KI-Richtlinie für Unternehmen: Vorlage und 12 Bausteine

Eine KI-Richtlinie beantwortet die nächste konkrete Frage

Eine KI-Richtlinie legt fest, wer welche KI-Anwendungen wofür nutzen darf, welche Daten dabei erlaubt sind und wie Ergebnisse geprüft werden. Die zwölf Bausteine dieses Artikels bilden ein redaktionelles Arbeitsmodell. Sie sind keine gesetzlich vorgegebene Gliederung.

Illustratives Beispiel: Ein Vertriebsmitarbeiter möchte eine Kundenliste zusammenfassen und öffnet dafür einen privaten KI-Zugang. Der entscheidende Moment liegt vor dem Upload. Findet er jetzt eine eindeutige Regel, einen freigegebenen Weg und einen Ansprechpartner? Genau daran lässt sich die Alltagstauglichkeit der Richtlinie prüfen.

Verarbeiten Sie personenbezogene Daten, bleiben unter anderem Rechtsgrundlage, Zweckbindung, Datenminimierung und Sicherheit zu prüfen. Ob ein bestimmter Upload rechtswidrig ist, lässt sich aus dem Produktnamen oder der Bezeichnung „Free“ allein nicht ableiten.

Quelle: DSGVO, insbesondere Artikel 5, 6, 28 und 32.

Trennen Sie Grundregeln von veränderlichen Listen

Eine kompakte Richtlinie kann auf Anlagen verweisen. So bleibt die tägliche Entscheidung einfach, während technische Details gepflegt werden können. Entscheidend ist, dass die verlinkten Anlagen auffindbar sind und dieselbe Version der Freigabe abbilden.

Diese zwölf Bausteine gehören in den Entwurf

1. Zweck und Geltungsbereich

Legen Sie fest, für welche Personen, Tätigkeiten und Unternehmensbereiche die Richtlinie gilt. Erfassen Sie ausdrücklich private Zugänge, wenn sie dienstlich genutzt werden. Trennen Sie persönliche Freizeitnutzung von Arbeit im Auftrag des Unternehmens.

2. Freigegebene Tools und konkrete Zugänge

Nennen Sie Anwendung, Anbieter, Tarif, Unternehmensumgebung und zuständige Administration. „ChatGPT erlaubt“ lässt offen, welcher Zugang gemeint ist. Ein Business-Tarif allein ist kein Datenschutznachweis; entscheidend sind unter anderem Vertrag, Einstellungen, Datenflüsse und Einsatzzweck.

3. Erlaubte Zwecke

Ordnen Sie jedem freigegebenen Zugang konkrete Aufgaben zu. Eine Freigabe für allgemeine Textentwürfe erlaubt nicht automatisch die Auswertung vertraulicher Kundendokumente. Regeln Sie, welche Änderungen erneut geprüft werden müssen.

4. Datenregeln

Beschreiben Sie Datenklassen anhand verständlicher Beispiele. Zugangsdaten, interne Geheimnisse und personenbezogene Daten brauchen ausdrückliche Regeln. Die rechtliche Zulässigkeit personenbezogener Verarbeitung hängt vom Einzelfall ab; eine interne Freigabe ersetzt sie nicht.

5. Prüfung der Ergebnisse

Definieren Sie, wer Quellen, Zahlen, fachliche Aussagen und mögliche Benachteiligungen prüft. Für einen internen Entwurf kann eine andere Kontrolle passen als für eine Kundenentscheidung. Beschäftigte brauchen Zeit, Kompetenz und eine echte Möglichkeit, ein Ergebnis zurückzuweisen.

6. Unzulässige und gesondert zu prüfende Anwendungen

Trennen Sie gesetzlich verbotene Praktiken von Anwendungen, die das Unternehmen intern ausschließt oder nur nach Spezialprüfung zulässt. Bewerbungs- oder Gesundheitsbezug bedeutet nicht automatisch ein allgemeines gesetzliches KI-Verbot. Solche Fälle gehören jedoch nicht in eine pauschale Alltagsfreigabe.

7. Neue Tools und Änderungen

Geben Sie einen klaren Antragsweg mit verantwortlicher Stelle und Rückmeldung vor. Erfassen Sie Zweck, Daten, benötigte Rechte und gewünschtes Ergebnis. Auch neue Integrationen oder ein anderer Tarif können eine erneute Prüfung auslösen.

8. Ansprechpartner und Vorfälle

Benennen Sie eine erreichbare Stelle, eine Vertretung und den Weg bei vermutetem Datenabfluss oder falschen automatischen Aktionen. Die Erstmeldung soll enthalten, was passiert ist, welches System beteiligt war und ob weitere Aktionen laufen. Vertrauliche Inhalte gehören nicht unkontrolliert in ein allgemeines Ticket.

9. KI-Agenten und automatische Aktionen

Beschreiben Sie, welche Schritte nur Entwürfe erzeugen und welche Systeme tatsächlich verändern dürfen. Verlangen Sie begrenzte Rechte, Testfälle, Freigaben für folgenreiche Aktionen und einen getesteten Stopppfad. Die Freigabe eines Chats überträgt sich nicht auf einen daran angeschlossenen Agenten.

10. Transparenz und Kennzeichnung

Legen Sie fest, wer prüft, ob und wie über den KI-Einsatz informiert werden muss. Artikel 50 unterscheidet unter anderem Interaktion mit KI, synthetische Inhalte und bestimmte Veröffentlichungen; er verlangt keinen pauschalen Stempel auf jedem KI-unterstützten Text. Ergänzen Sie eigene redaktionelle Kennzeichnungsregeln, wenn diese weiter gehen.

11. Befähigung und Dokumentation

Verknüpfen Sie Zugangsfreigaben mit passenden Einweisungen und Übungen. Halten Sie fest, wer für welche Aufgabe welche Inhalte vermittelt bekommen hat. Neue Funktionen oder Fehler können eine Auffrischung auslösen.

12. Version, Verantwortung und Aktualisierung

Geben Sie der Richtlinie eine Version, ein Gültigkeitsdatum, einen Owner und einen Prüftermin. Benennen Sie Änderungsanlässe, etwa neue Datenquellen, Anbieterbedingungen, Vorfälle oder regulatorische Entwicklungen. Archivieren Sie die ersetzten Fassungen nachvollziehbar.

Quelle: EU AI Act, insbesondere Artikel 5 und 50.

Wenn automatische Aktionen vorgesehen sind, vertieft der Leitfaden zum Pilotieren von KI-Agenten die dafür nötigen Rechte, Tests und Stopppfade.

Machen Sie Freigaben nachprüfbar

Eine Erlaubnistabelle verbindet Tool, Zweck und Daten. Ein schlichtes „erlaubt“ beim Produkt reicht dafür nicht. Das folgende fiktive Beispiel zeigt eine mögliche interne Entscheidung; es bewertet keinen konkreten Anbieter und trifft keine allgemeine rechtliche Einstufung.

Vorlage herunterladen und an Ihrem Alltag testen

Die editierbare KI-Richtlinien-Vorlage enthält die zwölf Bausteine, Platzhalter und eine Freigabetabelle. Sie können die Markdown-Datei in einem Texteditor bearbeiten oder in Ihr Dokumentensystem übernehmen. Die Vorlage ist ein operativer Ausgangspunkt; die offenen Felder müssen vor einer Nutzung als Unternehmensrichtlinie entschieden werden.

Beginnen Sie mit den eingesetzten Anwendungen, nicht mit fiktiven Regeln für alle denkbaren Tools. Wenn die Bestandsaufnahme fehlt, führt Sie die Anleitung zum Erstellen eines KI-Inventars durch die nötigen Angaben. Danach lassen Sie Fachbereiche, IT und die zuständigen Kontrollfunktionen einen Entwurf an echten Arbeitssituationen prüfen.

Geben Sie drei Personen aus unterschiedlichen Rollen dieselbe Beispielsituation. Wenn sie zu verschiedenen Ergebnissen kommen, präzisieren Sie die Regel oder die Freigabetabelle. Dieser Verständlichkeitstest ist eine redaktionelle Empfehlung, kein formaler Konformitätsnachweis.

Die Richtlinie ist erst im Betrieb eingeführt

Veröffentlichen Sie die freigegebene Fassung an einer bekannten Stelle, erläutern Sie Änderungen und machen Sie Ansprechpartner direkt erreichbar. Verbinden Sie die Einführung mit kurzen Übungen. Prüfen Sie danach, ob neue Anträge, Rückfragen und Vorfälle tatsächlich über den vorgesehenen Weg eingehen.

Ein gemeinsamer Workshop kann offene Entscheidungen zu Daten, Zuständigkeiten und Freigaben klären. In der AI-Governance-Beratung verbinden wir den Richtlinienentwurf mit dem Inventar und den operativen Abläufen. Rechtliche Einzelfallprüfung und gegebenenfalls betriebliche Beteiligungsverfahren bleiben gesonderte Aufgaben.