Mitarbeitende nutzen KI, ob es geregelt ist oder nicht. Eine kurze, verständliche Richtlinie gibt Sicherheit und macht den Einsatz erst richtig möglich. Lassen Sie sie von Ihrer Datenschutz- oder Rechtsberatung prüfen und beziehen Sie, falls vorhanden, den Betriebsrat ein.
Die wichtigsten Inhalte
- Welche Tools sind freigegeben?
- Welche Daten dürfen nicht eingegeben werden?
- Wer prüft Ergebnisse, bevor sie nach außen gehen?
- Wann muss KI-Einsatz gekennzeichnet werden?
- An wen wendet man sich bei Fragen oder Vorfällen?
Daten in Klassen einteilen
Eine einfache Einteilung hilft im Alltag: öffentlich, intern, vertraulich, personenbezogen. Dazu klare Regeln, welche Klasse in welches Tool darf. Das ist verständlicher als lange Rechtstexte.
Kurz halten
Eine Richtlinie, die niemand liest, schützt niemanden. Besser sind zwei Seiten mit Beispielen aus dem Alltag und einer kurzen Liste freigegebener Tools.
Kompetenz mitdenken
Eine Regel ersetzt kein Verständnis. Planen Sie Maßnahmen zur KI-Kompetenz ein und dokumentieren Sie diese. Das ist auch mit Blick auf Artikel 4 der KI-Verordnung sinnvoll.
Regelmäßig aktualisieren
Tools und Regeln ändern sich schnell. Legen Sie einen festen Termin zur Überprüfung fest, und benennen Sie eine Person, die dafür verantwortlich ist.
Ein Dokument in drei Ebenen aufbauen
Damit die Richtlinie kurz bleibt und trotzdem aktuell, trennen Sie Beständiges von Veränderlichem. Die erste Ebene enthält die Grundsätze, etwa dass Menschen für Ergebnisse verantwortlich bleiben. Sie ändert sich selten und wird von der Geschäftsführung verabschiedet. Die zweite Ebene beschreibt Regeln je Datenklasse und Anwendungsfall. Die dritte ist eine Tool-Liste mit Status und Datum, die eine benannte Person ohne großes Verfahren pflegen darf.
Diese Trennung löst ein häufiges Problem: Wird jedes neue Werkzeug zur Änderung der gesamten Richtlinie, bleibt die Freigabe liegen, und das Team sucht sich eigene Wege.
Regeln an Beispielen aus dem Alltag zeigen
Abstrakte Sätze wie „keine vertraulichen Daten eingeben“ helfen wenig, wenn niemand weiß, was im Einzelfall gemeint ist. Formulieren Sie je Abteilung konkrete Fälle. Sie können vom folgenden Muster ausgehen und es an Ihre Datenklassen und freigegebenen Werkzeuge anpassen:
Bitten Sie jede Abteilung, ihre Beispiele selbst vorzuschlagen, und lassen Sie sie von der Datenschutzstelle prüfen. Selbst formulierte Fälle werden eher verstanden und befolgt als Vorgaben von außen. Sie zeigen außerdem, wo im Tagesgeschäft tatsächlich Zweifel bestehen.
- Vertrieb: Eine Produktbeschreibung aus öffentlichen Daten umformulieren ist erlaubt. Ein Angebot mit Kundenkonditionen gehört nur in ein dafür freigegebenes Tool.
- Personal: Eine Stellenanzeige vorbereiten ist erlaubt. Bewerbungen dürfen nicht ohne gesonderte Prüfung und Freigabe in ein KI-System fließen.
- Technik: Eine allgemeine Formelfrage ist erlaubt. Konstruktionsdaten aus Kundenprojekten bleiben außerhalb freigegebener Systeme.
- Kundenservice: Eine Antwort darf mit KI vorformuliert werden, die Zusage zu Preis oder Frist prüft ein Mensch.
Einführung mit Betriebsrat und Fachbereichen
Wenn es einen Betriebsrat gibt, sprechen Sie ihn früh an. Können KI-Werkzeuge das Verhalten oder die Leistung von Beschäftigten überwachen, kommen Mitbestimmungsrechte in Betracht, insbesondere nach § 87 des Betriebsverfassungsgesetzes. Ob das im Einzelfall zutrifft und ob eine Betriebsvereinbarung sinnvoll ist, sollte fachlich geprüft werden.
Stellen Sie die Richtlinie anschließend in kurzen Terminen je Abteilung vor, nicht nur per Rundmail. Fragen aus diesen Runden zeigen, welche Beispiele fehlen. Halten Sie zudem fest, wie die Mitarbeitenden den Inhalt zur Kenntnis genommen haben, und nehmen Sie das Thema in die Einarbeitung neuer Kolleginnen und Kollegen auf.
Freigabe und Vorfälle als einfache Abläufe regeln
Eine Regel trägt nur, wenn der Weg dorthin klar ist. Legen Sie für neue Werkzeuge fest, wer den Antrag stellt, wer Datenschutz, Sicherheit und Vertrag prüft und innerhalb welcher internen Frist eine Antwort kommt. Ein kurzes Formular genügt. Die Entscheidung landet mit Datum und Begründung auf der Tool-Liste, damit dieselbe Frage nicht mehrfach geprüft wird.
Genauso wichtig ist der Vorfall. Wer versehentlich Kundendaten in ein privates Konto kopiert hat, muss wissen, an wen er sich sofort wenden kann, und darf keine Angst vor der Meldung haben. Denn bei Datenschutzverletzungen können kurze gesetzliche Meldefristen laufen. Stellen Sie deshalb sicher, dass solche Hinweise umgehend bei der zuständigen Stelle ankommen und dort fachlich bewertet werden.
Wie streng soll ein Tool freigegeben werden?
| Status | Bedeutung im Alltag | Erlaubte Daten |
|---|---|---|
| Freigegeben | Für das Unternehmen geprüft und mit Vertrag nutzbar | Gemäß den in der Tool-Liste genannten Klassen |
| Eingeschränkt | Nur für bestimmte Teams oder Zwecke | Nur die für diesen Zweck festgelegten Daten |
| In Prüfung | Antrag läuft, produktive Nutzung noch nicht vorgesehen | Keine internen oder personenbezogenen Daten |
| Nicht zugelassen | Vertrag oder Datenverarbeitung passen nicht | Keine betrieblichen Daten |
Checkliste für den Start Ihrer KI-Richtlinie
Typische Fehler
Fremde Texte passen selten zu Ihren Daten, Werkzeugen und Abläufen und werden deshalb kaum befolgt. Eine Vorlage kann als Gerüst dienen, die Beispiele müssen aus Ihrem Betrieb stammen.
Eine reine Verbotsliste lässt offen, was erlaubt ist, und bremst sinnvolle Nutzung. Benennen Sie zuerst erlaubte Anwendungsfälle und erklären Sie Grenzen anhand konkreter Situationen.
Wer Ärger erwartet, meldet Fehler später oder gar nicht, wodurch der Schaden wachsen kann. Bewerten Sie Meldungen sachlich und nutzen Sie sie, um Regeln und Abläufe zu verbessern.
Häufige Fragen
Ist eine KI-Richtlinie im Unternehmen Pflicht?
Ein Gesetz, das pauschal ein Dokument mit diesem Namen vorschreibt, ist uns nicht bekannt. Sie kann aber helfen, Pflichten etwa aus DSGVO und KI-Verordnung im Alltag umzusetzen. Lassen Sie den konkreten Bedarf fachlich prüfen.
Wer sollte die KI-Richtlinie erstellen?
Bewährt hat sich ein kleines Team aus Fachbereich, IT und Datenschutz, bei Bedarf ergänzt um Rechtsberatung und Betriebsrat. Die Geschäftsführung gibt die Grundsätze frei.
Darf der Arbeitgeber die Nutzung privater KI-Konten untersagen?
Für dienstliche Aufgaben kann das Unternehmen in der Regel Vorgaben machen. Die genaue Ausgestaltung, auch im Hinblick auf Mitbestimmung, sollte arbeitsrechtlich geprüft werden.
Von Patrick Thomas, KI Sidekick. Dieser Artikel ersetzt keine Rechts- oder Steuerberatung.
