KI-Richtlinie im Unternehmen: Inhalte und Beispielformulierungen
Eine KI-Richtlinie im Unternehmen legt fest, welche KI-Tools Beschäftigte nutzen dürfen, welche Daten nie eingegeben werden, wie KI-Ergebnisse geprüft werden, was verboten ist und wie Vorfälle gemeldet werden. Unten finden Sie zwölf Abschnitte mit Beispielformulierungen zum Übernehmen und Hinweise, wie Sie die Richtlinie in einem deutschen Unternehmen einführen – einschließlich Betriebsrat.
Das Wichtigste in Kürze
- Die KI-Richtlinie ist das KI-Dokument, das Beschäftigte tatsächlich lesen. Sie sollte kurz, konkret und überprüfbar sein.
- Kern sind zugelassene Tools, Datenklassen, Prüfung der Ergebnisse, verbotene Nutzungen, Transparenz, Sicherheit, Vorfälle und Schulung.
- Die KI-Verordnung verlangt kein Dokument namens „KI-Richtlinie“. Die Richtlinie ist aber der Ort, an dem Sie Artikel 4, 5 und 50 im Alltag umsetzen.
- Die Regeln zu Eingaben leisten die meiste Schutzarbeit. Formulieren Sie sie so, dass niemand sie missverstehen kann.
- In Unternehmen mit Betriebsrat gehört die Einführung in eine Abstimmung, oft in eine Betriebsvereinbarung.
Warum Unternehmen eine KI-Richtlinie brauchen
Generative KI kam in den meisten Unternehmen von unten. Jemand im Vertrieb ließ ChatGPT ein Angebotsanschreiben formulieren, jemand installierte ein Plug-in, das Teams-Besprechungen protokolliert, der Kundenservice kopierte Tickets in einen Chatbot, um sie zusammenzufassen. Nichts davon lief über Einkauf oder IT, und vieles betraf personenbezogene Daten oder Geschäftsgeheimnisse.
Die KI-Richtlinie schließt diese Lücke. Sie gibt Beschäftigten ein klares Ja und ein klares Nein, und sie gibt Ihnen etwas in die Hand, wenn Kunden, Prüfer oder Behörden fragen, wie KI-Nutzung gesteuert wird. Drei Pflichten der KI-Verordnung, die bereits gelten, lassen sich mit einer Richtlinie deutlich leichter erfüllen:
- KI-Kompetenz (Artikel 4): Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern – in der durch den Digital Omnibus geänderten Fassung ohne Garantie eines bestimmten Niveaus. Richtlinie plus Schulung ist die übliche Maßnahme. Mehr im Beitrag zur KI-Schulungspflicht.
- Verbotene Praktiken (Artikel 5 der KI-Verordnung): ebenfalls seit Februar 2025, mit zwei neuen Verboten ab dem 2. Dezember 2026.
- Transparenz (Artikel 50): seit dem 2. August 2026, unter anderem die Offenlegung von Deepfakes durch Betreiber.
Parallel gilt die DSGVO: Personenbezogene Daten in einem KI-Tool brauchen eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und eine Prüfung von Drittlandübermittlungen. Den Gesamtrahmen beschreibt unser Leitfaden zur KI-Verordnung.
Sie können Ihre Richtlinie anhand der Gliederung unten selbst schreiben. Oder Sie lassen sie sich aus Ihren eigenen Antworten erstellen: Der kostenlose KI-Governance-Check von Opsio dauert etwa 40 Minuten und schreibt nach dem Absenden eine KI-Richtlinie für Mitarbeitende und drei weitere Governance-Dokumente. Die Fragen sind auf Deutsch, die Dokumente werden auf Englisch als bearbeitbare Word-Dateien geliefert.
Brauchen Sie Unterstützung bei KI-Richtlinie im Unternehmen?
Unsere Cloud-Architekten unterstützen Sie bei KI-Richtlinie im Unternehmen — von der Strategie bis zur Umsetzung. Buchen Sie ein kostenloses 30-Minuten-Beratungsgespräch ohne Verpflichtung.
Die Inhalte einer KI-Richtlinie – Abschnitt für Abschnitt
Die Reihenfolge folgt dem, was Leserinnen und Leser erwarten. Zu jedem Abschnitt steht, was er abdecken muss; bei den schwierigsten gibt es eine Beispielformulierung. Ersetzen Sie die eckigen Klammern durch Ihre Angaben.
1. Zweck und Geltungsbereich
Warum gibt es die Richtlinie, und für wen gilt sie? Beziehen Sie Beschäftigte, Auszubildende, Freelancer, Leiharbeitskräfte und alle ein, die im Auftrag des Unternehmens KI nutzen. Erfassen Sie alle KI-Werkzeuge, nicht nur Chatbots: Code-Assistenten, Transkription, Bildgeneratoren, KI-Funktionen in bestehender Software.
Beispiel: „Diese Richtlinie gilt für alle Beschäftigten, Auszubildenden, freien Mitarbeitenden und sonstigen Personen, die im Auftrag der [Firma] KI-Werkzeuge nutzen – unabhängig davon, ob das Werkzeug von der [Firma] bereitgestellt wird, Teil lizenzierter Software ist oder über ein privates Konto aufgerufen wird.“
2. Begriffe
Definieren Sie knapp, was „KI-Werkzeug“, „generative KI“, „vertrauliche Informationen“ und „personenbezogene Daten“ bedeuten. Verweisen Sie für Rechtsbegriffe wie „Betreiber“ auf die KI-Verordnung, statt sie neu zu erfinden.
3. Zugelassene Werkzeuge
Listen Sie die erlaubten Tools mit den Datenklassen, für die sie freigegeben sind, oder verweisen Sie auf eine laufend gepflegte Liste im Intranet. Nennen Sie die Unternehmensversionen ausdrücklich, also Microsoft 365 Copilot mit Unternehmenskonto statt der kostenlosen Verbraucherversion. Beschreiben Sie, wie ein neues Tool beantragt wird. Die Liste sollte aus Ihrem KI-Inventar gespeist werden.
Beispiel: „Im Arbeitskontext dürfen ausschließlich KI-Werkzeuge aus der Liste ‚Zugelassene KI-Werkzeuge‘ genutzt werden. Neue Werkzeuge werden über [Formular] bei [KI-Verantwortliche/r] beantragt und erst nach Prüfung durch IT-Sicherheit, Datenschutz und Einkauf freigegeben.“
4. Datenklassen – was niemals eingegeben wird
Dieser Abschnitt verhindert die meisten Vorfälle. Verknüpfen Sie Ihre vorhandenen Schutzklassen (öffentlich, intern, vertraulich, streng vertraulich) mit KI-Regeln und zählen Sie auf, was in nicht ausdrücklich freigegebene Tools nie eingegeben wird.
Beispiel: „Folgende Informationen dürfen nur in KI-Werkzeuge eingegeben werden, die für die jeweilige Schutzklasse schriftlich freigegeben sind: Passwörter, API-Schlüssel und sonstige Zugangsdaten; personenbezogene Daten von Kundinnen, Kunden und Beschäftigten; Gesundheits- und andere besondere Kategorien personenbezogener Daten; Quellcode aus nicht öffentlichen Repositorien; Vertragsentwürfe, Preise und Angebote; nicht veröffentlichte Finanzzahlen.“
5. Prüfung der Ergebnisse und Verantwortung
KI-Ergebnisse können falsch, veraltet oder erfunden sein. Legen Sie fest, dass ein Mensch sie vor der Verwendung prüft und dafür verantwortlich bleibt – besonders bei Zahlen, Rechtsfragen, Zitaten und Quellen.
Beispiel: „Wer ein KI-Ergebnis verwendet, prüft es vorher auf Richtigkeit, Vollständigkeit und Angemessenheit und trägt dafür die gleiche Verantwortung wie für selbst erstellte Arbeit. Quellenangaben einer KI werden vor der Weitergabe geprüft.“
6. Verbotene Nutzungen
Nennen Sie, was nie erlaubt ist: die in Artikel 5 verbotenen Praktiken, Emotionserkennung bei Beschäftigten, Entscheidungen über Einstellung, Kündigung oder Kreditvergabe allein durch KI, das Erstellen täuschender Inhalte über reale Personen, die Umgehung von Sicherheitsfunktionen.
7. Transparenz und Kennzeichnung
Regeln Sie, wann KI-Nutzung offengelegt wird – nach außen und intern. Die gesetzliche Pflicht betrifft vor allem Deepfakes und bestimmte Texte zu Themen von öffentlichem Interesse; Einzelheiten im Beitrag zur KI-Kennzeichnungspflicht. Viele Unternehmen gehen freiwillig weiter.
Beispiel: „Bild-, Audio- oder Videoinhalte, die reale Personen, Orte oder Ereignisse täuschend echt darstellen und mit KI erzeugt oder verändert wurden, werden vor der Veröffentlichung deutlich als KI-generiert gekennzeichnet. Stimmen oder Gesichter von Beschäftigten werden nur mit deren schriftlicher Einwilligung nachgebildet.“
8. Geistiges Eigentum und Vertraulichkeit
Klären Sie, dass Geschäftsgeheimnisse und Kundeninformationen geschützt bleiben, dass KI-Ergebnisse vor der Nutzung auf Rechte Dritter geprüft werden und dass für KI-generierte Werke nicht automatisch Urheberrechtsschutz besteht.
9. Sicherheit: Schatten-KI und private Konten
Verbieten Sie die dienstliche Nutzung privater KI-Konten, nicht freigegebener Browser-Erweiterungen und Apps, die auf Mikrofon oder Bildschirm zugreifen. Erklären Sie kurz, warum: Daten verlassen das Unternehmen und landen womöglich im Training.
10. Meldung von Vorfällen
Wer versehentlich vertrauliche Daten eingegeben hat oder ein schädliches Ergebnis bemerkt, meldet das sofort. Nennen Sie den Meldeweg und verknüpfen Sie ihn mit dem Prozess für Datenschutzverletzungen, denn die 72-Stunden-Frist nach Artikel 33 DSGVO kann laufen.
Beispiel: „Wer feststellt, dass vertrauliche oder personenbezogene Daten in ein nicht freigegebenes KI-Werkzeug eingegeben wurden, meldet dies unverzüglich an [IT-Sicherheit] und [Datenschutz] über [Kanal]. Eine rechtzeitige Meldung wird nicht sanktioniert.“
11. Schulung und KI-Kompetenz
Legen Sie fest, welche Schulung wer vor der ersten Nutzung erhält und wie oft aufgefrischt wird. Halten Sie fest, dass die Teilnahme dokumentiert wird – die Bundesnetzagentur empfiehlt in ihren Hinweisen zur KI-Kompetenz genau eine solche Dokumentation von Art, Umfang, Zeitpunkt und Teilnehmenden.
12. Rollen, Überprüfung und Konsequenzen
Wer ist verantwortlich, wer gibt Tools frei, wer beantwortet Fragen? Wann wird die Richtlinie überprüft – mindestens jährlich und bei wesentlichen Änderungen? Verweisen Sie bei Verstößen auf bestehende arbeitsrechtliche Regeln, statt eigene Sanktionen zu erfinden.
Do's and Don'ts für Mitarbeitende
| Erlaubt | Nicht erlaubt |
|---|---|
| Einen öffentlichen Fachartikel mit dem freigegebenen Copilot zusammenfassen | Eine Kundenliste in einen kostenlosen Chatbot hochladen |
| Einen Entwurf für eine interne Mitteilung erstellen und selbst überarbeiten | Ein KI-Ergebnis ungeprüft an einen Kunden schicken |
| Code-Vorschläge im freigegebenen Assistenten nutzen und testen | Zugangsdaten oder API-Schlüssel in einen Prompt kopieren |
| Ein generiertes Symbolbild für eine Präsentation verwenden | Ein Video mit nachgebildeter Stimme der Geschäftsführung ohne Kennzeichnung veröffentlichen |
| Einen Fehler oder Vorfall sofort melden | Bewerbungen allein nach einem KI-Ranking aussortieren |
So führen Sie die KI-Richtlinie ein
- Mit dem Inventar beginnen: Die Liste zugelassener Tools muss der Realität entsprechen, sonst wird die Richtlinie ignoriert.
- Betriebsrat früh einbinden: KI-Tools, die Verhalten oder Leistung auswerten können, sind nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Eine Rahmenbetriebsvereinbarung zur KI erspart Einzelverhandlungen für jedes neue Tool.
- Datenschutz und Informationssicherheit beteiligen: Datenklassen und Freigabeprozess müssen zu bestehenden Regelwerken passen.
- Sichere Alternativen bereitstellen: Wer private Konten verbietet, muss ein freigegebenes Werkzeug anbieten.
- Schulen und bestätigen lassen: Kurzes Pflichtmodul, Kenntnisnahme dokumentieren.
- Regelmäßig überprüfen: Neue Tools, neue Leitlinien, Erfahrungen aus Vorfällen einarbeiten.
Die Richtlinie ist ein Baustein Ihrer KI-Governance. Wie sie mit Risikobewertung, Anbieterprüfung und Zuständigkeiten zusammenspielt, zeigt der Beitrag Was ist KI-Governance?.
Häufig gestellte Fragen
Was gehört in eine KI-Richtlinie für Unternehmen?
Mindestens: Geltungsbereich, zugelassene Tools, Regeln zu Daten, die nie eingegeben werden dürfen, Prüfung der Ergebnisse, verbotene Nutzungen, Transparenz und Kennzeichnung, Sicherheit und private Konten, Meldung von Vorfällen, Schulung sowie Zuständigkeiten und Überprüfung. Wichtiger als Vollständigkeit ist, dass jede Regel verständlich und kontrollierbar ist.
Ist eine KI-Richtlinie nach dem EU AI Act Pflicht?
Nicht ausdrücklich. Die KI-Verordnung verlangt aber Maßnahmen zur KI-Kompetenz, verbietet bestimmte Praktiken und schreibt Transparenz vor. Eine KI-Richtlinie ist der einfachste Weg, diese Pflichten im Alltag umzusetzen und nachzuweisen. Hinzu kommen DSGVO-Pflichten, die ohne klare Regeln für Eingaben kaum einzuhalten sind.
Sollten wir ChatGPT im Unternehmen verbieten?
Ein pauschales Verbot führt meist zu mehr Schatten-KI, weil Beschäftigte auf private Geräte ausweichen. Sinnvoller ist es, eine Unternehmensversion mit Auftragsverarbeitungsvertrag und ohne Training mit Ihren Daten bereitzustellen und die Nutzung über die Richtlinie zu steuern. Verbieten Sie dafür konsequent private Konten für dienstliche Zwecke.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Die Richtlinie selbst regelt Verhalten im Betrieb und kann mitbestimmungspflichtig sein; die Einführung von KI-Tools, die Verhalten oder Leistung überwachen können, ist es nach § 87 Abs. 1 Nr. 6 BetrVG in aller Regel. In der Praxis wird beides oft in einer Betriebsvereinbarung geregelt. Binden Sie den Betriebsrat deshalb vor dem Rollout ein.
Wie oft sollte die KI-Richtlinie überprüft werden?
Mindestens einmal im Jahr und zusätzlich bei wesentlichen Änderungen: neue Tools, neue Leitlinien der Kommission oder der Bundesnetzagentur, Vorfälle oder organisatorische Umbauten. Viele 2025 geschriebene Richtlinien zitieren noch den alten Wortlaut von Artikel 4 und den alten Hochrisiko-Termin und sollten jetzt aktualisiert werden.
Lassen Sie Ihre KI-Richtlinie schreiben
Die Gliederung oben hilft beim Selbstschreiben. Schneller geht es, wenn Sie die Fragen beantworten und die Richtlinie für Ihr Unternehmen erstellen lassen: Im kostenlosen KI-Governance & Readiness-Check beschreiben Sie in etwa 40 Minuten Ihre Tools, Daten, Verantwortlichen und Anbieter. Sobald Sie absenden, entsteht eine KI-Richtlinie für Mitarbeitende mit Ihrem Firmennamen und Ihren Werkzeugen – zusammen mit einem KI-Governance-Rahmenwerk, einer Checkliste zur Prüfung von KI-Anbietern und einer Vorlage zur KI-Risikobewertung. Die Dokumente kommen auf Englisch als Word-Dateien, die Sie übersetzen, anpassen und freigeben können. Kostenlos und unverbindlich.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Prüfen Sie die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung und lassen Sie arbeitsrechtliche Fragen im Einzelfall prüfen. Stand: Oktober 2026.
Über den Autor
Head of Innovation
Jacob leitet Innovation bei Opsio und ist spezialisiert auf digitale Transformation, KI, IoT und cloudgetriebene Lösungen, die komplexe Technologie in messbaren Geschäftswert verwandeln. Mit fast 15 Jahren Erfahrung arbeitet er eng mit Kunden zusammen, um skalierbare KI- und IoT-Lösungen zu entwerfen, Lieferprozesse zu straffen und Technologie-Strategien zu schaffen, die nachhaltiges Wachstum und langfristigen Geschäftserfolg fördern.
Redaktionelle Standards: Dieser Artikel wurde von einer zertifizierten Fachperson verfasst und von unserem Engineering-Team geprüft. Wir überarbeiten ihn, wenn sich die behandelte Technologie oder Regulierung ändert; die Daten oben zeigen die letzte Aktualisierung. Opsio ist redaktionell unabhängig — wir empfehlen Lösungen nach technischen Kriterien, nicht nach Geschäftsbeziehungen.