KI-Richtlinie fürs Unternehmen: Was hineingehört (mit Muster-Struktur)
Mitarbeitende nutzen ChatGPT für E-Mails, DeepL für Übersetzungen, Copilot für Tabellen, oft ohne dass die Geschäftsführung im Detail weiß, welche Daten dabei in welche Tools fließen. Eine KI-Nutzungsrichtlinie beendet diesen Wildwuchs: Sie legt verbindlich fest, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer verantwortlich ist.
Warum jetzt? Die Rechtslage in Kürze
Die EU-KI-Verordnung (VO (EU) 2024/1689) gilt stufenweise. Für Unternehmen, die KI nutzen (im Gesetz: „Betreiber"), sind vor allem drei Termine relevant:
- Seit 2. Februar 2025: Schulungspflicht (Art. 4) und Verbot bestimmter KI-Praktiken (Art. 5)
- Ab 2. August 2026: Transparenzpflichten; KI-Chatbots und KI-generierte Inhalte müssen erkennbar sein (Art. 50)
- Später folgend: die vollen Betreiberpflichten für Hochrisiko-KI (Art. 26)
Die Richtlinie selbst ist keine wörtliche Gesetzespflicht, aber sie ist das Instrument, mit dem Sie die tatsächlichen Pflichten organisatorisch umsetzen und nachweisen. Ohne Richtlinie entsteht Schatten-KI, und im Streitfall fehlt der Beleg, dass Ihr Unternehmen seine Organisationspflichten ernst nimmt.
Die 11 Abschnitte einer brauchbaren KI-Richtlinie
- Geltungsbereich: Für wen gilt die Richtlinie? (Alle Beschäftigten, auch Werkstudenten und Freelancer mit Firmenzugängen)
- Freigegebene Tools: Eine konkrete Positivliste statt vager Formulierungen. Nicht gelistete Tools sind genehmigungspflichtig.
- Verbotene Nutzungen: Was nie in KI-Tools gehört und welche Einsatzarten (z. B. Emotionserkennung gegenüber Beschäftigten) gesetzlich verboten sind.
- Umgang mit personenbezogenen Daten: Wann Kundendaten, Mitarbeiterdaten oder Bewerberdaten eingegeben werden dürfen (Kurzfassung: nur in geprüfte Tools mit Auftragsverarbeitungsvertrag).
- Umgang mit Geschäftsgeheimnissen: Kalkulationen, Verträge, Quellcode: was vertraulich bleibt.
- Kennzeichnung KI-generierter Inhalte: Wie Ihr Unternehmen die Transparenzpflichten ab 2. August 2026 umsetzt.
- Freigabeprozesse: Wer prüft KI-Inhalte vor der Veröffentlichung (Vier-Augen-Prinzip)?
- Verantwortlichkeiten: Eine benannte Person für KI-Themen, an die sich Mitarbeitende wenden können.
- Schulung: Wer wird wann geschult, wie wird dokumentiert (Stichwort Art. 4).
- Umgang mit Verstößen: Abgestuft und fair; das Ziel ist Lernen, nicht Bestrafen.
- Aktualisierung: Wer hält die Richtlinie aktuell, wenn sich Tools oder Rechtslage ändern?
Die drei häufigsten Fehler
Fehler 1: Die Richtlinie ist ein 40-Seiten-Juristendokument. Niemand liest sie, niemand lebt sie. Gut sind 6–10 Seiten in verständlicher Sprache mit konkreten Beispielen aus dem eigenen Arbeitsalltag.
Fehler 2: Pauschalverbote. „KI ist verboten" funktioniert nachweislich nicht; die Nutzung wandert in private Accounts, wo Sie weder Kontrolle noch AVV haben. Besser: geprüfte Tools freigeben und klare Datenregeln setzen.
Fehler 3: Einmal erstellt, nie angepasst. Neue Tools, neue Mitarbeitende, neue Stichtage der KI-VO: eine Richtlinie von 2024 ist 2026 in Teilen überholt.
Muster nutzen oder selbst schreiben?
Eine generische Vorlage aus dem Internet ist besser als nichts, aber sie kennt weder Ihre Branche noch Ihre Tools noch Ihre Datenlage. Der kostenlose KI-Pflichten-Check zeigt Ihnen in drei Minuten, welche Pflichten Ihr Unternehmen konkret treffen; der AI Act Checker erstellt daraus eine Richtlinie, die auf Ihre Angaben zugeschnitten ist, inklusive Systemverzeichnis und Mitarbeiterschulung mit Zertifikat.
Dieser Beitrag ist Informationsmaterial und keine Rechtsberatung. Stand: Juni 2026.