In vielen Betrieben nutzt das Team längst ChatGPT, Claude oder Copilot. Nur hat niemand aufgeschrieben, was dabei erlaubt ist. Eine KI-Richtlinie schafft Klarheit: für die Mitarbeitenden, die wissen wollen, was sie dürfen, und für Sie als Chef, der für den Umgang mit Daten verantwortlich ist. Hier zeigen wir, was hineingehört und wie Sie sie kurz und verständlich halten.

Warum überhaupt eine Richtlinie?

Ohne Regeln entscheidet jeder selbst. Der eine kopiert eine Kundenmail mit Adresse in sein privates ChatGPT-Konto, die andere traut sich gar nicht, KI zu nutzen. Beides ist schade. Eine Richtlinie sorgt dafür, dass alle wissen, welche Werkzeuge erlaubt sind, welche Daten tabu sind und wer Ergebnisse prüft.

Sie ist außerdem ein naheliegender Baustein, wenn Sie die KI-Kompetenz in Ihrem Betrieb fördern wollen. Mehr dazu in unserem Artikel zu Art. 4 der KI-Verordnung.

Kurz halten: zwei Seiten reichen

Eine gute Richtlinie liest jemand auch. Für einen kleinen oder mittleren Betrieb reichen meist zwei Seiten in einfacher Sprache. Lieber klare Beispiele als lange Paragrafen. Und lieber eine Ansprechperson nennen als jeden Sonderfall zu regeln.

Muster-Gliederung: acht Abschnitte

1. Wozu diese Richtlinie?

Zwei, drei Sätze: Wir nutzen KI, um uns Arbeit abzunehmen. Diese Regeln sorgen dafür, dass das sicher und im Einklang mit Datenschutz und Gesetz passiert. Dazu: ab wann die Richtlinie gilt und für wen.

2. Erlaubte Werkzeuge

  • Welche Werkzeuge mit Firmenlizenz erlaubt sind, zum Beispiel ChatGPT, Claude oder Microsoft Copilot im Firmentarif
  • Dass private Konten und kostenlose Versionen nicht für Firmendaten genutzt werden
  • Wer neue Werkzeuge freigibt
  • Welche Einstellungen gelten, zum Beispiel ob das Training mit Ihren Daten abgeschaltet ist und wie lange Verläufe gespeichert werden
  • Ob die Nutzung protokolliert oder ausgewertet wird. Wenn ja: wie und von wem. Das sollten Sie offenlegen.
  • Auf welchen Geräten KI mit Firmendaten genutzt werden darf, nur auf Firmengeräten oder auch auf freigegebenen privaten Geräten

3. Was nie in die KI gehört

  • Personenbezogene Daten von Kunden, Patienten oder Kollegen, außer in ausdrücklich dafür freigegebenen Werkzeugen
  • Passwörter, Zugangsdaten, Bankdaten
  • Betriebsgeheimnisse und vertrauliche Verträge, außer in freigegebenen Werkzeugen
  • Fremde, urheberrechtlich geschützte Dokumente ohne Erlaubnis
  • Dazu die Faustregel: im Zweifel vorher fragen oder die Daten anonymisieren

Ausführlicher erklärt in ChatGPT in der Firma: Was darf in die KI und was nicht?

4. Ergebnisse prüfen

KI macht Fehler und erfindet manchmal Fakten. Darum: Jedes Ergebnis wird vor der Verwendung von einem Menschen geprüft. Die Verantwortung bleibt bei der Person, die das Ergebnis verwendet.

5. Kennzeichnung und Urheberrecht

Texte und Bilder, die veröffentlicht werden, prüfen Sie auf Rechte Dritter. Wo es vorgeschrieben oder sinnvoll ist, kennzeichnen Sie KI-erzeugte Inhalte.

6. Keine Entscheidungen allein durch KI

Entscheidungen über Menschen, etwa über Bewerbungen, Kündigungen oder Beurteilungen, trifft keine KI. Sie kann zuarbeiten, entscheiden muss ein Mensch.

7. Schulung

Alle, die KI nutzen, bekommen eine passende Einweisung oder Schulung. Halten Sie fest, wer wann teilgenommen hat.

8. Fragen und Vorfälle

  • Wer Ansprechperson für Fragen ist
  • Was zu tun ist, wenn versehentlich sensible Daten eingegeben wurden: sofort melden, nicht verstecken. Der Betrieb prüft dann, ob eine Meldung an die Datenschutzaufsicht nötig ist. Dafür gilt eine Frist von 72 Stunden ab Kenntnis (Art. 33 DSGVO).
  • Dass Verstöße gegen die Richtlinie arbeitsrechtliche Folgen haben können

Am Ende: eine Zeile zur Kenntnisnahme mit Unterschrift und Datum.

Betriebsrat und Datenschutzbeauftragter

Gibt es in Ihrem Betrieb einen Betriebsrat, ist er zu beteiligen, wenn die KI-Nutzung technisch protokolliert oder ausgewertet werden kann (§ 87 Abs. 1 Nr. 6 BetrVG). Oft ist dann eine Betriebsvereinbarung der richtige Rahmen. Haben Sie einen Datenschutzbeauftragten, stimmen Sie die Richtlinie mit ihm ab.

Außerdem sollten Sie prüfen:

  • ob mit dem KI-Anbieter ein Auftragsverarbeitungsvertrag besteht
  • ob der neue Dienst in Ihr Verzeichnis der Verarbeitungstätigkeiten eingetragen ist (Art. 30 DSGVO)
  • ob für Ihren Einsatz eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO)

Typische Fehler

  • Zu lang: Zwanzig Seiten liest niemand. Lieber kurz und mit Beispielen.
  • Nur Verbote: Eine Richtlinie soll auch sagen, wofür KI ausdrücklich erwünscht ist.
  • Einmal schreiben, nie anpassen: Werkzeuge ändern sich. Schauen Sie mindestens einmal im Jahr drauf.
  • Ohne Gespräch verteilt: Eine Richtlinie wirkt besser, wenn Sie sie im Team kurz erklären.

Fazit

Eine KI-Richtlinie muss nicht kompliziert sein. Acht Abschnitte, zwei Seiten, einfache Sprache: Welche Werkzeuge, welche Daten nicht, wer prüft, wer hilft. Damit geben Sie Ihrem Team Sicherheit und schützen Ihren Betrieb. Stimmen Sie die fertige Fassung mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung ab und beteiligen Sie den Betriebsrat, wenn es einen gibt.

Wie wir helfen können

Bei unserer KI-Einführung gehört die KI-Richtlinie fest dazu: Wir passen unsere Vorlage an Ihren Betrieb an, richten das Werkzeug passend ein und erklären die Regeln in der Start-Schulung. Wenn Ihr Team zuerst lernen soll, KI sicher zu nutzen, ist die KI-Schulung für Teams der richtige Einstieg.

Kostenloses Erstgespräch vereinbaren

Weiterlesen: Datenschutz und KI: wie wir mit Daten umgehen