KI-Richtlinie für Unternehmen: Muster, Aufbau und Einführung

Eine KI-Richtlinie erfüllt drei Aufgaben gleichzeitig, und keine davon ist Selbstzweck.

Sie beantwortet die Frage der Mitarbeitenden. Wer im Alltag überlegt, ob er einen Kundentext in ein Sprachmodell kopieren darf, findet die Antwort entweder in einer Richtlinie oder gar nicht. Ohne Regel entscheidet jeder selbst — und zwar meist zugunsten der Bequemlichkeit.

Sie ist der Beleg gegenüber Dritten. Im Prüfungsfall ist die Richtlinie das Dokument, das zeigt, dass der Betrieb die Fragen gestellt und beantwortet hat. In Verbindung mit der dokumentierten Kenntnisnahme belegt sie zugleich, dass die Regeln bekannt gemacht wurden.

Sie gibt der Schulung ihren Inhalt. Eine Unterweisung nach Artikel 4 ohne Richtlinie vermittelt allgemeines Wissen über KI, aber nicht, was im eigenen Betrieb gilt. Erst zusammen ergeben beide ein Ganzes.

Nicht ausdrücklich. Die KI-Verordnung kennt keine Vorschrift, die von Betreibern eine KI-Richtlinie verlangt, so wie das Datenschutzrecht kein Richtliniengebot kennt. Sie verlangt allerdings Ergebnisse, die sich ohne ein solches Dokument kaum erreichen und noch schwerer belegen lassen: Maßnahmen zur KI-Kompetenz, den Ausschluss verbotener Praktiken, eine Transparenzpraxis, benannte Zuständigkeiten.

In der Praxis ist die Richtlinie deshalb weniger eine Pflicht als ein Hebel: ein Dokument, das mehrere Nachweise auf einmal trägt. Betriebe, die keines haben, führen die entsprechenden Belege in aller Regel gar nicht.

Eine Richtlinie, die trägt, deckt diese Punkte ab. Der Umfang je Punkt richtet sich nach Ihren Verhältnissen — die Gliederung bleibt gleich.

Geltungsbereich und Begriffe

Für wen gilt die Richtlinie, und was ist im Sinne dieses Dokuments ein KI-System? Der zweite Teil ist wichtiger, als er klingt: Ohne ihn diskutieren Sie später darüber, ob die Textvorschläge im Postfach dazugehören.

Erlaubte und verbotene Systeme

Eine benannte Liste freigegebener Werkzeuge, ein Verfahren zur Freigabe weiterer und eine ausdrückliche Regelung zu privaten Konten. Dieser Abschnitt ist die eigentliche Antwort auf Schatten-KI.

Umgang mit Daten

Welche Daten in welches System dürfen. Praktisch bewährt hat sich eine kurze Positivliste unkritischer Fälle und eine klare Negativliste: personenbezogene Daten, Gesundheitsdaten, Geschäftsgeheimnisse, Quelltext, Vertragsentwürfe.

Verbotene Praktiken

Die Tatbestände des Artikels 5, übersetzt in betriebliche Sprache. Ab dem 2. Dezember 2026 gehören die beiden neuen Verbote dazu, die durch die Änderungsverordnung eingefügt wurden — insbesondere das Verwendungsverbot für die Erzeugung intimen Bildmaterials identifizierbarer Personen, das jeden Betreiber unmittelbar trifft und mit einem Bildgenerator schnell erfüllt ist.

Menschliche Aufsicht und Verantwortlichkeit

Wer beaufsichtigt welches System, wer entscheidet über Freigaben, und in welchen Fällen darf eine KI-Ausgabe nicht ungeprüft übernommen werden.

Transparenz und Kennzeichnung

Wann ist offenzulegen, dass KI im Spiel war, und wie werden erzeugte Inhalte gekennzeichnet. Seit dem 2. August 2026 folgt das unmittelbar aus Artikel 50 — welche der vier dortigen Pflichten Ihren Betrieb trifft, steht auf der Seite KI-generierte Inhalte kennzeichnen.

Meldewege und Vorfälle

Wohin mit einer auffälligen Ausgabe, einem Datenabfluss, einem Verdacht. Ohne benannten Weg passiert im Ernstfall nichts.

Inkrafttreten, Fassung, Ansprechpartner

Datum, Versionsnummer, verantwortliche Person. Eine Richtlinie ohne Versionsstand lässt sich später nicht als Nachweis verwenden, weil unklar bleibt, was wann galt.

