Eine KI-Richtlinie legt verbindlich fest, wie Mitarbeitende KI-Tools nutzen dürfen: Geltungsbereich, erlaubte und verbotene Anwendungen, Datenregeln, Freigabeprozess für neue Tools, Kennzeichnung von KI-Inhalten und Schulungspflichten. Sie ist das wichtigste Einzeldokument der KI-Governance — sie kanalisiert Schatten-KI, stützt die Schulungspflicht nach Art. 4 der KI-Verordnung und bildet den Grundstein für ein Managementsystem nach ISO/IEC 42001. Umfang: vier bis acht Seiten reichen.
In den meisten Unternehmen wird längst mit KI gearbeitet — nur eben ungeregelt. Mitarbeitende nutzen private Accounts für Firmentexte, niemand weiß, welche Daten in welche Tools fließen, und ob ein KI-generiertes Angebot vor dem Versand geprüft wird, hängt vom Zufall ab. Das Risiko liegt dabei weniger in der KI selbst als im Wildwuchs: Ohne Regeln entsteht Schatten-KI, und die Geschäftsführung haftet für eine Nutzung, die sie weder kennt noch steuert.
Die Antwort ist ein erstaunlich unbürokratisches Dokument: eine KI-Richtlinie von vier bis acht Seiten. Dieser Artikel liefert die komplette Musterstruktur mit allen zehn Abschnitten, konkrete Formulierungsbeispiele für erlaubte und verbotene Nutzung, die Datenregeln nach Vertraulichkeitsklassen und den Freigabeprozess für neue Tools — plus den Weg von der Richtlinie zum zertifizierbaren Managementsystem.
Warum eine KI-Richtlinie? Drei handfeste Gründe
Eine KI-Richtlinie ist kein Bürokratieprojekt, sondern löst drei reale Probleme:
- Schatten-KI kanalisieren: Verbote funktionieren nicht — wer KI-Tools pauschal sperrt, treibt die Nutzung in private Accounts auf privaten Geräten, wo keine Kontrolle mehr greift. Eine Richtlinie mit freigegebenen Tools und klaren Regeln macht den legalen Weg zum bequemsten.
- Rechtspflichten erfüllen: Die Schulungspflicht nach Art. 4 der KI-Verordnung gilt seit Februar 2025 für alle Unternehmen, die KI einsetzen; seit August 2026 kommen die Transparenzpflichten nach Art. 50 hinzu — etwa die Kennzeichnung von KI-generierten Inhalten gegenüber Dritten (Stand: September 2026). Eine Richtlinie dokumentiert, dass das Unternehmen diese Pflichten organisiert hat, und ist der natürliche Ort für die Kennzeichnungsregeln.
- Haftung begrenzen: Gibt ein Mitarbeiter Kundendaten in ein öffentliches Tool ein, stellt sich sofort die Frage nach dem Organisationsverschulden: Gab es Regeln? Wurden sie geschult? Ohne Richtlinie lautet die Antwort zweimal Nein — und die Verantwortung liegt voll bei der Geschäftsführung. Mit dokumentierten Regeln und Schulungsnachweisen sieht die Lage deutlich besser aus.
Dazu kommt ein weicher Faktor, der oft unterschätzt wird: Eine Richtlinie beendet die Unsicherheit. Viele Mitarbeitende nutzen KI heimlich oder gar nicht, weil unklar ist, was erlaubt ist. Klare Regeln geben Sicherheit in beide Richtungen.
Die Musterstruktur: zehn Abschnitte, die sich bewährt haben
Die folgende Struktur deckt alle relevanten Themen ab und bleibt trotzdem schlank. Die Seitenangaben sind Richtwerte für ein KMU:
| Abschnitt | Inhalt | Umfang |
|---|---|---|
| 1. Zweck und Geltungsbereich | Warum es die Richtlinie gibt; für wen sie gilt (alle Mitarbeitenden, Freelancer, Zeitarbeitskräfte); welche Systeme erfasst sind (auch KI-Funktionen in Standardsoftware) | 0,5 Seiten |
| 2. Begriffe und Grundsätze | Was als KI-System gilt; Leitprinzipien: menschliche Letztverantwortung, Transparenz, Datenschutz | 0,5 Seiten |
| 3. Freigegebene Tools | Liste der zugelassenen KI-Tools mit Einsatzzweck und Account-Typ (nur Firmen-Accounts); Verweis auf das gepflegte KI-Inventar | 0,5 Seiten |
| 4. Erlaubte Nutzung | Konkrete zulässige Anwendungsfälle je Bereich (Texterstellung, Recherche, Code-Unterstützung, Übersetzung) | 0,5–1 Seite |
| 5. Verbotene Nutzung | Explizite Verbote: bestimmte Datenarten, bestimmte Anwendungsfälle, private Accounts für Firmenzwecke | 0,5–1 Seite |
| 6. Datenregeln | Welche Daten in welche Tools dürfen — nach Vertraulichkeitsklassen geordnet | 1 Seite |
| 7. Prüfung und Kennzeichnung | Human-in-the-Loop-Regeln: Was vor Verwendung geprüft werden muss; wann KI-Inhalte gekennzeichnet werden (Art. 50 KI-VO) | 0,5 Seiten |
| 8. Freigabeprozess für neue Tools | Wie neue Tools beantragt, geprüft und ins Inventar aufgenommen werden; wer entscheidet | 0,5 Seiten |
| 9. Schulung und Verantwortlichkeiten | Pflichtschulung nach Art. 4 KI-VO, Auffrischungsturnus, benannter KI-Koordinator, Meldeweg bei Vorfällen | 0,5 Seiten |
| 10. Verstöße und Inkrafttreten | Konsequenzen bei Verstößen, Überprüfungsturnus der Richtlinie (mindestens jährlich), Versionsstand | 0,5 Seiten |
Insgesamt also fünf bis sieben Seiten. Alles darüber hinaus senkt die Wahrscheinlichkeit, dass die Richtlinie gelesen wird — und eine ungelesene Richtlinie schützt niemanden.
Erlaubte und verbotene Nutzung: konkret statt schwammig
Der häufigste Fehler in KI-Richtlinien sind Gummiformulierungen wie „KI ist verantwortungsvoll zu nutzen". Damit kann kein Mitarbeiter im Alltag etwas anfangen. Besser sind konkrete Fallgruppen. Bewährte Beispiele für den Erlaubt-Katalog:
- Entwürfe für Texte, Präsentationen und E-Mails erstellen — mit Prüfung vor Verwendung
- Recherche und Zusammenfassungen öffentlich zugänglicher Informationen
- Unterstützung beim Programmieren mit freigegebenen Coding-Tools
- Übersetzungen interner Dokumente ohne vertrauliche Inhalte
- Brainstorming, Gliederungen, Formulierungsvarianten
Und für den Verboten-Katalog:
- Eingabe personenbezogener Daten (Kunden, Mitarbeitende, Bewerber) in Tools ohne Auftragsverarbeitungsvertrag
- Eingabe von Geschäftsgeheimnissen: Kalkulationen, Quellcode, Verträge, Konstruktionsdaten — außer in ausdrücklich dafür freigegebene Tools
- Nutzung privater KI-Accounts für dienstliche Zwecke
- Automatisierte Entscheidungen über Menschen (Einstellung, Kündigung, Bewertung) ohne menschliche Endentscheidung
- Ungeprüfte Übernahme von KI-Ergebnissen in Angebote, Verträge oder Veröffentlichungen
- Erstellung täuschend echter Medieninhalte ohne Kennzeichnung
Der Trick liegt im Dreiklang: pauschal erlauben, was harmlos ist; pauschal verbieten, was gefährlich ist; und für die Grauzone dazwischen den Freigabeprozess anbieten. So bleibt die Richtlinie kurz und trotzdem vollständig.
Datenregeln: die Ampel nach Vertraulichkeitsklassen
Herzstück jeder KI-Richtlinie sind die Datenregeln — hier passieren die teuersten Fehler. Am praktikabelsten ist eine Ampellogik entlang der Datenklassifizierung, die viele Unternehmen aus der Informationssicherheit bereits kennen:
- Grün — öffentliche Informationen: Website-Texte, veröffentlichte Broschüren, allgemeines Fachwissen. Dürfen in alle freigegebenen Tools.
