KI-Richtlinie fürs Unternehmen: Was hineingehört (mit Muster-Struktur)

Mitarbeitende nutzen ChatGPT für E-Mails, DeepL für Übersetzungen, Copilot für Tabellen, oft ohne dass die Geschäftsführung im Detail weiß, welche Daten dabei in welche Tools fließen. Eine KI-Nutzungsrichtlinie beendet diesen Wildwuchs: Sie legt verbindlich fest, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer verantwortlich ist.

Warum jetzt? Die Rechtslage in Kürze

Die EU-KI-Verordnung (VO (EU) 2024/1689) gilt stufenweise. Für Unternehmen, die KI nutzen (im Gesetz: „Betreiber"), sind vor allem drei Termine relevant:

• Seit 2. Februar 2025: angemessene Maßnahmen zur KI-Kompetenz (Art. 4) und Verbot bestimmter KI-Praktiken (Art. 5)
• Seit 2. August 2026: Transparenzpflichten nach Art. 50; die konkreten Pflichten hängen von der Rolle als Anbieter oder Betreiber ab
• Ab 2. Dezember 2026: zusätzliches Verbot nicht einvernehmlicher intimer Inhalte und von Missbrauchsdarstellungen
• Ab 2. Dezember 2027 bzw. 2. August 2028: die verschobenen Pflichten für Hochrisiko-KI

Die Richtlinie selbst ist keine ausdrückliche Standardpflicht der KI-VO. Sie ist aber ein sinnvolles Instrument, um tatsächliche Pflichten organisatorisch umzusetzen und interne Regeln nachvollziehbar zu dokumentieren.

Die 11 Abschnitte einer brauchbaren KI-Richtlinie

1. Geltungsbereich: Für wen gilt die Richtlinie? (Alle Beschäftigten, auch Werkstudenten und Freelancer mit Firmenzugängen)
2. Freigegebene Tools: Eine konkrete Positivliste statt vager Formulierungen. Nicht gelistete Tools sind genehmigungspflichtig.
3. Verbotene Nutzungen: Was nie in KI-Tools gehört und welche Einsatzarten (z. B. Emotionserkennung gegenüber Beschäftigten) gesetzlich verboten sind.
4. Umgang mit personenbezogenen Daten: Wann Kundendaten, Mitarbeiterdaten oder Bewerberdaten eingegeben werden dürfen (Kurzfassung: nur in geprüfte Tools mit Auftragsverarbeitungsvertrag).
5. Umgang mit Geschäftsgeheimnissen: Kalkulationen, Verträge, Quellcode: was vertraulich bleibt.
6. Kennzeichnung KI-generierter Inhalte: Wie Ihr Unternehmen die seit 2. August 2026 geltenden Transparenzpflichten umsetzt.
7. Freigabeprozesse: Wer prüft KI-Inhalte vor der Veröffentlichung (Vier-Augen-Prinzip)?
8. Verantwortlichkeiten: Eine benannte Person für KI-Themen, an die sich Mitarbeitende wenden können.
9. KI-Kompetenz: Welche angemessenen Maßnahmen gelten für welche Rollen und wie werden sie dokumentiert (Art. 4).
10. Umgang mit Verstößen: Abgestuft und fair; das Ziel ist Lernen, nicht Bestrafen.
11. Aktualisierung: Wer hält die Richtlinie aktuell, wenn sich Tools oder Rechtslage ändern?

Die drei häufigsten Fehler

Fehler 1: Die Richtlinie ist ein 40-Seiten-Juristendokument. Niemand liest sie, niemand lebt sie. Gut sind 6–10 Seiten in verständlicher Sprache mit konkreten Beispielen aus dem eigenen Arbeitsalltag.

Fehler 2: Pauschalverbote. „KI ist verboten" funktioniert nachweislich nicht; die Nutzung wandert in private Accounts, wo Sie weder Kontrolle noch AVV haben. Besser: geprüfte Tools freigeben und klare Datenregeln setzen.

Fehler 3: Einmal erstellt, nie angepasst. Neue Tools, neue Mitarbeitende, neue Stichtage der KI-VO: eine Richtlinie von 2024 ist 2026 in Teilen überholt.

Muster nutzen oder selbst schreiben?

Eine generische Vorlage aus dem Internet ist besser als nichts, aber sie kennt weder Ihre Branche noch Ihre Tools noch Ihre Datenlage. Der kostenlose KI-Pflichten-Check liefert in drei Minuten eine unverbindliche Ersteinschätzung; der AI Act Checker erstellt daraus eine an Ihre Angaben angepasste Musterrichtlinie sowie ein Systemverzeichnis und bietet eine dokumentierte Grundschulung mit Teilnahmezertifikat.

Dieser Beitrag ist Informationsmaterial und keine Rechtsberatung. Stand: 13. Oktober 2026.