Die meisten Unternehmen, die wir beraten, haben keine KI-Richtlinie — sondern ein Vakuum. Mitarbeitende nutzen ChatGPT, Copilot oder Gemini nach eigenem Ermessen, mal mit dem Diensthandy, mal mit dem privaten Account. Kundendaten landen unkontrolliert in öffentlichen Tools, niemand weiß, welche Ergebnisse geprüft und welche ungeprüft übernommen wurden.
Eine schriftliche KI-Nutzungsrichtlinie beendet dieses Vakuum — vorausgesetzt, sie ist konkret genug, um im Alltag tatsächlich befolgt zu werden. Dieser Ratgeber zeigt den Aufbau, die notwendigen Inhalte und die häufigsten Fehler.
Inhaltsverzeichnis
- Warum eine KI-Nutzungsrichtlinie überhaupt nötig ist
- Der rechtliche Rahmen kurz erklärt
- Der Aufbau einer wirksamen KI-Richtlinie
- Diese Inhalte gehören zwingend hinein
- Freigegebene Tools klar benennen
- Datenklassen: Was darf in welches Tool?
- Wie Sie die Richtlinie im Team einführen
- Häufige Fehler
- Fazit
- Häufige Fragen
Warum eine KI-Nutzungsrichtlinie überhaupt nötig ist
Ohne Richtlinie entscheidet jede Person im Unternehmen individuell, was sie einer KI anvertraut. In der Praxis heißt das: Vertragsentwürfe, Kundendaten oder interne Kalkulationen landen in privaten ChatGPT-Accounts, weil es schneller geht als der offizielle Weg. Eine Richtlinie schafft hier keinen bürokratischen Mehraufwand, sondern das Gegenteil — klare Leitplanken, innerhalb derer sich Mitarbeitende sicher bewegen können, ohne bei jeder Anwendung einzeln nachzufragen.
Zusätzlich ist eine dokumentierte Richtlinie das sichtbarste Element, wenn es um den Nachweis von Sorgfalt geht — gegenüber Aufsichtsbehörden, Kunden mit eigenen Compliance-Anforderungen oder im Streitfall.
Der rechtliche Rahmen kurz erklärt
Zwei Rechtsrahmen sind für die meisten KMU relevant: Art. 4 EU AI Act verlangt ein ausreichendes Maß an KI-Kompetenz bei allen, die mit KI-Systemen arbeiten — eine schriftliche Richtlinie ist dabei ein zentraler Baustein, auch wenn der Digital Omnibus die genaue Formulierung der Pflicht gerade abschwächt (mehr dazu in unserem Artikel zur KI-Kompetenzpflicht). Und Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ zum Schutz personenbezogener Daten — eine KI-Richtlinie, die klärt, welche Daten in welche Tools dürfen, ist genau eine solche Maßnahme.
Eine Richtlinie ersetzt keine Rechtsberatung im Einzelfall, ist aber ein wesentlicher Baustein einer nachvollziehbaren Compliance-Dokumentation.
Der Aufbau einer wirksamen KI-Richtlinie
Eine Richtlinie, die niemand liest, hat keine Wirkung. Bewährt hat sich ein kurzes Dokument von zwei bis vier Seiten mit klarer Struktur statt eines juristischen Fließtexts:
- Geltungsbereich: Für wen gilt die Richtlinie — alle Mitarbeitenden, Freelancer, Praktikanten?
- Freigegebene Tools: Eine konkrete Liste, keine allgemeine Aussage wie „KI darf genutzt werden“.
- Datenklassen: Was darf hinein, was nicht — mit Beispielen statt Abstraktionen.
- Prüfpflicht: Wie werden KI-generierte Inhalte vor Verwendung kontrolliert?
- Kennzeichnung: Wann muss offengelegt werden, dass ein Inhalt KI-unterstützt entstanden ist (siehe Art. 50 EU AI Act zu Transparenzpflichten)?
- Verstöße: Was passiert bei Nichtbeachtung?
- Ansprechpartner: Wer beantwortet Zweifelsfälle?
Diese Inhalte gehören zwingend hinein
Checkliste: Mindestinhalt einer KI-Nutzungsrichtlinie
Freigegebene Tools klar benennen
Der häufigste Schwachpunkt in bestehenden Richtlinien: Sie sagen, dass KI genutzt werden darf, aber nicht, welche. Damit bleibt die Entscheidung wieder bei jeder einzelnen Person. Besser ist eine zentrale, DSGVO-konforme Plattform, über die alle gängigen Sprachmodelle nutzbar sind — etwa Langdock, das GPT, Claude, Gemini und weitere Modelle in einer Oberfläche mit EU-Serverstandort bündelt. Das reduziert die Richtlinie auf einen einzigen Satz: „Dienstlich wird ausschließlich über [Plattform] gearbeitet“ — statt einer langen Liste einzeln geprüfter Tools.
