Richtlinien
Was in eine KI-Richtlinie gehört, wie Sie diese in acht Schritten erstellen, ein fiktives Beispiel für Regeln und Fehler, die Sie vermeiden sollten.
Eine KI-Richtlinie beschreibt, welche KI-Tools Mitarbeitende nutzen dürfen, für welche Aufgaben, mit welchen Daten und unter wessen Verantwortung. Sie regelt außerdem, was bei einem Fehler oder Vorfall geschieht, wie Mitarbeitende geschult werden und wann das Dokument überprüft wird. Eine gute Richtlinie passt auf wenige Seiten und ist ohne juristische Kenntnisse verständlich.
Kein Gesetz verlangt ausdrücklich ein Dokument mit dem Namen „KI-Richtlinie“. Es gibt aber Pflichten, die Sie ohne schriftliche Vereinbarungen schwer erfüllen können. Die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, schreibt in ihrer Warnung zu KI-Chatbots und Datenpannen, dass Organisationen klare Vereinbarungen mit ihren Mitarbeitenden treffen müssen: Dürfen sie Chatbots nutzen, und wenn ja, welche Daten dürfen sie eingeben und welche nicht? Eine KI-Richtlinie ist der Ort für diese Vereinbarungen.
Sie ist keine technische Anleitung, kein Verkaufstext für ein Tool und keine Aufzählung von Gesetzesartikeln. Sie bietet auch keine Gewähr. Eine Richtlinie, die niemand liest, ändert nichts an der Praxis. Warum die Nutzung häufig unsichtbar bleibt, lesen Sie im Artikel über Schatten-KI.
Die folgende Tabelle können Sie als Inhaltsverzeichnis nutzen. Jeder Bestandteil beantwortet eine Frage und hat einen Verantwortlichen. Steht bei einem Bestandteil kein Name, geschieht nichts.
| Bestandteil | Die beantwortete Frage | Verantwortlich |
|---|---|---|
| Zweck und Geltungsbereich | Für wen und welche Nutzung gilt dies? | Geschäftsführung |
| Zulässige Tools | Welche KI-Tools und Abonnements dürfen wir nutzen? | IT oder Anwendungsverantwortlicher |
| Daten | Welche Daten dürfen eingegeben werden und welche niemals? | Datenschutzverantwortlicher oder Datenschutzbeauftragter |
| Zulässige und verbotene Nutzung | Für welche Aufgaben ist die Nutzung erlaubt oder verboten? | Geschäftsführung mit Beiträgen der Teamleiter |
| Menschliche Kontrolle | Wer prüft das Ergebnis, bevor es nach außen geht? | Teamleiter |
| Rollen und Entscheidungen | Wer gibt ein neues Tool oder eine neue Nutzung frei? | Geschäftsführung |
| Vorfälle | Wo melden Sie einen Fehler und wer beurteilt ihn? | Datenschutzverantwortlicher oder Datenschutzbeauftragter |
| Schulung | Was muss jemand wissen, bevor er mit KI arbeitet? | Personalabteilung oder Führungskraft |
| Anbieter | Welche Verträge gibt es und wer verwaltet sie? | Einkauf oder Geschäftsführung |
| Transparenz | Was teilen wir Kunden und Mitarbeitenden über unsere KI-Nutzung mit? | Geschäftsführung |
| Überprüfung | Wann prüfen wir erneut und wer stößt dies an? | Verantwortlicher für die Richtlinie |
„Verwenden Sie nur freigegebene KI-Tools“ ist keine Regel, wenn nirgends steht, welche das sind. Nennen Sie Tool und Abonnement. Der Unterschied zwischen einem kostenlosen Konto und einem Geschäftsabonnement desselben Anbieters ist groß; siehe den Vergleich der Abonnements. Fügen Sie einen Stichtag hinzu, denn Anbieter ändern ihre Bedingungen regelmäßig.
Den meisten Organisationen genügt eine einfache Einteilung.
Eine Aufschlüsselung nach Datenart steht in Dürfen Sie Kundendaten in einen KI-Chatbot eingeben?.
Legen Sie einen Weg für neue Tools und neue Nutzungen fest. Wer darf einen Antrag stellen, wer prüft ihn und innerhalb welcher Frist erfolgt eine Antwort? Dauert ein Antrag Monate, regeln die Menschen es selbst. Eine Frist von ein bis zwei Wochen für einfache Anträge ist machbar, wenn die Kriterien vorab feststehen.
Ein Mitarbeitender, der versehentlich eine Datei mit personenbezogenen Daten in das falsche Tool eingegeben hat, muss dies ohne Hürden melden können. Die DSGVO verlangt bei einer Datenpanne eine Meldung an die Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden. Das steht in Artikel 33 DSGVO. Diese Frist schaffen Sie nur, wenn die interne Meldung am selben Tag eingeht. Wie Sie beurteilen, ob Sie melden müssen, steht in Datenpanne durch einen KI-Chatbot.
