KI-Nutzungsrichtlinie für Unternehmen: Aufbau, Inhalte und Einführung im Betrieb
Wie ein mittelständischer Betrieb den Einsatz von ChatGPT und anderen KI-Werkzeugen intern verbindlich ordnet: was in die Richtlinie gehört, wo die Grenze zur Betriebsvereinbarung verläuft und wie die Einführung ohne großen Apparat gelingt.
In den meisten Betrieben wird KI längst genutzt, nur eben ohne Regeln. Jemand lässt sich ein Angebot formulieren, jemand anderes kopiert eine Reklamation samt Kundenname in einen Chatbot, und die Fachabteilung hat sich still auf ein Werkzeug geeinigt, von dem die IT nichts weiß. Eine KI-Nutzungsrichtlinie ist das Dokument, mit dem ein Unternehmen diesen Zustand ordnet: welche Werkzeuge freigegeben sind, welche Daten hinein dürfen, wer ein Ergebnis prüft, bevor es das Haus verlässt, und an wen man sich wendet, wenn etwas schiefgegangen ist. Vorgeschrieben ist eine solche Richtlinie nicht ausdrücklich. Sie ist aber der praktische Weg, die Maßnahmen nach Artikel 4 der KI-Verordnung zu belegen, die Transparenzpflichten aus Artikel 50 im Alltag umzusetzen und den Abfluss von Geschäftsgeheimnissen und personenbezogenen Daten zu begrenzen. Diese Seite zeigt den Aufbau, die Inhalte und den Weg zur Einführung in einem Betrieb mit 20 bis 200 Beschäftigten.
Warum ein Betrieb eine KI-Nutzungsrichtlinie braucht
Am häufigsten wird zum pauschalen Verbot gegriffen. Wer den Zugriff auf KI-Werkzeuge sperrt, verlagert die Nutzung nur auf private Geräte und private Konten. Der Betrieb sieht dann gar nichts mehr, weder welche Werkzeuge im Umlauf sind noch welche Inhalte hineingehen. Für diesen Zustand hat sich der Begriff Schatten-KI eingebürgert. Eine Richtlinie dreht die Richtung um: Sie sagt, was erlaubt ist, und macht damit sichtbar, was tatsächlich passiert.
Der zweite Grund ist der Nachweis. Artikel 4 der Verordnung (EU) 2024/1689 verlangt in der seit dem 27. Juli 2026 geltenden Fassung, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Die Vorschrift verpflichtet ausdrücklich nicht dazu, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren. Gefragt sind also ergriffene Maßnahmen, und eine schriftliche Richtlinie samt dokumentierter Einweisung ist die einfachste Form, solche Maßnahmen später zu belegen.
Der dritte Grund steht im Gesetz zum Schutz von Geschäftsgeheimnissen. Eine Information ist nach § 2 Nummer 1 GeschGehG nur dann ein Geschäftsgeheimnis, wenn sie unter anderem Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist. Wer Kalkulationen, Konstruktionsdaten oder Vertragsentwürfe ungeregelt in öffentlich zugängliche Werkzeuge eingeben lässt, schwächt genau dieses Merkmal. Eine dokumentierte Regel, welche Inhalte nicht in welche Werkzeuge gehören, gehört in diesem Zusammenhang zu den organisatorischen Maßnahmen, die ein Betrieb ohnehin führen sollte.
Klarheit schlägt Verbot
In der Praxis wirkt eine Richtlinie vor allem entlastend. Beschäftigte fragen sich sonst bei jeder zweiten Aufgabe, ob sie gerade etwas falsch machen. Eine Liste freigegebener Werkzeuge und drei klare Sätze zum Umgang mit Daten nehmen diese Unsicherheit heraus. Wer die Richtlinie als Erlaubnis mit Leitplanken formuliert statt als Katalog von Verboten, bekommt sie im Alltag auch angewendet.
Was eine Richtlinie nicht leistet
Eine Richtlinie regelt Verhalten. Sie ersetzt weder die Einstufung der eingesetzten Systeme nach dem Risikoansatz der KI-Verordnung noch die datenschutzrechtliche Bewertung einer konkreten Verarbeitung noch die Prüfung, ob im Betrieb Beteiligungsrechte des Betriebsrats berührt sind. Diese Punkte laufen parallel und sind auf den verlinkten Seiten und im Einzelfall zu klären.
