KI-Guidelines in Unternehmen: Was geregelt sein muss

KI-Tools sind in vielen Unternehmen längst Teil des Arbeitsalltags. Mitarbeitende lassen Texte entwerfen, Informationen zusammenfassen, Daten auswerten oder Ideen strukturieren. Ohne klare Regeln bleibt jedoch offen, welche Anwendungen freigegeben sind, welche Daten eingegeben werden dürfen und wer die Ergebnisse kontrolliert. KI-Guidelines in Unternehmen schaffen dafür einen verbindlichen Rahmen.

Dieser Praxisleitfaden zeigt dir, welche Inhalte eine unternehmensinterne KI-Richtlinie abdecken sollte, wie sich Zuständigkeiten sinnvoll verteilen lassen und wie aus einem Dokument tatsächlich gelebte Praxis wird. Die enthaltenen Musterformulierungen sind eine fachliche Arbeitsgrundlage und keine Rechtsberatung. Vor der Einführung sollte die Richtlinie passend zum Unternehmen rechtlich, datenschutzrechtlich und arbeitsrechtlich geprüft werden.

Kurzfassung

KI-Guidelines sind interne Leitplanken für den sicheren, verantwortungsvollen und wirtschaftlich sinnvollen Einsatz von Künstlicher Intelligenz. Sie sollten mindestens Geltungsbereich, zugelassene Tools, erlaubte Anwendungsfälle, Datenregeln, Verantwortlichkeiten, Qualitätskontrollen, Transparenz, Urheberrecht, Freigaben, Vorfälle und Schulungen abdecken.

Gute Guidelines verbieten KI nicht pauschal. Sie unterscheiden zwischen risikoarmen, prüfpflichtigen und unzulässigen Anwendungen. Mitarbeitende müssen dadurch schnell erkennen können: Darf ich das? Welches Tool darf ich nutzen? Welche Daten darf ich eingeben? Wer muss das Ergebnis prüfen oder freigeben?

‍

Was sind KI-Guidelines im Unternehmen?

KI-Guidelines – auch KI-Richtlinie, KI-Nutzungsrichtlinie oder AI Policy genannt – sind ein internes Regelwerk für den Einsatz von KI-Systemen. Sie übersetzen abstrakte Anforderungen aus Strategie, Datenschutz, Informationssicherheit, Compliance und Arbeitsorganisation in konkrete Handlungsregeln.

Eine Richtlinie allein ist noch keine vollständige AI Governance. Governance umfasst zusätzlich Prozesse, Rollen, Freigaben, ein Verzeichnis der eingesetzten Systeme, Schulungen, Kontrollen und die regelmäßige Weiterentwicklung. Die KI-Richtlinie ist das verständliche Regelwerk, die AI Governance das organisatorische System dahinter.

Der EU AI Act schreibt Unternehmen nicht pauschal ein Dokument mit dem Titel „KI-Guidelines“ vor. Ein solches Regelwerk ist jedoch ein praktikabler Baustein, um Zuständigkeiten, Risikoprüfungen und Maßnahmen zur KI-Kompetenz nachvollziehbar zu organisieren.

Seit dem 2. Februar 2025 gelten Vorgaben zur Förderung von KI-Kompetenz. Nach der im Juli 2026 geänderten Fassung müssen Anbieter und Betreiber von KI-Systemen Maßnahmen unterstützen, die den Kompetenzaufbau der beteiligten Personen fördern. Ein bestimmtes Kompetenzniveau muss dabei nicht garantiert werden. Maßgeblich bleiben Rolle, Vorwissen, Nutzungskontext und Risiko. Das erläutert die Europäische Kommission in ihren aktuellen Fragen und Antworten zu AI Literacy.

‍

Warum Unternehmen klare KI-Regeln brauchen

Wenn offizielle Leitplanken fehlen, verschwindet KI nicht aus dem Arbeitsalltag. Häufig entsteht stattdessen Schatten-KI: Mitarbeitende verwenden frei verfügbare Tools mit privaten Accounts, übertragen vertrauliche Inhalte oder verlassen sich ungeprüft auf plausible Ausgaben. Das Unternehmen kennt dann weder die verwendeten Systeme noch die verarbeiteten Daten oder entstandenen Arbeitsergebnisse.