Regeln funktionieren erst, wenn Menschen verstehen, warum es sie gibt. Legen Sie fest, welche Schulung jemand vor dem Zugriff absolviert, wie oft sie wiederholt wird und wo Sie die Teilnahme erfassen.
Für eine Organisation mit einigen Dutzend Mitarbeitenden ist eine erste Fassung in wenigen Wochen machbar, wenn die Bestandsaufnahme nicht ausufert. Warten Sie nicht auf ein perfektes Dokument. Eine erste Fassung, die drei Tools und drei Datengruppen regelt, ist besser als ein Entwurf, der ein halbes Jahr kursiert.
Nachfolgend steht ein Auszug aus der KI-Richtlinie eines fiktiven Beratungsunternehmens, Bureau Voorbeeld, mit achtzehn Mitarbeitenden. Er veranschaulicht Ton und Aufbau und ist keine Vorlage zur Übernahme. Toolnamen wurden weggelassen: Tragen Sie Ihre eigene Wahl ein.
Auffällig ist: Jede Regel lässt sich in einem Zug lesen, sagt, was Sie tun sollen, statt nur Verbote zu nennen, und nennt eine Anlaufstelle. Regel 5 ist bewusst streng. KI für Entscheidungen über Personen einzusetzen kann unter dem AI Act strengere Anforderungen mit sich bringen und verlangt eine eigene Beurteilung.
Die Richtlinie ist das Deckblatt für drei weitere Unterlagen. Sie verweist darauf, statt sie zu wiederholen.
Artikel 30 DSGVO verlangt, dass ein Verantwortlicher ein Verzeichnis seiner Verarbeitungstätigkeiten führt, unter anderem mit Zwecken, Kategorien betroffener Personen und personenbezogener Daten sowie Empfängern. Verarbeiten Sie personenbezogene Daten mit einem KI-Tool, gehört das ins Verzeichnis: als neue Verarbeitung oder als Ergänzung einer bestehenden, mit dem Anbieter als Empfänger. Für kleine Organisationen kennt der Artikel eine bedingte Ausnahme. Gehen Sie nicht ohne Weiteres davon aus, dass diese gilt; fragen Sie Ihren Datenschutzberater.
Artikel 35 schreibt eine Datenschutz-Folgenabschätzung vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen mit sich bringt, insbesondere bei neuen Technologien. Die Beurteilung erfolgt vor dem Beginn. Ob Ihre KI-Nutzung darunterfällt, hängt von Daten und Umfang ab. Ihre Richtlinie hält fest, wer diese Abwägung wann vornimmt. Näheres steht in DSFA für KI-Tools.
Seit dem 2. Februar 2025 gilt Artikel 4 des AI Act (KI-Verordnung). Der Text wurde im Sommer 2026 durch den digitalen Omnibus zu KI angepasst. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Niveau pro Person müssen sie nicht sicherstellen. Im Schulungskapitel Ihrer Richtlinie beschreiben Sie diese Maßnahmen. Was das für Arbeitgeber bedeutet, lesen Sie in KI-Kompetenz ist verpflichtend.
Die Richtlinie ist kein Verzeichnis, keine DSFA und kein Auftragsverarbeitungsvertrag. Sie sagt, dass diese bestehen, wer sie verwaltet und wo sie liegen. Ob Ihre Organisation damit ihre Pflichten erfüllt, beurteilen Sie selbst, gegebenenfalls mit einem Juristen oder Ihrem Datenschutzbeauftragten.
Am Verhalten, nicht am Dokument. Mitarbeitende stellen Fragen, bevor sie etwas Neues ausprobieren. Meldungen über kleine Fehler gehen ein. Die Liste zulässiger Tools wächst auf Antrag. Bleibt es still, ist das selten ein gutes Zeichen.
PrivaSearch ist eine Suchebene für Dokumente mit personenbezogenen Daten: Es pseudonymisiert, lässt einen Kollegen das Ergebnis freigeben und ermöglicht danach die Suche mit Quellenangabe. Zu dieser Umgebung gehört Dokumentation, und einen Teil davon erstellt sie selbst. Auf der Seite zur DSGVO und zum AI Act steht, welche Dokumente das sind.
Eines dieser Dokumente ist eine KI-Richtlinie. Laut dieser Seite besteht sie aus dreizehn Kapiteln über zulässige und verbotene KI-Nutzung, Rollen, Vorfälle und die Einstufung unter dem AI Act, mit Anhängen zur technischen Einrichtung und einer Checkliste für Mitarbeitende. Sie wird aus einem Formular ohne Sprachmodell erstellt; ihr Inhalt folgt der tatsächlichen Einrichtung Ihrer Umgebung. Es steht also keine Maßnahme darin, die nicht aktiviert ist.
Zusätzlich erhalten Sie eine DSFA-Vorlage, einen Eintrag für Ihr Verarbeitungsverzeichnis und eine ausformulierte Rechtsgrundlage mit Interessenabwägung. Das sind Ausgangsdokumente und keine Rechtsberatung. Der Rest Ihres Verarbeitungsverzeichnisses, die Beratung durch Ihren Datenschutzbeauftragten und die formelle Verabschiedung bleiben Ihre Aufgabe. Prüfen Sie außerdem selbst, ob das Dokument sämtliche KI-Nutzung in Ihrer Organisation abdeckt, etwa das Umschreiben von E-Mails oder das Zusammenfassen von Besprechungen, und ergänzen Sie es gegebenenfalls.
Die Schulung aus der Richtlinie ist im Produkt enthalten. Mitarbeitende absolvieren eine kurze Schulung zur KI-Kompetenz mit regelmäßiger Wiederholung; ohne gültige Schulung öffnet sich der Arbeitsbereich nicht. Wie das funktioniert, steht auf der Seite zur Funktionsweise. Die Verbindung zu einem KI-Assistenten funktioniert mit Claude, ChatGPT Business und Mistral Vibe. Was das für die DSGVO bedeutet, lesen Sie auf der Seite zu KI-Chatbots und der DSGVO.
Möchten Sie die Dokumente für Ihre eigene Situation sehen, fragen Sie eine Demo an.
Kein Gesetz schreibt ein Dokument mit diesem Namen vor. Die DSGVO und der AI Act verlangen jedoch Dinge, die sich ohne festgehaltene Vereinbarungen schwer regeln lassen, etwa ein Verarbeitungsverzeichnis, eine Risikobeurteilung und Maßnahmen zur KI-Kompetenz. Die Autoriteit Persoonsgegevens fordert Organisationen auf, klare Vereinbarungen zur Nutzung von KI-Chatbots mit Mitarbeitenden zu treffen. Eine KI-Richtlinie ist der übliche Weg dafür.
So kurz wie möglich. Für viele Organisationen reichen zwei bis vier Seiten mit Regeln, ergänzt um Anhänge zur Liste zulässiger Tools und zur technischen Einrichtung. Die Regeln selbst müssen in wenigen Minuten lesbar sein. Wird das Dokument länger, trennen Sie die Regeln für Mitarbeitende von der Begründung für Geschäftsführung und Aufsichtsbehörde.
Die Geschäftsführung oder der Vorstand, weil es um Entscheidungen zu Risiken, Budget und Verantwortung geht. Der Inhalt stammt meist von einem Verantwortlichen, der mit IT, dem Datenschutzverantwortlichen oder Datenschutzbeauftragten und einigen Mitarbeitenden aus der Praxis zusammenarbeitet. Hat Ihre Organisation einen Betriebsrat, prüfen Sie vorab, ob dieser eine Rolle hat, etwa wenn die Richtlinie auch die Kontrolle von Mitarbeitenden betrifft.
Sie können einen Chatbot einen Entwurf erstellen lassen, aber das Ergebnis beschreibt eine allgemeine Organisation und nicht Ihre eigene. Tools, Abonnements, Einstellungen und Verantwortliche müssen Sie selbst eintragen und prüfen. Geben Sie dabei keine internen oder vertraulichen Daten in ein Tool ein, für das Sie keine Vereinbarungen getroffen haben. Lassen Sie den Entwurf vor der Verabschiedung von jemandem mit Datenschutzkenntnissen prüfen.
Planen Sie mindestens eine feste Überprüfung pro Jahr und nennen Sie Anlässe für eine zwischenzeitliche. Denken Sie an ein neues Tool, einen Vorfall, geänderte Anbieterbedingungen oder neue Regeln. Im Jahr 2026 wurde beispielsweise der Text der europäischen Regel zur KI-Kompetenz angepasst. Die Liste zulässiger Tools und Abonnements verdient häufigere Aufmerksamkeit, etwa jedes Quartal.
Eine KI-Richtlinie enthält die Vereinbarungen für Mitarbeitende: welche Tools, welche Daten, wer entscheidet. Eine DSFA beurteilt die Risiken einer Verarbeitung für die Menschen, auf die sich die Daten beziehen, einschließlich der Gegenmaßnahmen. Die DSGVO schreibt bei einem voraussichtlich hohen Risiko eine DSFA vor. Die Richtlinie verweist darauf, ersetzt sie aber nicht.
Wer entscheidet über KI-Tools, beurteilt die Risiken und führt die Aufsicht? Die Rollen im Überblick, mit einfacher Besprechungsstruktur und KI-Verzeichnis.
Mitarbeitende nutzen KI-Chatbots oft ohne Wissen der Organisation. Was dahintersteckt, was schiefgehen kann und wie Sie schrittweise Kontrolle gewinnen.
Copilot zeigt, was Mitarbeitende bereits öffnen dürfen, auch zu breit geteilte Dateien. Was Microsoft festlegt, die DSFAs sagen und Sie vorab regeln.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →