Eine KI-Richtlinie im Unternehmen ist eine kurze, verbindliche Regel dafür, welche KI-Tools euer Team wofür nutzen darf, welche Daten tabu sind und wer die Ergebnisse verantwortet. Sie holt die KI-Nutzung aus der Grauzone, ohne sie zu verbieten. Eine gute KI-Richtlinie passt auf eine Seite und regelt sieben Punkte.
Warum braucht euer Unternehmen eine KI-Richtlinie?
Weil KI bei euch sehr wahrscheinlich schon genutzt wird, nur ohne Absprache. Eine Richtlinie macht aus heimlicher Nutzung eine geregelte.
Laut einer Bitkom-Umfrage vom Oktober 2025 gehen 42 % der Unternehmen davon aus, dass ihre Beschäftigten private KI-Tools nutzen. Regeln für den KI-Einsatz hatten nur 23 % aufgestellt, eigene KI-Zugänge für die Beschäftigten bereitgestellt nur 26 %. Diese Lücke hat einen Namen: Schatten-KI, also die Nutzung von KI-Tools, die das Unternehmen nicht freigegeben hat.
Ein Verbot löst das selten. Es verlagert die Nutzung meist auf private Geräte und Konten, die ihr nicht seht. Besser funktioniert ein gutes, freigegebenes Werkzeug plus klare Regeln. Unsere Haltung dazu: nicht verbieten, sondern absichern und testen.
Was gehört in eine KI-Richtlinie?
Sieben Punkte, jeweils in wenigen Sätzen. Mehr braucht es für die meisten kleinen und mittleren Unternehmen nicht, und mehr liest auch niemand.
- Zweck und Geltungsbereich: Warum es die Richtlinie gibt und für wen sie gilt, auch für Aushilfen und Freelancer, die für euch arbeiten.
- Freigegebene Tools: Welche KI-Werkzeuge erlaubt sind, und zwar mit Firmenkonto. Neue Tools werden vorher angefragt.
- Daten: Was in KI-Tools eingegeben werden darf und was nicht. Am einfachsten mit einer Ampel, dazu gleich mehr.
- Prüfen und verantworten: KI liefert Entwürfe, Menschen entscheiden. Wer ein Ergebnis weitergibt, hat es geprüft.
- Kennzeichnen: Wann ihr KI-erzeugte Inhalte offenlegt, etwa Bilder, Videos oder Tonaufnahmen, die echt wirken.
- Lernen: Wie euer Team KI-Kompetenz aufbaut und wo es Hilfe bekommt.
- Ansprechpartner und Überprüfung: Wer Fragen beantwortet, wo Fehler gemeldet werden und wann die Richtlinie das nächste Mal überprüft wird.
Wie regelt ihr, welche Daten in KI-Tools dürfen?
Mit einer einfachen Einteilung in drei Stufen, die jeder ohne Nachschlagen anwenden kann. Wer erst eine Datenschutzschulung braucht, um eine Mail zusammenfassen zu lassen, nutzt am Ende doch das private Konto.
Wichtig ist der Zusammenhang zwischen Datenstufe und Werkzeug. Ein freigegebenes Firmen-Tool mit passendem Vertrag darf mehr sehen als ein Gratis-Konto im Browser. Welche Fragen ihr bei Datenschutz, Verträgen und Serverstandort klären solltet, steht im Beitrag KI und Datenschutz.
Was haben AI Act und Betriebsrat mit der KI-Richtlinie zu tun?
Die Richtlinie ist kein Gesetzestext, hilft aber, gesetzliche Pflichten im Alltag umzusetzen. Zwei Bereiche sind für die meisten Unternehmen relevant.
AI Act: Wer KI beruflich einsetzt, muss nach Art. 4 der KI-Verordnung Maßnahmen ergreifen, um die KI-Kompetenz seines Personals zu unterstützen. Seit dem Digital Omnibus vom 27. Juli 2026 ist das eine Förderpflicht ohne garantiertes Niveau, Details dazu im Beitrag zur KI-Schulung für Mitarbeiter. Seit dem 2. August 2026 gelten außerdem Transparenzpflichten nach Art. 50: Wer zum Beispiel mit KI Bilder, Videos oder Tonaufnahmen erzeugt, die echten Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken würden, sogenannte Deepfakes, muss offenlegen, dass sie künstlich erzeugt sind. Dafür ist der Punkt »Kennzeichnen« in der Richtlinie da.
Betriebsrat: Wenn es bei euch einen Betriebsrat gibt, muss er nach § 90 Abs. 1 Nr. 3 BetrVG rechtzeitig über geplante Arbeitsverfahren unterrichtet werden, ausdrücklich auch über den Einsatz von Künstlicher Intelligenz. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht. Ob ein KI-Tool darunter fällt, hängt vom Einzelfall ab. Bindet den Betriebsrat deshalb früh ein.
Wichtig: Das ist keine Rechtsberatung. Bei konkreten Fragen helfen euch eine Anwältin oder ein Anwalt für Arbeits- oder IT-Recht.
So bringt ihr die KI-Richtlinie in den Alltag
Eine Richtlinie wirkt erst, wenn die Technik dazu passt und das Team die Regeln kennt. Vier Schritte reichen.
Bestandsaufnahme
Was läuft schon?
Was findet man typischerweise?
Gratis-Konten mit Firmenadresse, KI-Erweiterungen im Browser, offene Ordner und alte Gastzugänge. Erst wenn ihr das kennt, könnt ihr sinnvolle Regeln schreiben.
Regeln festlegen
Gemeinsam statt von oben
Wer ist dabei?
Geschäftsführung, jemand aus der IT, ein paar Leute, die KI täglich nutzen, und falls vorhanden der Betriebsrat. Ergebnis ist die Seite mit den sieben Punkten.
Technisch absichern
Regeln, die auch greifen
Was gehört dazu?
Firmenkonten statt privater Accounts, Freigaben in SharePoint, Teams und OneDrive prüfen, sensible Dokumente kennzeichnen. Sonst findet eine KI, was sie nicht sehen soll.
Erklären und überprüfen
Ankommen lassen
Wie bleibt es aktuell?
Die Richtlinie kurz vorstellen, Fragen beantworten und regelmäßig nachschärfen, etwa wenn neue Tools dazukommen.
Eine Richtlinie, die niemand liest, schützt niemanden.
Typische Fehler, die eine KI-Richtlinie wirkungslos machen:
- Zu lang: Zwanzig Seiten Juristendeutsch landen im Ordner, nicht im Kopf.
- Nur Verbote: Wer nichts darf, sucht sich eigene Wege. Nennt immer ein erlaubtes Werkzeug.
- Kein Ansprechpartner: Ohne Person für Fragen bleibt jede Unsicherheit beim Einzelnen.
- Einmal geschrieben, nie angefasst: KI-Tools ändern sich schnell. Eure Regeln sollten mitwachsen.
Wie wir euch bei der KI-Richtlinie helfen
Wir starten mit dem Überblick: Welche KI-Tools nutzt euer Team, mit welchen Daten? Daraus entsteht eine KI-Richtlinie, die auf eine Seite passt. So beschreiben wir es auf unserer Seite zur KI-Sicherheit.
Danach härten wir die Technik: Berechtigungen prüfen, sensible Inhalte kennzeichnen, Schutzregeln in Microsoft 365 setzen, bevor Copilot oder Agenten loslegen. Und wir testen eure KI-Lösungen regelmäßig aus Angreifersicht. Wenn ihr parallel lernen wollt, wie ihr KI im Alltag sinnvoll einsetzt, gehört die einseitige Richtlinie auch zum KI-Schulterblick. Den Einstieg ins Thema findet ihr im Beitrag KI im Unternehmen einführen.
Häufige Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie im Unternehmen Pflicht?
Der AI Act schreibt Unternehmen, die KI nur nutzen, kein Dokument mit diesem Namen vor. Er verlangt aber Maßnahmen zur KI-Kompetenz, und seit dem 2. August 2026 gelten Transparenzpflichten. Eine kurze Richtlinie ist der einfachste Weg, beides im Alltag festzuhalten.
Wie lang sollte eine KI-Richtlinie sein?
So kurz wie möglich, idealerweise eine Seite. Alles, was länger ist, wird selten gelesen. Details wie eine Liste der freigegebenen Tools könnt ihr in einem Anhang pflegen, der sich leichter aktualisieren lässt.
Sollten wir ChatGPT im Unternehmen verbieten?
Ein pauschales Verbot verlagert die Nutzung meist ins Private, wo ihr keinen Einblick habt. Besser ist ein freigegebenes Werkzeug mit Firmenkonto und klaren Regeln, welche Daten hineindürfen. Für sehr sensible Bereiche kann eine Einschränkung trotzdem sinnvoll sein.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Der Betriebsrat ist nach § 90 BetrVG über geplante KI-Einsätze zu unterrichten. Ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG kann bestehen, wenn eine technische Einrichtung dazu bestimmt ist, Verhalten oder Leistung zu überwachen. Klärt den Einzelfall früh gemeinsam und im Zweifel mit rechtlicher Beratung.
Wie oft sollte die KI-Richtlinie überprüft werden?
Eine gesetzliche Frist gibt es nicht. Sinnvoll ist ein fester Termin, zum Beispiel einmal im Jahr, und zusätzlich immer dann, wenn neue KI-Tools eingeführt werden oder sich die Rechtslage ändert.
Erstellt mit KI-Unterstützung, Überarbeitung sowie Freigabe von David Lensing. [Wie wir mit KI arbeiten →]
Oliver, Frank und Andreas
Eure Ansprechpartner
Regeln, die auf eine Seite passen?
Wir erarbeiten sie mit euch.
Wir schauen uns an, welche KI-Tools bei euch schon laufen, und erarbeiten mit euch eine KI-Richtlinie, die euer Team versteht. Danach sichern wir die Technik passend ab.
KI-Sicherheits-Check anfragen
