Nutzungsrichtlinie

KI-Richtlinie für Unternehmen: Muster auf zwei Seiten

Eine KI-Richtlinie legt fest, welche Werkzeuge freigegeben sind, welche Daten hineindürfen und wer Ergebnisse prüft. Als Dokument vorgeschrieben ist sie nicht. Das Muster unten erzwingt die Stellen, die nur Sie ausfüllen können.

Festlegungen, mehr braucht es nicht

2 Seiten

Länge, die gelesen wird

keine

gesetzliche Formpflicht

Die meisten Richtlinien, die in Umlauf sind, scheitern an derselben Stelle: Sie verbieten, ohne einen freigegebenen Weg anzubieten. Eine Anweisung, ChatGPT nicht zu verwenden, ändert nichts an der Arbeit, für die es verwendet wurde. Das Ergebnis ist nicht weniger Nutzung, sondern Nutzung über private Konten, die Sie nicht mehr sehen.

Die zweite Schwachstelle ist die Länge. Eine Richtlinie mit zwölf Seiten Gesetzestext beantwortet die Frage nicht, die jemand am Dienstagvormittag hat: Darf ich diesen Vertragsentwurf in das Werkzeug kopieren? Die Probe ist einfach — findet eine Sachbearbeiterin die Antwort nicht in einer Minute, ist das Dokument zu lang.

Was in eine KI-Richtlinie gehört

Fünf Festlegungen. Jede beantwortet eine Frage, die im Alltag tatsächlich gestellt wird; alles andere ist Beiwerk.

Welche Werkzeuge freigegeben sind

Namentlich, mit Tarif und Zugangsweg. «Seriöse KI-Tools» ist keine Festlegung — «Copilot über das Firmenkonto» ist eine. Private Konten für dieselben Werkzeuge sind ausdrücklich ausgeschlossen, weil dort kein Auftragsverarbeitungsvertrag gilt.

Welche Daten hineindürfen

Vier Klassen reichen: öffentlich, intern, vertraulich, gesperrt. Jedes freigegebene Werkzeug bekommt die höchste Klasse, die hinein darf. Die Frage «darf ich das eingeben?» ist dann in zehn Sekunden beantwortet.

Wer Ergebnisse prüft

Alles, was das Haus verlässt, prüft vorher ein Mensch inhaltlich — Zahlen, Fristen, Paragrafen und Zitate an der Quelle. Das ist die Regel, die im Streitfall zählt, und die, die in den meisten Mustern fehlt.

Wie ein neues Werkzeug freigegeben wird

Ein Antragsweg mit Frist, etwa zehn Arbeitstage. Geprüft werden Vertrag, Verarbeitungsort, Speicherung und Training auf Eingaben. Ohne diesen Weg veraltet die Liste der freigegebenen Werkzeuge in drei Monaten.

An wen man sich wendet

Eine Rolle mit Adresse, nicht «die IT». Dazu die Zusage, dass die Meldung eines eigenen Fehlers — vertrauliche Daten im falschen Werkzeug — für sich keine Nachteile hat. Sonst erfahren Sie davon nie.

Datenklassen: die Frage «darf ich das eingeben?»

Der Kern jeder brauchbaren Richtlinie. Jedes freigegebene Werkzeug bekommt die höchste Klasse, die hinein darf; im Zweifel gilt die höhere. Die Zuordnung unten ist ein Vorschlag, keine gesetzliche Vorgabe — die Grenzen legt jeder Betrieb selbst fest.

Öffentlich

veröffentlicht oder zur Veröffentlichung bestimmt

→ alle freigegebenen Werkzeuge

Intern

Arbeitsstände und Abläufe ohne Personenbezug und ohne Geschäftsgeheimnisse

→ Werkzeuge mit Auftragsverarbeitungsvertrag, ohne Training auf Eingaben

Vertraulich

Verträge, Angebote, Kundendaten, personenbezogene Daten

→ nur Werkzeuge mit Verarbeitung in der EU und ohne Speicherung der Eingaben

Gesperrt

Zugangsdaten, besondere Kategorien nach Art. 9 DSGVO, Berufsgeheimnisse

→ kein Werkzeug ohne schriftliche Einzelfreigabe

Für die Klasse «vertraulich» entscheidet der Verarbeitungsort, nicht der Markenname: Dasselbe Modell kann in der EU oder in den USA berechnet werden. Bei Anbietern steht die Verarbeitungsregion meist in der Dokumentation; für die Modelle, die heabsy selbst anbietet, nennt sie der Modellkatalog. Welche Bedingungen für ChatGPT im Betrieb gelten, steht unterChatGPT im Unternehmen.

Muster: KI-Richtlinie zum Ausfüllen

Markiert sind die Stellen, die Sie selbst entscheiden müssen. Bleibt eine davon leer, ist die Richtlinie nicht fertig — genau das ist der Zweck der Markierung.

