KI-Richtlinie fürs Unternehmen: Was hineingehört (mit Muster-Struktur)

Mitarbeitende nutzen ChatGPT für E-Mails, DeepL für Übersetzungen, Copilot für Tabellen — oft ohne dass die Geschäftsführung im Detail weiß, welche Daten dabei in welche Tools fließen. Eine KI-Nutzungsrichtlinie beendet diesen Wildwuchs: Sie legt verbindlich fest, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer verantwortlich ist.

Warum jetzt? Die Rechtslage in Kürze

Die EU-KI-Verordnung (VO (EU) 2024/1689) gilt stufenweise. Für Unternehmen, die KI nutzen (im Gesetz: „Betreiber"), sind vor allem drei Termine relevant:

• Seit 2. Februar 2025: Schulungspflicht (Art. 4) und Verbot bestimmter KI-Praktiken (Art. 5)
• Ab 2. August 2026: Transparenzpflichten — KI-Chatbots und KI-generierte Inhalte müssen erkennbar sein (Art. 50)
• Später folgend: die vollen Betreiberpflichten für Hochrisiko-KI (Art. 26)

Die Richtlinie selbst ist keine wörtliche Gesetzespflicht — aber sie ist das Instrument, mit dem Sie die tatsächlichen Pflichten organisatorisch umsetzen und nachweisen. Ohne Richtlinie entsteht Schatten-KI, und im Streitfall fehlt der Beleg, dass Ihr Unternehmen seine Organisationspflichten ernst nimmt.

Die 11 Abschnitte einer brauchbaren KI-Richtlinie

1. Geltungsbereich — Für wen gilt die Richtlinie? (Alle Beschäftigten, auch Werkstudenten und Freelancer mit Firmenzugängen)
2. Freigegebene Tools — Eine konkrete Positivliste statt vager Formulierungen. Nicht gelistete Tools sind genehmigungspflichtig.
3. Verbotene Nutzungen — Was nie in KI-Tools gehört und welche Einsatzarten (z. B. Emotionserkennung gegenüber Beschäftigten) gesetzlich verboten sind.
4. Umgang mit personenbezogenen Daten — Wann Kundendaten, Mitarbeiterdaten oder Bewerberdaten eingegeben werden dürfen (Kurzfassung: nur in geprüfte Tools mit Auftragsverarbeitungsvertrag).
5. Umgang mit Geschäftsgeheimnissen — Kalkulationen, Verträge, Quellcode: was vertraulich bleibt.
6. Kennzeichnung KI-generierter Inhalte — Wie Ihr Unternehmen die Transparenzpflichten ab 2. August 2026 umsetzt.
7. Freigabeprozesse — Wer prüft KI-Inhalte vor der Veröffentlichung (Vier-Augen-Prinzip)?
8. Verantwortlichkeiten — Eine benannte Person für KI-Themen, an die sich Mitarbeitende wenden können.
9. Schulung — Wer wird wann geschult, wie wird dokumentiert (Stichwort Art. 4).
10. Umgang mit Verstößen — Abgestuft und fair; das Ziel ist Lernen, nicht Bestrafen.
11. Aktualisierung — Wer hält die Richtlinie aktuell, wenn sich Tools oder Rechtslage ändern?

Die drei häufigsten Fehler

Fehler 1: Die Richtlinie ist ein 40-Seiten-Juristendokument. Niemand liest sie, niemand lebt sie. Gut sind 6–10 Seiten in verständlicher Sprache mit konkreten Beispielen aus dem eigenen Arbeitsalltag.

Fehler 2: Pauschalverbote. „KI ist verboten" funktioniert nachweislich nicht — die Nutzung wandert in private Accounts, wo Sie weder Kontrolle noch AVV haben. Besser: geprüfte Tools freigeben und klare Datenregeln setzen.

Fehler 3: Einmal erstellt, nie angepasst. Neue Tools, neue Mitarbeitende, neue Stichtage der KI-VO — eine Richtlinie von 2024 ist 2026 in Teilen überholt.

Muster nutzen oder selbst schreiben?

Eine generische Vorlage aus dem Internet ist besser als nichts — aber sie kennt weder Ihre Branche noch Ihre Tools noch Ihre Datenlage. Der kostenlose KI-Pflichten-Check zeigt Ihnen in drei Minuten, welche Pflichten Ihr Unternehmen konkret treffen; das KI-Compliance-Kit erstellt daraus eine Richtlinie, die auf Ihre Angaben zugeschnitten ist — inklusive Systemverzeichnis und Mitarbeiterschulung mit Zertifikat.

Dieser Beitrag ist Informationsmaterial und keine Rechtsberatung. Stand: Juni 2026.