Klare Regeln reduzieren dieses Risiko und erleichtern zugleich produktive Anwendungen. Teams müssen nicht bei jeder Zusammenfassung oder Ideenliste eine Grundsatzentscheidung einholen. Sie kennen freigegebene Werkzeuge, Datenklassen und Prüfpflichten. Dadurch wird die Richtlinie nicht nur zu einem Compliance-Dokument, sondern zu einer operativen Entscheidungshilfe.

In der Praxis erfüllen gute KI-Guidelines vier Aufgaben:

• Sie schützen personenbezogene, vertrauliche und geschäftskritische Informationen.
• Sie schaffen Klarheit über zulässige Tools und Anwendungsfälle.
• Sie sichern menschliche Verantwortung und Qualitätskontrolle.
• Sie ermöglichen Lernen, Experimentieren und Skalieren innerhalb definierter Grenzen.

‍

Aktueller Rechtsrahmen: AI Act, DSGVO und Mitbestimmung

KI-Guidelines sollten mehrere Rechts- und Risikobereiche zusammenführen. Der genaue Prüfbedarf hängt davon ab, ob ein Unternehmen KI nur als allgemeines Assistenzwerkzeug verwendet, eigene Systeme entwickelt oder KI in sensible Entscheidungen integriert.

EU AI Act und KI-Kompetenz

Der AI Act verfolgt einen risikobasierten Ansatz. Für alltägliche Assistenzaufgaben gelten andere Anforderungen als für Systeme, die etwa in Personalentscheidungen, kritischen Infrastrukturen oder sicherheitsrelevanten Produkten eingesetzt werden.

Am 27. Juli 2026 ist der AI Omnibus in Kraft getreten. Er hat unter anderem Fristen für bestimmte Hochrisiko-Systeme verlängert und die Vorgaben zur KI-Kompetenz angepasst. Die Europäische Kommission nennt derzeit den 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III und den 2. August 2028 für Hochrisiko-Systeme, die in bestimmte Produkte eingebettet sind. Die aktuelle Übersicht der Europäischen Kommission zum AI Omnibus sollte deshalb vor regulatorischen Entscheidungen geprüft werden.

Für normale Unternehmen bedeutet das nicht, dass jedes KI-Tool ein Hochrisiko-System ist. Es bedeutet aber: Anwendungsfall, Rolle des Unternehmens und Risikoklasse müssen vor dem Einsatz geklärt werden. Eine Chat-Unterstützung für erste Textideen ist anders zu bewerten als ein System, das Bewerber:innen bewertet oder Entscheidungen über Beschäftigte vorbereitet.

Datenschutz und personenbezogene Daten

Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO unabhängig davon, ob KI beteiligt ist. Unternehmen müssen unter anderem Zweck, Rechtsgrundlage, Transparenz, Datenminimierung, Empfänger, Speicherfristen und Betroffenenrechte berücksichtigen. Je nach Risiko kann eine Datenschutz-Folgenabschätzung notwendig sein.

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz empfiehlt, Einsatzfelder und Zwecke vorab festzulegen, Verantwortlichkeiten verbindlich zu regeln, Beschäftigte zu sensibilisieren und Ein- sowie Ausgaben sorgfältig zu prüfen.

Für die Richtlinie folgt daraus eine einfache Grundregel: Personenbezogene Daten dürfen nicht allein deshalb in ein KI-System eingegeben werden, weil die Eingabe technisch möglich ist.

Informationssicherheit und Geschäftsgeheimnisse

Kundendaten, interne Strategien, unveröffentlichte Zahlen, Zugangsdaten, Quellcode oder Vertragsinhalte gehören nicht in beliebige öffentliche KI-Dienste. Die Freigabe eines Tools muss deshalb nicht nur dessen Funktionen, sondern auch Vertragsmodell, Datenverwendung, Zugriffskontrollen, Speicherorte, Löschmöglichkeiten und Administrierbarkeit berücksichtigen.

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Unternehmen, genehmigte Systeme und zulässige Zwecke festzulegen und Schatten-IT zu vermeiden.

Ein kostenpflichtiger Account ist allerdings nicht automatisch sicher oder datenschutzkonform. Entscheidend sind die konkret geprüften Einstellungen und Vertragsbedingungen.

Urheberrecht, Marken und Rechte Dritter

KI-generierte Ergebnisse können geschützten Werken ähneln, Marken verwenden oder ungeklärte Nutzungsbedingungen mitbringen. Deshalb braucht es Regeln für Veröffentlichung, Quellenprüfung und menschliche Bearbeitung.