- Gelb — interne Informationen: Interne Präsentationen, Prozessbeschreibungen, nicht-vertrauliche Arbeitsdokumente. Dürfen nur in Tools mit Firmen-Account, abgeschlossenem Auftragsverarbeitungsvertrag und deaktivierter Trainingsnutzung.
- Rot — vertrauliche und personenbezogene Daten: Kundendaten, Personaldaten, Kalkulationen, Verträge, Quellcode, Gesundheitsdaten. Dürfen grundsätzlich in kein externes KI-Tool — Ausnahmen nur nach Einzelfreigabe durch Geschäftsführung und Datenschutzbeauftragten, etwa für selbst gehostete oder vertraglich besonders abgesicherte Systeme.
Zwei Ergänzungen machen die Regeln alltagstauglich: Erstens eine Anonymisierungsregel — aus „Herr Müller von der Firma Schmidt GmbH hat reklamiert" wird „ein Kunde hat reklamiert", dann darf der Fall auch in ein gelbes Tool. Zweitens eine Zweifelsregel: Wer unsicher ist, fragt den KI-Koordinator, bevor er eingibt. Diese eine Zeile fängt in der Praxis die meisten Grenzfälle ab.
Der Freigabeprozess: neue Tools kontrolliert aufnehmen
Ohne Freigabeprozess veraltet jede Richtlinie in Monaten, weil ständig neue Tools auftauchen. Der Prozess muss schnell sein — dauert die Freigabe sechs Wochen, nutzen die Mitarbeitenden das Tool längst inoffiziell. Ein bewährter Ablauf in vier Schritten:
- Antrag (Fachabteilung, 10 Minuten): Kurzes Formular: Welches Tool, wofür, welche Datenarten, wie viele Nutzer? Mehr Angaben braucht der Erstcheck nicht.
- Prüfung (KI-Koordinator plus Datenschutz, Ziel: 5 Arbeitstage): Anbieter und Vertragsbedingungen prüfen (Serverstandort, Auftragsverarbeitung, Trainingsnutzung der Eingaben, Exportmöglichkeit), Risikoeinstufung nach der Logik der KI-Verordnung, kurze Risikobewertung nach dem etablierten Schema.
- Entscheidung: Freigabe, Freigabe mit Auflagen (etwa: nur grüne Daten, nur bestimmte Abteilung) oder begründete Ablehnung mit Alternative. Bei hohem Risiko entscheidet die Geschäftsführung.
- Aufnahme ins KI-Inventar: Tool, Zweck, Datenfreigabe-Stufe, Verantwortlicher und Prüfdatum werden im Inventar dokumentiert; die Liste der freigegebenen Tools in der Richtlinie verweist auf dieses Inventar, damit nicht bei jedem neuen Tool die ganze Richtlinie geändert werden muss.
Wichtig ist die Rückholschleife: Einmal jährlich wird das Inventar durchgesehen — Tools, die niemand mehr nutzt, fliegen raus; Tools, deren Anbieter die Bedingungen geändert hat, werden neu bewertet.
Schulung und Verankerung: von der Unterschrift zur Gewohnheit
Eine Richtlinie, die nur im Intranet liegt, ändert kein Verhalten. Drei Maßnahmen sorgen für Verankerung:
- Pflichtschulung mit Nachweis: Die Erstschulung (60 bis 90 Minuten reichen für Büroarbeitsplätze) erklärt die Regeln an echten Beispielen aus dem Arbeitsalltag — idealerweise mit Fällen aus dem eigenen Unternehmen. Teilnahme wird dokumentiert; das ist zugleich der Nachweis für die Schulungspflicht nach Art. 4 der KI-Verordnung. Auffrischung mindestens jährlich oder bei wesentlichen Änderungen.
- Rollenspezifische Vertiefung: Entwickler, Marketing und Personalabteilung haben unterschiedliche Risikoprofile — 20 zusätzliche Minuten je Zielgruppe wirken mehr als eine Stunde Allgemeines für alle.
- Kenntnisnahme dokumentieren: Jeder Mitarbeitende bestätigt die Richtlinie schriftlich oder digital — bei Einstellung und nach jeder wesentlichen Überarbeitung. Besteht ein Betriebsrat, ist er früh einzubinden; Regelungen mit Kontrollbezug können mitbestimmungspflichtig sein.
Für Unternehmen, die mehr wollen, ist die Richtlinie der natürliche Grundstein eines KI-Managementsystems: ISO/IEC 42001 verlangt in Control-Bereich A.2 genau eine solche KI-Politik und baut darauf Risikoprozess, Folgenabschätzung und Lieferantensteuerung auf. Wer Richtlinie, Inventar, Freigabeprozess und Schulungen sauber betreibt, hat für eine spätere Zertifizierung bereits das Fundament gelegt — der Rest ist Systematisierung, nicht Neuanfang.
Häufige Fragen
Das Dokument selbst nicht — kein Gesetz verlangt wörtlich eine „KI-Richtlinie". Faktisch führt aber kaum ein Weg daran vorbei: Die Schulungspflicht nach Art. 4 der KI-Verordnung (seit Februar 2025) und die Transparenzpflichten nach Art. 50 (seit August 2026) müssen organisiert und nachweisbar sein, die DSGVO verlangt geregelte Verarbeitungen, und die Geschäftsführung muss ihrer Organisationspflicht nachkommen. Die Richtlinie ist der einfachste Nachweis für all das. Stand: September 2026.
Vier bis acht Seiten haben sich für KMU bewährt. Kürzer wird es lückenhaft — die Datenregeln und der Freigabeprozess brauchen Substanz. Länger wird es ungelesen: Eine 30-Seiten-Richtlinie schützt auf dem Papier und versagt im Alltag. Der Trick für Schlankheit: Die Liste freigegebener Tools ins separate KI-Inventar auslagern und in der Richtlinie nur darauf verweisen. Dann muss bei jedem neuen Tool nicht das ganze Dokument geändert werden.
Rechtlich ja, praktisch funktioniert es selten. Totalverbote verlagern die Nutzung in private Accounts auf privaten Geräten — dort greifen weder technische Kontrollen noch Schulungen, und das Risiko steigt statt zu sinken. Sinnvoller ist der kontrollierte Weg: wenige geprüfte Tools mit Firmen-Accounts freigeben, klare Datenregeln setzen und den Rest über den Freigabeprozess steuern. Ein gezieltes Verbot einzelner riskanter Anwendungsfälle bleibt davon unberührt.
Häufig ja, zumindest teilweise. Sobald die Richtlinie Regelungen enthält, die das Verhalten der Mitarbeitenden ordnen oder eine Leistungs- und Verhaltenskontrolle ermöglichen — etwa Protokollierung der Tool-Nutzung — greifen Mitbestimmungsrechte nach § 87 BetrVG. Der pragmatische Weg: den Betriebsrat vor dem ersten Entwurf einbinden und die Richtlinie gegebenenfalls als Betriebsvereinbarung ausgestalten. Das erhöht nebenbei die Akzeptanz in der Belegschaft deutlich.
Mindestens jährlich planmäßig — der KI-Markt und die Rechtslage ändern sich schnell — plus anlassbezogen: bei neuen Rechtspflichten (etwa den gestuften Fristen der KI-Verordnung), bei wesentlichen neuen Tools oder nach Vorfällen. Das Tool-Inventar sollte laufend gepflegt werden, die Richtlinie selbst bleibt dank Verweis-Konstruktion stabiler. Jede Änderung mit Versionsnummer und Datum dokumentieren und ab wesentlichen Änderungen neu schulen.
Sie ist der Einstiegsbaustein. ISO/IEC 42001 verlangt in Control-Bereich A.2 eine dokumentierte KI-Politik als Fundament des Managementsystems — die Unternehmensrichtlinie erfüllt genau diese Funktion. Auch KI-Inventar, Freigabeprozess und Schulungsnachweise sind Elemente, die die Norm ohnehin fordert. Wer die Richtlinie sauber lebt, hat einen erheblichen Teil des Wegs zur Zertifizierung bereits zurückgelegt; es fehlen dann vor allem Risikoprozess, Folgenabschätzung und Auditzyklus.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT