Ratgeber

KI-Richtlinie im Unternehmen: Aufbau und Muster-Gliederung

Zuletzt aktualisiert am 20.08.2026 · Aidan Faes

Kurz gesagt

Eine KI-Richtlinie legt fest, welche KI-Werkzeuge im Unternehmen erlaubt sind, welche Daten nie eingegeben werden dürfen und wer Ergebnisse vor der Verwendung prüft. Sie besteht aus zehn Abschnitten, von Geltungsbereich bis Aktualisierung, und passt auf zwei bis vier Seiten. In Betrieben mit Betriebsrat ergänzt sie eine Betriebsvereinbarung, ersetzt sie aber nicht.

Warum braucht ein Unternehmen eine KI-Richtlinie?

Weil die Nutzung längst stattfindet, meist ohne Regeln. Mitarbeitende probieren Werkzeuge privat aus, kopieren Texte hinein und übernehmen Ergebnisse in Kundenmails. Genau davor haben Unternehmen Respekt: Unter den Betrieben, die KI nicht einsetzen, nennen 62 % (Destatis, 2025) Unklarheit über rechtliche Folgen und 60 % (Destatis, 2025) Bedenken beim Datenschutz als Grund. Eine Richtlinie löst beide Sorgen nicht von allein, aber sie verwandelt diffuse Unsicherheit in konkrete Regeln: Was darf hinein, was muss geprüft werden, wer ist zuständig. Sie schützt das Unternehmen vor Datenabfluss und die Mitarbeitenden vor dem Vorwurf, etwas Falsches getan zu haben, das nie geregelt war.

Welche Abschnitte gehören in eine KI-Richtlinie?

Zehn Abschnitte decken ab, was in der Praxis gefragt wird. Die Reihenfolge folgt dem Weg der Nutzenden: Gilt das für mich? Was darf ich nutzen? Was darf ich eingeben? Was mache ich mit dem Ergebnis? Halten Sie jeden Abschnitt kurz und konkret; Beispiele wirken stärker als Grundsätze.

Muster-Gliederung in zehn Abschnitten

1. Geltungsbereich: Für wen gilt die Richtlinie (alle Beschäftigten, Freie, Dienstleister mit Systemzugang) und für welche Systeme?
2. Zugelassene Werkzeuge: Welche KI-Tools sind freigegeben, wer gibt neue frei, was gilt für private Konten?
3. Verbotene Eingaben: Welche Daten dürfen nie in ein KI-System (Kundendaten, Gesundheitsdaten, Geschäftsgeheimnisse, Zugangsdaten)?
4. Umgang mit Ausgaben: Prüfpflicht vor Weiterverwendung, Vier-Augen-Prinzip bei Außenwirkung, Haftung bleibt beim Menschen.
5. Kennzeichnung: Wann KI-generierte Inhalte intern und extern kenntlich gemacht werden.
6. Datenschutz: Verweis auf AV-Verträge, Rechtsgrundlagen und die Datenschutzerklärung; Ansprechperson nennen.
7. Urheberrecht und Geschäftsgeheimnisse: Hinweis auf Risiken bei Fremdinhalten und bei Eingabe eigener Schutzrechte, ohne Rechtsberatung, mit Eskalationsweg.
8. Verantwortlichkeiten: Wer entscheidet über Tools, wer schult, wer beantwortet Fragen, wer prüft Verstöße?
9. Schulung: Pflicht zur Teilnahme an einer Grundlagenschulung nach Art. 4 KI-Verordnung, Turnus, Nachweis.
10. Verstöße und Aktualisierung: Folgen von Verstößen, Überprüfungsintervall der Richtlinie, Versionsstand.

Wie formuliert man den Abschnitt „verbotene Eingaben“?

