Blog
KI-Richtlinie erstellen: in fünf Minuten eine Richtlinie, die zu Ihrem Unternehmen passt
21. Oktober 2026 Von Tijn Meijerink
Kurze Antwort. Eine KI-Richtlinie legt fest, welche KI-Tools Ihre Leute nutzen, welche Daten hineindürfen und welche nicht, wer prüft, was KI liefert, und wer verantwortlich ist. Kein Gesetz verlangt ein Dokument mit diesem Namen. Es ist aber der schnellste Weg zu zeigen, dass Sie tun, was der EU AI Act und die DSGVO verlangen: Maßnahmen für KI-Kompetenz (seit Februar 2025), Offenheit gegenüber Kunden über KI (seit August 2026) und die strengeren Regeln für Recruiting und Kreditwürdigkeitsprüfung ab dem 2. Dezember 2027. Mit dem Generator unten haben Sie in fünf Minuten eine Richtlinie, die zu Ihren Tools, Ihren Daten und Ihren Risiken passt.
Geschrieben für Organisationen mit 10 bis 250 Beschäftigten. Grundlage sind der EU AI Act in der Fassung des Digital Omnibus zur KI vom Juli 2026 und die DSGVO.
Live-Dokument
KI-Richtlinie [Name der Organisation]
1Zweck und Geltungsbereich
- EU AI Act Art. 4
Diese Richtlinie regelt, wie wir bei [Name der Organisation] KI nutzen: überlegt, sicher und so, dass wir es Kunden, Beschäftigten und Aufsichtsbehörden erklären können.
Die Richtlinie gilt für alle, die im Auftrag von [Name der Organisation] mit KI arbeiten: Beschäftigte, Führungskräfte, Praktikanten, Leiharbeitskräfte und Freelancer. Erfasst sind alle KI-Tools, auch KI-Funktionen, die in bestehende Software eingebaut sind.
KI darf unsere Arbeit schneller und besser machen. Die Verantwortung dafür, was wir mit dem Ergebnis tun, liegt immer bei einem Menschen.
2Begriffe
- KI-Tool: Software, die Text, Bilder, Audio, Code oder Vorhersagen erzeugt, etwa ChatGPT, Copilot oder eine KI-Funktion in einem CRM.
- KI-Verzeichnis: die Liste der KI-Tools und Anwendungen, die bei [Name der Organisation] freigegeben sind, mit einer verantwortlichen Person je Tool.
- Sensible Daten: personenbezogene Daten, Kundendaten, Finanzdaten, vertrauliche Unternehmensinformationen und Quellcode.
- KI-Ergebnis: alles, was ein KI-Tool liefert, von einer Zusammenfassung bis zu einer Berechnung oder einer Empfehlung.
3Zuerst erfassen: Welche KI ist schon im Einsatz
Wir wissen noch nicht genau, welche KI-Tools für die Arbeit genutzt werden. Teilen Sie deshalb innerhalb von 30 Tagen nach Beschluss dieser Richtlinie mit, welche KI-Tools Sie für Ihre Arbeit nutzen, auch kostenlose Tools und private Konten. Die Meldungen sammelt die oder der KI-Beauftragte.
Eine Meldung hat keine Folgen, auch dann nicht, wenn ein Tool nicht dieser Richtlinie entspricht. Wir suchen dann gemeinsam eine freigegebene Alternative. Nach Ablauf dieser Frist ist die Arbeit mit einem nicht gemeldeten Tool ein Verstoß gegen diese Richtlinie.
4Welche KI-Tools Sie nutzen dürfen
- DSGVO Art. 28
Sie nutzen nur Tools aus dem KI-Verzeichnis, mit einem Konto von [Name der Organisation]. Je nach Art des Tools gilt:
Kostenlose und private KI-ToolsUnter Bedingungen
Nur für öffentliche Informationen und allgemeine Fragen. Nie mit Namen, Kundendaten oder internen Dokumenten, weil kostenlose Versionen Ihre Eingaben zum Training ihrer Modelle verwenden können.
Geschäftliche KI-AbosUnter Bedingungen
Erlaubt für interne Arbeit, auch mit sensiblen Daten, wenn vier Bedingungen erfüllt sind: ein Geschäftskonto von [Name der Organisation], das Training mit unseren Daten ist abgeschaltet, es gibt einen Auftragsverarbeitungsvertrag, und Speicherung und Verarbeitung erfolgen, wo möglich, in der EU.
