KI-Richtlinie im Unternehmen: Was reingehört (mit Muster)

Eine KI-Richtlinie ist ein kurzes internes Dokument, das festlegt, wie dein Team KI-Tools nutzt. Ohne sie passiert, was in vielen Betrieben passiert: Jeder nutzt irgendein Tool mit privatem Konto, und niemand weiß, welche Kundendaten wo gelandet sind. Hier erfährst du, welche Bausteine hineingehören, und bekommst eine Muster-Gliederung zum Anpassen. Stand: Oktober 2026.

Warum braucht dein Unternehmen eine KI-Richtlinie?

KI-Verordnung: Art. 4 verpflichtet Unternehmen, die KI beruflich nutzen, Maßnahmen zur KI-Kompetenz ihrer Leute zu ergreifen. Eine Richtlinie plus Einweisung ist die naheliegende Maßnahme. Details stehen im Ratgeber zur KI-Schulungspflicht.

Datenschutz: Die DSGVO verlangt, dass du nachweisen kannst, wie du personenbezogene Daten schützt (Art. 5 Abs. 2). Private Konten bei ChatGPT oder Claude haben keinen Auftragsverarbeitungsvertrag mit deinem Unternehmen.

Geschäftsgeheimnisse: Das Geschäftsgeheimnisgesetz schützt Informationen nur, wenn du „angemessene Geheimhaltungsmaßnahmen“ triffst (§ 2 Nr. 1 GeschGehG). Klare Regeln für KI-Tools gehören heute dazu.

Sicherheit fürs Team: Wer weiß, was erlaubt ist, nutzt KI offen statt heimlich. Das senkt das Risiko mehr als jedes Verbot.

Die 9 Bausteine einer KI-Richtlinie

1. Zweck und Geltungsbereich: Für wen gilt die Richtlinie (Beschäftigte, Aushilfen, Freelancer) und für welche Tools? Denk an KI-Funktionen in bestehender Software, Browser-Erweiterungen und Apps auf dem Diensthandy.

2. Erlaubte Tools: Eine Positivliste mit Tool, Tarif und Kontoart. Beispiel: ChatGPT nur im Firmen-Workspace, Claude nur im Team-Tarif. Alles andere braucht eine Freigabe.

3. Datenklassen: Welche Daten in welches Tool dürfen. Das ist der wichtigste Teil, siehe Tabelle unten.

4. Prüfung und Freigabe: KI-Ergebnisse sind Entwürfe. Lege fest, wer was prüft: Texte an Kunden liest ein Mensch, Zahlen werden mit der Quelle abgeglichen, Code geht durch ein Review, rechtliche Aussagen prüft eine Fachperson. Entscheidungen über Menschen, etwa Absagen an Bewerber, trifft nie die KI allein (Art. 22 DSGVO).

5. Kennzeichnung: Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50 der KI-Verordnung. Täuschend echte Deepfakes müssen als KI-erzeugt offengelegt werden. KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, ebenfalls, außer ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung. Ergänze eigene Regeln, etwa einen Hinweis bei KI-Bildern in der Werbung.

6. Verantwortliche: Eine benannte Person für KI-Fragen und Tool-Freigaben, dazu der Datenschutzbeauftragte, falls ihr einen habt.

7. Schulung: Einweisung vor dem ersten Zugang, Auffrischung bei neuen Tools, Dokumentation der Teilnahme.

8. Betriebsrat: Gibt es einen, muss er bei der Planung von KI-Einsatz unterrichtet werden (§ 90 BetrVG). Bei Tools, die Verhalten oder Leistung auswerten können, etwa Firmenkonten mit Nutzungsprotokollen, hat er in der Regel ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das Arbeitsgericht Hamburg hat 2024 entschieden, dass die Erlaubnis, ChatGPT mit privaten Konten im Browser zu nutzen, nicht mitbestimmungspflichtig war (Beschluss vom 16.01.2024, 24 BVGa 1/24). Der sauberste Weg ist eine Betriebsvereinbarung.

9. Fehler, Meldewege, Überprüfung: Wer versehentlich Kundendaten in ein falsches Tool kopiert, meldet das sofort. Bei einer Datenpanne mit Risiko für Betroffene läuft eine 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). Die Richtlinie selbst überprüfst du alle sechs bis zwölf Monate.

Welche Daten dürfen in welches KI-Tool?

Eine Ampel versteht jeder. So kann sie aussehen:

Klasse	Beispiele	Erlaubt in
Grün: öffentlich	Website-Texte, veröffentlichte Preise, allgemeine Fachfragen	allen freigegebenen Tools
Gelb: intern	Prozessbeschreibungen, Entwürfe ohne Namen und Zahlen	Firmenkonten ohne Training mit euren Daten
Rot: personenbezogen oder vertraulich	Kundendaten, Personaldaten, Verträge, Kalkulationen	nur Tools mit Auftragsverarbeitungsvertrag, nur wenn nötig, möglichst pseudonymisiert
Tabu	Passwörter, API-Schlüssel, Gesundheitsdaten, Daten unter Berufsgeheimnis	gar nicht, außer nach gesonderter Prüfung

Welche Tarife einen Auftragsverarbeitungsvertrag bieten und was sie sonst taugen, steht in den Ratgebern Ist ChatGPT DSGVO-konform? und Ist Claude DSGVO-konform?.

Muster-Gliederung für deine KI-Richtlinie

Nr.	Abschnitt	Beispiel-Formulierung
1	Zweck und Geltung	„Diese Richtlinie regelt den Einsatz von KI-Tools bei der Muster GmbH für alle Beschäftigten und freien Mitarbeitenden.“
2	Erlaubte Tools	„Erlaubt sind ausschließlich die Tools aus Anlage 1, nur mit Firmenkonto.“
3	Datenklassen	„Rote Daten nur in Tools, die in Anlage 1 mit AVV gekennzeichnet sind.“
4	Prüfung	„KI-Ergebnisse sind Entwürfe. Vor dem Versand an Kunden prüft sie ein Mensch.“
5	Kennzeichnung	„KI-generierte Bilder in der Werbung tragen den Hinweis ‚Bild: KI-generiert‘.“
6	Verantwortung	„Ansprechpartnerin für KI-Fragen ist [Name].“
7	Schulung	„Vor dem ersten Zugang nimmt jede Person an der Einweisung teil.“
8	Neue Tools	„Neue Tools beantragst du bei [Name]. Freigabe erst nach Prüfung von Datenschutz und Vertrag.“
9	Fehler melden	„Wer versehentlich rote Daten eingibt, meldet das sofort an [Name].“
10	Überprüfung	„Diese Richtlinie wird jährlich überprüft. Version 1.0, Stand: [Datum].“

Anlage 1, Tool-Liste: Tool, Tarif, Auftragsverarbeitungsvertrag ja oder nein, erlaubte Datenklassen, verantwortliche Person.

Den ersten Entwurf kann dir eine KI schreiben, wenn du ihr die Eckdaten gibst:

Hilf mir, eine KI-Richtlinie für mein Unternehmen zu entwerfen.
Betrieb: Handwerksbetrieb mit 12 Mitarbeitenden, kein Betriebsrat.
Genutzte Tools: ChatGPT Business, KI-Funktion in der Auftragssoftware.
Gliederung: [Muster-Gliederung einfügen]
Schreib pro Abschnitt 2 bis 4 kurze, verständliche Regeln, die das Team direkt mit „du“ ansprechen.
Markiere alle Stellen, die ich rechtlich prüfen lassen sollte.

So führst du die KI-Richtlinie ein

Bestandsaufnahme und Entwurf

Frag zuerst, welche Tools schon genutzt werden, auch privat. Eine Richtlinie, die an der Realität vorbeigeht, wird ignoriert. Schreib dann den Entwurf entlang der Gliederung.

Mit Datenschutz und Betriebsrat abstimmen

Gib den Entwurf an deinen Datenschutzbeauftragten oder deine Datenschutzberatung. Gibt es einen Betriebsrat, beziehe ihn früh ein, bevor Tools beschafft werden.

Im Team vorstellen und schulen

Stell die Richtlinie in einer Einweisung vor, mit echten Beispielen aus eurem Alltag. Das ist gleichzeitig eine Maßnahme nach Art. 4 KI-Verordnung.

Lesebestätigung einholen und ablegen

Lass jede Person bestätigen, dass sie die Richtlinie kennt. Leg Bestätigungen, Teilnehmerliste und Version zusammen ab.

Regelmäßig überprüfen

Neue Tools, neue Funktionen, neue Gesetze: Plane eine Überprüfung alle sechs bis zwölf Monate ein und passe die Tool-Liste laufend an.

Typische Fehler bei KI-Richtlinien

Pauschalverbot: Wer alles verbietet, treibt die Nutzung auf private Handys. Besser: sichere Tools bereitstellen.
Ungeprüfte Vorlage aus dem Internet: Fremde Vorlagen nennen Tools, die ihr nicht habt, und vergessen die, die ihr nutzt.
Keine Tool-Liste: Ohne konkrete Liste weiß niemand, was „freigegebene Tools“ sind.
Kein Ansprechpartner: Fragen landen nirgends, Fehler werden nicht gemeldet.

Wie du Tools auswählst und KI Schritt für Schritt im Betrieb verankerst, steht im Ratgeber KI im Unternehmen einführen.

Bau es mit mir

An deinem Projekt, in deinem Tempo. 375 € pro Person und Stunde, stundenweise abgerechnet.

15 Minuten kennenlernen

Häufige Fragen

Ist eine KI-Richtlinie im Unternehmen Pflicht?

Kein Gesetz schreibt ein Dokument mit diesem Namen vor. Art. 4 der KI-Verordnung verlangt aber Maßnahmen zur KI-Kompetenz, und die DSGVO verlangt, dass du den Umgang mit personenbezogenen Daten organisierst und nachweisen kannst. Eine Richtlinie deckt beides in einem Dokument ab.

Gibt es eine Vorlage für eine KI-Richtlinie?

Die Muster-Gliederung in diesem Artikel ist ein Startpunkt. Übernimm keine fremde Vorlage ungeprüft: Erlaubte Tools, Datenregeln und Freigaben müssen zu deinem Betrieb und deinen Verträgen passen.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?

Das hängt vom Inhalt ab. Stellt das Unternehmen Tools bereit, die Verhalten oder Leistung der Beschäftigten auswerten können, hat der Betriebsrat in der Regel ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Reine Vorgaben, wie Arbeit mit KI erledigt wird, waren nach einer Entscheidung des Arbeitsgerichts Hamburg nicht mitbestimmungspflichtig.

Wie lang sollte eine KI-Richtlinie sein?

Für die meisten kleinen Unternehmen reichen zwei bis vier Seiten plus eine Tool-Liste als Anlage. Wichtiger als die Länge ist, dass jede Person im Team die Datenregeln in einer Minute erklären kann.