- Eine KI-Richtlinie legt fest, welche KI-Tools Ihr Team wofür nutzen darf, mit welchen Daten, und wer entscheidet, wenn etwas Neues dazukommt.
- Gesetzlich vorgeschrieben ist sie nicht. Sie ist aber einer der naheliegendsten Belege dafür, dass Sie KI-Kompetenz fördern und Ihre Geschäftsgeheimnisse angemessen schützen.
- Was trägt: eine Positivliste, eine Datenampel, wenige klare Verbote und ein Freigabeweg. Auf ein bis zwei Seiten.
- Was scheitert: 40 Seiten Juristendeutsch, pauschale Verbote und eine Richtlinie, die niemand aktualisiert.
Die KI-Richtlinie ist das Dokument, mit dem die meisten Unternehmen anfangen, wenn sie KI regeln wollen. Das ist verständlich: Ein Dokument fühlt sich nach Erledigung an. Das Problem ist, dass eine Richtlinie allein nichts verändert. Sie wird unterschrieben, abgelegt und vergessen, während das Team weiter die Tools nutzt, die es schon vorher genutzt hat.
Eine gute KI-Richtlinie ist deshalb weniger ein juristischer Text als eine Arbeitsanweisung. Sie beantwortet die Fragen, die sich Ihre Mitarbeitenden jeden Tag stellen: Darf ich das hier eingeben? In welches Tool? Und wen frage ich, wenn ich es nicht weiß?
Was ist eine KI-Richtlinie?
Eine KI-Richtlinie, auch KI-Nutzungsrichtlinie oder KI-Policy genannt, ist die verbindliche Regel eines Unternehmens für den Einsatz von KI. Sie legt fest, welche Tools freigegeben sind, welche Daten damit verarbeitet werden dürfen, was verboten ist und wer über neue Anwendungen entscheidet. Sie ist das Herzstück der Achse Policies in einer KI-Governance, aber nicht die ganze Governance.
Ist eine KI-Richtlinie Pflicht?
Ausdrücklich vorgeschrieben ist sie nicht. Kein Gesetz verlangt ein Dokument mit diesem Namen. Trotzdem gibt es drei handfeste Gründe, eine zu haben.
KI-Kompetenz nach Artikel 4. Der EU AI Act verpflichtet Unternehmen, die KI einsetzen, die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Seit dem Digital Omnibus im Juli 2026 ist das weicher formuliert, aber nicht abgeschafft (was sich geändert hat). Eine Richtlinie, die nachweisbar bekannt gemacht wurde, gehört zu den naheliegendsten Belegen dafür, dass Sie etwas tun.
Schutz Ihrer Geschäftsgeheimnisse. Nach dem Geschäftsgeheimnisgesetz ist eine Information nur geschützt, wenn Sie angemessene Geheimhaltungsmaßnahmen treffen. Eine schriftliche Regel, was nicht in fremde KI-Tools gehört, ist genau so eine Maßnahme. Ohne sie wird es im Streitfall schwer zu zeigen, dass Sie Ihr Know-how überhaupt geschützt haben. Mehr dazu im Beitrag zur digitalen Souveränität bei KI.
Datenschutz. Sobald personenbezogene Daten in ein KI-Tool fließen, gelten die üblichen Anforderungen der DSGVO: Rechtsgrundlage, Vertrag zur Auftragsverarbeitung, Datenübermittlung in Drittländer. Eine Richtlinie sorgt dafür, dass diese Fragen einmal geklärt werden und nicht bei jeder Eingabe neu.
Was in eine KI-Richtlinie gehört
Acht Bausteine reichen. Keiner davon braucht mehr als ein paar Sätze.
- Geltungsbereich. Für wen gilt die Regel, und für welche KI? Auch KI-Funktionen in Software, die Sie längst nutzen, etwa im Office-Paket oder im CRM.
- Freigegebene Tools. Eine Positivliste: welches Tool, in welcher Lizenz, wofür. Business-Zugang mit ausgeschlossenem Training auf Ihren Daten, keine privaten Accounts.
- Datenampel. Grün sind öffentliche Informationen und eigene Formulierungen, erlaubt in allen freigegebenen Tools. Gelb sind interne Unterlagen ohne Personenbezug, erlaubt nur in freigegebenen Business-Tools. Rot sind Kundendaten, Personaldaten, Konstruktionsdaten und Kalkulationen, erlaubt nur in ausdrücklich dafür freigegebenen, EU-gehosteten oder lokalen Systemen, oder gar nicht.
- Klare Verbote. Wenige, aber eindeutige: keine Firmendaten in private Accounts, keine gelben oder roten Daten in Tools außerhalb der Liste, keine Entscheidungen über Menschen allein auf Basis eines KI-Ergebnisses.
- Menschliche Prüfung. KI-Ergebnisse werden geprüft, bevor sie das Haus verlassen oder eine Entscheidung stützen. Wer ein Ergebnis übernimmt, verantwortet es.
- Kennzeichnung. Wann KI-generierte Inhalte als solche gekennzeichnet werden (welche Fälle das betrifft). Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 AI Act, etwa für täuschend echte KI-generierte Bilder, Videos oder Tonaufnahmen und für Chatbots.
- Freigabeweg für Neues. Wer entscheidet über ein neues Tool, in welcher Frist, und wen fragt man bis dahin? Ohne diesen Weg entsteht die nächste Schatten-KI.
- Schulung und Aktualisierung. Wer wird wie eingewiesen, wie wird die Kenntnisnahme dokumentiert, und wann wird die Richtlinie überprüft? Mindestens halbjährlich, besser quartalsweise.
Was nicht hineingehört
Juristendeutsch. Wenn Ihre Mitarbeitenden die Richtlinie nicht in fünf Minuten verstehen, halten sie sich nicht daran. Die rechtliche Absicherung gehört in Ihre interne Dokumentation, nicht in den Text, den das Team lesen soll.
Ein pauschales Verbot. Wer KI verbietet, bekommt nicht weniger KI, sondern weniger Einblick. Der Nutzen ist real, also läuft die Nutzung weiter, nur heimlich.
Details, die sich monatlich ändern. Konkrete Tool-Versionen und Einstellungen gehören in einen Anhang, der sich aktualisieren lässt, ohne die ganze Richtlinie neu abzustimmen oder unterschreiben zu lassen.
Eine Kopie der DSGVO. Verweisen Sie auf bestehende Datenschutzregeln, statt sie zu wiederholen. Jede Doppelung ist eine Stelle, die beim nächsten Update vergessen wird.
Betriebsrat, Vorlage, Bekanntgabe: die praktischen Fragen
Gibt es einen Betriebsrat, sollten Sie ihn früh einbinden. Je nach Ausgestaltung, insbesondere wenn die KI-Nutzung technisch protokolliert oder ausgewertet wird, kommen Mitbestimmungsrechte in Betracht. Das ist kein Hindernis, sondern oft ein Vorteil: Eine gemeinsam getragene Regel wird eher eingehalten.
Vorlagen sind ein brauchbarer Startpunkt. Die entscheidenden Teile kennt aber keine Vorlage: welche Tools bei Ihnen laufen, welche Daten bei Ihnen rot sind, wer bei Ihnen entscheidet. Und eine Richtlinie wirkt erst, wenn sie nachweisbar bekannt gemacht wurde, etwa über eine kurze Unterweisung mit Bestätigung. Das ist gleichzeitig ein Baustein Ihres Nachweises nach Artikel 4.
Die Reihenfolge: erst die Inventur, dann die Richtlinie
Der häufigste Fehler ist, die Richtlinie zuerst zu schreiben. Eine Positivliste setzt voraus, dass Sie wissen, welche Tools Ihr Team heute nutzt und wofür. Eine Datenampel setzt voraus, dass Sie wissen, welche Daten tatsächlich in KI-Tools fließen. Wer ohne diese Kenntnis schreibt, regelt eine Welt, die es in seinem Unternehmen nicht gibt.
Deshalb beginnt unsere Arbeit immer mit der Bestandsaufnahme. Erst entdecken, was läuft. Dann entscheiden, was erlaubt ist, und das in eine Richtlinie gießen. Dann befähigen und durchsetzen. Die Richtlinie ist dabei nicht der Anfang und nicht das Ende, sondern der Moment, in dem aus Wissen eine Regel wird.
Eine Richtlinie, die zu dem passt, was wirklich läuft
Die KI-Standortbestimmung zeigt, welche Tools Ihr Team nutzt und welche Daten wohin fließen. Daraus entsteht eine Richtlinie, die zu Ihrem Alltag passt. Fester Preis, konkretes Ergebnis.
Standortbestimmung anfragenHäufige Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie Pflicht?
Ausdrücklich vorgeschrieben ist sie nicht. Sie ist aber einer der naheliegendsten Belege dafür, dass Sie die KI-Kompetenz Ihrer Mitarbeitenden fördern, wie es Artikel 4 EU AI Act verlangt, und dass Sie Ihre Geschäftsgeheimnisse durch angemessene Maßnahmen schützen. Ohne schriftliche Regel ist beides schwer nachzuweisen.
Was gehört in eine KI-Richtlinie?
Im Kern: für wen sie gilt, welche Tools freigegeben sind, welche Daten in welches Tool dürfen (eine Datenampel), was ausdrücklich verboten ist, dass KI-Ergebnisse geprüft werden, wann gekennzeichnet wird, wie neue Tools freigegeben werden und wie Schulung und Aktualisierung laufen.
Wie lang sollte eine KI-Richtlinie sein?
So kurz wie möglich. Eine bis zwei Seiten für die Regeln, dazu eine Tool-Liste als Anhang, die sich ändern lässt, ohne die ganze Richtlinie neu abzustimmen. Eine Richtlinie, die niemand liest, schützt niemanden.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Das hängt von der Ausgestaltung ab. Wenn die KI-Nutzung technisch protokolliert oder ausgewertet wird, kommen Mitbestimmungsrechte in Betracht, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG. Unabhängig davon ist es klug, einen bestehenden Betriebsrat früh einzubinden. Im Zweifel arbeitsrechtlich prüfen lassen.
Kann ich eine Vorlage für die KI-Richtlinie verwenden?
Als Startpunkt ja. Entscheidend sind aber die Teile, die keine Vorlage kennt: welche Tools bei Ihnen tatsächlich laufen, welche Daten bei Ihnen kritisch sind und wer bei Ihnen entscheidet. Eine übernommene Vorlage ohne diese Anpassung ist ein Dokument, keine Regel.