Consulting
- Eine KI-Richtlinie regelt erlaubte Werkzeuge, Zwecke, Daten, Prüfpflicht und Zuständigkeiten für den KI-Einsatz im Unternehmen.
- Laut Bitkom hatten 2025 erst 23 Prozent der befragten Unternehmen Regeln für den KI-Einsatz aufgestellt.
- Die Datenschutzkonferenz empfiehlt dokumentierte interne Weisungen mit konkreten Beispielen für erlaubte und untersagte Einsatzszenarien.
- Für den Start reicht eine Seite. Wichtiger als Vollständigkeit sind klare Beispiele, eine Ansprechperson und ein Termin für die Überprüfung.
Was ist eine KI-Richtlinie?
Eine KI-Richtlinie ist die Antwort auf eine einfache Frage, die sich in jedem Team stellt, sobald KI im Spiel ist: Was darf ich, und was nicht? Sie legt schriftlich fest, welche KI-Werkzeuge erlaubt sind, für welche Aufgaben, mit welchen Daten und mit welcher Prüfung. Andere Begriffe dafür sind KI-Nutzungsrichtlinie, KI-Leitlinie oder KI-Policy.
Viele Unternehmen haben so eine Regel noch nicht. Laut einer Bitkom-Umfrage unter 604 Unternehmen hatten 2025 erst 23 Prozent Regeln für den KI-Einsatz aufgestellt, weitere 31 Prozent hatten es fest vor. Gleichzeitig gingen rund 4 von 10 Unternehmen zumindest davon aus, dass Beschäftigte private KI-Tools nutzen. Diese Lücke ist der Kern von Schatten-KI.
Warum eine KI-Richtlinie sinnvoll ist
- Sicherheit für das Team: Wer weiß, was erlaubt ist, nutzt KI offen und teilt gute Ergebnisse, statt heimlich zu experimentieren.
- Schutz von Daten und Geheimnissen: Klare Regeln verhindern, dass Kundendaten oder Kalkulationen in private Konten wandern.
- Nachweisbarkeit: Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe zu KI, klare interne Weisungen zu erteilen und zu dokumentieren, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen.
- Qualität: Eine feste Prüfpflicht sorgt dafür, dass KI-Ergebnisse nicht ungeprüft beim Kunden landen.
Dieser Artikel ist keine Rechtsberatung. Für Fragen zu Datenschutz, Arbeitsrecht und KI-Verordnung im Einzelfall hol dir fachliche Beratung dazu.
Die 8 Inhalte einer KI-Richtlinie
| Inhalt | Frage, die beantwortet wird | Beispiel |
|---|---|---|
| 1. Zweck und Geltungsbereich | Für wen und wofür gilt die Richtlinie? | Alle Mitarbeitenden, alle beruflichen KI-Anwendungen, auch auf mobilen Geräten |
| 2. Freigegebene Werkzeuge | Welche KI-Werkzeuge sind erlaubt? | Ein geschäftlicher Zugang zu einem KI-Assistenten, private Konten sind für Firmenaufgaben nicht erlaubt |
| 3. Erlaubte und untersagte Zwecke | Wofür darf KI genutzt werden, wofür nicht? | Erlaubt: Entwürfe, Zusammenfassungen, Recherche. Untersagt: Entscheidungen über Personal ohne menschliche Prüfung |
| 4. Umgang mit Daten | Welche Daten dürfen hinein? | Keine Personaldaten, keine Gesundheitsdaten, Kundennamen vor der Eingabe entfernen |
| 5. Vertrauliche Informationen | Was ist Geschäftsgeheimnis? | Preise, Kalkulationen, Konstruktionsdaten nur in freigegebenen Werkzeugen mit passendem Vertrag |
| 6. Prüfung und Kennzeichnung | Wer prüft Ergebnisse, wann wird KI-Einsatz offengelegt? | Jeder Text an Kunden wird vor dem Versand von einem Menschen geprüft |
| 7. Zuständigkeiten | Wen frage ich im Zweifel? | Eine benannte Ansprechperson für KI-Fragen, dazu die Datenschutzverantwortung |
| 8. Schulung und Überprüfung | Wie lernt das Team die Regeln, wann wird die Richtlinie angepasst? | Kurzschulung beim Start und im Onboarding, Überprüfung alle sechs Monate |
Die Datenschutzkonferenz empfiehlt ausdrücklich, konkrete Beispiele für zugelassene und untersagte Einsatzszenarien aufzunehmen. Das ist auch aus praktischer Sicht der wichtigste Tipp: Abstrakte Regeln wie „keine sensiblen Daten“ versteht jede Person anders. „Keine Namen, Adressen oder Telefonnummern von Kunden“ versteht jeder gleich.
So kann eine KI-Richtlinie auf einer Seite aussehen
Für ein kleines oder mittleres Unternehmen reicht für den Anfang oft eine Seite. Ein möglicher Aufbau:
| Abschnitt | Inhalt (Beispiel) |
|---|---|
| Ziel | Wir nutzen KI, um Routinearbeit schneller zu erledigen. Die Verantwortung für jedes Ergebnis bleibt beim Menschen. |
| Erlaubt | Unser geschäftlicher KI-Assistent für Entwürfe, Zusammenfassungen, Übersetzungen und Ideen |
| Nicht erlaubt | Private KI-Konten für Firmenaufgaben, Personal- und Gesundheitsdaten in KI-Werkzeugen, ungeprüfte Weitergabe an Kunden |
| Daten | Namen und Kontaktdaten vor der Eingabe entfernen, vertrauliche Unterlagen nur nach Freigabe |
| Prüfen | Fakten, Zahlen und Zusagen prüft immer ein Mensch vor der Weitergabe |
| Fragen | Ansprechperson für KI und Datenschutzverantwortung, mit Namen |
| Stand | Datum, nächste Überprüfung in sechs Monaten |
KI-Richtlinie erstellen in 5 Schritten
- Ist-Stand erheben. Frag offen im Team, welche KI-Werkzeuge wofür genutzt werden. Ohne diesen Blick schreibst du Regeln für eine Realität, die es so nicht gibt.
- Werkzeuge auswählen und freigeben. Mindestens ein Werkzeug mit geschäftlichem Zugang, geprüftem Vertrag und passenden Einstellungen. Die Datenschutzkonferenz empfiehlt betriebliche Accounts und rät zum Beispiel, die Nutzung von Eingaben für das KI-Training abzuschalten, wo das möglich ist.
- Entwurf schreiben. Mit den acht Inhalten oben und vielen Beispielen aus eurem Alltag. Eine Vorlage wie die Muster-KI-Richtlinie der IHK Schwaben kann als Gerüst dienen.
- Beteiligte einbinden. Datenschutzverantwortung, bei Bedarf Rechtsberatung und, falls vorhanden, den Betriebsrat. Die Einführung von KI-Werkzeugen kann Mitbestimmungsrechte berühren.
- Einführen und schulen. Die Richtlinie nicht nur per E-Mail verschicken, sondern in einer kurzen Schulung mit Beispielen erklären und einen Nachweis festhalten. Was dazugehört, beschreibt der Artikel KI-Kompetenz schulen.
KI-Richtlinie, KI-Strategie und KI-Governance: der Unterschied
Die Begriffe werden oft vermischt. Sie hängen zusammen, beantworten aber verschiedene Fragen:
| Begriff | Frage | Ergebnis |
|---|---|---|
| KI-Strategie | Wofür setzen wir KI ein, und womit fangen wir an? | Ziele, priorisierte Anwendungsfälle, Fahrplan |
| KI-Richtlinie | Was darf jede Person im Alltag, und was nicht? | Verbindliche Regeln für Werkzeuge, Daten und Prüfung |
| KI-Governance | Wie steuern und überwachen wir den KI-Einsatz insgesamt? | Zuständigkeiten, Abläufe für Freigaben, Überprüfung und Risiken |
Für ein kleines Unternehmen ist die KI-Richtlinie meist der praktischste Einstieg in die KI-Governance: Sie benennt Zuständigkeiten und legt einen Überprüfungstermin fest. Wie du die Ziele dazu festlegst, liest du im Artikel KI-Strategie entwickeln.
Typische Fehler bei der KI-Richtlinie
- Nur Verbote. Eine Richtlinie, die nichts erlaubt, treibt die Nutzung in private Konten. Sie braucht immer auch ein freigegebenes Werkzeug.
- Zu abstrakt. Begriffe wie „sensible Daten“ ohne Beispiele führen zu unterschiedlichen Auslegungen.
- Zu lang. Zwanzig Seiten liest niemand. Lieber eine Seite für alle und ausführliche Anhänge für Spezialfälle.
- Einmal geschrieben, nie geprüft. Werkzeuge, Verträge und Funktionen ändern sich. Ohne festen Überprüfungstermin veraltet die Richtlinie schnell.
- Ohne Schulung verteilt. Eine Regel, die niemand erklärt bekommen hat, wird im Alltag nicht angewendet.
Gegen welche Gefahren eine Richtlinie konkret schützen sollte, etwa Halluzinationen, Prompt Injection oder Deepfake-Anrufe, beschreibt der Artikel KI-Risiken im Unternehmen.
Fazit
Eine KI-Richtlinie macht aus ungeregelter KI-Nutzung einen Rahmen, in dem dein Team sicher und offen arbeiten kann. Sie beantwortet acht Fragen: Zweck, Werkzeuge, Zwecke, Daten, Vertrauliches, Prüfung, Zuständigkeit und Überprüfung. Für den Start reicht eine Seite mit vielen Beispielen. Entscheidend ist, dass es ein freigegebenes Werkzeug gibt, dass das Team die Regeln in einer kurzen Schulung kennenlernt und dass jemand die Richtlinie regelmäßig prüft. Wie du anschließend herausfindest, wo dein Unternehmen beim KI-Einsatz steht, zeigt der KI-Readiness-Check.
Häufige Fragen
Was ist eine KI-Richtlinie?
Eine KI-Richtlinie ist eine interne Regel für die Nutzung von künstlicher Intelligenz im Unternehmen. Sie legt fest, welche Werkzeuge erlaubt sind, wofür sie genutzt werden dürfen, welche Daten hineindürfen, wer Ergebnisse prüft und wen man bei Fragen anspricht. Sie richtet sich an alle Mitarbeitenden, die mit KI arbeiten.
Ist eine KI-Richtlinie Pflicht?
Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es für die meisten Unternehmen nicht. Datenschutz, Geheimnisschutz und die KI-Verordnung stellen aber Anforderungen, die sich ohne schriftliche Regeln kaum nachweisbar erfüllen lassen. Die Datenschutzkonferenz empfiehlt deshalb dokumentierte interne Weisungen. Für deinen Einzelfall hilft deine Datenschutz- oder Rechtsberatung, dieser Artikel ist keine Rechtsberatung.
Gibt es eine Vorlage für eine KI-Richtlinie?
Ja, zum Beispiel stellt die IHK Schwaben eine kostenlose Muster-KI-Richtlinie bereit, die Zweck, zugelassene Programme, Datenschutz und Verantwortung abdeckt. Eine Vorlage ist ein guter Startpunkt, muss aber an deine Werkzeuge, Daten und Abläufe angepasst werden. Sonst entsteht ein Dokument, das niemand im Alltag anwenden kann.
Muss der Betriebsrat bei einer KI-Richtlinie beteiligt werden?
Wenn es einen Betriebsrat gibt, kann die Einführung von KI-Werkzeugen Mitbestimmungsrechte berühren, etwa bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG). Die Datenschutzkonferenz nennt auch eine Betriebsvereinbarung als möglichen Weg. Bezieh den Betriebsrat deshalb früh ein.
Wie oft sollte eine KI-Richtlinie aktualisiert werden?
KI-Werkzeuge und ihre Bedingungen ändern sich schnell. Ein fester Termin alle sechs Monate ist ein guter Richtwert, dazu immer dann, wenn ein neues Werkzeug freigegeben wird oder sich ein Anbieter ändert. Halte in der Richtlinie fest, wer die Überprüfung verantwortet.
Maschinenbauingenieur mit Master in Kunststofftechnik und MBA, sieben Jahre Team- und Abteilungsleitung in der Industrie. Seit 2019 baut er digitale Vertriebs-, Schulungs- und KI-Systeme. Mehr über Fabian
Quellen
- Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0, Mai 2024, Abschnitte 2.2, 2.4 und 2.7
- Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, Presseinformation vom 21.10.2025 (abgerufen am 09.10.2026)
- IHK Schwaben: Muster-KI-Richtlinie (abgerufen am 09.10.2026)
- Betriebsverfassungsgesetz, § 87 (gesetze-im-internet.de)
Dieser Beitrag wurde mit KI-Unterstützung erstellt.