Microsoft 365 CopilotUnter Bedingungen
Erlaubt innerhalb unserer Microsoft-365-Umgebung. Copilot findet alles, worauf Sie Zugriff haben. Deshalb prüft die oder der KI-Beauftragte zuerst die Berechtigungen in SharePoint, Teams und OneDrive, und Sie geben Dateien nie weiter frei als nötig.
Möchten Sie ein neues Tool mit internen Daten nutzen, stellen Sie einen Antrag. Die oder der KI-Beauftragte entscheidet innerhalb von zehn Arbeitstagen. Ausprobieren mit öffentlichen Informationen ist ohne Antrag erlaubt.
5Welche Daten Sie in KI eingeben dürfen und welche nicht
- DSGVO Art. 5
- DSGVO Art. 9
Bevor Sie etwas in ein KI-Tool eingeben, prüfen Sie die Art der Daten. Im Zweifel gilt die strengste Farbe.
Rot: nie in ein KI-Tool
- Passwörter, API-Schlüssel und andere Zugangsdaten
- Steuer-ID, Sozialversicherungsnummer und Kopien von Ausweisdokumenten
- Informationen, für die ein Kunde ausdrücklich Vertraulichkeit verlangt hat
Orange: nur in geschäftlichen Tools aus dem KI-Verzeichnis
Verwenden Sie so wenige Daten wie möglich: Lassen Sie Namen und Nummern weg, wenn Sie sie nicht brauchen.
- Personenbezogene Daten von Kunden, Bewerbern und Beschäftigten
- Verträge, Akten und andere vertrauliche Unternehmensinformationen
Grün: in allen Tools aus dem KI-Verzeichnis erlaubt
- Öffentliche Informationen wie unsere Website und veröffentlichte Unterlagen
- Eigene Texte und Ideen ohne Namen oder Kundendaten
- Allgemeine Fragen und allgemeines Wissen
6Menschliche Kontrolle
KI macht Fehler, die überzeugend klingen. Prüfen Sie Fakten, Zahlen, Namen, Quellen und Berechnungen, bevor Sie ein KI-Ergebnis verwenden. Je größer die Folgen, desto gründlicher die Prüfung.
Sie sind für das verantwortlich, was Sie mit KI-Ergebnissen tun, genau wie bei anderer Arbeit. Was an Kunden oder nach außen geht, lesen Sie vorher selbst. Bei automatisierten Anwendungen legt die verantwortliche Person fest, wie die Kontrolle geregelt ist.
7Offen über KI
- EU AI Act Art. 50
Spricht ein Kunde mit einem KI-System von uns, etwa einem Chatbot oder einer automatisch versandten Antwort, machen wir das beim ersten Kontakt deutlich. Kunden können jederzeit verlangen, mit einem Menschen zu sprechen.
Antworten zu Verträgen, Preisen, Ansprüchen oder Rechten eines Kunden prüft eine Person aus dem Team, bevor sie versendet werden.
8Datenschutz und Sicherheit
- DSGVO Art. 28
- DSGVO Art. 32
- Nur Geschäftskonten von [Name der Organisation], mit Zwei-Faktor-Authentifizierung.
- Mit jedem KI-Anbieter, der personenbezogene Daten verarbeitet, haben wir einen Auftragsverarbeitungsvertrag.
- Das Training mit unseren Daten ist abgeschaltet, und Speicherung und Verarbeitung erfolgen, wo möglich, in der EU.
- Ein KI-Tool erhält nur Zugriff auf die Daten, die es für seine Aufgabe braucht.
- Wer das Unternehmen verlässt, verliert sofort den Zugang zu allen KI-Tools.
9Vertraulichkeit und Urheberrecht
- UrhG
Vertraulichkeitsvereinbarungen mit Kunden und Partnern gelten auch, wenn Sie KI nutzen. Prüfen Sie KI-Ergebnisse, die Sie veröffentlichen, auf erkennbare Werke anderer, etwa Texte, Bilder oder Marken, und verwenden Sie sie im Zweifel nicht.
10Regeln für unsere Branche
Arbeiten wir mit Akten oder vertraulichen Informationen von Auftraggebern, gelten die Vereinbarungen mit diesem Auftraggeber auch für die KI-Nutzung. Holen Sie im Zweifel eine Zustimmung ein, bevor Sie Daten des Auftraggebers in ein KI-Tool eingeben.
