KI-Richtlinie für Unternehmen erstellen – Vorlage & Bausteine für den internen KI-Umgang

Immer mehr Mitarbeiter nutzen KI-Tools wie ChatGPT, Copilot oder Gemini – oft ohne klare Spielregeln. Das erzeugt Risiken: Vertrauliche Daten landen bei Drittanbietern, KI-Ausgaben werden ungeprüft übernommen, Verantwortlichkeiten bleiben unklar. Eine interne KI-Richtlinie schafft Orientierung und reduziert das Haftungsrisiko erheblich.

Dieser Artikel zeigt, wie eine praxistaugliche KI-Nutzungsrichtlinie aufgebaut ist, welche sieben Bausteine sie enthalten sollte – und liefert direkt verwendbare Musterabschnitte zum Anpassen.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für verbindliche rechtliche Einschätzungen wenden Sie sich bitte an eine qualifizierte Kanzlei.*

Warum eine KI-Richtlinie jetzt notwendig ist

Wer in seinem Unternehmen KI-Systeme einsetzt oder duldet, trägt Verantwortung dafür, wie diese eingesetzt werden. Das ergibt sich nicht nur aus dem gesunden Unternehmensinteresse, sondern zunehmend auch aus regulatorischen Pflichten:

• Art. 4 EU AI Act verpflichtet Betreiber von KI-Systemen, nach besten Kräften für ausreichende KI-Kompetenz ihres Personals zu sorgen. Eine schriftliche KI-Richtlinie ist ein zentrales Element dieses Kompetenz- und Dokumentationsrahmens. (Art. 4 enthält keinen eigenen Bußgeldtatbestand; Risiken entstehen über die allgemeinen Compliance- und Haftungsebenen des EU AI Act sowie über andere Rechtsgebiete.)
• DSGVO: Der Einsatz externer KI-Dienste ist häufig mit Datenübermittlungen an Drittländer verbunden. Ohne Richtlinie fehlt die interne Steuerung, was personenbezogene Daten betrifft.
• Arbeitsrecht und Haftung: Wenn Mitarbeitende KI-generierte Inhalte ohne Prüfung weitergeben oder Entscheidungen automatisch übernehmen, trägt das Unternehmen die Konsequenzen.

Eine KI-Richtlinie ist kein bürokratischer Zusatz. Sie schützt das Unternehmen – und gibt Mitarbeitenden die Sicherheit, die sie für einen souveränen Umgang mit KI brauchen.

Die 7 Bausteine einer internen KI-Richtlinie

Baustein 1: Geltungsbereich

Der Geltungsbereich legt fest, für wen und für welche Systeme die Richtlinie gilt. Ohne klare Abgrenzung entstehen Lücken.

Was hineingehört:

• Welche Personen sind erfasst: alle Mitarbeitenden, bestimmte Abteilungen, Freelancer, externe Dienstleister?
• Welche KI-Systeme fallen darunter: nur genehmigte Unternehmenstools, oder auch privat genutzte Tools am Arbeitsplatz?
• Gilt die Richtlinie auch für die Nutzung auf Privatgeräten, wenn damit dienstliche Aufgaben erledigt werden?

Musterabschnitt:

Diese Richtlinie gilt für alle Mitarbeiterinnen und Mitarbeiter, Praktikanten sowie externen Auftragnehmer, die im Auftrag von [Unternehmensname] tätig sind, unabhängig davon, ob sie unternehmenseigene oder private Geräte nutzen. Sie erfasst den Einsatz aller KI-gestützten Werkzeuge und Dienste, die im Rahmen betrieblicher Tätigkeiten verwendet werden – einschließlich, aber nicht beschränkt auf: ChatGPT, Microsoft Copilot, Google Gemini, GitHub Copilot sowie vergleichbare Dienste.

Baustein 2: Erlaubte und verbotene Tools

Ohne eine klare Liste genehmigter Tools können Mitarbeitende nicht wissen, welche Dienste zulässig sind. Gleichzeitig muss die Richtlinie Verbote begründen, damit sie akzeptiert und eingehalten werden.