Mit einer Liste konkreter Datenarten und je einem Beispiel, nicht mit dem Satz „Sensible Daten sind tabu“. Bewährte Formulierungen: „Personenbezogene Daten von Kundinnen, Kunden, Bewerbenden und Beschäftigten (Namen, Kontaktdaten, Vertragsdaten) dürfen nur in freigegebene Werkzeuge mit AV-Vertrag eingegeben werden, und nur, wenn es für die Aufgabe erforderlich ist.“ „Gesundheitsdaten, Daten zu Religion, Gewerkschaft oder Sexualleben sind in keinem KI-Werkzeug erlaubt.“ „Zugangsdaten, Schlüssel, Verträge mit Vertraulichkeitsklausel, Quellcode und Kalkulationen gelten als Geschäftsgeheimnis und bleiben außen vor, sofern die Geschäftsführung nicht schriftlich etwas anderes freigibt.“ Ergänzen Sie eine Eskalationsregel: „Im Zweifel fragen Sie die benannte Ansprechperson, bevor Sie eingeben.“

Was regelt der Abschnitt zu Ausgaben und Prüfpflicht?

Er stellt klar, dass die Verantwortung für jedes Ergebnis beim Menschen bleibt. Sprachmodelle erzeugen plausible Texte, auch wenn der Inhalt falsch ist. Deshalb: Jede Ausgabe wird vor der Weiterverwendung auf Richtigkeit geprüft; Zahlen, Rechtsaussagen und Zitate werden gegen die Quelle geprüft; alles mit Außenwirkung, Angebote, Verträge, Pressetexte, Kundenantworten, durchläuft ein Vier-Augen-Prinzip. Nennen Sie, welche Aufgaben ohne zusätzliche Prüfung erlaubt sind, etwa interne Entwürfe und Zusammenfassungen zur eigenen Orientierung. So entsteht kein Misstrauen gegen das Werkzeug, sondern ein Maßstab.

Wann müssen KI-Inhalte gekennzeichnet werden?

Immer dann, wenn Menschen direkt mit einem KI-System interagieren und das nicht offensichtlich ist. So verlangt es die Transparenzpflicht aus Art. 50 der KI-Verordnung: KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die betroffenen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, das ist offensichtlich. Für den Alltag heißt das: Ein Chatbot auf der Website stellt sich als solcher vor. Für intern erzeugte Texte, die ein Mensch geprüft und verantwortet hat, verlangt die Verordnung keine Kennzeichnung; viele Unternehmen regeln dennoch, dass KI-Anteile bei Berichten und Präsentationen intern vermerkt werden. Legen Sie diese interne Linie in der Richtlinie fest, damit nicht jede Abteilung eine eigene erfindet.

Wie passen Schulung und Richtlinie zusammen?

Die Richtlinie verpflichtet zur Schulung, die Schulung macht die Richtlinie verständlich. Seit dem 02.02.2025 gilt Art. 4 der KI-Verordnung: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Nehmen Sie in Abschnitt 9 auf, dass alle Nutzenden vor dem ersten Einsatz eine Grundlagenschulung absolvieren, in welchem Turnus sie aufgefrischt wird und wie die Teilnahme dokumentiert wird. Formate und Anbieterarten beschreibt der Ratgeber KI-Schulung für Mitarbeitende.

Richtlinie oder Betriebsvereinbarung, was gilt wann?

Die Richtlinie ist eine einseitige Weisung des Arbeitgebers; die Betriebsvereinbarung ein Vertrag mit dem Betriebsrat. Sobald ein KI-System Verhalten oder Leistung der Beschäftigten überwachen kann, und das können viele Systeme schon durch Protokolle, greift die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. In solchen Betrieben steht die Betriebsvereinbarung über der Richtlinie: Sie regelt Zweck, Grenzen und Auswertungsverbote, die Richtlinie übersetzt das in Alltagsregeln. Den Ablauf beschreibt KI einführen mit Betriebsrat. Ohne Betriebsrat reicht die Richtlinie, sollte aber dennoch erklärt und nicht nur verteilt werden.

