PDF und Word
Vorlage KI-Richtlinie
Muster mit Werkzeugen, Datenklassen, erlaubten Zwecken, Prüfpflicht, Freigabe und Zuständigkeit, zum Ausfüllen.
Ratgeber · KI-Richtlinie
KI-Richtlinie für Unternehmen: Inhalte, Aufbau und Einführung
Eine KI-Richtlinie legt schriftlich fest, welche KI-Werkzeuge Mitarbeitende für welche Zwecke und mit welchen Daten nutzen dürfen, wer neue Anwendungen freigibt und wie Ergebnisse geprüft werden. Sie gibt Unternehmen jeder Größe Rechtssicherheit nach DSGVO und EU AI Act und den Mitarbeitenden klare Regeln für den Arbeitsalltag. Dieser Ratgeber von Hey2Ai zeigt die notwendigen Inhalte, einen bewährten Aufbau und die Einführung in fünf Schritten.
Grundlage
Warum Unternehmen eine KI-Richtlinie brauchen
Ohne Richtlinie nutzen Mitarbeitende KI nach eigenem Ermessen, und das Unternehmen weiß nicht, welche Daten wohin fließen. Die Datenschutzkonferenz (DSK) geht in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 davon aus, dass eine eigenmächtige und unkontrollierte Nutzung in vielen Unternehmen bereits Realität ist. Sie empfiehlt daher klare, dokumentierte interne Weisungen, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen, ergänzt um konkrete Beispiele für erlaubte und untersagte Einsatzszenarien.
Die Praxis hinkt hinterher: Nach einer Bitkom-Umfrage unter 604 Unternehmen hatten im Jahr 2025 erst 23 Prozent Regeln für den Einsatz von KI-Tools aufgestellt. Hinzu kommt der EU AI Act. Artikel 4 verpflichtet seit dem 2. Februar 2025 zu Maßnahmen, die die KI-Kompetenz des Personals fördern. Eine Richtlinie mit einem Konzept zur KI-Kompetenz ist der einfachste Weg, diese Maßnahmen nachweisbar zu machen.
Inhalte
Was in eine KI-Richtlinie gehört
Diese Bausteine haben sich in mittelständischen Unternehmen bewährt. Halte die Richtlinie kurz und ergänze Details in Anlagen.
| Baustein | Was geregelt wird |
|---|---|
| Geltungsbereich | Für wen die Richtlinie gilt und welche Werkzeuge als KI zählen, inklusive Copilot-Funktionen, eigener GPTs und Automatisierungen |
| Freigegebene Werkzeuge | Liste der erlaubten Anwendungen mit betrieblichen Konten, Verbot privater Konten für dienstliche Aufgaben |
| Datenklassen | Welche Daten in welches Werkzeug dürfen: öffentlich, intern, vertraulich, personenbezogen, besonders geschützt |
| Erlaubte und verbotene Zwecke | Konkrete Beispiele je Abteilung, etwa Textentwürfe erlaubt, Bewertung von Bewerbenden untersagt |
| Prüfpflicht | Ergebnisse werden vor der Verwendung von einem Menschen geprüft, Entscheidungen trifft immer ein Mensch |
| Kennzeichnung | Wann KI-Inhalte gegenüber Kunden offengelegt werden, mit Blick auf Art. 50 EU AI Act |
| Freigabeprozess | Wie neue Werkzeuge und Use Cases beantragt, geprüft und in das KI-Inventar aufgenommen werden |
| Zuständigkeit und KI-Kompetenz | Verantwortliche Stelle, Einbindung von Datenschutzbeauftragten, Maßnahmen zur KI-Kompetenz und Überprüfungsrhythmus |
Einführung
In fünf Schritten zur gelebten Richtlinie
- Bestandsaufnahme
Erfassen
Erhebe, welche KI-Werkzeuge heute tatsächlich genutzt werden, auch inoffiziell. Frag offen und ohne Sanktionsdrohung.
- Entwurf
Festlegen
Formuliere Werkzeuge, Datenklassen, Zwecke und Prüfpflicht. Konkrete Beispiele aus deinem Betrieb helfen mehr als allgemeine Verbote.
- Beteiligung
Abstimmen
Binde Datenschutzbeauftragte und, falls vorhanden, den Betriebsrat ein. Die DSK empfiehlt das ausdrücklich, oft passt eine Betriebsvereinbarung.
- KI-Kompetenz
Schulen
Erkläre die Regeln rollenbezogen und dokumentiere die Schulungen. Das unterstützt die Maßnahmen nach Art. 4 EU AI Act.
- Überprüfung
Prüfen
Prüfe die Richtlinie in festen Abständen und bei neuen Werkzeugen. Die DSK rät zu einer Routine im Datenschutzmanagement.
Praxis
Wie die Richtlinie im Alltag wirkt
Eine Richtlinie wird nur befolgt, wenn die erlaubte Lösung bequemer ist als die verbotene. Wer private Konten untersagt, braucht deshalb ein freigegebenes Werkzeug mit betrieblichen Konten, wie es auch die DSK empfiehlt. Hey2Ai stellt dafür eine eigene KI-Plattform mit Hosting in Deutschland bereit, ohne Training von Modellen auf Kundendaten.
Wichtig ist außerdem ein vollständiges Bild der vorhandenen KI-Agenten und Automatisierungen. Das Agent Estate Review liefert dieses Inventar als Grundlage für die Richtlinie. Welche Pflichten der EU AI Act zusätzlich mit sich bringt, prüft Hey2Ai gemeinsam mit dir in der kostenlosen KI-Analyse. Der Inhaber von Hey2Ai ist zertifizierter AI Officer.
Kostenlose Vorlagen
Vorlagen für deinen Betrieb
Die Vorlagen kommen als gestaltetes PDF zum Ausdrucken und als Datei zum Bearbeiten, direkt in dein Postfach. Arbeitshilfen, keine Rechtsberatung.
PDF und Excel
Vorlage KI-Inventar
Alle KI-Werkzeuge, Agenten und Automatisierungen auf einen Blick, mit Ausfüllhilfe und Spalten für Rolle und Risikoklasse.
Vorlagen per E-Mail bekommen
Trag deine E-Mail-Adresse ein und bestätige die Anmeldung. Danach schicken wir dir alle drei Vorlagen.
Ist eine KI-Richtlinie für mein Unternehmen Pflicht?
Ein Gesetz schreibt kein Dokument mit diesem Namen vor. Die DSK empfiehlt aber dokumentierte interne Regeln, und Art. 4 EU AI Act verlangt Maßnahmen zur KI-Kompetenz. Eine Richtlinie ist der praktischste Weg, beides nachzuweisen.
Was muss in einer KI-Richtlinie stehen?
Mindestens die freigegebenen Werkzeuge, welche Daten hineindürfen, erlaubte und verbotene Zwecke, die Pflicht zur menschlichen Prüfung und wer zuständig ist. Konkrete Beispiele aus dem eigenen Betrieb machen die Regeln verständlich.
Muss der Betriebsrat bei der KI-Richtlinie mitbestimmen?
Eine Mitbestimmung liegt nahe. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei technischen Einrichtungen mitzubestimmen, die Verhalten oder Leistung überwachen können. Die DSK nennt eine Betriebsvereinbarung als geeigneten Rahmen.
Darf ich ChatGPT im Unternehmen einfach verbieten?
Ein Verbot ist zulässig, aber allein selten wirksam. Mitarbeitende weichen dann oft auf private Konten aus. Besser wirkt ein freigegebenes Werkzeug mit klaren Regeln.
Wie oft sollte ich meine KI-Richtlinie aktualisieren?
Plane eine feste Überprüfung mindestens einmal im Jahr und zusätzlich bei jedem neuen Werkzeug oder neuen Use Case. Die DSK empfiehlt, die Anpassung als Routine im Datenschutzmanagement zu verankern.
Wovon hängt der Aufwand für die Einführung einer KI-Richtlinie ab?
Das hängt vor allem von der Bestandsaufnahme und der Abstimmung mit Betriebsrat und Datenschutz ab. Beginne mit dem Inventar, denn ohne Überblick über die genutzten Werkzeuge lässt sich keine passende Regel formulieren.
30 Minuten, kostenlos
Welcher Vorgang kostet dein Team täglich Zeit?
In der kostenlosen KI-Analyse benennen wir den Vorgang, der sich zuerst lohnt, mit Werkzeug, Kennzahl und Größenordnung. Und du bekommst eine ehrliche Einschätzung, auch wenn sie Nein heißt.
Kostenlose KI-Analyse buchen
Weiterlesen
Passende Themen
Quellen
- DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0, 6. Mai 2024
- Bitkom, Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“, 21. Oktober 2025
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex
- Digital Omnibus on AI, Verordnung (EU) 2026/1744, Übersicht
- § 87 Betriebsverfassungsgesetz, gesetze-im-internet.de