Was hineingehört:

• Liste freigegebener KI-Dienste (idealerweise mit Nutzungszweck und ggf. Konfigurationsvorgaben wie Enterprise-Modus)
• Verbotene oder nicht freigegebene Tools (mit Begründung, z. B. fehlende DSGVO-Konformität)
• Verfahren für die Beantragung neuer Tools

Musterabschnitt:

Folgende KI-Dienste sind für dienstliche Zwecke freigegeben: [Liste eintragen, z. B. Microsoft 365 Copilot im konfigurierten Unternehmensmodus]. Die Nutzung nicht freigegebener KI-Dienste für betriebliche Aufgaben ist ohne vorherige Genehmigung untersagt. Mitarbeitende, die einen neuen KI-Dienst einsetzen möchten, wenden sich an [Ansprechpartner/Stelle]. Der Einsatz erfolgt erst nach Freigabe.

Baustein 3: Datenschutz und Vertraulichkeit

Dieser Baustein ist besonders kritisch: Viele externe KI-Dienste nutzen eingegebene Daten für das Training ihrer Modelle – oder übermitteln sie in Drittländer ohne ausreichendes Schutzniveau.

Was hineingehört:

• Welche Datenkategorien dürfen nicht in externe KI-Dienste eingegeben werden (personenbezogene Daten, Geschäftsgeheimnisse, Mandanten-/Kundendaten, Gesundheitsdaten, Finanzinformationen)
• Hinweis auf Drittlandübermittlung und DSGVO-Pflichten (Auftragsverarbeitungsvertrag, Art. 44 ff. DSGVO)
• Technische Vorgaben, falls verfügbar (z. B. Enterprise-Modus ohne Datennutzung für Training)

Musterabschnitt:

In externe KI-Systeme dürfen keine personenbezogenen Daten im Sinne der DSGVO, keine Geschäftsgeheimnisse, keine Kunden- oder Mandantendaten sowie keine vertraulichen internen Informationen (z. B. Vertragsdetails, Finanzdaten, strategische Planungen) eingegeben werden. Soweit KI-Dienste personenbezogene Daten verarbeiten, ist sicherzustellen, dass ein gültiger Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO vorliegt und die Voraussetzungen für eine Drittlandübermittlung nach Art. 44 ff. DSGVO erfüllt sind. Die Rechtsabteilung/IT-Compliance prüft freigegebene Dienste auf diese Voraussetzungen vorab.

Baustein 4: Umgang mit Halluzinationen und Verifikation

KI-Systeme können plausibel klingende, aber faktisch falsche Ausgaben erzeugen – sogenannte Halluzinationen. Ohne klare Vorgaben wird dieser Umstand unterschätzt.

Was hineingehört:

• Pflicht zur inhaltlichen Prüfung aller KI-Ausgaben vor Weiterverwendung
• Besondere Sorgfaltspflicht bei kritischen Bereichen: juristische Aussagen, medizinische Inhalte, Zitate, Zahlen, Quellenangaben
• Vorgabe, wie mit ungeprüften Ausgaben umzugehen ist

Musterabschnitt:

KI-Systeme erzeugen Ausgaben, die inhaltlich fehlerhaft oder erfunden sein können, ohne dies kenntlich zu machen. Jede KI-generierte Ausgabe, die in betrieblichen Dokumenten, Kommunikationen oder Entscheidungsprozessen verwendet wird, muss vor der Verwendung fachlich überprüft werden. Zahlen, Rechtsbezüge, Quellenangaben und Faktenbehauptungen sind grundsätzlich anhand verlässlicher Primärquellen zu verifizieren. Die Verantwortung für den Inhalt liegt immer bei der nutzenden Person, nicht beim KI-System.

Baustein 5: Kennzeichnung KI-generierter Inhalte

Ob und wie KI-Inhalte zu kennzeichnen sind, ist rechtlich nicht abschließend geregelt – intern sollte es aber klar sein, um Transparenz und Haftung zu gewährleisten.