Datenklassen: Was darf in welches Tool?
| Datenklasse | Beispiel | In freigegebener Plattform (EU-Server, DSGVO-konform) | In öffentlichen KI-Tools ohne Vereinbarung |
|---|---|---|---|
| Öffentlich | Blogartikel-Entwürfe, allgemeine Recherchen | Erlaubt | Vertretbar |
| Intern | Interne Prozessbeschreibungen, Meeting-Notizen | Erlaubt | Nicht empfohlen |
| Personenbezogen | Kundendaten, Mitarbeiterdaten, Bewerbungen | Nur mit Auftragsverarbeitungsvertrag | Untersagt |
| Streng vertraulich | Verträge, Kalkulationen, Geschäftsgeheimnisse | Einzelfallprüfung | Untersagt |
Wie Sie die Richtlinie im Team einführen
Ein PDF per E-Mail zu verschicken reicht nicht — das zeigt die Erfahrung aus unseren Schulungen immer wieder. Wirksam wird eine Richtlinie erst durch drei Schritte: eine kurze Einführungsschulung mit konkreten Beispielen aus dem eigenen Arbeitsalltag, eine dokumentierte Bestätigung durch jede Person (nicht nur pauschal fürs Team) und ein fester Ansprechpartner für Zweifelsfälle, damit Unsicherheit nicht zu stillem Ignorieren der Richtlinie führt.
„Eine Richtlinie ohne Schulung ist ein Blatt Papier. Erst wenn Mitarbeitende verstehen, warum eine Regel existiert, wird sie auch im hektischen Arbeitsalltag eingehalten.“
Häufige Fehler
- Zu abstrakt formuliert: „KI ist verantwortungsvoll zu nutzen“ ist keine Handlungsanweisung.
- Nur von der IT verfasst: Ohne Einbindung von Vertrieb, Marketing und Geschäftsführung fehlen praxisnahe Beispiele aus den jeweiligen Bereichen.
- Einmal erstellt, nie aktualisiert: Neue Tools und neue Risiken erfordern eine Überarbeitung mindestens einmal jährlich.
- Keine Konsequenzen bei Verstößen: Ohne klaren Rahmen bleibt die Richtlinie unverbindlich.
- Richtlinie ohne freigegebene Plattform: Wer Regeln aufstellt, aber keine praktikable Alternative zu privaten Tools anbietet, produziert Schatten-IT.
Fazit: Konkret schlägt umfassend
Eine gute KI-Nutzungsrichtlinie ist kurz, konkret und wird aktiv geschult — nicht lang, juristisch und abgeheftet. Sie ist außerdem kein einmaliges Projekt, sondern lebt von regelmäßiger Aktualisierung, während sich KI-Tools und ihre Risiken weiterentwickeln.
Im HÖLL KI-Trainingsprogramm unterstützen wir aktiv beim Schreiben der eigenen KI-Richtlinie — nicht nur bei der Empfehlung, sondern in der praktischen Umsetzung für Ihr Unternehmen, inklusive der passenden DSGVO-konformen Plattform.
Häufige Fragen zur KI-Nutzungsrichtlinie
Ist eine KI-Nutzungsrichtlinie gesetzlich vorgeschrieben?
Eine bestimmte Form ist nicht vorgeschrieben, aber sie gilt als zentraler Baustein, um die Anforderungen aus Art. 4 EU AI Act (KI-Kompetenz) und Art. 32 DSGVO (technische und organisatorische Maßnahmen) nachvollziehbar zu erfüllen.
Wie lang sollte eine KI-Richtlinie sein?
Zwei bis vier Seiten mit klaren, konkreten Punkten sind in der Praxis wirksamer als lange juristische Dokumente. Entscheidend ist, dass Mitarbeitende sie tatsächlich lesen und anwenden können.
Dürfen Mitarbeitende private ChatGPT-Accounts für die Arbeit nutzen?
Das sollte die Richtlinie explizit regeln — in den meisten Fällen empfehlen wir, private Accounts für dienstliche Zwecke auszuschließen, da hier keine vertragliche Kontrolle über die Datenverarbeitung besteht.
Wie oft muss die Richtlinie aktualisiert werden?
Wir empfehlen mindestens eine jährliche Überprüfung, da sich sowohl die verfügbaren KI-Tools als auch die rechtlichen Rahmenbedingungen (etwa durch den Digital Omnibus) derzeit schnell weiterentwickeln.
