KI-Richtlinie im Unternehmen: Warum du sie brauchst und was hineingehört

Im Frühjahr 2023 fütterten Ingenieure von Samsung vertraulichen Quellcode in ChatGPT, gleich dreimal innerhalb weniger Wochen. Der Konzern verbot daraufhin KI-Chatbots auf Firmengeräten. Drei Jahre später ist das Grundproblem überall angekommen: Nach einer Erhebung des TÜV-Verbands nutzt fast jeder zweite Erwerbstätige KI im Job, oft ohne klare Vorgaben. Gleichzeitig hatten laut Bitkom zuletzt nur 23 Prozent der Unternehmen Regeln für den KI-Einsatz. Diese Lücke schließt eine KI-Richtlinie.

Was ist eine KI-Richtlinie?

Eine KI-Richtlinie ist eine interne Regelung, die festlegt, wer in deinem Unternehmen welche KI-Tools wofür nutzen darf, welche Daten dabei tabu sind und wer die Ergebnisse prüft. Rechtlich ist sie eine Ausübung deines Weisungsrechts als Arbeitgeber. Sie kann als eigenständiges Dokument, als Anlage zum Arbeitsvertrag oder als Teil des IT-Reglements existieren. Für kleine Teams reichen oft zwei bis vier Seiten.

Ist eine KI-Richtlinie Pflicht?

Die ehrliche Antwort: Kein Gesetz schreibt wörtlich vor, dass du ein Dokument mit dem Titel "KI-Richtlinie" brauchst. Aus mehreren Rechtsquellen ergibt sich aber eine faktische Pflicht, den KI-Einsatz zu regeln. Ohne dokumentierte Regeln kannst du diese Anforderungen kaum nachweisen.

Auch die Aufsichtsbehörden sehen das so. Der Hamburgische Datenschutzbeauftragte empfiehlt in seiner Checkliste für KI-Chatbots als allerersten Punkt, interne Regelungen zu erstellen. Sonst nutzen Beschäftigte die Tools auf eigene Faust, und das Unternehmen haftet für die Folgen.

Das unterschätzte Argument: dein Geschäftsgeheimnisschutz

Ein Punkt wird fast überall übersehen: Das Geschäftsgeheimnisgesetz schützt deine Kalkulationen, Kundenlisten und Prozesse nur, wenn du angemessene Geheimhaltungsmaßnahmen nachweisen kannst. Wer nicht regelt, was Mitarbeitende in KI-Tools eingeben dürfen, riskiert im Streitfall den Schutz insgesamt. Dann stehst du schlecht da, wenn ein Ex-Mitarbeiter mit deiner Kundenliste zur Konkurrenz geht. Die KI-Richtlinie ist damit nicht nur Pflichterfüllung, sie schützt dein wertvollstes Kapital.

Die zehn Bausteine einer KI-Richtlinie

Für ein Unternehmen mit 1 bis 50 Mitarbeitenden hat sich diese Gliederung bewährt:

1. Geltungsbereich: Für wen gilt die Richtlinie? Denk auch an Freelancer und Werkstudierende. Bei Externen verankerst du die Regeln über eine Vertragsklausel statt über das Weisungsrecht.
2. Freigegebene Tools: Eine konkrete Liste der erlaubten KI-Tools samt Konten. Faustregel: Firmen-Accounts mit Auftragsverarbeitungsvertrag statt privater Gratis-Accounts, Training mit eigenen Daten deaktiviert.
3. Datenregeln nach dem Ampelprinzip: Was darf rein, was nur unter Bedingungen, was nie? Dazu gleich mehr.
4. Freigabeprozess für neue Tools: Wer ein neues Tool nutzen will, stellt eine kurze Anfrage. Jemand prüft Datenschutz, Vertrag und Serverstandort, dann wird entschieden und dokumentiert. Im Kleinbetrieb dauert das eine halbe Stunde pro Tool.
5. Output-Kontrolle: KI-Ergebnisse werden vor Verwendung fachlich geprüft. Wie ernst das ist, zeigen deutsche Gerichte: 2025 fielen gleich mehrere Anwälte auf, deren Schriftsätze frei erfundene Urteile zitierten, mit berufsrechtlichen Konsequenzen.
6. Kennzeichnung: Intern gilt Transparenz. Extern verlangt Art. 50 EU AI Act seit dem 2. August 2026, dass Kunden erkennen, wenn sie mit einer KI chatten. Normale, redaktionell geprüfte Firmentexte musst du dagegen nicht kennzeichnen.
7. Verantwortlichkeiten: Im Kleinbetrieb reicht eine benannte Ansprechperson für KI-Fragen.
8. Schulung: Wer KI nutzt und wer neu dazukommt, wird geschult, und zwar dokumentiert. Das ist zugleich dein Nachweis für Art. 4.
9. Umgang mit Verstößen: Von der Ermahnung bis zur Kündigung bei Preisgabe von Geschäftsgeheimnissen. Klare Konsequenzen machen die Richtlinie ernst zu nehmen.
10. Pflege: Tool-Liste aktuell halten, Richtlinie mindestens jährlich prüfen. KI-Recht ist in Bewegung, zuletzt durch den Digital Omnibus im Juli 2026.