Das Deutsche Patent- und Markenamt weist darauf hin, dass rein KI-erzeugte Inhalte grundsätzlich keinen urheberrechtlichen Schutz als persönliche menschliche Schöpfung genießen. Wird KI nur als Werkzeug eingesetzt, hängt die Bewertung vom Einzelfall ab. Gleichzeitig können durch den Output Rechte Dritter verletzt werden.

Arbeitsrecht und betriebliche Mitbestimmung

Wird KI eingeführt, um Arbeitsabläufe zu verändern, Beschäftigte zu bewerten oder Verhalten und Leistung zu überwachen, müssen Beteiligungs- und Mitbestimmungsrechte früh geprüft werden. § 90 BetrVG erfasst die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von KI. § 87 BetrVG kann bei technischen Einrichtungen relevant sein, die zur Überwachung von Verhalten oder Leistung bestimmt sind.

Die Richtlinie sollte deshalb nicht isoliert von HR, Datenschutz, IT und einem vorhandenen Betriebsrat erstellt werden. Diese Ausführungen dienen der Orientierung und ersetzen keine Prüfung des konkreten Einsatzes.

‍

Die 12 wichtigsten Inhalte einer KI-Richtlinie

1. Ziel, Geltungsbereich und Begriffe

Zu Beginn muss klar sein, für wen und was die Richtlinie gilt: für alle Beschäftigten, externe Dienstleister, bestimmte Gesellschaften, alle KI-Systeme oder nur generative KI.

Definiere verständlich, was im Unternehmen unter KI-Tool, Input, Output, personenbezogenen Daten und vertraulichen Informationen verstanden wird.

2. Grundsätze für verantwortungsvolle KI-Nutzung

Formuliere wenige tragfähige Prinzipien. Typische Grundsätze sind menschliche Verantwortung, Zweckbindung, Verhältnismäßigkeit, Datenschutz, Sicherheit, Fairness, Transparenz und Qualitätskontrolle.

Diese Prinzipien helfen bei Fällen, die noch nicht ausdrücklich geregelt sind.

3. Zugelassene Tools und Accounts

Eine zentrale Whitelist sollte festlegen, welche Tools mit welchem Account, Tarif, Funktionsumfang und Zweck verwendet werden dürfen.

Ergänze eine verantwortliche Stelle, die neue Werkzeuge prüft. Private Accounts und nicht freigegebene Browser-Erweiterungen sollten eindeutig behandelt werden.

4. Erlaubte, prüfpflichtige und verbotene Anwendungen

Eine Ampellogik ist für Mitarbeitende verständlicher als lange juristische Absätze.

Grün – risikoarme Anwendungen

Beispiele: Ideen sammeln, Texte strukturieren und allgemeine Informationen zusammenfassen.

Regel: Die Nutzung ist mit einem freigegebenen Tool und ohne sensible Daten erlaubt. Der Output muss anschließend geprüft werden.

Gelb – prüfpflichtige Anwendungen

Beispiele: Kundenkommunikation, Übersetzungen, Analysen interner Daten, Programmcode und Unterstützung bei HR-Aufgaben.

Regel: Die Nutzung ist nur nach der jeweils definierten fachlichen, datenschutzrechtlichen, technischen oder rechtlichen Prüfung erlaubt.

Rot – unzulässige oder besonders kritische Anwendungen

Beispiele: Passwörter eingeben, sensible Daten in offene Tools übertragen, KI-Ausgaben ungeprüft veröffentlichen oder vollautomatische Personalentscheidungen treffen.

Regel: Der Einsatz ist unzulässig oder ausschließlich nach einer gesonderten formalen Prüfung und Freigabe erlaubt.

Die Beispiele müssen zum Unternehmen passen. Ein Anwendungsfall kann je nach Daten, Zielgruppe und Wirkung von Grün zu Gelb oder Rot wechseln.

5. Regeln für Eingabedaten

Lege fest, welche Datenklassen eingegeben werden dürfen. Eine praxistaugliche Einteilung unterscheidet öffentliche, interne, vertrauliche, personenbezogene und besonders schützenswerte Daten.

Ergänze konkrete Beispiele aus Marketing, Vertrieb, HR, Support und Produktentwicklung.