11KI-Kompetenz
- EU AI Act Art. 4
Alle, die im Auftrag von [Name der Organisation] mit KI arbeiten, absolvieren innerhalb von 30 Tagen nach ihrem Start oder nach Beschluss dieser Richtlinie eine Basisschulung: was KI kann und was nicht, wie Sie Ergebnisse prüfen, welche Daten wohin dürfen, und diese Richtlinie.
Wer KI-Systeme entwickelt, verwaltet oder bei Entscheidungen über Menschen nutzt, erhält eine Vertiefung, die zu dieser Rolle passt. Jedes Jahr gibt es eine kurze Auffrischung.
Wir dokumentieren, wer welche Schulung absolviert hat. So zeigen wir, dass wir Maßnahmen zur KI-Kompetenz ergreifen, wie es Art. 4 des EU AI Act verlangt.
12Vorfälle melden
- DSGVO Art. 33
Melden Sie innerhalb von 24 Stunden, wenn sensible Daten in ein Tool gelangt sind, das dafür nicht freigegeben ist, wenn ein falsches KI-Ergebnis bei einem Kunden angekommen ist oder wenn ein KI-Ergebnis jemanden benachteiligt. Zuständig ist die oder der KI-Beauftragte.
Liegt möglicherweise eine Datenpanne vor, beurteilt die für den Datenschutz zuständige Person, ob wir sie innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde melden müssen. Eine Meldung führt nie zu Sanktionen. Verschweigen schon.
13Verantwortung, KI-Verzeichnis und Überprüfung
- BetrVG § 87, § 90
Die oder der KI-Beauftragte ist für diese Richtlinie verantwortlich und führt das KI-Verzeichnis. Darin stehen je Tool und Anwendung der Zweck, die Nutzer, die verwendeten Daten, die verantwortliche Person und die Höhe des Risikos.
KI verändert sich schnell. Wir überprüfen diese Richtlinie halbjährlich, und früher, wenn sich das Recht, unsere Tools oder unsere Anwendungen ändern.
Besteht ein Betriebsrat, beraten wir diese Richtlinie mit ihm und unterrichten ihn rechtzeitig über geplante KI-Einsätze. Regeln zu KI, die das Verhalten oder die Leistung von Beschäftigten überwachen kann, vereinbaren wir vorab mit ihm.
14Beschluss
Die oder der KI-Beauftragte hat diese Richtlinie beschlossen. Die Richtlinie gilt ab dem Datum der Unterzeichnung. Fragen dazu beantwortet die oder der KI-Beauftragte.
Ich habe diese Richtlinie gelesen und halte mich daran.
Name
Funktion
Datum
Unterschrift
14 Artikel · 1.103 Wörter · 9 Rechtsverweise
Diese Richtlinie ist eine solide Grundlage, keine Rechtsberatung. Setzen Sie KI für Anwendungen mit hohem Risiko ein, lassen Sie die Richtlinie prüfen, bevor Sie sie beschließen.
Warum Sie das jetzt regeln und nicht nächstes Jahr
KI wird in den meisten Unternehmen nicht eingeführt, sie schleicht sich ein. Jemand im Vertrieb nutzt ein kostenloses ChatGPT-Konto für Angebote, die Buchhaltung lässt Rechnungen zusammenfassen, und seit Copilot in Outlook steckt, schreiben Kolleginnen und Kollegen ihre Mails mit KI. Niemand hat es verboten, niemand hat es geregelt. Das nennt man Schatten-KI, und das größte Risiko liegt nicht in den Tools selbst, sondern in dem, was hineingeht: Kundendaten, Verträge, Gehälter.
Eine Richtlinie löst das nicht durch Verbote. Sie löst es, indem sie ein paar klare Grenzen zieht und eine gute Alternative bietet. Die Leute nutzen KI ohnehin. Die Frage ist, ob sie das mit einem Geschäftskonto tun, mit den richtigen Daten und mit jemandem, der dort mitprüft, wo es darauf ankommt.
Was in einer guten KI-Richtlinie steht
Der Generator baut die Richtlinie aus denselben Bausteinen auf, die wir bei Kunden verwenden. Jeder Artikel hat einen Grund:
- Geltungsbereich. Für wen die Richtlinie gilt, auch für Freelancer und Praktikanten. Der EU AI Act spricht ausdrücklich von allen, die in Ihrem Auftrag mit KI arbeiten.
- Ein Verzeichnis der Tools. Welche Tools erlaubt sind, unter welchen Bedingungen und wer je Tool verantwortlich ist.
- Eine Datenampel. Rot, Orange und Grün: was nie in KI gehört, was nur in geschäftliche Tools darf und was überall geht. Das ist der Artikel, von dem Beschäftigte am meisten haben.
- Menschliche Kontrolle. Wer was prüft und wie gründlich, abhängig von den Folgen.
- Offenheit. Kunden wissen, wann sie mit KI sprechen, und echt wirkende KI-Bilder sind erkennbar.
- Hochrisiko-Anwendungen. Recruiting, Personalbeurteilung und Kreditwürdigkeitsprüfung brauchen zusätzliche Regeln: nach der DSGVO schon jetzt, nach dem EU AI Act ab dem 2. Dezember 2027.
- KI-Kompetenz. Eine Basisschulung für alle und Vertiefung je Rolle, mit einer Übersicht, wer was absolviert hat.
- Vorfälle. Was Sie melden, bei wem und innerhalb welcher Frist, ohne dass Melden bestraft wird.
- Verantwortung und Überprüfung. Wer die Richtlinie pflegt und wann Sie sie überprüfen. KI ändert sich schneller als jedes andere Richtlinienthema.
Was das Gesetz verlangt und was nicht
EU AI Act Artikel 4: KI-Kompetenz
Seit dem 2. Februar 2025 müssen Sie Maßnahmen für die KI-Kompetenz aller ergreifen, die in Ihrem Auftrag mit KI arbeiten. Mit dem Digital Omnibus ist das seit dem 27. Juli 2026 abgeschwächt: Sie unterstützen die Entwicklung von KI-Kompetenz, müssen aber kein bestimmtes Niveau garantieren. Ein Bußgeld ist dafür nicht vorgesehen. Was sich genau geändert hat, lesen Sie in unserem Beitrag zu Artikel 4.
EU AI Act Artikel 50: Offenheit
Seit dem 2. August 2026 gelten die Transparenzregeln. Menschen müssen wissen, dass sie mit einem KI-System kommunizieren, und Bilder, Videos oder Audio, die mit KI erzeugt wurden und echt wirken, müssen als KI-generiert erkennbar sein. Setzen Sie einen Chatbot oder automatische Antworten ein, gehört das in Ihre Richtlinie.
Hohes Risiko: Recruiting, Personal und Kredit
KI bei Recruiting und Auswahl, bei Entscheidungen über Beförderung oder Kündigung, bei der Beurteilung von Beschäftigten, bei der Kreditwürdigkeit von Personen und bei Prämien für Lebens- und Krankenversicherungen steht in Anhang III des EU AI Act. Für Betreiber gelten dafür ab dem 2. Dezember 2027 zusätzliche Pflichten (Artikel 26): das System gemäß den Anweisungen nutzen, menschliche Aufsicht durch befugte Personen, Protokolle mindestens sechs Monate aufbewahren und die Beschäftigten und ihre Vertretung informieren, bevor Sie ein solches System am Arbeitsplatz einsetzen. Wer schon jetzt so arbeitet, muss später nichts umstellen.
DSGVO: was seit Jahren gilt
Verarbeitet ein KI-Anbieter personenbezogene Daten für Sie, brauchen Sie einen Auftragsverarbeitungsvertrag (Artikel 28). Bei hohem Datenschutzrisiko führen Sie vorab eine Datenschutz-Folgenabschätzung durch (Artikel 35). Eine Entscheidung, die vollständig automatisiert zustande kommt und Menschen erheblich beeinträchtigt, ist nur auf Grundlage eines Vertrags, einer Rechtsvorschrift oder einer ausdrücklichen Einwilligung zulässig, und immer mit dem Recht auf menschliches Eingreifen (Artikel 22). Und eine Datenpanne melden Sie innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko (Artikel 33). Mehr zu KI und Datenschutz lesen Sie in unserem Beitrag zu Unternehmensdaten und DSGVO.
Der Betriebsrat
Besteht in Ihrem Betrieb ein Betriebsrat, hat er ein Mitbestimmungsrecht bei technischen Einrichtungen, die das Verhalten oder die Leistung der Beschäftigten überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG). Über den geplanten Einsatz von KI müssen Sie ihn rechtzeitig unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG). Bei Auswahlrichtlinien für Einstellungen, Versetzungen und Kündigungen bestimmt er auch dann mit, wenn dabei KI zum Einsatz kommt (§ 95 Abs. 2a BetrVG), und um KI zu beurteilen, kann er einen Sachverständigen hinzuziehen (§ 80 Abs. 3 BetrVG). Berührt Ihre KI-Richtlinie diese Themen, stimmen Sie sie vorab mit ihm ab, in der Regel über eine Betriebsvereinbarung.
So führen Sie die Richtlinie in vier Wochen ein
- Woche 1: Bestandsaufnahme. Fragen Sie alle, welche KI-Tools sie nutzen, auch kostenlose und private. Ohne Folgen, sonst erfahren Sie es nicht.
- Woche 2: Auswahl. Legen Sie fest, welche Tools Sie geschäftlich anbieten, schließen Sie Auftragsverarbeitungsverträge ab, schalten Sie das Training mit Ihren Daten ab und beziehen Sie, falls vorhanden, den Betriebsrat ein. Wer ChatGPT für Unternehmen oder Copilot in Betracht zieht, findet dort die Unterschiede.
- Woche 3: Erklären. Geben Sie eine kurze Basisschulung von ein bis zwei Stunden, in der Sie die Richtlinie selbst behandeln, vor allem die Datenampel.
- Woche 4: Beschluss. Lassen Sie die Richtlinie unterzeichnen, veröffentlichen Sie das Verzeichnis intern und setzen Sie die erste Überprüfung in den Kalender.
Fünf Fehler, die eine KI-Richtlinie wertlos machen
Alles verbieten. Ein Verbot ohne Alternative drängt die KI-Nutzung auf private Handys und kostenlose Konten. Sie sehen es nicht mehr, aber es passiert trotzdem.
Regeln ohne Verzeichnis. Eine Richtlinie, die „nutzen Sie nur freigegebene Tools“ sagt, ohne diese Tools aufzulisten, befolgt niemand.
Kein geschäftliches Tool anbieten. Wenn die einzige Alternative zu kostenlosem ChatGPT „nichts“ ist, entscheiden sich die Leute für kostenloses ChatGPT.
Nur die IT schreibt sie. Eine Richtlinie über Tools, die ohne die Menschen entsteht, die diese Tools nutzen, übersieht die Fragen, auf die es in der Praxis ankommt.
Nie überprüfen. Tools, Preise und Gesetze ändern sich schnell. Einer Richtlinie von 2024 fehlen Tools, die heute täglich genutzt werden.
Häufig gestellte Fragen
Ist eine KI-Richtlinie Pflicht?
Nein, ein Dokument mit diesem Namen ist keine Pflicht. Pflicht sind aber die Maßnahmen für KI-Kompetenz, die Offenheit über KI und der sorgfältige Umgang mit personenbezogenen Daten. Eine KI-Richtlinie ist ein praktischer Weg, das nachweisbar zu regeln.
Dürfen Beschäftigte das kostenlose ChatGPT nutzen?
Für öffentliche Informationen und allgemeine Fragen ist das vertretbar. Für Kundendaten, Verträge oder andere interne Informationen nicht: Kostenlose Versionen können Ihre Eingaben zum Training ihrer Modelle verwenden, und Sie haben mit diesen Anbietern keinen Auftragsverarbeitungsvertrag. Bieten Sie eine geschäftliche Version an, dann entfällt der Grund, es trotzdem zu tun.
Wie oft sollten Sie eine KI-Richtlinie überprüfen?
Mindestens jedes Jahr, besser jedes halbe Jahr. Überprüfen Sie sie auch früher, wenn Sie ein neues Tool einführen, KI bei Entscheidungen über Menschen einsetzen oder sich das Gesetz ändert.
Was ist der Unterschied zwischen einer KI-Richtlinie und KI-Governance?
Die KI-Richtlinie ist das Dokument mit den Regeln. KI-Governance ist das Ganze darum herum: wer entscheidet, das Verzeichnis, die Kontrollen, die Schulung und die Überprüfung. Die Richtlinie ist der sichtbare Teil.
Reicht diese Richtlinie, wenn ich KI für Recruiting oder Kreditwürdigkeitsprüfung nutze?
Die Richtlinie ist eine solide Grundlage, aber bei Hochrisiko-Anwendungen gehört mehr dazu: eine Datenschutz-Folgenabschätzung, eine Beschreibung des Systems, Vereinbarungen mit dem Anbieter, eingerichtete menschliche Aufsicht und, falls vorhanden, die Beteiligung des Betriebsrats. Lassen Sie sie dann prüfen, bevor Sie sie beschließen.