Das Ampelprinzip für Daten

Herzstück jeder KI-Richtlinie ist die Frage, welche Daten in welche Tools dürfen. Das Ampelprinzip macht das für alle verständlich:

Wichtig ist, dass die gelbe Kategorie zu deinen Tools passt: In eine Business-Umgebung mit Auftragsverarbeitungsvertrag darf mehr als in einen privaten Gratis-Account. Genau deshalb gehören Tool-Liste und Ampel zusammen.

Brauche ich den Betriebsrat?

Falls es bei dir einen Betriebsrat gibt: Das Arbeitsgericht Hamburg hat 2024 entschieden, dass ein Arbeitgeber KI-Nutzungsrichtlinien ohne Zustimmung des Betriebsrats einführen darf, solange die Nutzung über private Browser-Accounts läuft und keine Nutzungsdaten überwacht werden (Az. 24 BVGa 1/24). Stellst du dagegen Firmen-Accounts bereit und wertest deren Nutzung aus, hat der Betriebsrat mitzubestimmen. Die meisten kleinen Unternehmen betrifft das nicht, gut zu wissen ist es trotzdem.

Reicht nicht einfach ein Verbot?

Nein, und zwar aus einem praktischen Grund: Verbote funktionieren nicht. Laut Bitkom nutzen in rund vier von zehn Unternehmen Beschäftigte private KI-Tools, teils ohne dass die Firma davon weiß. Ein Komplettverbot treibt diese Nutzung nur tiefer in den Schatten. Klüger ist der umgekehrte Weg: gute Tools offiziell bereitstellen, klare Regeln aufstellen und die Hürden niedrig halten. Mehr dazu liest du in unserem Artikel über Schatten-KI.

In fünf Schritten zur fertigen Richtlinie

1. Bestandsaufnahme: Frag dein Team ehrlich und ohne Schuldzuweisung, welche Tools bereits im Einsatz sind.
2. Tools entscheiden: Wähle die Werkzeuge aus, die dein Team wirklich braucht, und sorge für geschäftstaugliche Konten.
3. Ampel festlegen: Definiere die drei Datenkategorien mit Beispielen aus deinem Arbeitsalltag.
4. Richtlinie schreiben und kommunizieren: Kurz, konkret, verständlich. Ein Teammeeting dazu wirkt mehr als eine E-Mail.
5. Schulen und dokumentieren: Damit erfüllst du Art. 4 gleich mit.

Der schnellere Weg: Klaus schreibt deine Richtlinie mit dir

Die fünf Schritte oben kannst du komplett selbst gehen. Oder du lässt dich von Klaus durchführen: Im Onboarding-Chat stellt dir Klaus 13 Fragen in sieben Blöcken, vom Unternehmen über deine Rolle im AI Act bis zum KI-Inventar. Für gängige Tools wie ChatGPT, Copilot oder Claude schlägt er das typische Setup gleich vor, du bestätigst oder korrigierst nur noch. Jedes Tool bekommt dabei eine Einstufung: erlaubt, mit Auflagen oder verboten. Das ist das Ampelprinzip aus diesem Artikel, direkt in deine Richtlinie gegossen.

Der wichtigste Unterschied zu "lass dir von ChatGPT eine Richtlinie schreiben": Bei Klaus formuliert keine KI den Rechtstext frei. Die Kapitel sind von Jurist:innen vorformuliert, aus deinen Angaben werden nur die Fakten eingesetzt: dein Inventar, deine Tool-Regeln, deine Verantwortlichkeiten. Kapitel erscheinen zudem nur, wenn sie dich betreffen. Der Abschnitt zur Verschwiegenheitspflicht nach § 203 StGB etwa taucht nur auf, wenn du angibst, dass Berufsgeheimnisse eine Rolle spielen.

Ändert sich etwas, ein neues Tool, eine neue Ansprechperson, startest du den Chat einfach erneut. Klaus fragt nur ab, was sich geändert hat, und das PDF wird automatisch neu erstellt. Damit ist auch Baustein 10, die Pflege, kein Vorsatz mehr, sondern ein Fünf-Minuten-Update.

Fazit

Eine KI-Richtlinie ist kein Bürokratieprojekt, sondern das Fundament für den produktiven KI-Einsatz: Sie schützt Daten und Geschäftsgeheimnisse, erfüllt die Nachweispflichten aus DSGVO und AI Act und gibt deinem Team die Sicherheit, KI ohne schlechtes Gewissen zu nutzen. Für ein kleines Unternehmen ist das an zwei Arbeitstagen erledigt. Die beste Zeit dafür war gestern, die zweitbeste ist diese Woche.