KI-Nutzungsrichtlinie

Was bedeutet KI-Nutzungsrichtlinie?

Eine KI-Nutzungsrichtlinie beantwortet für den Arbeitsalltag drei einfache Fragen: Welche KI-Werkzeuge sind im Betrieb freigegeben? Welche Daten dürfen hinein – und welche nie? Und wer prüft und verantwortet, was die KI liefert? In den meisten mittelständischen Betrieben ist sie ein kurzes Dokument von zwei bis fünf Seiten, das die Geschäftsführung beschließt, gegebenenfalls abgestimmt mit Datenschutzbeauftragtem und Betriebsrat, und das allen Mitarbeitenden nachweislich bekannt gemacht wird. Ein eigenes Gesetz, das genau dieses Dokument verlangt, gibt es nicht. Die Richtlinie ist aber das naheliegende Mittel, um bestehende Pflichten aus Datenschutz-Grundverordnung, Geschäftsgeheimnisschutz und KI-Verordnung im Alltag greifbar zu machen.

Der häufigste Anlass ist die sogenannte Schatten-KI. Mitarbeitende formulieren E-Mails, übersetzen Verträge oder fassen Protokolle mit Chat-Assistenten zusammen, oft mit privaten Konten und ohne dass es jemand freigegeben hat. Niemand weiß dann, welche Kundendaten, Angebotspreise oder Personalinformationen in Werkzeuge fließen, deren Anbieter Eingaben je nach Vertrag zum Training nutzen oder außerhalb der EU verarbeiten. Ein pauschales Verbot löst das selten: Die Nutzung wandert nur ins Unsichtbare. Die Richtlinie dreht die Logik um – sie erlaubt ausdrücklich, was sinnvoll und sicher ist, und zieht klare Grenzen dort, wo es heikel wird.

Von Nachbarbegriffen lässt sie sich klar abgrenzen. Die KI-Kompetenzpflicht nach Artikel 4 der KI-Verordnung (AI Act) gilt seit dem 2. Februar 2025 und ist eine gesetzliche Anforderung: Betriebe müssen für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen. Die Nutzungsrichtlinie ist eines der Mittel, diese Pflicht zu erfüllen – zusammen mit Schulung und Einweisung. Allgemeine Datenschutz- oder IT-Sicherheitsrichtlinien regeln den Umgang mit Daten und Systemen insgesamt; die KI-Richtlinie konkretisiert sie für KI und verweist auf sie, statt sie zu wiederholen. Eine KI-Strategie oder ein Vorhaben zur KI-Transformation beschreibt, wohin ein Unternehmen mit KI will. Die Richtlinie regelt, wie der Weg dorthin im Alltag sicher begangen wird.

Eine Richtlinie ist nie fertig, weil sich die Werkzeuge ändern. Führt ein Betrieb etwa einen eigenen KI-Assistenten ein, der per Retrieval Augmented Generation (RAG) auf internes Wissen zugreift, verschieben sich die Grenzen: Interne Dokumente dürfen dann in dieses geschützte System, in öffentliche Chat-Assistenten weiterhin nicht. Grundlage dafür ist eine saubere Datenstrategie, die festlegt, welche Daten wie vertraulich sind. Dieser Eintrag ist eine praktische Einordnung, keine Rechtsberatung.

KI-Nutzungsrichtlinie kurz erklärt: die wichtigsten Punkte

• Sie legt fest, welche KI-Werkzeuge freigegeben sind – idealerweise mit Unternehmenskonten, geprüften Verträgen und einer Liste, die jeder findet.
• Sie teilt Daten in Klassen ein: Was öffentlich ist, darf in freigegebene Werkzeuge; personenbezogene Daten, Geschäftsgeheimnisse und Zugangsdaten nur in ausdrücklich dafür geprüfte Systeme oder gar nicht.
• Sie verpflichtet zur Prüfung: KI-Ergebnisse gelten als Entwurf, der vor Versand, Veröffentlichung oder Entscheidung von einem Menschen kontrolliert wird.
• Sie benennt Zuständigkeiten: eine Ansprechperson für Fragen, Freigaben neuer Werkzeuge und Vorfälle wie versehentlich eingegebene Kundendaten.
• Sie ist Teil des Nachweises: Zusammen mit dokumentierter Schulung zeigt sie, dass der Betrieb seine Beschäftigten zum sachkundigen KI-Einsatz befähigt.

KI-Nutzungsrichtlinie in der Praxis

• Hausverwaltung mit Mieterkorrespondenz: Das Team beantwortet Anfragen schneller mit einem Chat-Assistenten. Die Richtlinie erlaubt das ausdrücklich für Textentwürfe, verbietet aber, Namen, Adressen, Kontodaten oder Schadensfotos mit erkennbaren Personen einzugeben. Platzhalter wie „[Mieter]“ ersetzen die echten Angaben, die erst im eigenen System eingesetzt werden.
• Maschinenbau-Zulieferer mit Konstruktionswissen: Zeichnungen, Kalkulationen und Kundenspezifikationen sind Geschäftsgeheimnisse. Die Richtlinie schließt sie für öffentliche KI-Dienste aus und gibt stattdessen einen internen Assistenten frei, der in der EU betrieben wird und nur auf freigegebene Dokumente zugreift. Neue Werkzeuge beantragt die Abteilung bei der benannten Ansprechperson.
• Pflegedienst mit Dokumentationsaufwand: Gesundheitsdaten gehören zu den besonders geschützten Daten. Die Richtlinie legt fest, dass KI hier nur für allgemeine Aufgaben wie Dienstplan-Entwürfe, Schulungsunterlagen oder Formulierungshilfen ohne Personenbezug genutzt wird. Jede Ausweitung auf Pflegedokumentation erfordert eine vorherige Prüfung mit dem Datenschutzbeauftragten.

Woran Sie eine gute KI-Nutzungsrichtlinie erkennen

1. Sie ist in Alltagssprache geschrieben und passt auf wenige Seiten – ein Mitarbeiter versteht sie ohne Rückfrage in zehn Minuten.
2. Sie nennt die freigegebenen Werkzeuge beim Namen und verweist auf eine aktuelle Liste, statt nur allgemein von „KI-Systemen“ zu sprechen.
3. Sie enthält konkrete Beispiele für erlaubte und verbotene Eingaben, zugeschnitten auf die eigenen Abteilungen.
4. Sie regelt, was bei einem Fehler passiert: wen man informiert, wenn versehentlich sensible Daten in ein Werkzeug gelangt sind.
5. Sie hat ein Datum, eine verantwortliche Person und einen festen Überprüfungstermin – mindestens jährlich und bei jedem neuen Werkzeug.

Typische Fehler

• Das Pauschalverbot: „KI ist bei uns nicht erlaubt“ wird nicht eingehalten, verschenkt Entlastung im Alltag und verschiebt die Nutzung auf private Geräte.
• Die kopierte Konzernvorlage: Zwanzig Seiten Juristendeutsch, die niemand liest und die nicht zu den Werkzeugen und Abläufen des eigenen Betriebs passen.
• Regeln ohne Schulung: Wer nicht weiß, warum KI Fakten erfinden kann oder was personenbezogene Daten sind, kann die Regeln auch nicht sinnvoll anwenden.
• Einmal beschlossen, nie wieder angefasst: Neue Funktionen in Office-Programmen, E-Mail und Telefonie bringen laufend neue KI ins Haus, die in keiner Liste steht.

Mein Bezug

Ich bin selbst Unternehmer und arbeite in unseren eigenen Firmen täglich mit KI, bis hin zu digitalen Mitarbeitern, die Aufgaben im Hintergrund vorbereiten. Die Regeln dafür mussten wir zuerst bei uns selbst aufstellen – welche Daten in welches System dürfen, wer Ergebnisse freigibt, was nie automatisch rausgeht. Als zertifizierter KI-Manager und BAFA-akkreditierter Berater begleite ich Betriebe in Rostock, Mecklenburg-Vorpommern und Norddeutschland dabei, eine Richtlinie zu entwickeln, die zum eigenen Alltag passt: Werkzeug-Inventar, Datenklassen, Prüfregeln, Schulung nach Rollen. Was beim Einsatz von Chat-Assistenten datenschutzrechtlich zu beachten ist, beschreibe ich ausführlich im Beitrag ChatGPT und Co. datenschutzkonform nutzen.

Zur Förderung bleibe ich ehrlich: Das Schreiben einer Richtlinie allein ist kein eigenes Förderprogramm. Entsteht sie als Teil einer Beratung, in der Prozesse analysiert, ein KI-Konzept erarbeitet und Regeln für den Betrieb entwickelt werden, kann der beratende Anteil über die BAFA-Beratungsförderung bezuschusst werden – in Mecklenburg-Vorpommern mit 80 Prozent der förderfähigen Kosten, bemessen an höchstens 3.500 Euro netto je Beratung. Der Antrag muss vor Beratungsbeginn gestellt werden und ist nach aktuellem Stand nur noch bis zum 31. Dezember 2026 möglich. Details stehen in meinem Beitrag zur BAFA-Beratungsförderung 2026.

Verwandte Begriffe

• KI-Kompetenzpflicht
• KI-Verordnung (AI Act)
• Large Language Model (LLM)
• Datenstrategie
• KI-Transformation

Weiterführende Beiträge

• ChatGPT und Co. datenschutzkonform nutzen: Was Unternehmen bei KI und DSGVO wirklich beachten müssen
• ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?
• KI-Schulung für Mitarbeiter nach EU AI Act: Was die Pflicht zur KI-Kompetenz verlangt und wie Sie sie pragmatisch erfüllen
• Unternehmens-GPT: Was ein eigener KI-Assistent mit Firmenwissen kann – und was er kostet
• Kann man KI-Antworten trauen? Halluzinationen einfach erklärt

Häufige Fragen zu KI-Nutzungsrichtlinie

Was ist eine KI-Nutzungsrichtlinie?

Eine KI-Nutzungsrichtlinie ist ein internes Regelwerk, das festlegt, welche KI-Werkzeuge Mitarbeitende wofür nutzen dürfen und welche Daten dabei tabu sind. Sie macht aus ungeregelter Einzelnutzung einen kontrollierten, nachvollziehbaren KI-Einsatz im ganzen Betrieb.

Ist eine KI-Nutzungsrichtlinie gesetzlich vorgeschrieben?

Nein, ein eigenes Dokument mit diesem Namen schreibt kein Gesetz vor. Die Richtlinie ist aber der einfachste Weg, bestehende Pflichten aus DSGVO, Geschäftsgeheimnisschutz und der KI-Kompetenzpflicht nach Artikel 4 der KI-Verordnung im Alltag umzusetzen und nachzuweisen.

Was gehört in eine KI-Nutzungsrichtlinie?

In eine KI-Nutzungsrichtlinie gehören mindestens eine Liste freigegebener Werkzeuge, klare Datenregeln, eine Prüfpflicht für KI-Ergebnisse, eine verantwortliche Ansprechperson und ein Verfahren für neue Werkzeuge. Ergänzend sinnvoll sind Regeln zur Kennzeichnung von KI-Inhalten und zur Schulung.

Wie lang sollte eine KI-Nutzungsrichtlinie sein?

Für die meisten Betriebe im Mittelstand reichen zwei bis fünf Seiten. Entscheidend ist nicht der Umfang, sondern dass jede Mitarbeiterin und jeder Mitarbeiter nach dem Lesen weiß, was erlaubt ist, was nicht und wen sie im Zweifel fragen.

Muss der Betriebsrat einer KI-Nutzungsrichtlinie zustimmen?

Gibt es einen Betriebsrat, sollte er früh eingebunden werden, weil KI-Werkzeuge mitbestimmungspflichtig sein können, etwa wenn sie Leistung oder Verhalten auswertbar machen. Häufig wird die Richtlinie deshalb als Betriebsvereinbarung oder in Abstimmung mit dem Betriebsrat beschlossen; die rechtliche Prüfung im Einzelfall ersetzt dieser Hinweis nicht.