Eine KI-Richtlinie erstellen

Eine KI-Richtlinie hat einen schlechten Ruf, bevor sie geschrieben ist. Man stellt sich ein zwanzigseitiges Dokument vor, das niemand liest, voller Verbote, die niemand einhält. Solche Richtlinien gibt es, und sie schaden mehr, als sie nützen. Denn sie treiben die Nutzung von KI in die Heimlichkeit, wo niemand mehr sieht, welche Daten wohin fließen.

Eine gute Richtlinie ist das Gegenteil: kurz, verständlich und vor allem ermöglichend. Sie sagt den Beschäftigten, womit sie arbeiten dürfen, welche wenigen Grenzen gelten und an wen sie sich wenden können. Der AI Act schreibt keine Richtlinie vor. Aber sie ist das Instrument, mit dem sich die Pflichten aus den vorigen Modulen – Kompetenz, Transparenz, Datenschutz, Rollen – in den Alltag übersetzen lassen. Und sie ist ein zentraler Bestandteil des Nachweises nach Art. 4, weil sie zeigt, welche Regeln das Team tatsächlich kennt.

1. Ermöglichen statt verbieten

Die wichtigste Entscheidung fällt vor dem ersten Satz: Soll die Richtlinie KI eindämmen oder den guten Einsatz ermöglichen? Unternehmen, die sich für das Eindämmen entscheiden, erleben meist dasselbe. Die Beschäftigten nutzen KI weiter, nur mit privaten Konten und ohne es zu sagen. Die Richtlinie wird zum Papier, und die tatsächlichen Risiken wachsen. Unternehmen, die ermöglichen, stellen freigegebene Werkzeuge bereit und beschränken die Verbote auf das, was wirklich nicht geht. Sie gewinnen Überblick und Vertrauen – und damit die Grundlage, im Ernstfall überhaupt eingreifen zu können.

2. Die acht Bausteine

Zweck und Geltungsbereich klären in zwei Sätzen, warum es die Richtlinie gibt und für wen sie gilt – ausdrücklich auch für Freie und Dienstleister, die im Auftrag des Unternehmens arbeiten. Freigegebene Werkzeuge werden namentlich genannt, zusammen mit dem Weg, auf dem neue Werkzeuge beantragt werden. Datenregeln übersetzen die DSGVO und den Geheimnisschutz in Alltagssprache: was hinein darf, was nicht, und wie man Eingaben bereinigt.

Die Prüfpflicht hält fest, dass Menschen die Verantwortung für KI-Ergebnisse tragen und dass Entscheidungen über Personen immer von Menschen getroffen werden. Transparenz regelt Chatbot-Hinweise und die Kennzeichnung von KI-Inhalten. Schulung legt fest, wer was lernt und wie oft. Verantwortung und Meldungen benennen die Ansprechperson und den Weg für Fehler und Vorfälle. Und die Überprüfung sorgt dafür, dass das Dokument mit der Technik Schritt hält.

3. Wer beteiligt werden sollte

Eine Richtlinie, die allein am Schreibtisch der Geschäftsführung entsteht, geht oft an der Praxis vorbei. Bewährt hat sich ein kleiner Kreis: die KI-verantwortliche Person als Autor, Datenschutz und IT-Sicherheit als Prüfer, zwei oder drei Beschäftigte aus Abteilungen, die KI intensiv nutzen, als Realitätscheck. Gibt es einen Betriebsrat, gehört er von Beginn an dazu. Regelungen zum Einsatz technischer Einrichtungen, die Leistung oder Verhalten überwachen können, unterliegen seiner Mitbestimmung, und viele Unternehmen fassen die KI-Regeln deshalb gleich in eine Betriebsvereinbarung. Das schafft Rechtssicherheit für beide Seiten und beschleunigt spätere Einführungen, weil die Grundsätze nicht jedes Mal neu verhandelt werden müssen.

Ebenso wichtig wie das Schreiben ist das Vermitteln. Eine Richtlinie, die nur im Intranet liegt, wirkt nicht. Stellen Sie sie in einer kurzen Runde vor, verbinden Sie sie mit der Basisschulung und lassen Sie sich die Kenntnisnahme bestätigen. Das ist zugleich ein Baustein Ihres Nachweises nach Art. 4.

4. Ihr erster Entwurf

Der Generator erstellt aus wenigen Angaben einen Entwurf mit den Bausteinen dieser Lektion. Er ist bewusst knapp gehalten und soll angepasst werden – an Ihre Werkzeuge, Ihre Branche und Ihre Sprache. Nehmen Sie ihn als Ausgangspunkt, nicht als Endfassung.

KI-Richtlinie der [Unternehmen]

1. Zweck
Diese Richtlinie regelt den Einsatz von KI-Werkzeugen bei der [Unternehmen]. Sie soll den verantwortungsvollen und rechtssicheren Einsatz ermöglichen – nicht verhindern.

2. Geltungsbereich
Die Richtlinie gilt für alle Beschäftigten sowie für Personen, die in unserem Auftrag mit KI-Werkzeugen arbeiten.

3. Freigegebene Werkzeuge
Für dienstliche Aufgaben dürfen folgende Werkzeuge genutzt werden: [freigegebene Werkzeuge]. Private Konten und nicht freigegebene Dienste sind für dienstliche Inhalte nicht erlaubt. Neue Werkzeuge werden vor der Nutzung bei [Name / Funktion] zur Prüfung angemeldet.

