Wie schreiben Sie eine KI-Richtlinie, die im Alltag trägt? Mit Muster zum Übernehmen.

Eine KI-Richtlinie ist eine interne Regel für den Umgang mit künstlicher Intelligenz. Sie beantwortet drei Fragen: Womit darf gearbeitet werden, was darf hinein, und wer steht für das Ergebnis ein? Damit schafft sie Klarheit für das Team und zeigt nach außen, dass Ihr Unternehmen mit Daten sorgfältig umgeht.

Viele Teams nutzen KI längst, nur eben ungeregelt. Jemand lässt sich eine Mail glätten, eine andere fasst ein Protokoll zusammen, ein Dritter lädt eine Preisliste hoch, um sie umzurechnen. Niemand davon will etwas falsch machen. Es fehlt schlicht eine gemeinsame Antwort auf die Frage, was erlaubt ist.

Genau diese Antwort gibt eine Richtlinie. Sie nimmt Unsicherheit heraus, und Unsicherheit ist im Umgang mit KI ein schlechter Ratgeber: Wer Angst hat, etwas falsch zu machen, probiert entweder gar nichts aus oder macht es heimlich.

Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Mehrere Regeln laufen aber darauf hinaus: Die KI-Verordnung fordert Maßnahmen zur KI-Kompetenz, die DSGVO verlangt einen nachweisbar geordneten Umgang mit personenbezogenen Daten, und Geschäftsgeheimnisse sind nur geschützt, wenn Sie sie angemessen sichern. Eine Richtlinie bündelt all das.

Verbreitet sind solche Regeln noch nicht. Laut einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten hatte 2025 knapp ein Viertel (23 Prozent) Regeln für den Einsatz von KI-Werkzeugen aufgestellt. Weitere 31 Prozent hatten es fest vor (Bitkom, Oktober 2025).

Wie fein die Grenze beim Betriebsrat verläuft, zeigt ein Fall aus Hamburg. Ein Unternehmen hatte ChatGPT freigegeben, die Beschäftigten nutzten es über den Browser, teils mit eigenen Konten, und die Regeln standen im Intranet. Das Arbeitsgericht Hamburg sah darin keine mitbestimmungspflichtige Überwachung, weil der Arbeitgeber keinen Zugriff auf die Nutzungsdaten hatte (Beschluss vom 16.01.2024, 24 BVGa 1/24, Zusammenfassung Gleiss Lutz). Bei KI, die im eigenen Netz läuft und Nutzungen protokolliert, kann das anders aussehen. Wie eine Betriebsvereinbarung zu KI aufgebaut sein kann, zeigt der Bitkom-Leitfaden KI und Mitbestimmung.

Diese Übersicht ist eine allgemeine Einordnung und keine Rechtsberatung. Für Ihren Betrieb sprechen Sie bitte mit Ihrer oder Ihrem Datenschutzbeauftragten oder einer Kanzlei.

Zehn Bausteine decken das Wesentliche ab: Zweck, Grundhaltung, erlaubte Werkzeuge, Daten-Ampel, private Konten, Prüfen der Ergebnisse, Tabus, Schulung, Meldeweg und Zuständigkeiten. Unter jedem Baustein steht eine Formulierung, die Sie übernehmen und anpassen können. Zusammen ergeben sie eine Richtlinie von etwa zwei Seiten.

Ersetzen Sie die Angaben in eckigen Klammern durch Ihre eigenen. Lassen Sie den fertigen Entwurf von Ihrer oder Ihrem Datenschutzbeauftragten prüfen, bevor er gilt.

1. 01

   Zweck und Geltungsbereich

   Sagt, warum es die Regel gibt und für wen sie gilt.

   „Wir nutzen KI, um Routinearbeit zu erleichtern und mehr Zeit für unsere Kundinnen und Kunden zu haben. Diese Richtlinie gilt für alle Beschäftigten, Auszubildenden und freien Mitarbeitenden von [Firma], sobald sie dienstlich mit KI arbeiten.“

2. 02

   Grundhaltung

   Legt fest, wer am Ende entscheidet. Dieser Satz prägt die Kultur mehr als jede Einzelregel.

   „KI unterstützt uns, sie entscheidet nicht für uns. Jede Entscheidung, die Menschen betrifft, trifft ein Mensch. Ausprobieren ist ausdrücklich erwünscht, solange die Regeln dieser Richtlinie eingehalten werden.“

3. 03

   Erlaubte Werkzeuge

   Eine kurze Liste freigegebener Werkzeuge und ein einfacher Weg, neue vorzuschlagen.

   „Dienstlich genutzt werden dürfen nur die Werkzeuge auf der Liste im Anhang. Wer ein weiteres Werkzeug nutzen möchte, schlägt es [Ansprechperson] vor. Wir prüfen Vorschläge innerhalb von [zwei Wochen].“

4. 04

   Daten-Ampel

   Verknüpft Datenarten mit Werkzeugen. Die Tabelle unten können Sie direkt übernehmen.

   „Welche Daten in welches Werkzeug dürfen, regelt die Daten-Ampel im Anhang. Im Zweifel gilt die strengere Farbe, und wir fragen vorher nach.“

5. 05

   Private Konten

   Trennt Privates und Dienstliches eindeutig.

   „Dienstliche Inhalte geben wir nicht in private KI-Konten ein, auch nicht in kostenlose Versionen. Dafür stellen wir geeignete Werkzeuge bereit.“

6. 06

   Ergebnisse prüfen und kennzeichnen

   KI-Texte sind Entwürfe. Wer sie verwendet, steht dafür ein.

   „Wer ein KI-Ergebnis weitergibt, hat es vorher geprüft, vor allem Zahlen, Namen, Zitate und Rechtsaussagen. Veröffentlichen wir Texte, Bilder oder Videos, die überwiegend von KI stammen, prüfen wir vorher, ob sie gekennzeichnet werden müssen.“

7. 07

   Tabus

   Wenige, klare Grenzen. Lieber drei verständliche als zwanzig, die niemand behält.

   „Wir setzen KI nicht ein, um Beschäftigte zu überwachen oder zu bewerten, nicht für Entscheidungen über Einstellung, Kündigung oder Beförderung ohne menschliche Prüfung und nicht, um Menschen zu täuschen.“

8. 08

   Schulung

   Hält fest, dass niemand ohne Einführung loslegt.

   „Wer KI dienstlich nutzt, nimmt an einer Einführung teil und wird bei neuen Werkzeugen nachgeschult. Wir dokumentieren, wer wann geschult wurde.“

9. 09

   Meldeweg ohne Angst

   Fehler passieren. Entscheidend ist, dass sie schnell bekannt werden.

   „Ist versehentlich etwas in ein falsches Werkzeug gelangt, melden wir es sofort an [Ansprechperson]. Wer einen Fehler offen meldet, hat keine Nachteile zu befürchten. Nur so können wir rechtzeitig reagieren.“

10. 10

    Zuständigkeit und Überprüfung

    Macht die Richtlinie zu einem lebenden Dokument.

    „Verantwortlich für diese Richtlinie ist [Name, Funktion]. Wir überprüfen sie alle [sechs] Monate und immer dann, wenn neue Werkzeuge oder Gesetze es nötig machen. Fragen und Vorschläge sind jederzeit willkommen.“

Das hängt davon ab, wo das Werkzeug rechnet und welcher Vertrag dahintersteht. Öffentliche Informationen sind fast überall unproblematisch. Personenbezogene und vertrauliche Daten gehören nur in Werkzeuge, mit denen Ihr Unternehmen einen Vertrag zur Auftragsverarbeitung hat, oder in eine KI, die im eigenen Haus läuft. Eine Ampel macht das auf einen Blick klar.

Grün: erlaubt. Gelb: erlaubt unter der genannten Bedingung. Rot: nicht erlaubt. Die Tabelle ist ein Vorschlag und ersetzt keine Prüfung im Einzelfall. Was Verträge mit Cloud-Anbietern tatsächlich regeln, beschreibt der Ratgeber ChatGPT und Datenschutz im Unternehmen.

Auffällig ist die rechte Spalte. Auch eine KI im eigenen Haus ist kein Freifahrtschein: Wer welche Unterlagen sehen darf, regeln weiterhin Ihre Zugriffsrechte, und für personenbezogene Daten braucht es eine Rechtsgrundlage. Der Unterschied ist, dass keine Daten an einen fremden Anbieter gehen.

Indem das Team sie mitschreibt. Fragen Sie zuerst, wofür KI schon genutzt wird, ohne nach Schuldigen zu suchen. Entwerfen Sie die Richtlinie mit einer kleinen Gruppe, holen Sie Datenschutz und Betriebsrat früh dazu, führen Sie sie mit einer Schulung ein und schauen Sie nach drei Monaten gemeinsam, was hakt.

1. 01

   Ehrlich fragen

   Eine kurze, anonyme Umfrage: Wer nutzt welche KI wofür? Die Antworten zeigen, wo der Bedarf liegt. Wer hier straft, bekommt beim nächsten Mal keine ehrlichen Antworten mehr.

2. 02

   Gemeinsam entwerfen

   Drei bis fünf Leute aus verschiedenen Bereichen schreiben mit den Bausteinen oben einen ersten Entwurf. Ziel: zwei Seiten, verständlich ohne Jurastudium.

