AI-Richtlinie im Unternehmen: Muster in 10 Punkten & Fehler

👁 115 Aufrufe

Eine KI-Richtlinie im Unternehmen ist ein zentrales Dokument, das Mitarbeitenden vorschreibt, welche AI-Tools sie nutzen dürfen, welche Daten tabu sind, wie Ergebnisse geprüft werden und wann Inhalte zu kennzeichnen sind. Der AI Act verlangt sie nicht namentlich, aber Aufsichtsbehörden prüfen im Rahmen von Art. 4, welche Maßnahmen ein Unternehmen ergriffen hat. Eine schriftliche Richtlinie mit Datum ist der einfachste Nachweis. Nachfolgend mein Muster in 10 Punkten und die häufigsten Fehler aus der Praxis.

Ist eine KI-Richtlinie im Unternehmen Pflicht?

Der AI Act enthält kein explizites Gebot für eine förmliche „Richtlinie“ für reguläre Unternehmen, die ChatGPT, Copilot oder Gemini im Alltag einsetzen. Die Verpflichtung, die praktisch jedes dieser Unternehmen betrifft, ergibt sich aus Art. 4. Seit dem 27. Juli 2026, nach der Anpassung durch die Verordnung (EU) 2026/1744, besagt dieser, dass Anbieter und Betreiber „Maßnahmen ergreifen, um die KI-Kompetenz“ ihres Personals zu fördern. Die Vorschrift stellt zugleich klar, dass dies keine Pflicht zu einem bestimmten Wissensstand bei jeder einzelnen Person bedeutet. Näheres habe ich im Beitrag zu Art. 4 und KI-Schulungen für Unternehmen erläutert.

Die Europäische Kommission stellt in ihren Fragen und Antworten zur KI-Kompetenz klar, dass kein förmliches Zertifikat erforderlich ist; ein internes Verzeichnis von Schulungen und weiteren Maßnahmen genügt. Eine Richtlinie ist genau eine solche Maßnahme: Sie belegt, dass das Unternehmen klare Regeln festgelegt und kommuniziert hat. Das bedeutet konkret:

• Das Fehlen einer Richtlinie ist für sich genommen kein isolierter Verstoß gegen den AI Act,
• Art. 4 ist nicht in den Bußgeldrahmen nach Art. 99 Abs. 3-5 genannt; es droht daher kein unmittelbares Bußgeld allein wegen eines fehlenden Dokuments,
• eine Richtlinie dient als Nachweis der Sorgfaltspflicht, wenn Fehler passieren - etwa wenn Mitarbeitende Kundendaten in ein privates Chatbot-Konto eingeben oder nicht gekennzeichnete Deepfakes veröffentlichen.

Aufsichtsbehörden verlangen im Rahmen von Prüfungen entsprechende Dokumente und Nachweise. Da behördliche Überprüfungen in der Regel digital ablaufen, sollte die Richtlinie stets in elektronischer Form mit Versionsnummer und Datum vorliegen.

Was in die Richtlinie gehört: 10 Punkte

Diese 10 Punkte beantworten jeweils eine konkrete Frage der Mitarbeitenden. Der Aufbau führt von Geltungsbereich und Werkzeugen über Datenschutz bis hin zu Verantwortlichkeiten.

Muster einer KI-Richtlinie

Hier ist ein praxiserprobter Entwurf. Eckige Klammern dienen als Platzhalter für unternehmensspezifische Angaben. Dies ist eine Arbeitsvorlage, die im Einzelfall juristisch geprüft werden sollte.

