KI-Richtlinie im Unternehmen: Inhalt, Zuständigkeit und Pflege

Eine KI-Richtlinie ist die verbindliche Regel eines Unternehmens für den Einsatz von KI-Werkzeugen: welche Anwendungen erlaubt sind, welche Daten verwendet werden dürfen, wer für Ergebnisse geradesteht und wer über Neues entscheidet. Sie wirkt nur, wenn Zuständigkeiten benannt sind und jemand sie laufend an neue Werkzeuge anpasst.

KI-Richtlinie: wofür sie da ist und was sie nicht ersetzt

Die Regel schafft Klarheit für zwei Seiten. Beschäftigte wissen, was sie ohne Rückfrage tun dürfen, und die Geschäftsführung kann belegen, dass sie den Umgang mit KI organisiert hat. Das ist mehr als eine Formalie, denn neue Werkzeuge erreichen den Arbeitsplatz schneller, als jede Beschaffung reagieren kann.

Ebenso wichtig ist die Abgrenzung. Eine Nutzungsregel ersetzt weder den Auftragsverarbeitungsvertrag mit einem Anbieter noch das Verzeichnis der Verarbeitungstätigkeiten nach DSGVO. Sie ist auch keine Arbeitsanweisung für einen einzelnen Vorgang: Wie etwa eine automatisierte Rechnungsprüfung im Detail abläuft, beschreibt die Dokumentation dieses Vorgangs, nicht das allgemeine Regelwerk.

Was hineingehört

Für ein Unternehmen mittlerer Größe genügen wenige Seiten, sofern sie diese Punkte abdecken:

• Geltung: für wen die Regel gilt, ausdrücklich auch für Personen, die nicht dauerhaft im Haus arbeiten, aber Zugriff auf Unternehmensdaten haben.
• Werkzeugregister: eine gesonderte, laufend gepflegte Liste der freigegebenen Anwendungen mit Zweck, Art des Kontos und verantwortlicher Person. Die Richtlinie verweist auf das Register, statt die Liste selbst zu enthalten.
• Datenregeln mit Beispielen aus dem eigenen Haus: etwa „Produkttexte ja, Personalakten nein, Kundenkorrespondenz nur im freigegebenen Unternehmenskonto“.
• Verantwortung für Ergebnisse: Wer ein KI-Ergebnis verwendet, verantwortet es wie eigene Arbeit.
• Automatisierte Vorgänge: Sobald KI nicht mehr nur einen Menschen unterstützt, sondern Schritte selbst ausführt, braucht es eine eigene Freigabe mit festgelegten Prüfpunkten, wie sie Human-in-the-Loop beschreibt.
• Meldeweg: an wen sich wendet, wer einen Fehler bemerkt oder versehentlich Daten an der falschen Stelle eingegeben hat.
• Änderungsverfahren: wie neue Werkzeuge beantragt werden und wer darüber entscheidet.

Wer entscheidet

Die häufigste Schwäche liegt nicht im Text, sondern darin, dass niemand für ihn zuständig ist. Eine tragfähige Verteilung sieht so aus:

• Geschäftsführung: setzt die Regel in Kraft, legt den Rahmen fest, auch für Kosten, und entscheidet strittige Fälle.
• Fachbereiche: beantragen Werkzeuge für konkrete Aufgaben und verantworten deren fachlichen Nutzen.
• IT oder Organisation: prüft Konten, Zugriffsrechte, Anbindung und Vertragsbedingungen und führt das Werkzeugregister.
• Datenschutzbeauftragter: berät zu Datenarten und Verträgen; die Entscheidung bleibt bei der Leitung.
• Betriebsrat, sofern vorhanden: gehört früh an den Tisch, weil viele Werkzeuge Eingaben je Nutzer protokollieren und damit seine Mitbestimmung berühren.

Für Beschäftigte zählt vor allem eine einzige benannte Ansprechstelle. Wer mit einer Frage drei Abteilungen anschreiben muss, sucht sich die Antwort lieber selbst.

Die KI-Richtlinie aktuell halten

Ein Regelwerk zu KI veraltet schneller als andere interne Vorgaben. Statt eines starren Überprüfungstermins helfen feste Anlässe, bei denen die Regel geöffnet wird: ein neues Werkzeug mit einer neuen Datenart, ein Modellwechsel beim Anbieter, ein gemeldeter Vorfall, eine Änderung der Rechtslage. Ein Beispiel für den letzten Fall ist die Pflicht zur KI-Kompetenz aus der europäischen KI-Verordnung, deren Wortlaut die EU 2026 neu gefasst hat.

Den Zustand zeigen zwei einfache Größen: wie viele Anträge auf neue Werkzeuge eingehen und wie lange die Entscheidung dauert. Bleiben Anträge liegen, weichen Beschäftigte auf eigene Wege aus, und es entsteht Schatten-KI.

Woran Nutzungsregeln in der Praxis scheitern

• Die Freigabe dauert länger als der Umweg. Eine schwerfällige Prüfstrecke lädt dazu ein, sie zu umgehen.
• Die Werkzeugliste steht im Richtlinientext. Jede Ergänzung verlangt eine neue Fassung des gesamten Dokuments, also unterbleibt sie.
• Unterstützung und Automatisierung werden gleich behandelt. Ein Textentwurf, den ein Mensch liest, und eine automatisch versandte Mahnung unterliegen denselben Regeln.
• Verabschiedet, aber nie erklärt. Die Regel liegt im Intranet, im Alltag kennt sie niemand.

Wie wir eine Richtlinie mit aufsetzen

Wir beginnen mit dem, was im Haus tatsächlich genutzt wird, und formulieren die Regel entlang dieser Aufgaben, nicht entlang einer Mustervorlage. Register, Antragsweg und Zuständigkeiten gehören für uns zum Ergebnis, weil erst sie die Regel handhabbar machen. Im eigenen Betrieb gilt dasselbe Prinzip: Unsere KI führt Aktionen aus, die vorher in einem Katalog beschrieben sind, nicht alles, was ein Modell technisch könnte. Welche Unterlagen eine Beratung am Ende liefert, steht im Angebot. Der Weg dahin beginnt mit der KI-Beratung.