Was hineingehört:

• Pflicht zur Kennzeichnung bei extern verwendeten Inhalten (z. B. Marketingtexte, Fachartikel, Angebote)
• Interne Regelung für Dokumente und E-Mails
• Hinweise auf sektorspezifische Kennzeichnungspflichten (z. B. nach dem EU AI Act für KI-generierte Inhalte im Sinn des Art. 50)

Musterabschnitt:

Inhalte, die wesentlich durch KI-Systeme erstellt oder bearbeitet wurden und nach außen kommuniziert werden (z. B. Veröffentlichungen, Pressemitteilungen, Angebote, Fachartikel), sind als KI-gestützt zu kennzeichnen, sofern dies für das Verständnis oder die Bewertung durch den Empfänger relevant ist. Intern erstellt KI-Ausgaben, die als Grundlage für Entscheidungen dienen, werden als solche in der Ablage markiert. [Unternehmensname] beobachtet die Entwicklung sektorspezifischer Kennzeichnungspflichten und passt diese Richtlinie entsprechend an.

Baustein 6: Verantwortlichkeiten

Eine Richtlinie ohne klare Zuständigkeiten bleibt wirkungslos. Wer verantwortet die Tool-Freigabe? Wer nimmt Verstöße entgegen? Wer aktualisiert die Richtlinie?

Was hineingehört:

• Benennung einer verantwortlichen Stelle (KI-Verantwortliche:r, IT-Compliance, Datenschutzbeauftragte:r)
• Zuständigkeiten für Tool-Freigabe, Schulungsplanung, Richtlinienpflege
• Meldeprozess für Verstöße oder Zwischenfälle

Musterabschnitt:

Verantwortlich für die Pflege und Aktualität dieser Richtlinie ist [Stelle/Person]. Die Freigabe neuer KI-Tools erfolgt durch [IT/Compliance/Geschäftsführung]. Verstöße gegen diese Richtlinie oder Vorfälle im Zusammenhang mit dem KI-Einsatz (z. B. versehentliche Datenweitergabe) sind unverzüglich an [Ansprechpartner/Stelle] zu melden. Die Bundesnetzagentur ist seit 2025 als nationale Marktaufsichtsbehörde für den EU AI Act zuständig; interne Meldewege nach dieser Richtlinie ersetzen nicht etwaige gesetzliche Meldepflichten.

Baustein 7: Schulung und Nachweis

Hier schließt die KI-Richtlinie direkt an die Kompetenzpflicht aus Art. 4 EU AI Act an. Eine Richtlinie, die nicht von geschulten Mitarbeitenden umgesetzt wird, verliert ihren Schutzcharakter.

Was hineingehört:

• Pflicht zur Grundschulung aller Mitarbeitenden mit KI-Zugang vor erstmaliger Nutzung
• Rollenspezifische Vertiefungsschulungen für intensive Nutzer oder Hochrisiko-Anwendungen
• Dokumentationsanforderungen (Teilnahmebestätigung, Abschlussprüfung, Zertifikat)
• Wiederholungsintervall

Musterabschnitt:

Alle Mitarbeitenden, die KI-Systeme dienstlich nutzen, müssen vor erstmaliger Nutzung eine Grundschulung zur KI-Kompetenz absolvieren und erfolgreich abschließen. Der Abschluss ist durch ein personalisiertes Zertifikat oder eine gleichwertige Teilnahmebestätigung mit Prüfungsnachweis zu belegen. Die Schulungsnachweise werden zentral abgelegt und sind auf Anfrage der Aufsichtsbehörde vorzulegen. Für Mitarbeitende mit intensivem oder risikorelevantem KI-Einsatz sind ergänzende Vertiefungsschulungen verpflichtend. Eine Auffrischungsschulung erfolgt mindestens alle [12/24] Monate oder bei wesentlichen Änderungen im KI-Einsatz des Unternehmens. Damit erfüllt [Unternehmensname] die Anforderungen an die KI-Kompetenz nach Art. 4 EU AI Act nach besten Kräften.

Schritt-für-Schritt: So führen Sie die Richtlinie ein

Eine KI-Richtlinie ist nur wirksam, wenn sie bekannt und gelebt wird. Die Einführung läuft am besten in vier Schritten:

1. Bestandsaufnahme: Welche KI-Tools werden bereits genutzt? Von wem, für welche Zwecke? (Oft gibt es mehr Nutzung als bekannt – sog. Shadow AI.)
2. Entwurf und Abstimmung: Richtlinie auf Basis der sieben Bausteine erstellen, mit Datenschutzbeauftragten und – soweit vorhanden – dem Betriebsrat abstimmen.
3. Schulung vor Einführung: Alle Mitarbeitenden informieren und schulen, bevor die Richtlinie in Kraft tritt. Zertifizierter Nachweis sichert das Compliance-Dokument ab.
4. Dokumentation und Pflege: Richtlinie versionieren, zentral zugänglich machen, Änderungen dokumentieren.

Wer die Schritte 1–4 abgeschlossen hat, sollte sicherstellen, dass die Schulungsnachweise vollständig vorliegen. Unser Artikel Checkliste: KI-Kompetenz rechtssicher dokumentieren beschreibt, was dabei zu beachten ist.

Interne KI-Richtlinie und Art. 4 EU AI Act: Wie beides zusammengehört

Eine schriftliche KI-Nutzungsrichtlinie ist kein Ersatz für die KI-Kompetenzschulung nach Art. 4 – sie ist deren betrieblicher Rahmen. Die Richtlinie regelt, was erlaubt ist und welche Sorgfaltspflichten gelten. Die Schulung vermittelt das Wissen, diese Regeln sicher anzuwenden.

Wer noch nicht weiß, ob sein Unternehmen überhaupt unter Art. 4 fällt, findet eine Einordnung in unserem Artikel KI-Kompetenz-Pflicht – wen betrifft Art. 4 EU AI Act konkret?. Was die Schulung inhaltlich leisten muss, erklärt KI-Schulung Mitarbeiter: Anforderungen, Inhalte, Nachweis.

Für Unternehmen, die den sicheren Umgang mit KI-Tools direkt vermitteln wollen, bieten unsere 10 Regeln für ChatGPT am Arbeitsplatz eine kompakte Grundlage, die direkt in die Schulung einfließen kann.

Fazit: Eine KI-Richtlinie schützt – wenn sie konkret und gelebt ist

Eine allgemein gehaltene Absichtserklärung reicht nicht. Eine wirksame KI-Guideline für Mitarbeiter nennt konkret erlaubte und verbotene Tools, regelt den Datenschutz, schreibt Verifikation vor und schließt mit einem verbindlichen Schulungsnachweis ab.

Die sieben Bausteine in diesem Artikel decken die wichtigsten Bereiche ab. Nutzen Sie die Musterabschnitte als Ausgangspunkt und passen Sie sie auf die Realität Ihres Unternehmens an.

Nächster Schritt: Schulungsnachweis für Ihr Team

Eine schriftliche KI-Richtlinie ist der Rahmen – der Schulungsnachweis ist der Beleg, dass Mitarbeitende die Regeln verstehen und anwenden können. Das KI-Kompetenz-Zertifikat nach Art. 4 von ki-zertifizieren.de umfasst 5–7 Lernmodule, eine Abschlussprüfung und ein personalisiertes PDF-Zertifikat mit Verifizierungs-ID – in unter 60 Minuten, für 47 € pro Person.

Für Teams bietet das Firmen-Portal eine zentrale Verwaltung: Mitarbeitende einladen, Fortschritt überwachen, Nachweise zentral herunterladen – genau das, was eine Compliance-Dokumentation nach Art. 4 braucht.

Nicht sicher, wo Ihr Unternehmen gerade steht? Der kostenlose KI-Kompetenz-Schnellcheck gibt Ihnen in unter 5 Minuten eine erste Einschätzung – ohne Anmeldung.