4. Daten
Personenbezogene Daten, Geschäftsgeheimnisse und vertrauliche Informationen von Kunden dürfen nur in dafür freigegebene Werkzeuge eingegeben werden. Gesundheitsdaten und andere besonders geschützte Daten werden nicht eingegeben. Zugangsdaten und Passwörter gehören nie in ein KI-Werkzeug. Namen und Kennnummern werden entfernt, wenn sie für die Aufgabe nicht nötig sind.

5. Prüfung der Ergebnisse
KI-Ergebnisse werden vor der Verwendung inhaltlich geprüft. Wer ein Ergebnis verwendet, trägt die Verantwortung dafür. Entscheidungen über Personen – etwa in Bewerbungs-, Beförderungs- oder Kündigungsfragen – trifft immer ein Mensch.

6. Transparenz
Kunden werden darauf hingewiesen, wenn sie mit einem KI-System kommunizieren. Fotorealistische KI-Bilder, KI-Stimmen und KI-Videos werden in Veröffentlichungen gekennzeichnet. KI-generierte Testimonials werden nicht verwendet.

7. Schulung
Alle, die beruflich mit KI arbeiten, nehmen an einer Basisschulung teil. Rollen mit besonderen Risiken erhalten eine Vertiefung. Die Teilnahme wird dokumentiert; aufgefrischt wird mindestens jährlich und bei neuen Werkzeugen.

8. Verantwortung und Meldungen
Ansprechpartner für Fragen zu KI ist [Name / Funktion]. Fehler, Auffälligkeiten und mögliche Datenschutzverletzungen im Zusammenhang mit KI werden unverzüglich dort gemeldet.

9. Überprüfung
Diese Richtlinie wird mindestens einmal jährlich überprüft und bei Bedarf angepasst.

Ein letzter Rat aus der Praxis: Schreiben Sie die Richtlinie so, dass ein neuer Mitarbeiter sie in fünf Minuten lesen und verstehen kann. Alles, was darüber hinausgeht, gehört in Anhänge oder Schulungsunterlagen. Die Kürze ist kein Mangel an Gründlichkeit, sondern die Voraussetzung dafür, dass die Regeln im Alltag ankommen.

5. Die Richtlinie im Alltag lebendig halten

Die meisten Richtlinien scheitern nicht beim Schreiben, sondern in den Monaten danach. Drei Gewohnheiten helfen, das zu vermeiden. Erstens: Beantworten Sie Fragen öffentlich. Wenn jemand wissen möchte, ob ein bestimmter Einsatz erlaubt ist, ist die Antwort meist auch für andere interessant. Eine kleine Sammlung häufiger Fragen neben der Richtlinie ist oft nützlicher als jede Ergänzung im Haupttext.

Zweitens: Reagieren Sie auf neue Werkzeuge schnell. Wenn die Prüfung eines beantragten Werkzeugs Wochen dauert, weichen Beschäftigte auf private Lösungen aus. Ein fester, kurzer Ablauf – Antrag, Prüfung anhand der Scorecard, Entscheidung binnen weniger Tage – hält die Nutzung im geregelten Rahmen. Drittens: Passen Sie die Richtlinie an, wenn sich die Praxis ändert, und sagen Sie es dem Team. Eine Richtlinie, die bei jeder Überarbeitung kurz vorgestellt wird, bleibt im Bewusstsein. Fünf Minuten in einer ohnehin stattfindenden Teamrunde genügen dafür meist völlig.

Ein Wort noch zu Verstößen. Natürlich muss eine Richtlinie Konsequenzen haben können, wenn jemand vorsätzlich sensible Daten preisgibt. Im Alltag aber sind die meisten Verstöße Versehen, und sie sind wertvolle Hinweise darauf, wo Regeln unklar sind oder Werkzeuge fehlen. Wer Fehler meldet, sollte dafür nicht bestraft, sondern bedankt werden. Nur so erfährt das Unternehmen, was tatsächlich passiert. Diese Haltung gehört in den Text der Richtlinie – und noch mehr in das Verhalten der Führungskräfte, die sie vorleben.

Schließlich lohnt ein Blick auf die Sprache. Juristische Präzision ist wichtig, aber eine Richtlinie wird von Menschen gelesen, die keine Juristen sind. Kurze Sätze, konkrete Beispiele und eine direkte Ansprache machen den Unterschied zwischen einem Dokument, das man kennt, und einem, das man befolgt.

Ein Beispiel macht den Unterschied greifbar. „Die Eingabe personenbezogener Daten in KI-Systeme ohne Rechtsgrundlage ist unzulässig“ ist korrekt, aber im Alltag wenig hilfreich. „Kopieren Sie keine Kundennamen, E-Mail-Adressen oder Kundennummern in den Chat – ersetzen Sie sie durch ‚Kunde A‘“ sagt dasselbe und lässt sich sofort anwenden. Solche Übersetzungen sind die eigentliche Arbeit beim Schreiben einer Richtlinie, und sie lohnen sich jedes Mal.

Stand: September 2026, Rechtsstand nach dem AI Omnibus (VO (EU) 2026/1744). Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.