Leitfaden

KI-Richtlinie im Unternehmen: Pflicht, Inhalte und eine Mustergliederung

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

Eine KI-Richtlinie ist kein ausdrücklich vorgeschriebenes Dokument: Weder der AI Act noch die DSGVO verlangen ein Papier mit diesem Titel. Wer KI im Betrieb nutzt, muss aber Maßnahmen zur KI-Kompetenz ergreifen (Art. 4 AI Act, seit 2. Februar 2025), personenbezogene Daten und Geschäftsgeheimnisse schützen und die Nutzung beaufsichtigen. Eine schriftliche Nutzungsrichtlinie ist der einfachste Weg, all das festzulegen und nachzuweisen. Dieser Leitfaden zeigt, was hineingehört, liefert eine Mustergliederung zum Übernehmen und nennt die Fehler, an denen Richtlinien in der Praxis scheitern.

Dieser Beitrag behandelt das eine Dokument, mit dem Sie die KI-Nutzung Ihrer Beschäftigten regeln. Wie Sie KI-Governance insgesamt aufsetzen, also Inventar, Risikoklassen und Nachweise nach dem AI Act, beschreiben wir in AI Act und KI-Governance: was Unternehmen jetzt tun müssen.

Ist eine KI-Richtlinie Pflicht?

Ehrlich beantwortet: Ein Dokument mit dem Namen „KI-Richtlinie“ schreibt kein Gesetz vor. Mehrere Pflichten, die heute schon gelten, setzen aber voraus, dass Sie die KI-Nutzung im Betrieb steuern und das belegen können. Die folgende Übersicht zeigt, woher der Druck kommt.

Was die Kommission zu Art. 4 sagt

Die Fragen-und-Antworten-Seite der EU-Kommission zur KI-Kompetenz stellt klar: Auch ein Unternehmen, dessen Beschäftigte etwa ChatGPT für Werbetexte oder Übersetzungen nutzen, fällt unter Art. 4. Die Beschäftigten sollten über konkrete Risiken wie Halluzinationen informiert werden. Ein Zertifikat ist nicht nötig, und eine bestimmte Governance-Struktur schreibt Art. 4 nicht vor.

Seit dem Digital Omnibus, der am 27. Juli 2026 in Kraft getreten ist, lautet Art. 4 etwas weicher: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen, und kein bestimmtes Kompetenzniveau einzelner Personen garantieren. Die Pflicht zu handeln bleibt. Art. 4 hat im AI Act keinen eigenen Bußgeldtatbestand, er taucht in der Liste des Art. 99 nicht auf. Daraus folgt aber nicht, dass ein Verstoß folgenlos bleibt: Die Aufsicht hat seit August 2026 die Arbeit aufgenommen, in Deutschland mit der Bundesnetzagentur als Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle nach dem KI-MIG, das am 29. Juli 2026 in Kraft getreten ist.

Mitbestimmung nicht vergessen

Gibt es einen Betriebsrat, kann die Einführung von KI-Werkzeugen mitbestimmungspflichtig sein, etwa nach § 87 Abs. 1 Nr. 6 BetrVG, wenn ein Werkzeug Verhalten oder Leistung der Beschäftigten überwachen kann. Das Arbeitsgericht Hamburg hat im Eilverfahren (Beschluss vom 16. Januar 2024, 24 BVGa 1/24) für die Nutzung von ChatGPT über private Konten ohne Installation auf Firmensystemen kein Mitbestimmungsrecht gesehen. Das ist eine Einzelfallentscheidung, keine allgemeine Freigabe. Bei betrieblichen Konten mit Protokollierung kann es anders aussehen. Die Datenschutzkonferenz empfiehlt, Beschäftigtenvertretung und Datenschutzbeauftragte früh einzubinden.

