KI-Richtlinie für Mitarbeiter: Das Muster auf einer Seite.

Warum eine Seite reicht und zwölf nicht

Eine KI-Richtlinie hat genau eine Aufgabe: Jede Mitarbeiterin und jeder Mitarbeiter soll in zehn Sekunden wissen, ob eine bestimmte Nutzung in Ordnung ist. Was erlaubt ist, was nicht, und wen man fragt. Alles andere, technische Anleitungen, Prompt-Beispiele, Rechtsgutachten, gehört in die Schulung oder in ein Handbuch.

Lange Richtlinien haben zwei Effekte: Sie werden nicht gelesen, und sie werden von denen, die sie geschrieben haben, als Erledigung verbucht. Danach passiert das, was wir in fast jedem Unternehmen sehen: ChatGPT ist „verboten“, der Vertrieb schreibt trotzdem Follow-ups damit, über private Accounts, ohne dass jemand weiß, welche Kundendaten dabei wohin wandern. Wie groß dieses Problem ist und welche sieben Regeln dagegen helfen, steht im Artikel ChatGPT im Unternehmen: 7 Datenschutz-Regeln. Dieser Artikel macht daraus das Dokument.

Die sieben Bausteine mit Muster-Formulierungen

Jeder Baustein ist ein Absatz. Die Muster-Formulierungen können Sie übernehmen und an Ihre Tools und Namen anpassen.

1. Geltungsbereich

Wer ist gemeint, auf welchen Geräten. Ohne diesen Satz gilt die Richtlinie gefühlt nur „für die im Büro“.

Muster: „Diese Richtlinie gilt für alle Mitarbeitenden, Auszubildenden und freien Mitarbeitenden, die im Rahmen ihrer Tätigkeit KI-Werkzeuge nutzen, unabhängig davon, ob auf Firmen- oder Privatgeräten.“

2. Freigegebene Tools

Eine Tabelle statt einer Aufzählung. Sie beantwortet die häufigste Frage im Alltag: „Darf ich dieses Tool nehmen?“

Muster: „Freigegeben sind ausschließlich die oben genannten Werkzeuge über die vom Unternehmen bereitgestellten Accounts. Private Accounts sind für dienstliche Zwecke nicht zulässig. Neue Tools werden vor der Nutzung von [Ansprechperson] freigegeben.“

3. Datenregeln

Drei Klassen, kein Jurist nötig. Das ist der Teil, den sich Mitarbeitende am ehesten merken.

• Nie eingeben: personenbezogene Daten von Kunden, Mitarbeitenden und Bewerbern; Geschäftsgeheimnisse wie Kalkulationen, Verträge, Quellcode; Zugangsdaten; vertrauliche Unterlagen Dritter.
• Nur in freigegebenen Business-Tools: interne Dokumente, Entwürfe, anonymisierte Fälle, interne Zahlen ohne Personenbezug.
• Frei: öffentlich verfügbare Informationen, allgemeine Fachfragen, eigene Formulierungen ohne vertraulichen Inhalt.

Muster: „Personenbezogene Daten und Geschäftsgeheimnisse werden grundsätzlich nicht in KI-Werkzeuge eingegeben. Wo ein Bezug nötig ist, wird abstrahiert: ‚ein Kunde aus dem Maschinenbau‘ statt Name und Vertragsnummer.“

4. Prüfpflicht

Muster: „KI-Ergebnisse sind Entwürfe. Vor der Verwendung gegenüber Kunden, Behörden, in Verträgen oder Veröffentlichungen prüft die verantwortliche Person Inhalt, Zahlen, Quellen und Rechte. Die Verantwortung für das Ergebnis bleibt beim Menschen, der es verwendet.“

5. Transparenz und Grenzen

Muster: „Wo Empfänger eine persönliche Bearbeitung erwarten dürfen, etwa bei Gutachten, Bewerbungsrückmeldungen oder individueller Beratung, wird der KI-Einsatz kenntlich gemacht oder unterbleibt. KI wird nicht für Entscheidungen über Personen eingesetzt, insbesondere nicht in Bewerbung, Beurteilung oder Kündigung, ohne gesonderte Freigabe durch die Geschäftsführung.“ Hintergrund: Die KI-Verordnung stuft solche Anwendungen als Hochrisiko ein, mehr dazu im Artikel KI in HR.

6. Ansprechperson

Ein Name, eine Rolle, ein Kanal. Ohne diesen Baustein wird im Zweifel geraten statt gefragt.