1. Geltungsbereich. Diese Richtlinie gilt für alle Personen, die im Namen von [Unternehmensname] KI-Tools bei der Arbeit einsetzen: Mitarbeitende, freie Auftragnehmer und externe Dienstleister auf Unternehmenskonten.
2. Zulässige Tools. Es dürfen ausschließlich Werkzeuge aus dem offiziellen KI-Tool-Verzeichnis genutzt werden, das von [Person oder Abteilung] geführt wird, und zwar in der geschäftlichen Version. Die Nutzung privater Konten für dienstliche Zwecke ist untersagt.
3. Neue Werkzeuge. Neue KI-Tools, Browser-Erweiterungen oder AI-Funktionen in bestehender Software müssen bei [Person] gemeldet werden. Bis zur Aufnahme in das Verzeichnis dürfen darin keine Unternehmensdaten verarbeitet werden.
4. Datenverarbeitung. Folgende Daten dürfen nicht in KI-Systeme eingegeben werden: personenbezogene Daten von Kunden und Mitarbeitenden, Betriebs- und Geschäftsgeheimnisse, vertrauliche Vertragsdaten, Passwörter und API-Schlüssel sowie [weitere Kategorien].
5. Qualitätskontrolle. Jedes KI-Ergebnis, das an Kunden weitergegeben oder veröffentlicht wird, muss durch einen Menschen geprüft werden. Zahlen, Namen, Zitate und Rechtsquellen sind anhand von Primärquellen zu verifizieren.
6. Transparenz und Kennzeichnung. Realistische Bilder, Videos oder Tonaufnahmen, die durch KI erzeugt oder manipuliert wurden, müssen bei der Veröffentlichung klar gekennzeichnet werden. Von KI generierte Texte zu Themen von öffentlichem Interesse dürfen nur nach Freigabe oder mit entsprechendem Hinweis publiziert werden.
7. Chatbots. KI-gestützte Dialogsysteme im Kundenkontakt weisen zu Beginn des Gesprächs eindeutig darauf hin, dass es sich um ein KI-System handelt.
8. Verbotene Nutzung. Der Einsatz von KI zur Erkennung von Emotionen am Arbeitsplatz sowie alle übrigen nach Art. 5 AI Act unzulässigen Praktiken sind im Unternehmen streng verboten.
9. Meldepflicht bei Vorfällen. Fehlfunktionen, vermutete Datenabflüsse oder regulatorische Zweifel sind unverzüglich am selben Tag an [Name, E-Mail-Adresse] zu melden.
10. Schulung und Aktualisierung. Alle betroffenen Personen nehmen an einer grundlegenden Schulung zur KI-Nutzung teil. Diese Richtlinie wird alle [6 oder 12] Monate sowie bei Einführung neuer KI-Tools überprüft. Version [Nummer] vom [Datum], freigegeben durch [Name/Funktion].

Häufige Fehler bei KI-Richtlinien

In der Unternehmenspraxis treten immer wieder dieselben Versäumnisse auf:

• Pauschale Verbote. Ein formales Verbot jeglicher KI-Nutzung führt in der Realität dazu, dass Teams heimlich über private Konten arbeiten (Schatten-IT). Eine Richtlinie, die nicht eingehalten werden kann, schwächt die Position des Unternehmens bei Prüfungen, da das Problem bekannt war.
• Tool-Listen ohne Versionsangabe. Der Hinweis „ChatGPT ist erlaubt“ reicht nicht aus. Der entscheidende Unterschied zwischen einem Privatkonto und einem Business-Abonnement mit Auftragsverarbeitungsvertrag liegt im Umgang mit den eingegebenen Daten zu Trainingszwecken.
• Fehlende Zuständigkeiten. Ist niemand für die Richtlinie benannt, veraltet das Verzeichnis freigegebener Tools innerhalb weniger Monate.
• Blindes Kopieren fremder Vorlagen. Die Vorgaben einer Anwaltskanzlei passen nicht zu den Anforderungen einer Marketingagentur. Art. 4 fordert ausdrücklich die Berücksichtigung des konkreten betrieblichen Kontexts.
• Falsche Bußgeld-Darstellungen. Formulierungen, die mit „bis zu 35 Millionen Euro Strafe bei fehlender Schulung“ drohen, sind juristisch unzutreffend. Diese Obergrenze gilt primär für verbotene KI-Praktiken nach Art. 5, wie im Beitrag zu den Strafen nach dem AI Act aufgeführt.
• Vergessene Standard-Software. KI-Assistenten in Office-Suiten, CRMs oder Übersetzungsprogrammen sind vollwertige KI-Systeme. Wer nur Chatbots regelt, übersieht wesentliche Einfallstore.
• Fehlende Kennzeichnungsregeln. Seit dem 2. August 2026 greift Art. 50 AI Act. Marketing- und Kommunikationsteams müssen genau wissen, wann Kennzeichnungspflichten greifen - Einzelheiten dazu finden sich im Leitfaden zur Kennzeichnung von Deepfakes.
• Richtlinie ohne Schulungsnachweis. Das bloße Versenden eines PDFs per E-Mail erfüllt die Nachweispflichten aus Art. 4 nur unzureichend. Eine kurze Einweisung mit Teilnahmeliste schafft rechtssichere Belege.

In 5 Schritten zur Richtlinie im Unternehmen

1. Bestandsaufnahme durchführen. Vor der Regelerstellung ermitteln, welche Werkzeuge die Abteilungen bereits nutzen. Eine kurze Umfrage und eine Übersichtstabelle genügen - pro Tool festhalten, wer es nutzt, wofür und mit welchen Daten.
2. Entwurf verfassen auf Basis der 10 Kernpunkte. Der Umfang sollte idealerweise 1-2 Seiten nicht überschreiten.
3. Fachliche Prüfung. Den Entwurf mit dem Datenschutzbeauftragten und power-usern aus operativen Abteilungen spiegeln, um unrealistische Verbote frühzeitig zu korrigieren.
4. Freigabe und Veröffentlichung. Mit Versionsnummer, Datum und namentlicher Freigabe der Geschäftsleitung im internen Netz publizieren.
5. Schulung durchführen und dokumentieren. Die unterzeichnete oder digital bestätigte Teilnehmerliste dient Behörden als konkreter Nachweis nach Art. 4.

Eine vollständige Dokumentenübersicht für behördliche Audits enthält der Leitfaden zum AI Act im Abschnitt mit der Checkliste für Unternehmen.

Zusammenspiel der Dokumente

In kleineren Unternehmen können diese vier Bereiche in einem zentralen Gesamtdokument zusammengefasst werden. Entscheidend sind inhaltliche Konsistenz und klare Datierungsstände.

Häufige Fragen (FAQ)

Müssen auch Kleinbetriebe eine KI-Richtlinie führen?

Der AI Act schreibt kein separates Schriftstück vor. Art. 4 verpflichtet jedoch jeden Arbeitgeber, dessen Personal KI beruflich nutzt - bis hin zum Einzelunternehmer mit freien Mitarbeitern. Ein kurzes Regelwerk ist der einfachste Weg, die geforderte Sorgfalt nachzuweisen.

Wer muss die Richtlinie freigeben?

Die Freigabe sollte durch die Geschäftsführung oder operative Leitung erfolgen, die Weisungsbefugnis besitzt. Zudem sollte eine zuständige Stelle für die fortlaufende Pflege benannt sein.

Ersetzt die Richtlinie die Mitarbeiterschulung?

Nein. Die Europäische Kommission stellt in ihren Klarstellungen zu Art. 4 fest, dass das bloße Lesen von Bedienungsanleitungen oder Richtlinien in der Regel nicht ausreicht. Richtlinie und Schulung greifen ineinander.

Müssen konkrete Programmnamen genannt werden?

Ja, entweder direkt im Text oder über einen Verweis auf ein gepflegtes Tool-Verzeichnis. Eine pauschale Erlaubnis von „KI-Tools“ lässt offen, welche Versionen und Browser-Add-ons datenschutzrechtlich zulässig sind.

Wie oft muss die Richtlinie überarbeitet werden?

Regulär alle 6 bis 12 Monate sowie anlassbezogen bei Software-Umstellungen oder neuen rechtlichen Vorgaben. Wichtige Stichtage auf EU-Ebene umfassen das Ende der Übergangsfristen für maschinenlesbare Kennzeichnungen nach Art. 50 Abs. 2 (2. Dezember 2026).

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Bei Detailfragen empfiehlt sich die Abstimmung mit einer juristischen Fachkraft oder der zuständigen nationalen Aufsichtsbehörde.

// weiterlesenFoto-Übersetzer: 3 Methoden und typische FehlerquellenAnleitungenWie Sie Text mit KI auf Fehler prüfen: Schritt für SchrittAnleitungenCommon-Mode Failure: Wenn zwei Prüfpfade denselben Fehler machenMagazin

Kinetyra