Was in eine KI-Richtlinie gehört

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz (Mai 2024) beschreibt das Problem nüchtern: Ohne klare Regeln nutzen Beschäftigte KI-Anwendungen eigenmächtig und unkontrolliert. Sie empfiehlt dokumentierte Weisungen, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen, mit konkreten Beispielen für erlaubte und untersagte Szenarien. Daraus ergeben sich die folgenden Bausteine.

Freigegebene Werkzeuge

Eine Positivliste mit Werkzeug, Version oder Tarif, zulässigem Zweck und höchster zulässiger Datenklasse. Wichtig ist der Tarif: Die Verbraucherversion eines Chat-Dienstes und die Unternehmensversion desselben Anbieters unterscheiden sich oft bei Vertragsgrundlage, Datennutzung und Verwaltung. Die Datenschutzkonferenz empfiehlt betriebliche Konten statt privater, und Voreinstellungen, bei denen Eingaben nicht für das Training verwendet und keine Verläufe über die Sitzung hinaus gespeichert werden, wo der Dienst das zulässt.

Datenklassen mit Beispielen

Der wichtigste Teil der Richtlinie und der, der am häufigsten zu abstrakt bleibt. „Keine vertraulichen Daten“ hilft niemandem, der gerade ein Angebot formuliert. Besser ist eine kurze Ampel mit Beispielen aus Ihrem Alltag:

Die Klassen sollten zu Ihrer bestehenden Informationsklassifizierung passen.

Freigabeweg für neue Werkzeuge

Neue KI-Dienste tauchen schneller auf, als jede Liste nachkommt. Die Richtlinie braucht deshalb einen kurzen, verbindlichen Freigabeweg. Geprüft werden mindestens Vertragsgrundlage und Auftragsverarbeitung, Speicherort und Drittlandübermittlung, Trainingsnutzung der Eingaben, Anmeldung über die zentrale Benutzerverwaltung, Protokollierung und, bei hohem Risiko für Betroffene, eine Datenschutz-Folgenabschätzung. Ein Weg, der Wochen dauert, wird umgangen. Planen Sie für Standardfälle eine Entscheidung in wenigen Tagen ein.

Prüfung und Kennzeichnung von Ergebnissen

KI-Ergebnisse können plausibel klingen und falsch sein. Die Richtlinie legt fest, dass ein Mensch Ergebnisse prüft, bevor sie das Haus verlassen oder in Entscheidungen einfließen, und wer dafür verantwortlich ist. Für die Kennzeichnung genügt meist eine knappe Regel entlang Art. 50 Abs. 4 AI Act (siehe Tabelle oben): Deepfakes offenlegen, Texte zu Angelegenheiten von öffentlichem Interesse kennzeichnen, sofern sie nicht menschlich geprüft und redaktionell verantwortet sind. Für Entscheidungen über Menschen, etwa in Bewerbungsverfahren, gehört ein ausdrücklicher Vorbehalt in die Richtlinie: Solche Einsätze nur nach gesonderter Prüfung, denn KI in der Personalauswahl kann unter die Hochrisiko-Regeln des AI Act fallen, deren Pflichten nach Anhang III ab 2. Dezember 2027 gelten.

Verantwortlichkeiten

Mindestens drei Rollen: wer die Richtlinie fortschreibt, wer neue Werkzeuge freigibt und wer Vorfälle entgegennimmt. In kleinen Unternehmen kann das eine Person sein.

Schulung und Kenntnisnahme

Die Richtlinie ist Teil der Maßnahmen nach Art. 4, ersetzt die Schulung aber nicht. Sinnvoll sind eine Einweisung vor der ersten Nutzung, eine kurze Auffrischung bei wesentlichen Änderungen und eine dokumentierte Kenntnisnahme. Die Inhalte richten sich nach Rolle und Einsatz: Wer einen Agenten mit Schreibrechten konfiguriert, braucht mehr als wer Texte zusammenfassen lässt.

Meldeweg und Überprüfung

Ein einfacher Weg, Fehler zu melden, etwa wenn versehentlich Kundendaten in ein nicht freigegebenes Werkzeug kopiert wurden. Wer Sanktionen fürchtet, meldet nicht, und die Frist für eine mögliche Meldung nach Art. 33 DSGVO läuft unbemerkt. Dazu ein fester Überprüfungstermin, mindestens jährlich und bei jedem neuen Werkzeugtyp.

Agenten, Copiloten und Anbindungen

Viele Richtlinien wurden für den Chat im Browser geschrieben. KI-Agenten und Copiloten arbeiten anders: Sie lesen selbstständig Postfächer, Dokumente und Tickets, rufen Werkzeuge auf und handeln mit den Rechten des verbundenen Kontos. Über Konnektoren, Plugins oder MCP-Server werden sie an weitere Systeme angeschlossen. Dafür braucht die Richtlinie eigene Regeln.

• Jede Anbindung ist ein eigenes Werkzeug. Ein Konnektor zum Dateispeicher oder ein MCP-Server zum Ticketsystem durchläuft denselben Freigabeweg wie ein neuer KI-Dienst, mit Angabe, welche Daten er lesen und was er verändern darf.
• Ein Copilot sieht, was der Nutzer sehen darf. Zu weit gefasste Freigaben in Dateiablagen, die bisher niemand bemerkt hat, werden durch eine KI-Suche plötzlich auffindbar. Vor der Einführung die Berechtigungen aufräumen, nicht danach.
• Schreiben, Senden, Löschen nur mit Bestätigung. Aktionen mit Außenwirkung oder ohne Rückweg brauchen eine menschliche Freigabe im Einzelfall. Automatisches Bestätigen gehört ausdrücklich verboten.
• Fremde Inhalte sind keine Anweisungen. Liest ein Agent eine Webseite, eine Mail oder ein Dokument, kann darin eine versteckte Anweisung stehen. Das ist Prompt-Injection, und sie lässt sich nicht per Richtlinie verbieten, nur durch Rechtebegrenzung eindämmen.
• Eigene Identität, wenig Rechte. Agenten, die unbeaufsichtigt laufen, bekommen ein eigenes Dienstkonto mit den kleinstmöglichen Rechten, nicht das Konto einer Führungskraft.
• Nur geprüfte Server und Erweiterungen. Keine MCP-Server oder Plugins aus beliebigen Quellen. Jede Erweiterung ist fremder Code mit Zugriff auf Ihre Daten.

Die Angriffsflächen dahinter beschreiben wir in KI-Agent-Sicherheit: der Überblick und MCP-Server absichern.

Mustergliederung zum Übernehmen

Die folgende Gliederung deckt die Bausteine oben ab. Sie ist als Ausgangspunkt gedacht, den Sie an Ihre Werkzeuge, Datenarten und Organisation anpassen. Kurz schlägt vollständig: Vier Seiten werden gelesen, zwanzig nicht.

Zwei Formulierungsbeispiele für den Ton, der funktioniert: „Sie dürfen die freigegebenen Werkzeuge für alle Aufgaben nutzen, solange die Daten höchstens der Klasse entsprechen, die in der Werkzeugliste steht.“ Und: „Wenn Sie unsicher sind, ob eine Information in ein Werkzeug darf, fragen Sie [Ansprechpartner]. Eine versehentliche Eingabe melden Sie bitte sofort, Sie bekommen dafür keinen Ärger.“

Hinweis: Diese Gliederung ist eine fachliche Arbeitshilfe und keine Rechtsberatung. Eine Nutzungsrichtlinie berührt Arbeitsrecht und gegebenenfalls die Mitbestimmung. Lassen Sie die fertige Fassung anwaltlich durchsehen und binden Sie Datenschutzbeauftragte und, falls vorhanden, den Betriebsrat ein.

Typische Fehler

Verbot ohne Alternative

Die häufigste Reaktion auf die ersten KI-Werkzeuge war ein pauschales Verbot. Der Bedarf verschwindet dadurch nicht, die Nutzung wandert in private Konten auf privaten Geräten. Genau das beschreibt die Datenschutzkonferenz als Risiko: eigenmächtige, unkontrollierte Nutzung, von der das Unternehmen nichts weiß. Ein Verbot funktioniert nur zusammen mit einer freigegebenen Alternative, die gut genug ist, dass niemand ausweichen muss.

Richtlinie ohne technische Kontrolle

Die Richtlinie sagt „Training abgeschaltet“, aber niemand hat es in der Verwaltungskonsole geprüft. Sie sagt „nur freigegebene Werkzeuge“, aber jeder kann im Browser jeden Dienst aufrufen und jede Erweiterung installieren. Sie sagt „Agenten nur mit Bestätigung“, aber die Einstellung für automatisches Bestätigen ist an. Eine Richtlinie, deren Regeln in den Systemen nicht umgesetzt sind, beschreibt einen Zustand, den es nicht gibt.

Zu abstrakt und nie aktualisiert

„Personenbezogene Daten nur im Rahmen der DSGVO“ ist richtig und im Alltag nutzlos, ohne Beispiele entscheidet jede Person anders. Und eine Richtlinie ohne Verantwortliche und ohne Überprüfungstermin ist nach einem Jahr veraltet.

Greift Ihre Richtlinie in den Systemen?

Ob eine Richtlinie hält, lässt sich nur am System prüfen, nicht am Dokument. Diese Fragen zeigen, wie weit Papier und Realität auseinanderliegen:

• Sind die freigegebenen Werkzeuge über die zentrale Anmeldung eingebunden, und lassen sich Konten beim Ausscheiden sofort sperren?
• Ist die Trainingsnutzung in jedem Unternehmenskonto tatsächlich abgeschaltet, und wer hat das zuletzt kontrolliert?
• Welche Konnektoren, Plugins und MCP-Server sind angebunden, und welche Rechte haben sie wirklich?
• Kann ein Agent über eine präparierte Mail oder ein Dokument dazu gebracht werden, Daten nach außen zu geben oder etwas zu löschen?
• Werden Zugangsdaten und Schlüssel in Eingaben, Protokollen oder Agentenkonfigurationen sichtbar?
• Findet eine Copilot-Suche Dateien, die die suchende Person nicht sehen sollte?

Bei beidem unterstützen wir: der organisatorischen Seite, die Richtlinie, Werkzeugliste und Schulungsnachweis in prüfbare Kontrollen übersetzt, und der technischen Seite, die prüft, ob Agenten, Copiloten und Anbindungen die Grenzen der Richtlinie im Betrieb einhalten. Prüfungen erfolgen im schriftlich vereinbarten Umfang, jeder Befund wird mit einem Proof of Concept belegt.

Häufige Fragen

Weiterlesen

• AI Act und KI-Governance: was Unternehmen jetzt tun müssen
• KI-Agent-Sicherheit: der Überblick
• Prompt-Injection und Tool-Poisoning in MCP-Servern
• Leistung: Compliance-Readiness für NIS2, ISO 27001, ISO 42001 und EU AI Act

Quellen

• EU-Kommission, AI Act Service Desk: Artikel 4, KI-Kompetenz (konsolidierte Fassung)
• EU-Kommission, AI Act Service Desk: Artikel 50, Transparenzpflichten
• EU-Kommission, AI Act Service Desk: Artikel 99, Sanktionen
• EU-Kommission, AI Act Service Desk: Artikel 113, Geltungsbeginn
• EU-Kommission: AI Literacy, Questions & Answers
• Bundesnetzagentur: Pressemitteilung zur KI-Verordnung vom 29.07.2026
• Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz (Mai 2024)
• BSI: Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden
• GeschGehG § 2 Begriffsbestimmungen
• OWiG § 130 Aufsichtspflichtverletzung
• BetrVG § 87 Mitbestimmungsrechte