KI-Richtlinie im Unternehmen: vom Muster zur gelebten Regel.

Der Auslöser ist selten böser Wille, sondern Tempo: KI-Werkzeuge sind frei verfügbar, und Mitarbeitende nutzen sie, um schneller zu arbeiten. Das ist gut gemeint - wird aber zum Problem, sobald personenbezogene Daten oder Geschäftsgeheimnisse ungeprüft in ein externes Tool wandern, Ergebnisse ohne Kontrolle übernommen werden oder niemand sagen kann, wer eine bestimmte Ausgabe zu verantworten hat. Diese unkontrollierte Nutzung nennt man Schatten-KI - und sie wächst schweigend, solange es keine Regeln gibt.

Dazu kommt der rechtliche Rahmen. Seit dem 2. Februar 2025 verlangt Art. 4 der EU-KI-Verordnung, dass Unternehmen bei ihren Mitarbeitenden für ausreichende KI-Kompetenz sorgen. Und die DSGVO fordert ohnehin einen geregelten Umgang mit personenbezogenen Daten, auch in KI-Werkzeugen. Wichtig zur Einordnung: Eine ausdrückliche gesetzliche Pflicht zu einer schriftlichen KI-Richtlinie gibt es nicht. Sie ist aber der einfachste Weg, Freigaben, Erwartungen und Schulungen nachvollziehbar zu dokumentieren - und gilt deshalb als Stand der Praxis.

Takeaway: Eine KI-Richtlinie beseitigt nicht die KI-Nutzung, sondern die Schatten-KI. Sie macht aus stiller, ungeregelter Nutzung eine bewusste, dokumentierte - und deckt zugleich die Kompetenz-Anforderung aus Art. 4 KI-VO ab.

Gute Muster ähneln sich, weil dieselben Fragen zu klären sind. Am Anfang steht der Geltungsbereich: für wen und für welche Werkzeuge die Regeln gelten. Dann die Zuständigkeiten - wer Freigaben erteilt und wer bei Zweifeln ansprechbar ist. Das Herz der Richtlinie ist die Liste der freigegebenen Werkzeuge, ergänzt um klare Grenzen für Datenschutz und Vertraulichkeit: welche Daten hinein dürfen und welche nicht, allen voran personenbezogene Daten und Geschäftsgeheimnisse.

Daneben gehören der Umgang mit KI-Ergebnissen (Prüfpflicht, Kennzeichnung, Urheberrecht), Vorgaben zur IT-Sicherheit, der Verweis auf Schulung und KI-Kompetenz, klare Meldewege für Vorfälle sowie Inkrafttreten und Überprüfungs-Rhythmus in jedes vollständige Muster. Wer diese Felder einmal strukturiert durchgehen möchte, findet mit unserem KI-Leitlinien-Generator ein Muster mit elf Paragraphen, das im Browser entsteht - ohne Anmeldung und als Startpunkt zur eigenen Bearbeitung gedacht.

Takeaway: Ein brauchbares Muster deckt neun bis elf Regelungsfelder ab - vom Geltungsbereich über freigegebene Werkzeuge und Datenschutz bis zu Meldewegen und Inkrafttreten. Fehlt eines davon, entsteht genau dort die nächste Grauzone.

Eine Liste freigegebener Werkzeuge beantwortet nicht die Frage, die sich Mitarbeitende im Alltag stellen: Darf ich das hier, für diese Aufgabe, mit diesen Daten? Verständlicher wird die Richtlinie, wenn sie erlaubte Nutzung entlang typischer Aufgaben beschreibt - mit fünf Angaben pro Zeile: Aufgabe, zugelassenes Werkzeug, geeignete Daten, erforderliche Kontrolle und die Rolle, die bei Fragen ansprechbar ist.

Das folgende Raster ist ein Muster, kein fertiger Vorschlag für Ihren Betrieb. Die Werkzeuge stehen bewusst als Platzhalter da; welche Produkte Sie freigeben, hängt von Verträgen, Datenschutz und Ihrer IT ab.

Die letzte Zeile ist so wichtig wie die übrigen: Ein Raster zeigt auch, wofür kein Werkzeug freigegeben ist und wer über Ausnahmen entscheidet. Pflegen Sie es zusammen mit der Werkzeug-Liste - kommt ein Werkzeug hinzu oder fällt eines weg, ändern sich die Zeilen mit.

Takeaway: Erlaubte Nutzung wird greifbar, wenn die Richtlinie sie pro Aufgabe beschreibt: welches Werkzeug, welche Daten, welche Kontrolle, wer ansprechbar ist. Das Raster ergänzt die Werkzeug-Liste, es ersetzt sie nicht.

Sobald ein KI-Werkzeug nicht nur im Chatfenster antwortet, sondern mit Postfach, CRM oder Dateiablage verbunden ist, reicht die Frage nach geeigneten Daten nicht mehr. Dann geht es darum, was das Werkzeug in diesen Systemen tun darf - und das sind drei unterschiedliche Stufen:

• Lesen: Das Werkzeug ruft Inhalte ab, etwa E-Mails, Kontakte oder Dokumente, und fasst sie zusammen.
• Entwerfen: Es bereitet etwas vor - eine Antwort, einen Datensatz, eine Ablage -, das ein Mensch prüft und selbst abschickt oder speichert.
• Ausführen: Es handelt selbst, versendet Nachrichten, ändert Einträge, verschiebt oder löscht Dateien.

Die Richtlinie sollte für jede Verbindung festhalten, welche Stufe erlaubt ist. Entscheidend ist dabei nicht die Beschreibung des Werkzeugs, sondern was tatsächlich freigegeben wurde: Wer einen Agenten mit einem System verbindet, prüft die erteilten Zugriffsrechte - die bei der Verbindung bestätigten Berechtigungen, oft Scopes genannt, und die Einstellungen in der Verwaltung des angebundenen Systems. Ein Werkzeug, das laut Produktseite nur liest, aber Schreib- oder Senderechte erhalten hat, kann schreiben und senden.

Im besten Fall arbeitet ein Agent mit den Rechten der Person, die ihn nutzt, und sieht nicht mehr als sie. Das setzt ein Berechtigungskonzept voraus, das selbst stimmt; ohne dieses sieht auch der Agent zu viel. Für die Stufe Ausführen gilt zusätzlich: nur mit Freigabe durch einen Menschen oder mit einem Protokoll, das jede Aktion nachvollziehbar festhält. Und weil Verbindungen schnell eingerichtet sind und danach leicht aus dem Blick geraten, gehören sie in den Überprüfungs-Termin der Richtlinie. Dass wir das Berechtigungskonzept vor dem Einsatz agentischer Systeme mitprüfen, gehört zu unserer KI-Beratung.

Takeaway: Bei verbundenen KI-Werkzeugen regelt die Richtlinie nicht nur Daten, sondern Handlungen. Lesen, Entwerfen und Ausführen getrennt freigeben, die tatsächlich erteilten Rechte prüfen und Ausführen nur mit Freigabe oder Protokoll erlauben.

Ein fertiges Muster spart Zeit und sorgt für Vollständigkeit: Kein Regelungsfeld wird vergessen, die Gliederung ist erprobt, der Entwurf steht in Minuten statt in Wochen. Der Preis dieser Bequemlichkeit ist Unschärfe. Eine Vorlage kennt weder Ihre Branche noch Ihre tatsächlich eingesetzten Werkzeuge - und eine generische Tool-Liste, die niemand pflegt, ist schlimmer als keine, weil sie Sicherheit vortäuscht.

Komplett selbst zu schreiben liefert dagegen ein passgenaues Dokument, kostet aber viel Zeit und birgt das Risiko, dass gerade die heiklen Felder - Datenschutz, Urheberrecht, Haftung - lückenhaft bleiben. In der Praxis bewährt sich der Mittelweg: Ein Muster als Gerüst nehmen und es dann konsequent anpassen. Streichen Sie, was nicht zutrifft, tragen Sie Ihre real genutzten Werkzeuge ein und prüfen Sie branchenspezifische Pflichten, etwa bei berufsgeheimnispflichtigen Tätigkeiten oder Mitbestimmung. Den rechtlichen Hintergrund dazu - vom Risikoansatz bis zur Kompetenz-Pflicht - ordnet unser EU-KI-VO-Leitfaden ein.

Takeaway: Muster oder Eigenbau ist eine falsche Alternative. Das Muster liefert die vollständige Struktur, die Anpassung an Branche, Werkzeuge und Mitbestimmung macht daraus Ihre Richtlinie.

Eine Richtlinie wirkt nicht, weil es sie gibt, sondern weil sie gelesen, verstanden und getragen wird. Der erste Schritt ist deshalb weniger das Schreiben als das Zuweisen: Eine benannte Person - oft aus IT, Datenschutz oder Geschäftsleitung - muss den Entwurf verantworten und ihn durch die Abstimmung führen. Einbezogen werden Datenschutzbeauftragte und IT, in mitbestimmten Betrieben früh auch der Betriebsrat, denn Regeln zur KI-Nutzung können Mitbestimmungsrechte berühren, etwa wenn sie Verhalten oder Leistung betreffen.

Erst danach folgt das Inkraftsetzen - und hier scheitern viele Einführungen: Die Richtlinie wird abgelegt statt kommuniziert. Wirksam wird sie, wenn Sie den Sinn erklären, konkrete Beispiele für erlaubte und unerlaubte Nutzung geben und die freigegebenen Werkzeuge sichtbar machen. Dazu gehört eine Schulung, die die KI-Kompetenz nach Art. 4 KI-VO aufbaut, und die dokumentierte Kenntnisnahme durch die Mitarbeitenden. Wie sich diese Unterweisung organisieren lässt - mit den kostenlosen Werkzeugen im Selbststudium, intern moderiert mit dem Art.-4-Unterweisungsskript oder als Live-Schulung -, vergleicht unsere Seite KI-Schulung. Ein kleiner Pilot in einer Abteilung deckt Reibungspunkte auf, bevor die Richtlinie für alle gilt.

Am Ende steht kein Schlusspunkt, sondern ein Termin: Legen Sie fest, wann und durch wen die Richtlinie wieder auf den Prüfstand kommt. Werkzeuge, Anbieter und Rechtslage ändern sich zu schnell, als dass ein einmal verabschiedetes Dokument lange trägt.

Takeaway: Die Einführung entscheidet über die Wirkung. Verantwortung zuweisen, mitbestimmen lassen, den Sinn kommunizieren statt nur ablegen, schulen und die Kenntnisnahme dokumentieren - und einen festen Review-Termin setzen.

Der häufigste Fehler ist das pauschale Verbot. Wer KI schlicht untersagt, verhindert nicht die Nutzung, sondern nur die sichtbare: Mitarbeitende weichen auf private Geräte und Zugänge aus, und aus Schatten-KI wird Schatten-IT, die noch schwerer zu kontrollieren ist. Regeln, die realistische, freigegebene Wege aufzeigen, schützen besser als ein Verbot, das niemand einhält.

Ebenso verbreitet: die Richtlinie ohne Schulung. Ein Dokument, das voraussetzt, was es eigentlich vermitteln müsste, erreicht genau die nicht, die es adressiert. Dritter Klassiker ist das Einmal-Dokument - einmal geschrieben, nie wieder angefasst, während die Tool-Liste veraltet. Und viertens die Copy-Paste-Falle: eine übernommene Vorlage, in der die freigegebenen Werkzeuge nie an das eigene Unternehmen angepasst wurden. Dann steht in der Richtlinie, was ein anderer Betrieb nutzt - nicht Ihrer.

Takeaway: Die vier häufigsten Fehler sind Pauschalverbot, fehlende Schulung, das nie aktualisierte Dokument und die ungepflegte Tool-Liste. Jeder davon macht aus einer Richtlinie ein Papier ohne Wirkung.