Was in eine KI-Nutzungsrichtlinie hineingehört
Eine brauchbare Richtlinie ist kurz genug, dass sie jemand am Montagmorgen tatsächlich liest, und konkret genug, dass sie eine Entscheidung trägt. Die folgende Übersicht listet die Bausteine, die sich in der Praxis bewährt haben, jeweils mit der Stelle, an der Betriebe erfahrungsgemäß Lücken lassen.
| Baustein | Was darin geregelt wird | Typische Lücke |
|---|---|---|
| Geltungsbereich und Adressaten | Für welche Standorte, Gesellschaften und Personengruppen die Richtlinie gilt, einschließlich Praktikanten, Werkstudenten, Leiharbeit und externer Dienstleister | Die Richtlinie erfasst nur Festangestellte, während externe Kräfte mit denselben Daten arbeiten |
| Zugelassene Werkzeuge | Eine benannte Liste freigegebener KI-Werkzeuge mit Einsatzzweck und Zugangsart (Firmenkonto, Einzelplatz, in einer Fachanwendung eingebaut) | Eine Positivliste ohne Aussage darüber, wie mit allem Übrigen umzugehen ist |
| Ausdrücklich nicht zugelassen | Welche Werkzeuge gesperrt sind und welche Einsatzfelder untersagt bleiben, etwa Bewerberauswahl, Leistungsbewertung oder sicherheitsrelevante Beurteilungen | Verbote nur mündlich ausgesprochen, sodass sie niemand nachlesen kann |
| Umgang mit Daten | Was nie in ein öffentlich zugängliches Werkzeug eingegeben wird: personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse, Quellcode, Kalkulationen, Vertragsentwürfe | Der Grundsatz steht da, aber ohne Beispiele, an denen Beschäftigte ihn wiedererkennen |
| Ergebniskontrolle | Dass jedes Ergebnis vor der Verwendung von einem Menschen geprüft wird, woran geprüft wird und dass die fachliche Verantwortung bei der Person bleibt, die das Ergebnis verwendet | Prüfpflicht ohne benannte Rolle und ohne Kriterien |
| Kennzeichnung | Wie KI-erzeugte Inhalte intern gekennzeichnet werden und was bei extern veröffentlichten Inhalten gilt, mit Bezug auf Artikel 50 der KI-Verordnung | Interne Arbeitskennzeichnung und externe Offenlegung werden vermischt |
| Urheberrecht und Lizenzen | Umgang mit fremden Inhalten in der Eingabe sowie mit den Nutzungs- und Lizenzbedingungen des Anbieters an den erzeugten Ausgaben | Fehlt in vielen Richtlinien vollständig |
| Rollen und Verantwortlichkeiten | Wer neue Werkzeuge freigibt, wer die Liste pflegt, wer in Zweifelsfällen entscheidet und wer die Richtlinie verantwortet | Keine benannte Person, die Liste veraltet innerhalb weniger Monate |
| Meldeweg bei Vorfällen | An wen und wie schnell gemeldet wird, wenn vertrauliche Daten in ein Werkzeug geraten sind oder ein fehlerhaftes Ergebnis nach außen gegangen ist | Kein Weg, also keine Meldung, also keine Möglichkeit zu reagieren |
| Einweisung und Schulung | Wer wann eingewiesen wird, welche Inhalte vermittelt werden und wie die Teilnahme festgehalten wird | Die Einweisung findet statt, wird aber nicht dokumentiert |
| Aktualisierung | In welchem Rhythmus und bei welchen Anlässen die Richtlinie geprüft wird, mit Versionsstand und Datum | Version 1 hängt zwei Jahre später unverändert im Intranet |
Der Datenteil ist der Teil, der wirklich zählt
Wenn ein Betrieb nur einen Abschnitt sauber hinbekommt, dann diesen. Eine Formulierung wie „keine vertraulichen Informationen eingeben“ hilft niemandem, weil jeder etwas anderes darunter versteht. Besser ist eine kurze Aufzählung aus dem eigenen Betrieb: keine Namen von Beschäftigten oder Bewerbern, keine Kunden- und Lieferantendaten, keine Preise und Kalkulationen, keine Konstruktions- und Prüfunterlagen, keine Inhalte aus laufenden Rechtssachen. Dazu ein Satz, wie man vorgeht, wenn man ein solches Thema trotzdem bearbeiten will, etwa durch Anonymisieren oder durch Nutzung eines vertraglich abgesicherten Werkzeugs.
