KI-Richtlinie für Unternehmen: Aufbau, Inhalt und Einführung

Eine KI-Richtlinie erfüllt drei Aufgaben gleichzeitig, und keine davon ist Selbstzweck.

Sie beantwortet die Frage der Mitarbeitenden. Wer im Alltag überlegt, ob er einen Kundentext in ein Sprachmodell kopieren darf, findet die Antwort entweder in einer Richtlinie oder gar nicht. Ohne Regel entscheidet jeder selbst — und zwar meist zugunsten der Bequemlichkeit.

Sie ist der Beleg gegenüber Dritten. Im Prüfungsfall ist die Richtlinie das Dokument, das zeigt, dass der Betrieb die Fragen gestellt und beantwortet hat. In Verbindung mit der dokumentierten Kenntnisnahme belegt sie zugleich, dass die Regeln bekannt gemacht wurden.

Sie gibt der Schulung ihren Inhalt. Eine Unterweisung nach Artikel 4 ohne Richtlinie vermittelt allgemeines Wissen über KI, aber nicht, was im eigenen Betrieb gilt. Erst zusammen ergeben beide ein Ganzes.

Nicht ausdrücklich. Die KI-Verordnung kennt keine Vorschrift, die von Betreibern eine KI-Richtlinie verlangt, so wie das Datenschutzrecht kein Richtliniengebot kennt. Sie verlangt allerdings Ergebnisse, die sich ohne ein solches Dokument kaum erreichen und noch schwerer belegen lassen: Maßnahmen zur KI-Kompetenz, den Ausschluss verbotener Praktiken, eine Transparenzpraxis, benannte Zuständigkeiten.

In der Praxis ist die Richtlinie deshalb weniger eine Pflicht als ein Hebel: ein Dokument, das mehrere Nachweise auf einmal trägt. Betriebe, die keines haben, führen die entsprechenden Belege in aller Regel gar nicht.

Eine Richtlinie, die trägt, deckt diese Punkte ab. Der Umfang je Punkt richtet sich nach Ihren Verhältnissen — die Gliederung bleibt gleich.

Geltungsbereich und Begriffe

Für wen gilt die Richtlinie, und was ist im Sinne dieses Dokuments ein KI-System? Der zweite Teil ist wichtiger, als er klingt: Ohne ihn diskutieren Sie später darüber, ob die Textvorschläge im Postfach dazugehören.

Erlaubte und verbotene Systeme

Eine benannte Liste freigegebener Werkzeuge, ein Verfahren zur Freigabe weiterer und eine ausdrückliche Regelung zu privaten Konten. Dieser Abschnitt ist die eigentliche Antwort auf Schatten-KI.

Umgang mit Daten

Welche Daten in welches System dürfen. Praktisch bewährt hat sich eine kurze Positivliste unkritischer Fälle und eine klare Negativliste: personenbezogene Daten, Gesundheitsdaten, Geschäftsgeheimnisse, Quelltext, Vertragsentwürfe.

Verbotene Praktiken

Die Tatbestände des Artikels 5, übersetzt in betriebliche Sprache. Seit dem 2. Dezember 2026 gehören die beiden neuen Verbote dazu, die durch die Änderungsverordnung eingefügt wurden — insbesondere das Verwendungsverbot für die Erzeugung intimen Bildmaterials identifizierbarer Personen, das jeden Betreiber unmittelbar trifft und mit einem Bildgenerator schnell erfüllt ist.

Menschliche Aufsicht und Verantwortlichkeit

Wer beaufsichtigt welches System, wer entscheidet über Freigaben, und in welchen Fällen darf eine KI-Ausgabe nicht ungeprüft übernommen werden.

Transparenz und Kennzeichnung

Wann ist offenzulegen, dass KI im Spiel war, und wie werden erzeugte Inhalte gekennzeichnet. Ab dem 2. August 2026 folgt das unmittelbar aus Artikel 50.

Meldewege und Vorfälle

Wohin mit einer auffälligen Ausgabe, einem Datenabfluss, einem Verdacht. Ohne benannten Weg passiert im Ernstfall nichts.

Inkrafttreten, Fassung, Ansprechpartner

Datum, Versionsnummer, verantwortliche Person. Eine Richtlinie ohne Versionsstand lässt sich später nicht als Nachweis verwenden, weil unklar bleibt, was wann galt.

Ein Dokument im Intranet ist keine Einführung. Damit die Richtlinie ihren Nachweiszweck erfüllt, braucht es vier Schritte:

1. Bestandsaufnahme zuerst. Regeln Sie die Systeme, die es gibt. Das setzt ein Inventar voraus — und die anonyme Befragung zur Schatten-KI gehört davor, nicht danach.
2. Beteiligung klären. Wo ein Betriebsrat besteht, Mitbestimmungsrechte vorher prüfen.
3. In Kraft setzen und bekannt machen. Mit Datum, Fassung und benanntem Ansprechpartner.
4. Kenntnisnahme dokumentieren. Der Schritt, der am häufigsten fehlt und der die Richtlinie erst zum Nachweis macht. Sinnvollerweise gekoppelt an die Schulung: wer den Kurs abschließt, bestätigt zugleich die Richtlinie.

Die Richtlinie ist ein lebendes Dokument, und ihr Wert als Nachweis hängt daran, dass sie zum jeweiligen Rechtsstand passt. Drei Auslöser sollten eine Überarbeitung anstoßen: die Freigabe eines neuen Systems, eine Änderung der Rechtslage und ein Vorfall, der eine Lücke sichtbar gemacht hat.

Führen Sie dabei die Fassungen mit. Im Prüfungsfall zählt nicht nur, was heute gilt, sondern was zum Zeitpunkt eines Vorgangs galt — und das lässt sich ohne Versionsverlauf nicht mehr rekonstruieren.

• Vorlage ungeprüft übernehmen. Regelt Systeme, die es nicht gibt, und übergeht die eigenen.
• Zu lang und zu juristisch. Wird nicht gelesen und wirkt damit nicht.
• Kenntnisnahme nicht dokumentiert. Die Richtlinie existiert, taugt aber nicht als Nachweis.
• Kein Versionsstand. Später nicht mehr belegbar, was wann galt.
• Erlassen statt erhoben. Regeln ohne vorherige Bestandsaufnahme treffen nicht die Praxis.
• Nie wieder angefasst. Eine Richtlinie auf dem Stand von 2024 behauptet eine Rechtslage, die seit Juli 2026 überholt ist.