Muster: „Bei Fragen zur Nutzung, zu neuen Tools oder zu Datenschutz wenden Sie sich an [Name, Rolle, E-Mail]. Grundsatz: Im Zweifel fragen, nicht raten.“

7. Schulung und Kenntnisnahme

Dieser Absatz verbindet die Richtlinie mit Artikel 4. Ohne Schulung ist die Richtlinie ein Aushang, ohne Richtlinie ist die Schulung ohne Rahmen.

Muster: „Alle Mitarbeitenden im Geltungsbereich nehmen an der KI-Grundschulung teil und bestätigen die Kenntnisnahme dieser Richtlinie. Schulung und Richtlinie werden jährlich sowie bei Einführung neuer Werkzeuge überprüft. Version [1.0], gültig ab [Datum], verantwortlich [Geschäftsführung].“

Das Muster am Stück

So sieht die Seite zusammengesetzt aus. Platzhalter in eckigen Klammern ersetzen, Tool-Tabelle anpassen, fertig.

Einführung in einer Woche

• Montag: Entwurf auf Basis des Musters. Tool-Liste mit der IT abstimmen: Welche Accounts gibt es wirklich, welche Verträge (Auftragsverarbeitung) liegen vor?
• Dienstag: Datenschutzbeauftragte oder externe Beratung lesen gegen. Falls ein Betriebsrat besteht: jetzt einbinden, nicht am Freitag.
• Mittwoch: Ansprechperson benennen und vorbereiten. Sie bekommt die häufigsten Fragen vorab.
• Donnerstag: Vorstellung im Team, 20 Minuten, mit drei Beispielen aus dem eigenen Alltag. Idealerweise als Teil der Schulung.
• Freitag: Kenntnisnahme einsammeln, Richtlinie und Liste zentral ablegen, Wiedervorlage in zwölf Monaten eintragen.

Wie die Dokumentation von Schulung und Kenntnisnahme aussieht, damit sie als Nachweis taugt, steht im Artikel Schulungsnachweis KI-Kompetenz.

Typische Fehler

• Nur Verbote. Wer keine erlaubten Tools nennt, treibt die Nutzung in private Accounts. Die Richtlinie muss sagen, was geht.
• Im Intranet versenkt. Eine Richtlinie, die nie vorgestellt wurde, existiert für das Team nicht.
• Tools ohne Vertrag freigegeben. Business-Versionen brauchen einen Auftragsverarbeitungsvertrag und die Einstellung, dass Eingaben nicht zum Training genutzt werden. Erst prüfen, dann freigeben.
• Betriebsrat vergessen. Die Einführung von Software, die Verhalten oder Leistung erfassen kann, unterliegt der Mitbestimmung. Spät eingebunden heißt: wieder von vorn.
• Keine Aktualisierung. Ein Dokument von 2024, das Copilot nicht kennt, wird nicht ernst genommen. Version und Datum gehören sichtbar auf die Seite.
• Richtlinie ohne Schulung. Die Regel „Output prüfen“ hilft niemandem, der nicht gelernt hat, woran man Fehler erkennt.

Weiterlesen

• ChatGPT im Unternehmen: 7 Datenschutz-Regeln für Mitarbeitende
• EU AI Act: Was Unternehmen jetzt zur KI-Kompetenz wissen müssen
• Schulungsnachweis KI-Kompetenz: Was Unternehmen dokumentieren sollten
• KI in HR: Chancen, Risiken und sichere Spielregeln

FAQ: Häufige Fragen

Ist eine KI-Richtlinie für Unternehmen Pflicht?

Nicht wörtlich. Aber Artikel 4 der KI-Verordnung verlangt Maßnahmen für KI-Kompetenz, und die DSGVO verlangt, dass Sie wissen, welche Daten wohin fließen. Eine Richtlinie ist der einfachste Weg, beides zu belegen.

Muss der Betriebsrat beteiligt werden?

Wenn ein Betriebsrat besteht: ja, und zwar früh. Die Einführung von Software, die Verhalten oder Leistung erfassen kann, unterliegt der Mitbestimmung. Eine gemeinsam getragene Richtlinie wird außerdem besser angenommen.

Was gehört nicht in die KI-Richtlinie?

Technische Anleitungen, Prompt-Beispiele, Tool-Vergleiche und lange Rechtsausführungen. Das gehört in die Schulung oder ein separates Handbuch. Die Richtlinie regelt, was erlaubt ist, was nicht, und wer entscheidet.

Wie oft sollte die Richtlinie aktualisiert werden?

Mindestens jährlich, außerdem bei jedem neuen Tool, bei Änderungen am Rechtsrahmen und nach einem Vorfall. Version und Datum stehen sichtbar auf der Seite.