Ergebniskontrolle konkret machen
Generative Systeme erzeugen sprachlich sichere Ausgaben auch dann, wenn der Inhalt falsch ist. Erfundene Fundstellen, veraltete Fristen und Zahlendreher fallen im Fließtext kaum auf. Deshalb gehört in die Richtlinie, dass niemand ein Ergebnis unverändert weitergibt, dass Zahlen, Normen und Fundstellen an der Quelle gegengeprüft werden und dass die fachliche Verantwortung bei der Person liegt, die das Ergebnis verwendet. Für Betriebe mit Hochrisiko-Anwendungen greift zusätzlich die Pflicht zur menschlichen Aufsicht aus Artikel 26 der KI-Verordnung, die aber erst ab dem 2. Dezember 2027 beziehungsweise dem 2. August 2028 anwendbar wird.
Die Aufstellung ist ein Ordnungsraster aus der Praxis, keine gesetzlich vorgegebene Mindestgliederung. Welche Bausteine ein konkreter Betrieb braucht, hängt von den eingesetzten Systemen, der Branche und der betrieblichen Organisation ab.
Datenschutz: was bei Eingaben in KI-Werkzeuge zu beachten ist
Sobald in einer Eingabe ein Name, eine Personalnummer, eine Kundenadresse oder ein zuordenbarer Sachverhalt steht, werden personenbezogene Daten verarbeitet. Damit gilt die Datenschutz-Grundverordnung, und zwar unabhängig davon, ob die KI-Verordnung im konkreten Fall zusätzliche Pflichten auslöst. Die drei Punkte, an denen es im Mittelstand am häufigsten hakt, sind Zweckbindung, Auftragsverarbeitung und Drittlandtransfer.
Zweckbindung: Nach Artikel 5 Absatz 1 Buchstabe b DSGVO dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Bewerberdaten, die für ein Auswahlverfahren erhoben wurden, sind damit nicht ohne Weiteres Material für einen Textgenerator.
Auftragsverarbeitung: Verarbeitet der Anbieter eines KI-Werkzeugs personenbezogene Daten im Auftrag des Unternehmens, verlangt Artikel 28 Absatz 3 DSGVO einen Vertrag oder ein anderes Rechtsinstrument, in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festgelegt sind. Nach Absatz 1 darf ohnehin nur mit Auftragsverarbeitern gearbeitet werden, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Bei einem kostenlosen Konto, das sich jemand privat angelegt hat, existiert eine solche Grundlage in aller Regel nicht.
Drittlandtransfer: Viele verbreitete Werkzeuge werden von Anbietern außerhalb der EU betrieben. Artikel 44 DSGVO lässt eine Übermittlung an ein Drittland nur zu, wenn die Bedingungen des betreffenden Kapitels eingehalten werden, also etwa ein Angemessenheitsbeschluss oder geeignete Garantien vorliegen. Für die Richtlinie heißt das praktisch: Der Sitz des Anbieters und die vertragliche Grundlage gehören zu den Angaben, die je freigegebenem Werkzeug festgehalten werden.
Beschäftigtendaten
Geht es um Daten der eigenen Beschäftigten, kommt § 26 BDSG hinzu. Absatz 1 lässt eine Verarbeitung zu, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach dessen Begründung für die Durchführung oder Beendigung erforderlich ist. Absatz 4 stellt außerdem klar, dass die Verarbeitung von Beschäftigtendaten auf der Grundlage von Kollektivvereinbarungen zulässig ist, wobei die Verhandlungspartner Artikel 88 Absatz 2 DSGVO zu beachten haben. Das ist einer der Gründe, warum bei KI-Anwendungen mit Bezug zu Beschäftigtendaten häufig eine Betriebsvereinbarung gewählt wird.
Urheberrecht und Lizenzen
Zwei Richtungen sind zu trennen. In der Eingabe: Fremde Texte, Bilder oder Code, an denen Dritte Rechte halten, gehören nicht ungeprüft in ein Werkzeug. In der Ausgabe: Nach § 2 Absatz 2 UrhG sind Werke im Sinne des Urheberrechtsgesetzes nur persönliche geistige Schöpfungen. Ein rein maschinell erzeugtes Ergebnis erfüllt dieses Merkmal für sich genommen nicht, was für Betriebe vor allem dann Folgen hat, wenn sie eigene Schutzrechte an einem Ergebnis geltend machen wollen. Hinzu kommen die Nutzungsbedingungen des jeweiligen Anbieters, die je Werkzeug unterschiedlich ausfallen und deshalb bei der Freigabe gelesen gehören.
Die datenschutzrechtliche Bewertung einer konkreten Verarbeitung hängt vom Einzelfall ab, insbesondere von Rechtsgrundlage, Datenkategorien, Anbietervertrag und Übermittlungspfad. Diese Seite gibt allgemeine Anhaltspunkte und ersetzt keine Prüfung des konkreten Falls.
Richtlinie oder Betriebsvereinbarung: wo der Unterschied liegt
Ob und welche Beteiligungsrechte des Betriebsrats bei der Einführung von KI im Betrieb bestehen, hängt von der konkreten Ausgestaltung ab. Die Aussagen in diesem Abschnitt benennen die einschlägigen Vorschriften und eine erstinstanzliche Entscheidung. Sie sind keine Aussage über einen konkreten Betrieb.
Eine KI-Nutzungsrichtlinie ist zunächst eine einseitige Anweisung des Arbeitgebers. Ihre Grundlage ist § 106 GewO: Der Arbeitgeber kann Inhalt, Ort und Zeit der Arbeitsleistung nach billigem Ermessen näher bestimmen, soweit diese Arbeitsbedingungen nicht durch Arbeitsvertrag, Betriebsvereinbarung, Tarifvertrag oder gesetzliche Vorschriften festgelegt sind. Der Arbeitgeber kann eine Richtlinie also grundsätzlich selbst erlassen und selbst ändern.
Eine Betriebsvereinbarung ist etwas anderes. Sie wird nach § 77 Absatz 2 BetrVG von Betriebsrat und Arbeitgeber gemeinsam beschlossen, schriftlich niedergelegt und von beiden Seiten unterzeichnet. Nach § 77 Absatz 4 Satz 1 BetrVG gilt sie unmittelbar und zwingend. Sie bindet damit beide Seiten stärker als eine Weisung, lässt sich aber auch nicht einseitig zurücknehmen. Für Betriebe ohne Betriebsrat stellt sich die Frage nicht, dort bleibt es bei der Richtlinie.
Der praktische Unterschied zeigt sich beim Tempo und bei der Verbindlichkeit. Eine Richtlinie ist in wenigen Wochen da und lässt sich anpassen, wenn ein neues Werkzeug dazukommt. Eine Betriebsvereinbarung braucht Verhandlung, trägt dafür Regelungen, die Beschäftigtendaten betreffen, auf einer belastbareren Grundlage. Viele Betriebe fahren beides: eine Betriebsvereinbarung für den Rahmen und eine Richtlinie für die operative Ebene wie die Werkzeugliste, die sich häufiger ändert.
| Merkmal | KI-Nutzungsrichtlinie | Betriebsvereinbarung |
|---|---|---|
| Zustandekommen | Einseitig durch den Arbeitgeber im Rahmen des Weisungsrechts | Gemeinsam von Arbeitgeber und Betriebsrat beschlossen |
| Rechtsgrundlage | § 106 GewO | § 77 BetrVG |
| Form | Keine gesetzliche Form vorgeschrieben, schriftlich dringend zu empfehlen | Schriftlich niederzulegen und von beiden Seiten zu unterzeichnen (§ 77 Abs. 2 BetrVG) |
| Wirkung | Weisung im Rahmen billigen Ermessens | Gilt unmittelbar und zwingend (§ 77 Abs. 4 Satz 1 BetrVG) |
| Änderbarkeit | Durch den Arbeitgeber anpassbar | Nur einvernehmlich oder nach den Regeln über Kündigung und Nachwirkung |
| Typischer Einsatz | Werkzeugliste, Datenregeln, Prüfpflichten, Meldeweg | Rahmen für KI-Einsatz mit Bezug zu Beschäftigtendaten und Auswertungsmöglichkeiten |
Welche Beteiligungsrechte in Betracht kommen
Das Betriebsverfassungsgesetz nennt mehrere Anknüpfungspunkte. Nach § 87 Absatz 1 Nummer 1 BetrVG bestimmt der Betriebsrat bei Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb mit. Nach § 87 Absatz 1 Nummer 6 BetrVG bestimmt er bei Einführung und Anwendung von technischen Einrichtungen mit, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Beide Rechte greifen nur, soweit eine gesetzliche oder tarifliche Regelung nicht besteht. Ob sie im konkreten Fall einschlägig sind, hängt davon ab, wie der KI-Einsatz technisch und organisatorisch ausgestaltet ist.
Unabhängig davon bestehen Unterrichtungs- und Beratungsrechte. § 90 Absatz 1 Nummer 3 BetrVG verpflichtet den Arbeitgeber, den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz rechtzeitig zu unterrichten und die erforderlichen Unterlagen vorzulegen. Nach § 90 Absatz 2 BetrVG sind die vorgesehenen Maßnahmen und ihre Auswirkungen auf die Arbeitnehmer so rechtzeitig zu beraten, dass Vorschläge und Bedenken in die Planung einfließen können. Der Einsatz von KI ist in dieser Vorschrift ausdrücklich genannt.
Zwei weitere Stellen sind erwähnenswert. § 80 Absatz 3 BetrVG bestimmt, dass die Hinzuziehung eines Sachverständigen als erforderlich gilt, soweit der Betriebsrat zur Durchführung seiner Aufgaben die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen muss. Und § 95 Absatz 2a BetrVG stellt klar, dass die Regelungen über Auswahlrichtlinien auch dann Anwendung finden, wenn bei deren Aufstellung Künstliche Intelligenz zum Einsatz kommt.
Was eine erstinstanzliche Entscheidung dazu sagt
Das Arbeitsgericht Hamburg hat am 16. Januar 2024 im einstweiligen Rechtsschutz über einen Fall entschieden, in dem ein Arbeitgeber die Nutzung von ChatGPT freigab und dazu Richtlinien und ein Handbuch veröffentlichte (Beschluss vom 16. Januar 2024, 24 BVGa 1/24). Die Anträge des Betriebsrats wurden zurückgewiesen. Nach dem Orientierungssatz betrafen die Vorgaben zur Nutzung nur die Art und Weise der Arbeitserbringung und damit das mitbestimmungsfreie Arbeitsverhalten, weshalb das Gericht ein Recht aus § 87 Absatz 1 Nummer 1 BetrVG verneinte.
Ein Recht aus § 87 Absatz 1 Nummer 6 BetrVG verneinte das Gericht ebenfalls, allerdings mit einer Begründung, die eng an der konkreten Konstellation hängt: Die Werkzeuge waren nicht auf den Systemen des Betriebs installiert, die Beschäftigten mussten eigene private Konten anlegen und etwaige Kosten selbst tragen, und der Arbeitgeber erhielt keinerlei Meldung darüber, wer wie lange und mit welchem Anliegen das Werkzeug nutzte. Auf die beim Hersteller anfallenden Daten konnte der Arbeitgeber nicht zugreifen. Für den Browser selbst, den das Gericht als geeignete technische Einrichtung einordnete, bestand im entschiedenen Fall bereits eine Konzernbetriebsvereinbarung.
Daraus lässt sich kein allgemeiner Freibrief ableiten. Es handelt sich um eine erstinstanzliche Entscheidung im einstweiligen Rechtsschutz, und ihre tragenden Erwägungen setzen genau diese Konstellation voraus. Ein dienstliches Konto, eine lokale Installation, eine Anbindung an betriebliche Systeme oder eine Auswertungsmöglichkeit auf Seiten des Arbeitgebers verändern die Ausgangslage. Wer eine Richtlinie einführt und einen Betriebsrat hat, klärt die Beteiligung deshalb betriebsindividuell, statt sich auf eine allgemeine Regel zu verlassen.
Die Frage, ob und in welchem Umfang Beteiligungsrechte des Betriebsrats bestehen, ist einzelfallabhängig und wird in der Rechtsprechung fortentwickelt. Die genannte Entscheidung ist erstinstanzlich und im einstweiligen Rechtsschutz ergangen. Für die Bewertung eines konkreten Vorhabens ist eine Prüfung des Einzelfalls erforderlich.
Kennzeichnung von KI-Inhalten: intern und nach außen
Kennzeichnung wird oft als ein einziges Thema behandelt, obwohl zwei verschiedene Ebenen gemeint sind. Intern geht es um Nachvollziehbarkeit im Arbeitsablauf: Wer im nächsten Schritt mit einem Text, einer Auswertung oder einem Entwurf weiterarbeitet, soll erkennen, dass ein KI-Werkzeug beteiligt war, und entsprechend genauer hinsehen. Diese Kennzeichnung ist eine Frage der betrieblichen Organisation und lässt sich in der Richtlinie frei ausgestalten, etwa über eine Notiz im Dokumentkopf oder ein Feld im Dokumentenmanagement.
Nach außen greifen die Transparenzpflichten aus Artikel 50 der Verordnung (EU) 2024/1689, die zum allgemeinen Geltungsbeginn am 2. August 2026 anwendbar werden. Relevant für Betreiber sind vor allem die Offenlegungspflichten bei erzeugten oder manipulierten Bild-, Ton- und Videoinhalten sowie die Pflicht, Personen darüber zu informieren, wenn sie mit einem KI-System interagieren. Welche Absätze im Einzelfall gelten, hängt von Einsatzzweck und Rolle ab. Der eigene Ratgeber zur Kennzeichnungspflicht geht darauf im Detail ein.
Für die Richtlinie reicht es, beide Ebenen sauber zu trennen und je Ebene eine benannte Zuständigkeit zu setzen. Intern: Wer kennzeichnet, an welcher Stelle, in welcher Form. Extern: Wer entscheidet vor einer Veröffentlichung, ob eine Offenlegung nötig ist, und wer formuliert sie. Ohne diese zweite Zuständigkeit landet die Frage in der Marketing- oder Vertriebsabteilung, wo sie in der Regel niemand aufgreift.
Ein Punkt aus der Rechtsprechung
In der bereits genannten Entscheidung des Arbeitsgerichts Hamburg spielte auch die interne Kennzeichnungspflicht eine Rolle. Der Betriebsrat hatte darin ein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG gesehen. Das Gericht folgte dem nicht: Die Kennzeichnung und die damit verbundene Kontrollmöglichkeit erfolge durch den Arbeitnehmer selbst und nicht durch das Werkzeug, und die technische Einrichtung müsse die Überwachung selbst bewirken. Auch das ist eine erstinstanzliche Bewertung, die auf die dortige Ausgestaltung zugeschnitten ist.
Ob ein konkretes System unter Artikel 50 der Verordnung (EU) 2024/1689 fällt und welche Absätze einschlägig sind, hängt vom Einsatzzweck und der Rolle im Einzelfall ab.
Die Gliederung einer KI-Nutzungsrichtlinie als Gerüst
Wer keine leere Seite vor sich haben will, fängt mit einem Gerüst an. Die folgende Gliederung deckt die Bausteine aus dem zweiten Abschnitt ab und lässt sich in einem Betrieb mit 20 bis 200 Beschäftigten auf etwa vier bis sechs Seiten füllen. Länger sollte sie nicht werden, weil sonst niemand sie liest.
Ein Muster ist ein Ausgangspunkt, kein Ergebnis
Eine Vorlage aus dem Netz enthält typischerweise Regelungen für Werkzeuge, die im eigenen Haus gar nicht laufen, und lässt genau die Fälle offen, um die es im eigenen Betrieb geht. Wer eine Vorlage übernimmt, ohne die Werkzeugliste, die Datenregeln und die Rollen an den eigenen Betrieb anzupassen, hat ein Dokument, aber keine Regelung. Der Wert einer Vorlage liegt in der Struktur, der Inhalt kommt aus der Bestandsaufnahme im eigenen Haus.
Was zusätzlich zur Richtlinie geführt werden sollte
Neben der Richtlinie selbst lohnt eine schlanke Liste der eingesetzten KI-Systeme mit Einsatzzweck, Rolle des Unternehmens, Anbieter, Vertragsgrundlage und Einstufung. Diese Liste ist die Grundlage für die Freigabeentscheidungen und gleichzeitig der Ausgangspunkt für die Einordnung nach der KI-Verordnung. Ohne sie veraltet jede Richtlinie, weil niemand merkt, wenn ein neues Werkzeug dazukommt.
- 1. Zweck und Anwendungsbereich: Warum es die Richtlinie gibt, für welche Standorte und Gesellschaften sie gilt und wen sie adressiert, einschließlich Leiharbeit, Praktikanten und externer Dienstleister.
- 2. Begriffe: Was im Haus unter einem KI-Werkzeug verstanden wird, damit auch Assistenzfunktionen erfasst sind, die in bestehender Software mitgeliefert werden.
- 3. Zugelassene Werkzeuge: Liste mit Werkzeug, Einsatzzweck, Zugangsart und verantwortlicher Stelle, dazu die Aussage, wie mit nicht gelisteten Werkzeugen zu verfahren ist.
- 4. Nicht zugelassene Nutzung: Gesperrte Werkzeuge und untersagte Einsatzfelder, jeweils mit einem Satz zur Begründung, damit die Regel verständlich bleibt.
- 5. Umgang mit Daten: Konkrete Aufzählung dessen, was nicht in ein öffentlich zugängliches Werkzeug eingegeben wird, plus Vorgehen für Fälle, in denen ein solches Thema trotzdem bearbeitet werden soll.
- 6. Prüfung der Ergebnisse: Wer prüft, woran geprüft wird, wo die fachliche Verantwortung liegt und was bei Zahlen, Normen und Fundstellen zusätzlich gilt.
- 7. Kennzeichnung: Interne Kennzeichnung im Arbeitsablauf und Vorgehen bei extern veröffentlichten Inhalten, mit benannter Zuständigkeit je Ebene.
- 8. Urheberrecht und Lizenzen: Fremde Inhalte in der Eingabe, Nutzungsbedingungen der Anbieter, Umgang mit Ergebnissen, an denen eigene Schutzrechte geltend gemacht werden sollen.
- 9. Rollen und Verantwortlichkeiten: Wer freigibt, wer die Liste pflegt, wer entscheidet, wer die Richtlinie verantwortet.
- 10. Meldeweg: An wen, wie schnell und über welchen Kanal gemeldet wird, wenn etwas schiefgegangen ist, ausdrücklich ohne Sanktionsdrohung für die Meldung selbst.
- 11. Einweisung: Wer wann eingewiesen wird, welche Inhalte vermittelt werden und wie die Teilnahme festgehalten wird.
- 12. Inkrafttreten, Version und Überprüfung: Datum, Versionsstand, Prüfrhythmus und die Anlässe, bei denen außerplanmäßig geprüft wird.
Einführung im Betrieb in sechs Schritten
Der Weg von der Idee zur gelebten Richtlinie dauert in einem Betrieb mit 20 bis 200 Beschäftigten typischerweise sechs bis zehn Wochen, wenn niemand darauf wartet, dass jemand anderes anfängt. Entscheidend ist die Reihenfolge: erst erfassen, dann regeln, dann kommunizieren. Wer mit dem Entwurf beginnt, regelt an der Wirklichkeit vorbei.
Der Fehler, den fast alle machen
Die Richtlinie wird geschrieben, verteilt und danach nie wieder angefasst. Ein halbes Jahr später läuft im Haus ein Werkzeug, das in der Liste nicht steht, und die Regelung passt auf niemanden mehr. Ein fester Termin im Kalender und eine benannte Person, bei der Änderungen zusammenlaufen, kosten zusammen weniger Aufwand als die spätere Neuauflage.
Wo die Methodik schon im Haus ist
Betriebe, die eine Gefährdungsbeurteilung sauber fahren, kennen den Ablauf bereits: erfassen, bewerten, Maßnahmen festlegen, unterweisen, dokumentieren, in Abständen prüfen. Für KI-Werkzeuge gilt derselbe Ablauf mit einem anderen Gegenstand. Wer die KI-Einweisung an den bestehenden Unterweisungszyklus hängt, muss dafür keinen zweiten Apparat aufbauen.
- Schritt 1, Bestandsaufnahme: In jeder Abteilung fragen, welche KI-Werkzeuge tatsächlich genutzt werden, wofür und über welchen Zugang. Dazu gehören Assistenzfunktionen im CRM, im ERP, in der Office-Umgebung und in Konstruktions- oder Übersetzungswerkzeugen. Die Frage sollte ohne Schuldzuweisung gestellt werden, sonst bekommt man keine ehrlichen Antworten.
- Schritt 2, Freigabeentscheidung: Je Werkzeug entscheiden, ob es freigegeben wird, unter welchen Bedingungen und über welchen Zugang. Anbieter, Vertragsgrundlage und Serverstandort dabei gleich mit festhalten. Werkzeuge ohne belastbare Vertragsgrundlage nicht für Inhalte mit Personen- oder Geheimnisbezug freigeben.
- Schritt 3, Entwurf: Die Gliederung füllen, mit dem Datenteil und den Rollen beginnen. Der Entwurf sollte von jemandem gegengelesen werden, der operativ mit den Werkzeugen arbeitet, nicht nur von der Leitung.
- Schritt 4, Beteiligung: Bei vorhandenem Betriebsrat frühzeitig informieren und die Beteiligung klären, insbesondere mit Blick auf § 90 Absatz 1 Nummer 3 und Absatz 2 BetrVG. Datenschutzbeauftragte und IT-Verantwortliche gehören ebenfalls in diese Runde. Klären, ob eine Betriebsvereinbarung neben oder statt der Richtlinie sinnvoll ist.
- Schritt 5, Kommunikation und Einweisung: Die Richtlinie nicht nur ins Intranet stellen, sondern in einer kurzen Runde je Bereich erklären, mit zwei bis drei echten Beispielen aus dem eigenen Betrieb. Teilnahme mit Datum, Inhalt und Namen festhalten, weil das später der Beleg für die ergriffenen Maßnahmen ist.
- Schritt 6, Nachhalten: Nach drei Monaten prüfen, welche Fragen aufgekommen sind, ob neue Werkzeuge dazugekommen sind und ob Regeln in der Praxis unklar bleiben. Version hochzählen, Änderungen kurz dokumentieren.
Häufige Fehler und wie man sie vermeidet
Die meisten Richtlinien scheitern daran, dass sie im Alltag nicht anwendbar sind. An fehlenden Kapiteln liegt es selten. Fünf Muster tauchen immer wieder auf.
Und ein Fehler in der anderen Richtung
Manche Betriebe bauen den Apparat zu groß. Ein zwanzigseitiges Regelwerk mit Freigabeprozess über drei Ebenen führt dazu, dass niemand mehr fragt, sondern jeder auf eigene Faust arbeitet. Für den Anfang reichen eine Seite Datenregeln, eine Werkzeugliste und eine benannte Ansprechperson. Alles Weitere lässt sich ergänzen, sobald der Betrieb weiß, wo es tatsächlich klemmt.
- Pauschalverbot statt Regelung: Der Zugriff wird gesperrt, die Nutzung wandert auf private Geräte. Der Betrieb verliert die Sichtbarkeit und bekommt trotzdem die Risiken.
- Abstrakte Datenregeln: „Keine sensiblen Daten“ ohne Beispiele wird von jedem anders ausgelegt. Eine Aufzählung aus dem eigenen Betrieb ist wirksamer als jede allgemeine Formel.
- Kein Meldeweg: Wenn versehentlich Kundendaten in ein Werkzeug geraten sind, meldet das niemand, solange unklar ist, an wen und mit welcher Folge. Der Meldeweg gehört ausdrücklich ohne Sanktionsdrohung für die Meldung selbst formuliert.
- Keine benannte Verantwortung: Ohne eine Person, bei der die Werkzeugliste und die Freigaben zusammenlaufen, veraltet die Richtlinie innerhalb weniger Monate.
- Vorlage ungeprüft übernommen: Ein Muster regelt Werkzeuge, die es im Haus nicht gibt, und schweigt zu den Fällen, um die es tatsächlich geht.
Verwandte Themen
Richtlinie, Werkzeugliste und Nachweise an einer Stelle führen
Mit dem KI-Compliance-Modul von Sicherio dokumentieren Sie die eingesetzten KI-Systeme, die dazugehörigen betrieblichen Regelungen und die Nachweise über Einweisungen an einer Stelle. So bleibt nachvollziehbar, welche Fassung wann galt und wer wann eingewiesen wurde. Die inhaltliche Bewertung bleibt bei Ihnen, Sicherio gibt ihr die Struktur.
Häufige Fragen
Zum Inhalt dieser Seite
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 29. Juli 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Rechtsanwalt mit Schwerpunkt IT- und Datenschutzrecht oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze