%20(2).png)
- Eine KI-Nutzungsrichtlinie regelt, wer welche Tools für welche Daten nutzen darf – und wer die Ergebnisse prüft.
- Kernstück sind Datenklassen: Was darf nie in ein öffentliches Tool, was nur in freigegebene, was ist unkritisch.
- Ohne Richtlinie nutzen Mitarbeiter KI trotzdem – dann aber mit privaten Konten und ohne Kontrolle.
- Die Richtlinie ist ein Arbeitsdokument: Verantwortliche benennen, Schulung festlegen, mindestens jährlich überarbeiten.
- Betriebsrat und Datenschutzbeauftragte früh einbinden; der Text ersetzt keine Rechtsberatung.
Warum eine Richtlinie – und warum jetzt
Eine KI-Nutzungsrichtlinie schließt die Lücke zwischen dem, was Mitarbeiter bereits tun, und dem, was das Unternehmen verantworten kann. In den meisten Betrieben werden Sprachmodelle längst genutzt: für Formulierungen, Übersetzungen, Zusammenfassungen – oft mit privaten Konten und ohne dass jemand weiß, welche Daten dabei hochgeladen werden. Ein Verbot löst das nicht, es verlagert die Nutzung nur ins Verborgene. Eine Richtlinie macht die Nutzung sichtbar, gibt freigegebene Werkzeuge vor und zieht klare Grenzen bei den Daten.
Die zehn Abschnitte einer brauchbaren Richtlinie
Eine interne Regel braucht keine zwanzig Seiten, aber zehn klar getrennte Abschnitte, die jede Mitarbeiterin ohne Rückfrage anwenden kann:
- Geltungsbereich: Für wen gilt die Richtlinie (Festangestellte, Werkstudenten, externe Dienstleister) und für welche Geräte und Konten.
- Begriffe: Was „KI-Tool" im Sinne der Richtlinie ist – auch eingebaute Funktionen in Office-Programmen, Browsern und Smartphones.
- Freigegebene Tools: Eine gepflegte Liste mit Tool, Zweck, Vertragsstatus und zuständiger Person. Alles, was nicht auf der Liste steht, ist nicht freigegeben.
- Verbotene Nutzung: Private Konten für Firmendaten, Umgehung von Freigaben, Nutzung für Entscheidungen über Personen ohne menschliche Prüfung.
- Datenklassen: Welche Daten in welche Tool-Kategorie dürfen (siehe nächster Abschnitt).
- Prüfpflicht: KI-Ergebnisse sind Entwürfe. Wer sie verwendet, verantwortet den Inhalt und prüft Fakten, Zahlen und Quellen.
- Kennzeichnung: Wann KI-Einsatz gegenüber Kunden, Bewerbern oder intern offengelegt wird – etwa bei generierten Bildern oder automatisierten Antworten.
- Verantwortliche: Wer gibt Tools frei, wer beantwortet Fragen, wer wird bei Vorfällen informiert.
- Schulung: Pflichtunterweisung bei Einführung und für neue Mitarbeiter, Nachweis der Teilnahme.
- Überarbeitung: Turnus (mindestens jährlich), Anlass (neues Tool, Vorfall, Gesetzesänderung) und Versionsstand.
Datenklassen: Das Herz der Richtlinie
Die wichtigste Regel lautet: Personenbezogene Daten, Geschäftsgeheimnisse und Kundendaten gehören nie in ein öffentliches KI-Tool ohne Vertrag. Damit das im Alltag anwendbar ist, teilen Sie Daten in drei Klassen und ordnen jeder Klasse eine Tool-Kategorie zu.
| Datenklasse | Beispiele | Erlaubt in |
|---|---|---|
| Öffentlich | Website-Texte, veröffentlichte Preislisten, allgemeine Fachfragen | Allen freigegebenen Tools |
| Intern | Protokolle, Angebote ohne Kundennamen, interne Anleitungen | Nur Tools mit Vertrag zur Auftragsverarbeitung und ohne Training auf Ihren Daten |
| Vertraulich / personenbezogen | Kundendaten, Personalakten, Verträge, Gesundheitsdaten, Quellcode mit Zugangsdaten | Nur in freigegebene Systeme im eigenen Betrieb oder mit ausdrücklicher Einzelfreigabe |
Die Zuordnung „Welches Tool ist welche Kategorie?" trifft nicht die Mitarbeiterin am Schreibtisch, sondern die Freigabestelle – und dokumentiert sie in der Tool-Liste. Welche Fragen vor der Freigabe eines Systems geklärt sein sollten, beschreibt der Ratgeber KI und Datenschutz: Fragen vor dem Start.
Prüfpflicht und Kennzeichnung im Alltag
Ein KI-Ergebnis ist so lange ein Entwurf, bis ein Mensch es geprüft hat – diese Regel muss in der Richtlinie ausdrücklich stehen. Praktisch heißt das: Zahlen, Namen, Rechtsangaben und Zitate werden gegen die Quelle geprüft, bevor sie nach außen gehen. Bei automatisierten Antworten an Kunden legt die Richtlinie fest, welche Fälle ein Mensch freigibt. Für Kennzeichnung gilt: Wo ein Gegenüber annehmen könnte, mit einem Menschen zu sprechen, oder wo Bilder echte Situationen suggerieren, wird der KI-Einsatz offengelegt. Was im Einzelfall rechtlich gefordert ist, hängt von Branche und Einsatz ab – hier gehört ein Hinweis auf Datenschutzbeauftragte oder Rechtsberatung in die Richtlinie selbst.
Betriebsrat, Datenschutz und Einführung
Eine Richtlinie, die Verhalten und Werkzeuge der Beschäftigten regelt, sollte vor der Einführung mit Betriebsrat und Datenschutzbeauftragten abgestimmt werden – je nach Betrieb kann eine Mitbestimmung bestehen. Das ist keine Formalie, sondern erhöht die Akzeptanz: Eine Regel, die gemeinsam entstanden ist, wird eingehalten. Führen Sie die Richtlinie mit einer kurzen Schulung ein, nicht per Rundmail, und sammeln Sie in den ersten drei Monaten die Fragen, die auftauchen. Sie zeigen, wo die Richtlinie unklar ist. Wie Sie Teams bei der Einführung mitnehmen, beschreibt der Beitrag Mitarbeiter und KI.
Häufige Fragen (FAQ)
Reicht es, KI-Tools einfach zu verbieten?
Nein. Die Nutzung findet dann mit privaten Konten statt, ohne Kontrolle und ohne Vertrag. Eine Richtlinie mit freigegebenen Tools ist sicherer als ein Verbot.
Wie lang sollte die Richtlinie sein?
Drei bis fünf Seiten reichen, wenn die zehn Abschnitte klar getrennt sind. Die Tool-Liste wird als Anlage geführt und häufiger aktualisiert als der Haupttext.
Wer sollte die Richtlinie verantworten?
Eine benannte Person aus Geschäftsführung oder IT mit Vertretung, die Tool-Freigaben trifft und Ansprechpartnerin für Fragen ist. Datenschutzbeauftragte werden bei jeder Freigabe einbezogen.
Gilt die Richtlinie auch für externe Dienstleister?
Sie sollte es, zumindest für alle, die mit Ihren Daten arbeiten. Der einfachste Weg ist ein Verweis auf die Richtlinie im Dienstleistungsvertrag.
Eine ausfüllbare Vorlage mit allen zehn Abschnitten finden Sie unter Muster KI-Nutzungsrichtlinie. Wenn Sie klären möchten, welche Systeme sich für vertrauliche Daten freigeben lassen, finden Sie unter KI-Prozessautomatisierung einen Überblick und über Kontakt den Einstieg. Dieser Beitrag ist keine Rechtsberatung.