Häufige Fehler bei KI-Richtlinien

Verbot ohne Alternative. Wer private Konten verbietet und kein Firmenwerkzeug freigibt, verlagert die Nutzung in den Schatten. Welche Werkzeuge in Frage kommen, zeigt der Vergleich unserer Auswahl unter KI-Assistenten.
Abstrakte Regeln. „Vertrauliche Daten sind geschützt“ hilft niemandem. Nennen Sie Datenarten und Beispiele.
Kein Eigentümer. Ohne benannte Ansprechperson landen Fragen nirgends, und die Richtlinie veraltet still.
Einmal verteilt, nie erklärt. Ein 30-minütiges Format, in dem die Regeln am echten Werkzeug gezeigt werden, ersetzt zehn Erinnerungsmails.
Keine Versionierung. Ohne Datum und Version lässt sich später nicht nachweisen, welche Regel galt.

Wie führt man die Richtlinie ein?

In vier Schritten, die zusammen etwa vier bis sechs Wochen dauern: Entwurf durch eine kleine Gruppe aus Fachbereich, IT und Datenschutz; Abstimmung mit Geschäftsführung und, wo vorhanden, Betriebsrat; Vorstellung in einer kurzen Schulung mit Beispielen aus dem eigenen Arbeitsalltag; Veröffentlichung mit Versionsstand und Ansprechperson. Prüfen Sie vorher, wo Ihr Unternehmen steht, der KI-Readiness-Check zeigt in acht Fragen, ob Richtlinie, Schulung oder Werkzeugauswahl zuerst dran ist.

Häufige Fragen

Ist eine KI-Richtlinie gesetzlich vorgeschrieben?

Eine Richtlinie mit genau diesem Namen schreibt kein Gesetz vor. Verbindlich sind aber Pflichten, die sich ohne schriftliche Regelung kaum erfüllen lassen: die KI-Kompetenz des Personals nach Art. 4 der KI-Verordnung, die Rechtsgrundlagen und AV-Verträge nach DSGVO und der Schutz von Geschäftsgeheimnissen. Die Richtlinie ist das Dokument, mit dem Sie diese Pflichten nachweisbar umsetzen.

Wie lang sollte eine KI-Richtlinie sein?

Zwei bis vier Seiten reichen für die meisten mittelständischen Unternehmen. Entscheidend ist, dass die Abschnitte zu verbotenen Eingaben und zur Prüfpflicht konkret sind. Eine zwanzigseitige Richtlinie liest niemand; eine halbe Seite lässt zu viele Fragen offen.

Was ist der Unterschied zwischen KI-Richtlinie und Betriebsvereinbarung?

Die Richtlinie erlässt der Arbeitgeber einseitig als Weisung. Eine Betriebsvereinbarung wird mit dem Betriebsrat geschlossen und ist dort nötig, wo Mitbestimmungsrechte greifen, etwa bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können. In Betrieben mit Betriebsrat ergänzen sich beide: die Vereinbarung regelt das Ob und die Grenzen, die Richtlinie das tägliche Wie.

Darf ich private ChatGPT-Konten verbieten?

Für dienstliche Daten ja, das ist der Kern der meisten Richtlinien. Sinnvoller als ein reines Verbot ist die Kombination aus Verbot privater Konten für Firmendaten und einem freigegebenen Firmenwerkzeug, damit Mitarbeitende eine Alternative haben. Ohne Alternative wandert die Nutzung in den Schatten.

Wie oft muss die Richtlinie aktualisiert werden?

Planen Sie eine Überprüfung mindestens einmal jährlich und zusätzlich bei jedem neuen Werkzeug, jeder Änderung der Rechtslage und nach Vorfällen. Tragen Sie Versionsnummer und Datum auf das Dokument, damit bei Nachfragen klar ist, welche Fassung galt.

Brauche ich für die Richtlinie eine Anwältin oder einen Anwalt?

Die Gliederung und die praktischen Regeln können Sie selbst erstellen. Die Abschnitte zu Datenschutz, Urheberrecht und arbeitsrechtlichen Folgen sollten Sie für Ihren Fall prüfen lassen, dieser Ratgeber ist keine Rechtsberatung.