3. 03

   Prüfen lassen

   Datenschutzbeauftragte, IT und, wo vorhanden, Betriebsrat sehen den Entwurf, bevor er gilt. Das spart spätere Schleifen.

4. 04

   Mit Schulung starten

   Eine Richtlinie per Rundmail liest kaum jemand. In einer kurzen Einführung mit echten Beispielen wird sie verstanden. Wie so eine Schulung aussieht, steht auf der Seite KI-Schulung.

5. 05

   Nach drei Monaten nachjustieren

   Welche Regel wird umgangen, welche Frage kommt immer wieder? Genau dort ist die Richtlinie zu streng, zu unklar oder es fehlt ein erlaubtes Werkzeug.

Ein Beispiel aus dem Alltag

Stellen Sie sich Jens vor. Er führt einen Maschinenbaubetrieb mit 60 Leuten. Nach einem Artikel über Datenlecks schreibt er an einem Wochenende eine KI-Richtlinie, zwölf Seiten, sorgfältig, mit allen Paragrafen. Am Montag geht sie per Mail an alle. Drei Monate später fragt er in der Teamrunde nach. Gelesen hat sie kaum jemand, verstanden fast niemand.

Beim zweiten Anlauf setzt sich Jens mit vier Leuten aus Vertrieb, Konstruktion, Einkauf und Verwaltung zusammen. Sie streichen, was niemand braucht, und schreiben dazu, was wirklich gefragt wurde: Darf ich Lieferantenangebote zusammenfassen lassen? Was ist mit Zeichnungen? Heraus kommen zwei Seiten und eine Ampel, die neben jedem Bildschirm hängt.

Jens und sein Betrieb sind ein Gedankenspiel. Wir erleben aber oft, dass die zweite, gemeinsam geschriebene Fassung die ist, die gelebt wird.

Weil eine Richtlinie nur so gut ist wie die Meldungen, die sie auslöst. Wer Angst vor Ärger hat, verschweigt den Fehler, und dann erfährt niemand rechtzeitig davon. Anerkennen Sie deshalb das Ausprobieren, nicht nur das fehlerfreie Ergebnis. Dann sprechen Menschen offen darüber, was mit KI klappt und was nicht.

KI-Einführung ist nach unserer Erfahrung zum größten Teil Kulturarbeit und nur zum kleineren Teil Technik. Das zeigt sich an der Richtlinie besonders deutlich. Dieselben zwei Seiten können ein Team ermutigen oder einschüchtern, je nachdem, wie im Betrieb mit dem ersten Fehler umgegangen wird.

Hilfreich sind kleine Gewohnheiten: eine feste Frage in der Teamrunde, wer diese Woche etwas mit KI ausprobiert hat, ein Kanal für Fragen ohne Wertung, ein offenes Wort der Führung, wenn ihr selbst etwas danebengegangen ist. So wird aus einer Vorschrift eine gemeinsame Haltung. Wie Sie Ihr Team bei der KI-Einführung insgesamt mitnehmen, beschreibt der Ratgeber KI im Unternehmen einführen.

Meist an zu viel Papier und zu wenig Alternative. Richtlinien scheitern, wenn sie zu lang sind, nur verbieten, kein erlaubtes Werkzeug für vertrauliche Aufgaben anbieten, einmal geschrieben und nie angepasst werden oder ohne die Menschen entstehen, die sich daran halten sollen.

In kleinen Betrieben mit wenigen Werkzeugen reicht oft eine Seite mit Grundhaltung, Daten-Ampel, Meldeweg und Ansprechperson. Was keine Richtlinie leisten kann: vertrauliche Arbeit sicher machen, wenn das einzige verfügbare Werkzeug Daten an einen fremden Anbieter schickt. Papier ersetzt keine passende Technik.

Seien Sie deshalb ehrlich mit sich: Wenn Ihr Team vor allem mit Angeboten, Verträgen, Kundendaten oder Konstruktionsunterlagen arbeitet, wird eine Richtlinie mit vielen roten Feldern entweder umgangen oder macht KI für die wichtigsten Aufgaben nutzlos. Dann lohnt es, das Werkzeug zu ändern statt die Regel zu verschärfen.

Eine Möglichkeit ist eine KI, die vollständig im eigenen Firmennetz läuft, etwa der Helion KI-Server. Dann kann Ihre Ampel auch für vertrauliche Unterlagen auf Grün stehen, und die Richtlinie wird kürzer statt länger. Wie lokale KI funktioniert, erklärt der Ratgeber Lokale KI für Unternehmen.