Eine wichtige Regel lautet: Daten vor der Eingabe minimieren, anonymisieren oder durch neutrale Platzhalter ersetzen. Das hilft, ersetzt aber keine notwendige datenschutzrechtliche oder sicherheitsbezogene Prüfung.

6. Qualitätskontrolle und menschliche Verantwortung

KI-Ausgaben können falsch, veraltet, unvollständig oder erfunden sein. Definiere deshalb, wer Fakten, Zahlen, Quellen, Berechnungen, Code, Tonalität und rechtliche Aussagen prüft. Je höher die mögliche Auswirkung, desto stärker muss die Kontrolle sein.

Menschliche Kontrolle bedeutet nicht, einen Text nur flüchtig zu lesen. Die prüfende Person muss fachlich in der Lage sein, Fehler zu erkennen, und die Befugnis haben, einen Output abzulehnen oder zu korrigieren.

7. Transparenz und Kennzeichnung

Nicht jeder KI-unterstützte Entwurf braucht eine sichtbare Kennzeichnung. Bei externen Inhalten, Kundenkommunikation, automatisierten Interaktionen oder entscheidungsrelevanten Prozessen kann Transparenz jedoch erforderlich oder zumindest vertrauensbildend sein.

Die Richtlinie sollte konkrete Fälle statt einer pauschalen Kennzeichnungspflicht definieren.

8. Urheberrecht und Veröffentlichungsfreigabe

Lege fest, wann KI-generierte Texte, Bilder, Musik, Code oder Designs vor einer Veröffentlichung auf Rechte Dritter, Marken, Lizenzen und Ähnlichkeiten geprüft werden müssen.

Für geschäftskritische Inhalte sollte dokumentiert werden, welche menschliche Bearbeitung und Freigabe erfolgt ist.

9. Dokumentation und Nachvollziehbarkeit

Nicht jeder Prompt muss archiviert werden. Für relevante Prozesse sollten aber Tool, Zweck, Datenkategorie, verantwortliche Person, Freigabe und Prüfdatum nachvollziehbar sein.

Besonders sinnvoll ist ein KI-Systemverzeichnis, das eingesetzte Anwendungen, Anbieter, Verantwortliche, Datenarten und Risikobewertungen zusammenführt.

10. Rollen, Freigaben und Eskalation

Mitarbeitende brauchen eine klare Anlaufstelle. Die Richtlinie sollte beantworten, wer Tools freigibt, Datenschutzfragen bewertet, Sicherheitsvorfälle bearbeitet, fachliche Ergebnisse prüft und Ausnahmen genehmigt.

Ein unkomplizierter Freigabeweg verhindert, dass Teams aus Zeitdruck an der Richtlinie vorbeiarbeiten.

11. Vorfälle und Fehlermeldungen

Regle, was bei einer versehentlichen Dateneingabe, einer problematischen Ausgabe, einem Rechteverstoß oder einem Sicherheitsverdacht zu tun ist.

Mitarbeitende sollten Vorfälle schnell melden können, ohne sie aus Angst vor persönlicher Schuld zu verschweigen. Der Prozess braucht Kontaktstelle, Sofortmaßnahmen, Dokumentation und Entscheidung über weitere Meldungen.

12. Schulung, Versionierung und Aktualisierung

Tools, Nutzungsbedingungen und Rechtslage verändern sich. Gib der Richtlinie deshalb eine verantwortliche Person, Versionsnummer, ein Gültigkeitsdatum und konkrete Auslöser für eine Überprüfung.

Dazu gehören neue Tools, neue Anwendungsfälle, Vorfälle, Gesetzesänderungen oder wesentliche Änderungen der Anbieterbedingungen.

‍

Wer ist für KI-Guidelines verantwortlich?

Die Geschäftsführung trägt die strategische Verantwortung und entscheidet über Ziele, Risikobereitschaft und Ressourcen. Die operative Ausarbeitung sollte interdisziplinär erfolgen:

• Geschäftsführung: Auftrag, Rahmen, Ressourcen und finale Freigabe
• KI-Koordination oder Governance-Verantwortung: Systemverzeichnis, Prozesse, Versionen und Abstimmung
• IT und Informationssicherheit: technische Prüfung, Accounts, Zugriffe und Schutzmaßnahmen
• Datenschutz, Recht und Compliance: risikobasierte Prüfung der jeweiligen Fachfragen
• HR und gegebenenfalls Betriebsrat: Schulung, arbeitsbezogene Nutzung und Beteiligungsrechte
• Fachbereiche und Führungskräfte: realistische Anwendungsfälle, fachliche Kontrolle und lokale Umsetzung
• Mitarbeitende und externe Nutzer:innen: Regeln einhalten, Ergebnisse prüfen und Vorfälle melden

Ein formeller „AI Officer“ ist nicht für jedes Unternehmen vorgeschrieben. Wichtiger ist, dass Aufgaben, Entscheidungsrechte und Eskalationswege eindeutig zugeordnet sind.

Datenschutzbeauftragte sollten fachlich beteiligt werden, aber nicht automatisch alleinige Eigentümer des gesamten KI-Themas sein.

‍

Modulares Muster für KI-Guidelines

Die folgenden Formulierungen sind bewusst kompakt und müssen an Organisation, Tools, Daten, Branche und Rechtslage angepasst werden.

Zweck und Geltungsbereich

„Diese Richtlinie regelt die berufliche Nutzung von KI-Systemen durch Beschäftigte und beauftragte externe Personen. Sie soll produktive Anwendungen ermöglichen und zugleich personenbezogene Daten, vertrauliche Informationen, Rechte Dritter sowie die Qualität geschäftlicher Entscheidungen schützen.“

Zugelassene Systeme

„Für dienstliche Aufgaben dürfen ausschließlich die in der aktuellen Tool-Liste freigegebenen KI-Systeme und Unternehmenskonten verwendet werden. Neue Anwendungen, Erweiterungen oder private Accounts sind vor der Nutzung durch [zuständige Stelle] prüfen und freigeben zu lassen.“

Daten und Eingaben

„Personenbezogene, vertrauliche oder besonders schützenswerte Daten dürfen nur verarbeitet werden, wenn der konkrete Anwendungsfall, das eingesetzte System und die vorgesehenen Schutzmaßnahmen ausdrücklich freigegeben wurden. Wo möglich, sind Daten zu minimieren, zu anonymisieren oder durch Platzhalter zu ersetzen.“

Verantwortung und Prüfung

„Die Verantwortung für ein Arbeitsergebnis verbleibt bei der zuständigen Person. KI-Ausgaben sind entsprechend ihrem Verwendungszweck auf Richtigkeit, Vollständigkeit, Quellen, mögliche Verzerrungen und Rechte Dritter zu prüfen. Ungeprüfte Ausgaben dürfen nicht als verbindliche fachliche Aussage oder Entscheidung verwendet werden.“

Kritische Entscheidungen

„KI-Systeme dürfen keine alleinige Entscheidung über Beschäftigte, Bewerber:innen, Kund:innen oder andere Personen treffen, wenn die Entscheidung rechtliche oder vergleichbar erhebliche Auswirkungen haben kann. Solche Anwendungen erfordern eine vorherige Prüfung und dokumentierte menschliche Aufsicht.“

Transparenz

„Der Einsatz von KI ist offenzulegen, wenn gesetzliche Vorgaben, Kundenanforderungen, interne Prozesse oder die Art der Kommunikation dies verlangen. Die zuständige Stelle definiert dafür konkrete Kennzeichnungsfälle und Formulierungen.“

Vorfälle

„Fehlerhafte Dateneingaben, sicherheitsrelevante Auffälligkeiten, diskriminierende oder rechtsverletzende Ausgaben sowie sonstige Verdachtsfälle sind unverzüglich an [Kontaktstelle] zu melden. Betroffene Inhalte dürfen bis zur Klärung nicht weiterverwendet oder veröffentlicht werden.“

Schulung und Aktualisierung

„Personen, die KI-Systeme dienstlich einsetzen, nehmen an den für ihre Rolle und Anwendungen vorgesehenen Lernmaßnahmen teil. Die Richtlinie wird mindestens anlassbezogen bei neuen Systemen, wesentlichen Funktionsänderungen, Vorfällen oder Änderungen des Rechtsrahmens überprüft.“

‍

KI-Guidelines in sieben Schritten einführen

1. KI-Nutzung sichtbar machen

Erfasse zunächst, welche Tools bereits genutzt werden, durch wen, für welchen Zweck und mit welchen Daten. Eine anonyme Kurzabfrage kann ehrlicher sein als die Frage, ob verbotene Tools verwendet werden.

