überprüfung ist terminiert.
Ihr nächster Schritt
In H-CORE.START 90 klären wir mit Ihnen, wo KI in Ihrem Betrieb Zeit spart, welche Regeln dafür gelten sollen und welche Abläufe zuerst angegangen werden. Wie weit Ihr Unternehmen bei Digitalisierung und Organisation heute ist, zeigt der H-CORE.CHECK.
