KI-Richtlinie für Mitarbeitende: Was Unternehmen verbindlich regeln sollten

Warum eine interne KI-Richtlinie sinnvoll ist

Beschäftigte nutzen KI oft, bevor ein Unternehmen einen einheitlichen Prozess festgelegt hat. Das kann zu Schatten-IT, unklaren Datenwegen und ungeprüften Ergebnissen führen. Eine Richtlinie sollte deshalb nicht nur Verbote enthalten, sondern sichere und praktikable Wege für erlaubte Anwendungen zeigen.

Die Richtlinie ersetzt weder die Prüfung eines konkreten Tools noch eine Rechtsberatung. Sie bildet den organisatorischen Rahmen. Datenschutz, Informationssicherheit, Mitbestimmung, Urheberrecht und branchenspezifische Vorgaben müssen je nach Einsatz zusätzlich beurteilt werden.

1. Zweck und Geltungsbereich eindeutig beschreiben

Legen Sie fest, für wen und für welche Systeme die Regeln gelten. Dazu gehören nicht nur eigenständige Chatbots, sondern auch KI-Funktionen in Bürosoftware, Videokonferenzen, Kundenservice, Bewerbermanagement oder Entwicklungswerkzeugen.

Benennen Sie außerdem eine verantwortliche Stelle, die Fragen beantwortet, Tools freigibt und Änderungen dokumentiert. Ohne einen erreichbaren Ansprechpartner weichen Beschäftigte leichter auf nicht freigegebene Angebote aus.

2. Freigegebene Tools und Anwendungsfälle führen

Eine Positivliste ist verständlicher als die Formulierung „KI darf verantwortungsvoll genutzt werden“. Sie sollte je Tool mindestens festhalten:

Private Konten, Browser-Erweiterungen und neue Integrationen sollten nicht automatisch als freigegeben gelten. Änderungen an Funktionen, Unterauftragnehmern oder Datenwegen können eine erneute Prüfung auslösen.

• erlaubte Anwendungsfälle und Nutzergruppen,
• freigegebene Konten, Tarife und Einstellungen,
• zulässige Datenklassen,
• notwendige menschliche Kontrollen,
• verantwortliche Stelle und letztes Prüfdatum.

3. Daten mit einem einfachen Ampelmodell schützen

Ein Ampelmodell hilft im Arbeitsalltag, wenn die Kategorien mit Beispielen aus dem eigenen Unternehmen erklärt werden.

Wo möglich, sollten Daten vor der Eingabe anonymisiert, pseudonymisiert oder durch realistische Testdaten ersetzt werden. Auch Anhänge, Bilder, Gesprächsmitschnitte und automatisch übertragene Metadaten gehören in die Betrachtung.

• Grün – öffentliche oder ausdrücklich freigegebene Inhalte, etwa bereits veröffentlichte Produkttexte.
• Gelb – interne Informationen ohne besondere Vertraulichkeit; nur in dafür geprüften Tools und für festgelegte Zwecke.
• Rot – Zugangsdaten, Geschäftsgeheimnisse, nicht veröffentlichte Vertragsinhalte, besondere Kategorien personenbezogener Daten sowie sensible Kunden-, Beschäftigten- oder Bewerberdaten. Diese Inhalte dürfen ohne gesonderte Freigabe nicht eingegeben werden.

4. Menschliche Kontrolle verbindlich machen

KI-Ausgaben können falsch, veraltet, unvollständig oder verzerrt sein. Die Richtlinie sollte festlegen, wer Ergebnisse kontrolliert und wann eine Nutzung ausgeschlossen ist.

Besonders streng sollte die Kontrolle bei rechtlichen, finanziellen, medizinischen oder sicherheitsrelevanten Aussagen sowie bei Entscheidungen über Menschen sein. Quellen, Berechnungen und Tatsachenbehauptungen sind vor einer Veröffentlichung zu prüfen. Eine KI-Ausgabe darf nicht allein deshalb als verlässlich gelten, weil sie überzeugend formuliert ist.

5. Sicherheit und Konten regeln

Bei Systemen, die selbstständig auf E-Mails, Dateien oder andere Dienste zugreifen, reichen normale Chatregeln nicht aus. Hier sind begrenzte Berechtigungen, Protokollierung, Tests und ein klarer Abschaltweg wichtig.

• Unternehmenszugänge statt privater Konten verwenden.
• Mehrfaktor-Authentisierung aktivieren und Rechte nach Aufgaben vergeben.
• Training mit Unternehmensinhalten deaktivieren, sofern dies möglich und nicht ausdrücklich gewollt ist.
• Aufbewahrung und Löschung möglichst kurz und nachvollziehbar einstellen.
• Integrationen, Plugins und automatisierte Aktionen gesondert freigeben.
• Keine unbekannten Dateien, Links oder Anweisungen ungeprüft durch KI-Agenten ausführen lassen.

6. Transparenz, Kennzeichnung und Rechte Dritter beachten

Regeln Sie, wann KI-Unterstützung intern dokumentiert oder gegenüber Kundinnen und Kunden kenntlich gemacht wird. Persönlichkeitsrechte, Urheberrechte, Markenrechte und vertragliche Geheimhaltung gelten auch bei KI-generierten Inhalten.

Bei Bildern, Stimmen, Personenbezug oder extern veröffentlichten Texten ist eine zusätzliche Prüfung sinnvoll. Vermeiden Sie insbesondere den Eindruck, eine reale Person habe etwas gesagt oder empfohlen, wenn dies nicht zutrifft.

7. Vorfälle und Unsicherheiten meldbar machen

Beschäftigte benötigen einen einfachen Meldeweg für versehentlich eingegebene Daten, auffällige Ausgaben, unberechtigte Zugriffe oder verdächtige Anweisungen. Die Richtlinie sollte erklären, wen sie informieren und welche ersten Schritte gelten. Schuldzuweisungen erschweren eine schnelle Meldung und können den Schaden vergrößern.

Ob ein Datenschutz- oder Sicherheitsvorfall weitere Maßnahmen und Fristen auslöst, sollte die zuständige Fachstelle beurteilen.

8. Schulung und regelmäßige Prüfung einplanen

Der europäische Rechtsrahmen adressiert ausdrücklich die KI-Kompetenz der beteiligten Personen. Welche Maßnahmen angemessen sind, hängt unter anderem von Kenntnissen, Einsatzkontext und betroffenen Personengruppen ab. Eine unterschriebene Richtlinie allein vermittelt diese Kompetenz nicht.

Kurze, rollenbezogene Schulungen mit echten Beispielen sind meist hilfreicher als allgemeine Warnungen. Prüfen Sie die Richtlinie außerdem regelmäßig sowie bei neuen Tools, neuen Datenarten, geänderten Funktionen oder Vorfällen. Dokumentieren Sie Version, Freigabe und Prüfdatum.

Kompakte Mindeststruktur

Eine erste Fassung kann auf wenigen Seiten funktionieren, wenn sie diese Punkte eindeutig beantwortet:

Eine gute KI-Richtlinie bleibt konkret, verständlich und im Alltag umsetzbar. Sie sollte gemeinsam mit Datenschutz, Informationssicherheit, Fachbereichen und – soweit erforderlich – weiteren zuständigen Stellen an das Unternehmen angepasst werden.

• Wer darf welche KI-Tools wofür nutzen?
• Welche Daten dürfen eingegeben werden – und welche nicht?
• Welche Einstellungen und Konten sind vorgeschrieben?
• Wer prüft Ergebnisse vor Entscheidungen oder Veröffentlichungen?
• Wie werden neue Tools, Integrationen und Anwendungsfälle freigegeben?
• Wo werden Fragen, Fehler und Vorfälle gemeldet?
• Wer schult die Beteiligten und wann wird die Richtlinie überprüft?