2. Anwendungsfälle und Risiken klassifizieren

Bewerte nicht nur das Tool, sondern jeden relevanten Use Case. Dasselbe Sprachmodell kann für eine allgemeine Ideenliste risikoarm und für Bewerberbewertungen hochproblematisch sein.

3. Tools technisch und vertraglich prüfen

Prüfe Accounts, Datenverwendung, Trainingsoptionen, Speicherfristen, Auftragsverarbeitung, Zugriffsschutz, Administrierbarkeit, Schnittstellen und Löschmöglichkeiten. Halte die freigegebene Konfiguration fest.

4. Richtlinie mit Fachbereichen entwerfen

Nutze echte Situationen aus dem Arbeitsalltag. Marketing, HR, Vertrieb, IT und Support brauchen unterschiedliche Beispiele.

Ein interdisziplinärer Entwurf wird meist verständlicher und realistischer als ein reines Rechtsdokument.

5. Beteiligte Stellen einbinden

Hole Datenschutz, Informationssicherheit, Recht, HR und gegebenenfalls den Betriebsrat frühzeitig hinzu. So werden Grundsatzfragen geklärt, bevor das Dokument bereits als fertig wahrgenommen wird.

6. Richtlinie erklären und praktisch trainieren

Eine E-Mail mit PDF-Anhang reicht nicht. Teams sollten an konkreten Aufgaben üben: Daten erkennen, Use Cases einstufen, sichere Prompts formulieren, Ausgaben verifizieren und Vorfälle melden.

Genau hier verbindet ein praxisnahes KI-Seminar Regeln mit tatsächlicher Handlungskompetenz.

Im individuellen KI-Seminar von trepcademy können Grundlagen zu generativer KI und Large Language Models mit unternehmenseigenen Tools, Anwendungsfällen, Risiken und Richtlinien verbunden werden. Dadurch lernen Teams nicht nur, was erlaubt ist, sondern wie sie KI im jeweiligen Arbeitsprozess sinnvoll und kontrolliert einsetzen.

7. Nutzung beobachten und Regeln verbessern

Erfasse Fragen, Ausnahmefälle, Vorfälle und neue Use Cases. Eine gute Richtlinie wird nicht ständig komplett neu geschrieben, aber gezielt weiterentwickelt.

Hilfreich sind kurze Änderungsnotizen, eine zentrale Tool-Liste und ein fester Review-Termin.

‍

Häufige Fehler bei KI-Richtlinien

Alles verbieten

Ein pauschales Verbot ignoriert den tatsächlichen Arbeitsalltag und fördert Umgehungen. Besser ist eine klare Ampellogik mit sicheren Standardfällen.

Nur ein juristisches Dokument erstellen

Wenn Mitarbeitende die Regeln nicht auf ihre Aufgaben übertragen können, bleibt die Richtlinie wirkungslos. Konkrete Beispiele, kurze Checklisten und erreichbare Ansprechpersonen sind entscheidend.

Nur Tools statt Anwendungsfälle bewerten

Ein freigegebenes System ist nicht für jeden Zweck freigegeben. Tool, Daten, Ziel, betroffene Personen und mögliche Auswirkungen müssen zusammen betrachtet werden.

Menschliche Kontrolle nur behaupten

„Human in the Loop“ ist keine ausreichende Regel, wenn niemand weiß, wer prüft, worauf geprüft wird und welche Entscheidungskompetenz besteht. Lege die Kontrolle pro Prozess fest.

Schulungen ohne Rollenbezug durchführen

Geschäftsführung, HR, Marketing und IT benötigen unterschiedliche Tiefe. Die Europäische Kommission betont ausdrücklich, dass KI-Kompetenz an Vorwissen, Rolle, Kontext und Risiko ausgerichtet werden sollte.

Ein gemeinsames Basismodul kann daher durch rollenspezifische Übungen ergänzt werden.

‍

Checkliste vor der Veröffentlichung der Richtlinie

• Sind Zweck, Geltungsbereich und Begriffe verständlich?
• Existiert eine aktuelle Liste zugelassener Tools und Accounts?
• Sind Datenklassen und konkrete Beispiele definiert?
• Gibt es eine Ampellogik für Anwendungsfälle?
• Sind Qualitätsprüfung und menschliche Verantwortung festgelegt?
• Sind Datenschutz, Sicherheit, Rechte Dritter und Mitbestimmung geprüft?
• Sind Tool-Freigabe, Ausnahmen und Vorfälle klar geregelt?
• Sind Rollen, Kontaktstellen und Eskalationswege benannt?
• Gibt es rollenspezifische Schulungen und Nachweise?
• Sind Version, Gültigkeitsdatum und Review-Auslöser festgelegt?

‍

FAQ zu KI-Guidelines in Unternehmen

Sind KI-Guidelines für Unternehmen Pflicht?

Ein Dokument mit dem Titel „KI-Guidelines“ ist nicht pauschal gesetzlich vorgeschrieben. Unternehmen müssen jedoch je nach Rolle und Einsatz gesetzliche Anforderungen aus unter anderem AI Act, DSGVO, Informationssicherheit und Arbeitsrecht erfüllen.

Eine Richtlinie ist ein sinnvoller Baustein, um diese Anforderungen in klare betriebliche Regeln zu übersetzen.

Welche KI-Tools dürfen Mitarbeitende nutzen?

Mitarbeitende sollten nur ausdrücklich freigegebene Tools, Unternehmenskonten und Konfigurationen verwenden. Die Freigabe sollte zusätzlich festlegen, für welche Zwecke und Datenarten ein Tool eingesetzt werden darf.

Dürfen personenbezogene Daten in ChatGPT oder andere KI-Tools eingegeben werden?

Nicht ohne vorherige Prüfung. Entscheidend sind unter anderem Zweck, Rechtsgrundlage, Systemkonfiguration, Vertragsverhältnisse, Datenübermittlung, Schutzmaßnahmen und mögliche Rechte betroffener Personen.

Eine pauschale Erlaubnis ist daher ebenso ungeeignet wie die Annahme, Anonymisierung löse jedes Datenschutzproblem.

Wer sollte eine KI-Richtlinie erstellen?

Die Erstellung sollte von der Geschäftsführung beauftragt und interdisziplinär umgesetzt werden. Typisch beteiligt sind Fachbereiche, IT, Informationssicherheit, Datenschutz, Recht, Compliance, HR und gegebenenfalls der Betriebsrat.

Wie oft müssen KI-Guidelines aktualisiert werden?

Eine Überprüfung sollte mindestens anlassbezogen erfolgen, etwa bei neuen Tools, neuen Use Cases, Vorfällen, Funktionsänderungen oder einer geänderten Rechtslage. Zusätzlich ist ein fester regelmäßiger Review sinnvoll.

Reicht eine KI-Schulung aus, um den AI Act zu erfüllen?

Eine einzelne Standardschulung ist nicht automatisch ausreichend. Maßnahmen zur KI-Kompetenz sollten Rolle, Vorwissen, eingesetzte Systeme, Nutzungskontext und Risiken berücksichtigen.

Neben Trainings können Richtlinien, Praxisübungen, Hilfetexte, Sprechstunden und dokumentierte Updates sinnvoll sein.

Was ist der Unterschied zwischen KI-Guidelines und einer Tool-Liste?

Die Tool-Liste zeigt, welche Anwendungen freigegeben sind. KI-Guidelines regeln zusätzlich Zwecke, Daten, Verantwortlichkeiten, Prüfungen, Transparenz, Vorfälle und Schulungen.

Beides sollte miteinander verknüpft und gemeinsam aktualisiert werden.

‍

Fazit: Gute KI-Guidelines schaffen Handlungsfähigkeit

KI-Guidelines in Unternehmen sind dann wirksam, wenn sie Sicherheit und Anwendung zusammenbringen. Sie definieren nicht nur Verbote, sondern geben konkrete Antworten für reale Arbeitssituationen.

Dafür brauchen Unternehmen eine Tool- und Use-Case-Übersicht, klare Datenregeln, menschliche Qualitätskontrolle, verteilte Verantwortlichkeiten und einen lernenden Review-Prozess.

Der beste nächste Schritt ist eine Bestandsaufnahme: Welche KI-Systeme werden heute bereits für welche Aufgaben und Daten genutzt? Daraus lassen sich Ampellogik, Freigaben und Schulungsbedarf ableiten.

Wenn dein Team KI nicht nur regelkonform verstehen, sondern in konkreten Arbeitsprozessen sicher anwenden soll, kannst du bei trepcademy ein individuelles Inhouse-Seminar anfragen.

‍