Die acht Kapitel oben ergeben zusammengesetzt die Gliederung, mit der sich ein erster Entwurf schreiben lässt. Sie steht hier bewusst als Gliederung mit Leitfragen und nicht als ausfüllbares Dokument — aus dem Grund, den die häufigen Fragen weiter unten ausführen: Eine Vorlage, die Systeme regelt, die es bei Ihnen nicht gibt, und Ihre tatsächlichen Anwendungsfälle auslässt, ist im Prüfungsfall eher belastend als hilfreich.

1. Zweck und Geltungsbereich. Für wen gilt das Dokument, ab wann, und was ist darin ein KI-System? Leitfrage: Fällt die Textvorschlagsfunktion im Postfach darunter?
2. Freigegebene Werkzeuge. Namentliche Liste als Anlage, damit sie sich ändern lässt, ohne die Richtlinie neu in Kraft zu setzen. Formulierungsbeispiel: Der Einsatz von KI-Systemen für dienstliche Zwecke ist auf die in Anlage 1 genannten Werkzeuge beschränkt.
3. Freigabe weiterer Werkzeuge. Wer entscheidet, in welcher Frist, und wohin geht die Anfrage? Ohne diesen Absatz wandert die Nutzung in private Konten ab.
4. Umgang mit Daten. Positivliste unkritischer Fälle, Negativliste für personenbezogene Daten, Gesundheitsdaten, Geschäftsgeheimnisse, Quelltext und Vertragsentwürfe. Leitfrage: Wohin wendet sich jemand, der genau das braucht?
5. Verbotene Praktiken. Die Tatbestände des Artikels 5 in betrieblicher Sprache, mit den beiden ab dem 2. Dezember 2026 hinzukommenden Verboten.
6. Menschliche Aufsicht. Wer beaufsichtigt welches System, und in welchen Fällen darf eine Ausgabe nicht ungeprüft übernommen werden? Formulierungsbeispiel: Ausgaben von KI-Systemen werden vor einer Verwendung gegenüber Dritten von einer fachlich zuständigen Person geprüft.
7. Transparenz und Kennzeichnung. Welche Inhalte werden wie gekennzeichnet, und wer entscheidet im Zweifel?
8. Meldewege, Fassung, Ansprechpartner. Wohin mit Auffälligkeiten, Versionsnummer, Datum, verantwortliche Person.

Ein brauchbarer Entwurf entsteht daraus in wenigen Stunden — der Aufwand liegt nicht im Schreiben, sondern in den zwei Entscheidungen davor: welche Werkzeuge freigegeben sind und wer über neue entscheidet. Beides lässt sich nicht abschreiben.

Ein Dokument im Intranet ist keine Einführung. Damit die Richtlinie ihren Nachweiszweck erfüllt, braucht es vier Schritte:

1. Bestandsaufnahme zuerst. Regeln Sie die Systeme, die es gibt. Das setzt ein Inventar voraus — und die anonyme Befragung zur Schatten-KI gehört davor, nicht danach.
2. Beteiligung klären. Wo ein Betriebsrat besteht, Mitbestimmungsrechte vorher prüfen.
3. In Kraft setzen und bekannt machen. Mit Datum, Fassung und benanntem Ansprechpartner.
4. Kenntnisnahme dokumentieren. Der Schritt, der am häufigsten fehlt und der die Richtlinie erst zum Nachweis macht. Sinnvollerweise gekoppelt an die Schulung: wer den Kurs abschließt, bestätigt zugleich die Richtlinie.

Die Richtlinie ist ein lebendes Dokument, und ihr Wert als Nachweis hängt daran, dass sie zum jeweiligen Rechtsstand passt. Drei Auslöser sollten eine Überarbeitung anstoßen: die Freigabe eines neuen Systems, eine Änderung der Rechtslage und ein Vorfall, der eine Lücke sichtbar gemacht hat.

Führen Sie dabei die Fassungen mit. Im Prüfungsfall zählt nicht nur, was heute gilt, sondern was zum Zeitpunkt eines Vorgangs galt — und das lässt sich ohne Versionsverlauf nicht mehr rekonstruieren.

• Vorlage ungeprüft übernehmen. Regelt Systeme, die es nicht gibt, und übergeht die eigenen.
• Zu lang und zu juristisch. Wird nicht gelesen und wirkt damit nicht.
• Kenntnisnahme nicht dokumentiert. Die Richtlinie existiert, taugt aber nicht als Nachweis.
• Kein Versionsstand. Später nicht mehr belegbar, was wann galt.
• Erlassen statt erhoben. Regeln ohne vorherige Bestandsaufnahme treffen nicht die Praxis.
• Nie wieder angefasst. Eine Richtlinie auf dem Stand von 2024 behauptet eine Rechtslage, die seit Juli 2026 überholt ist.