KI-Richtlinie der [Firma]

Stand: [Datum] · Verantwortlich: [Rolle, Name] · Nächste Überprüfung: [Datum, spätestens in sechs Monaten]

1. Geltungsbereich

Diese Richtlinie gilt für alle Beschäftigten und für Personen, die in unserem Auftrag mit KI-Werkzeugen arbeiten — bei der Arbeit, unabhängig vom Gerät.

2. Freigegebene Werkzeuge

Für die Arbeit dürfen nur diese Werkzeuge genutzt werden, und nur über den genannten Zugang. Private Konten sind für Unternehmensdaten nicht zulässig, auch bei denselben Werkzeugen.

Werkzeug

Zugang

höchste Datenklasse

Zweck

Werkzeug[Name, Tarif]Zugang[Firmenkonto]höchste Datenklasse[Intern]Zweck[Texte entwerfen]

Werkzeug[Name, Tarif]Zugang[Firmenkonto]höchste Datenklasse[Vertraulich]Zweck[Verträge durchsuchen]

3. Datenklassen

Öffentlich — veröffentlicht oder zur Veröffentlichung bestimmt. Intern — Arbeitsstände ohne Personenbezug und ohne Geschäftsgeheimnisse. Vertraulich — Verträge, Angebote, Kundendaten, personenbezogene Daten. Gesperrt — Zugangsdaten, besondere Kategorien nach Art. 9 DSGVO, Berufsgeheimnisse; Eingabe nur mit schriftlicher Einzelfreigabe durch [Rolle]. Im Zweifel gilt die höhere Klasse.

4. Prüfung von Ergebnissen

Was das Haus verlässt — an Kunden, Behörden oder in Veröffentlichungen —, prüft vorher ein Mensch inhaltlich. Zahlen, Fristen, Paragrafen und Zitate werden an der Quelle nachgeschlagen. Ob ein veröffentlichter Text oder ein Bild nach Artikel 50 der KI-Verordnung zu kennzeichnen ist, klärt [Rolle].

5. Neue Werkzeuge

Ein neues Werkzeug beantragt man bei [Adresse]. Geprüft werden Auftragsverarbeitungsvertrag, Ort der Verarbeitung, Speicherung und Training auf Eingaben sowie die Beteiligung von [Betriebsrat, Datenschutzbeauftragtem]. Die Antwort kommt innerhalb von [zehn Arbeitstagen].

6. Einweisung

Wer ein freigegebenes Werkzeug nutzt, wird vorher zu Funktionsweise, Grenzen und dieser Richtlinie eingewiesen — bei Einführung, bei Rollenwechsel und nach wesentlichen Änderungen. Teilnahme, Datum und Inhalt werden dokumentiert.

7. Fragen und Fehler

Fragen und Fehler, etwa vertrauliche Daten im falschen Werkzeug, meldet man sofort an [Adresse]. Die Meldung eines eigenen Fehlers hat für sich keine Nachteile.

8. Verhältnis zu anderen Regelungen

[Betriebsvereinbarung vom Datum], Datenschutz- und IT-Sicherheitsrichtlinie gehen dieser Richtlinie vor. [Streichen, was es nicht gibt.]

Ist eine KI-Richtlinie Pflicht?

Als Dokument nicht — und die Frage ist trotzdem berechtigt, weil drei Regelwerke Nachweise verlangen, die eine Richtlinie am günstigsten bündelt.

Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI einsetzt. Mit der Verordnung (EU) 2026/1744 lautet er seit dem 27. Juli 2026 milder: Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen, statt ein ausreichendes Maß sicherzustellen. Abschnitt 6 des Musters ist genau eine solche Maßnahme, mit Nachweis. Was dafür konkret zählt, steht unterSchulungspflicht in der Praxis.

Die DSGVO verlangt, dass Sie die Rechtmäßigkeit jeder Verarbeitung nachweisen können. Die Datenschutzkonferenz weist in ihrer Orientierungshilfe «Künstliche Intelligenz und Datenschutz» vom 6. Mai 2024 darauf hin, dass beim Einsatz von KI-Anwendungen häufig eine Datenschutz-Folgenabschätzung nötig ist. Abschnitte 3 und 5 des Musters sind die Stellen, an denen das entschieden wird.

Artikel 50 gilt seit dem 2. August 2026 und wurde nicht verschoben: Wer mit KI erzeugte Inhalte veröffentlicht, muss in bestimmten Fällen kennzeichnen. Abschnitt 4 legt fest, wer das prüft. Einzelheiten unterTransparenzpflichten.

Richtlinie oder Betriebsvereinbarung?

Beides, und zwar abgestimmt. Die Richtlinie ist eine Anweisung des Arbeitgebers; ob Mitbestimmung greift, hängt davon ab, wie die Werkzeuge in den Betrieb kommen. Stellt das Unternehmen sie selbst bereit, etwa über Firmenkonten, greift § 87 Abs. 1 Nr. 6 BetrVG, sobald ein System objektiv geeignet ist, Verhalten oder Leistung zu überwachen — auf die Absicht kommt es nicht an. Nach § 90 Abs. 1 Nr. 3 BetrVG ist der Betriebsrat schon bei der Planung des KI-Einsatzes zu unterrichten, und nach § 80 Abs. 3 Satz 2 BetrVG kann er dafür einen Sachverständigen hinzuziehen.

Die Gegenrichtung hat das ArbG Hamburg entschieden (Beschluss vom 16. Januar 2024, 24 BVGa 1/24): Erlaubt der Arbeitgeber nur, ChatGPT über private Konten im Browser zu nutzen, führt er keine technische Einrichtung ein, und auch die Regeln für diese Nutzung waren nicht mitbestimmungspflichtig. Für das Muster oben hilft die Entscheidung nicht — es schließt private Konten gerade aus und gibt Firmenkonten frei.

In Österreich gilt § 96 Abs. 1 Z 3 ArbVG, wenn Kontrollmaßnahmen die Menschenwürde berühren; ohne Betriebsrat tritt nach § 10 Abs. 1 AVRAG die Zustimmung der einzelnen Beschäftigten an die Stelle der Betriebsvereinbarung. Die Wirtschaftskammer bietet in ihrenKI-Guidelines für KMU(3. Auflage, April 2026) ein eigenes Muster mit Generator.

Wer Richtlinie und Betriebsvereinbarung getrennt schreibt, erzeugt Widersprüche, die im ungünstigsten Moment auffallen. Die Einzelheiten zu beiden Rechtsordnungen stehen unterKI und Betriebsrat.

Häufige Fragen

Ist eine KI-Richtlinie im Unternehmen Pflicht?+

Als Dokument nicht. Artikel 4 der KI-Verordnung verlangt seit dem 2. Februar 2025 Maßnahmen zur KI-Kompetenz — seit der Neufassung vom 27. Juli 2026 Maßnahmen, die ihre Entwicklung unterstützen. Die DSGVO verlangt, dass Sie die Rechtmäßigkeit der Verarbeitung nachweisen können. Eine bestimmte Form schreibt keine der beiden Regelungen vor. Eine Richtlinie ist nur der Ort, an dem sich mehrere dieser Nachweise am günstigsten bündeln lassen.

Was gehört in eine KI-Richtlinie für Mitarbeiter?+

Fünf Festlegungen: welche Werkzeuge freigegeben sind, welche Daten hineindürfen, wer Ergebnisse vor der Außenwirkung prüft, wie ein neues Werkzeug freigegeben wird und an wen man sich bei Fragen und Fehlern wendet. Dazu Stand, Verantwortliche und Termin der nächsten Überprüfung. Wiedergaben des Gesetzestexts gehören nicht hinein.

Gibt es ein Muster als PDF, etwa von der IHK oder der WKO?+

Ja. Die GDD veröffentlicht eine Musterrichtlinie, mehrere IHKs Leitfäden, und die WKO bietet in ihren «KI-Guidelines für KMU» (3. Auflage, April 2026) ein Muster samt Online-Generator. Das Muster auf dieser Seite ist absichtlich kein PDF: Es erzwingt die Stellen, die Sie selbst ausfüllen müssen, statt sie mit Beispielwerten zu füllen, die ein anderes Unternehmen beschreiben.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?+

Nach dem ArbG Hamburg nicht, solange der Arbeitgeber nur die Nutzung über private Konten erlaubt und regelt (Beschluss vom 16. Januar 2024, 24 BVGa 1/24). Stellt das Unternehmen die Werkzeuge selbst bereit — etwa über Firmenkonten, wie es eine brauchbare Richtlinie vorsieht —, greift § 87 Abs. 1 Nr. 6 BetrVG, wenn das System objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Unterrichten müssen Sie den Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG schon bei der Planung. In Österreich gilt § 96 Abs. 1 Z 3 ArbVG. Richtlinie und Betriebsvereinbarung entstehen deshalb am besten gemeinsam.

Ist der EU AI Act eine Richtlinie?+

Nein, eine Verordnung — die Verordnung (EU) 2024/1689. Sie gilt in allen Mitgliedstaaten unmittelbar und muss nicht in nationales Recht umgesetzt werden. Nationale Gesetze regeln nur Aufsicht und Durchführung — in Deutschland seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Die Pflichten für Anwender stehen in der Verordnung selbst. Mit der innerbetrieblichen KI-Richtlinie hat der Begriff nichts zu tun.

Wie oft sollte die Richtlinie überprüft werden?+

Ein Intervall schreibt niemand vor. Praktikabel ist: bei jedem neu freigegebenen Werkzeug die Tabelle ergänzen und die ganze Richtlinie halbjährlich gegen die tatsächliche Nutzung prüfen. Eine veraltete Richtlinie ist schlechter als keine, weil sie eine Sicherheit vortäuscht, die es nicht mehr gibt.

Erst das freigegebene Werkzeug, dann die Regel

Eine Richtlinie wird befolgt, wenn der freigegebene Weg die Arbeit genauso gut erledigt wie der private. In der Einführung stellen wir diesen Weg bereit — mit Verarbeitung in der EU — und schreiben die Richtlinie zusammen mit der Betriebsvereinbarung.

Wie wir KI einführen Begriff im Glossar

Zuletzt aktualisiert: 28. September 2026