# KI-Richtlinie für Unternehmen: Inhalte, Aufbau und Einführung

> Eine KI-Richtlinie legt schriftlich fest, welche KI-Werkzeuge Mitarbeitende für welche Zwecke und mit welchen Daten nutzen dürfen, wer neue Anwendungen freigibt und wie Ergebnisse geprüft werden. Sie gibt Unternehmen jeder Größe Rechtssicherheit nach DSGVO und EU AI Act und den Mitarbeitenden klare Regeln für den Arbeitsalltag. Dieser Ratgeber von Hey2Ai zeigt die notwendigen Inhalte, einen bewährten Aufbau und die Einführung in fünf Schritten.

Quelle: https://hey2.ai/ratgeber/ki-richtlinie-unternehmen/ · Stand: 24.10.2026 · Hey2Ai, München

## Das Wichtigste in Kürze

- Die Datenschutzkonferenz empfiehlt dokumentierte interne Weisungen zum KI-Einsatz
- Laut Bitkom hatten 2025 erst 23 Prozent der Unternehmen Regeln für KI-Tools
- Kerninhalte: erlaubte Werkzeuge, erlaubte Daten, Freigabe, Prüfung, Zuständigkeit
- Art. 4 EU AI Act verlangt seit 2. Februar 2025 Maßnahmen zur KI-Kompetenz
- Bei technischer Überwachung kann der Betriebsrat mitbestimmen (§ 87 BetrVG)
- Eine Richtlinie wirkt nur mit einer freigegebenen Alternative zu privaten Konten

## Warum Unternehmen eine KI-Richtlinie brauchen

Ohne Richtlinie nutzen Mitarbeitende KI nach eigenem Ermessen, und das Unternehmen weiß nicht, welche Daten wohin fließen. Die Datenschutzkonferenz (DSK) geht in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 davon aus, dass eine eigenmächtige und unkontrollierte Nutzung in vielen Unternehmen bereits Realität ist. Sie empfiehlt daher klare, dokumentierte interne Weisungen, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen, ergänzt um konkrete Beispiele für erlaubte und untersagte Einsatzszenarien.

Die Praxis hinkt hinterher: Nach einer Bitkom-Umfrage unter 604 Unternehmen hatten im Jahr 2025 erst 23 Prozent Regeln für den Einsatz von KI-Tools aufgestellt. Hinzu kommt der EU AI Act. Artikel 4 verpflichtet seit dem 2. Februar 2025 zu Maßnahmen, die die KI-Kompetenz des Personals fördern. Eine Richtlinie mit einem Konzept zur KI-Kompetenz ist der einfachste Weg, diese Maßnahmen nachweisbar zu machen.

## Was in eine KI-Richtlinie gehört

Diese Bausteine haben sich in mittelständischen Unternehmen bewährt. Halte die Richtlinie kurz und ergänze Details in Anlagen.

| Baustein | Was geregelt wird |
|---|---|
| Geltungsbereich | Für wen die Richtlinie gilt und welche Werkzeuge als KI zählen, inklusive Copilot-Funktionen, eigener GPTs und Automatisierungen |
| Freigegebene Werkzeuge | Liste der erlaubten Anwendungen mit betrieblichen Konten, Verbot privater Konten für dienstliche Aufgaben |
| Datenklassen | Welche Daten in welches Werkzeug dürfen: öffentlich, intern, vertraulich, personenbezogen, besonders geschützt |
| Erlaubte und verbotene Zwecke | Konkrete Beispiele je Abteilung, etwa Textentwürfe erlaubt, Bewertung von Bewerbenden untersagt |
| Prüfpflicht | Ergebnisse werden vor der Verwendung von einem Menschen geprüft, Entscheidungen trifft immer ein Mensch |
| Kennzeichnung | Wann KI-Inhalte gegenüber Kunden offengelegt werden, mit Blick auf Art. 50 EU AI Act |
| Freigabeprozess | Wie neue Werkzeuge und Use Cases beantragt, geprüft und in das KI-Inventar aufgenommen werden |
| Zuständigkeit und KI-Kompetenz | Verantwortliche Stelle, Einbindung von Datenschutzbeauftragten, Maßnahmen zur KI-Kompetenz und Überprüfungsrhythmus |

## In fünf Schritten zur gelebten Richtlinie

1. **Erfassen** (Bestandsaufnahme): Erhebe, welche KI-Werkzeuge heute tatsächlich genutzt werden, auch inoffiziell. Frag offen und ohne Sanktionsdrohung.
2. **Festlegen** (Entwurf): Formuliere Werkzeuge, Datenklassen, Zwecke und Prüfpflicht. Konkrete Beispiele aus deinem Betrieb helfen mehr als allgemeine Verbote.
3. **Abstimmen** (Beteiligung): Binde Datenschutzbeauftragte und, falls vorhanden, den Betriebsrat ein. Die DSK empfiehlt das ausdrücklich, oft passt eine Betriebsvereinbarung.
4. **Schulen** (KI-Kompetenz): Erkläre die Regeln rollenbezogen und dokumentiere die Schulungen. Das unterstützt die Maßnahmen nach Art. 4 EU AI Act.
5. **Prüfen** (Überprüfung): Prüfe die Richtlinie in festen Abständen und bei neuen Werkzeugen. Die DSK rät zu einer Routine im Datenschutzmanagement.

## Wie die Richtlinie im Alltag wirkt

Eine Richtlinie wird nur befolgt, wenn die erlaubte Lösung bequemer ist als die verbotene. Wer private Konten untersagt, braucht deshalb ein freigegebenes Werkzeug mit betrieblichen Konten, wie es auch die DSK empfiehlt. Hey2Ai stellt dafür eine [eigene KI-Plattform](https://hey2.ai/firmen-ki-chat/) mit Hosting in Deutschland bereit, ohne Training von Modellen auf Kundendaten.

Wichtig ist außerdem ein vollständiges Bild der vorhandenen KI-Agenten und Automatisierungen. Das [Agent Estate Review](https://hey2.ai/agent-estate-review/) liefert dieses Inventar als Grundlage für die Richtlinie. Welche Pflichten der [EU AI Act](https://hey2.ai/eu-ai-act/) zusätzlich mit sich bringt, prüft Hey2Ai gemeinsam mit dir in der kostenlosen KI-Analyse. Der Inhaber von Hey2Ai ist zertifizierter AI Officer.

## Fragen zur KI-Richtlinie

### Ist eine KI-Richtlinie für mein Unternehmen Pflicht?

Ein Gesetz schreibt kein Dokument mit diesem Namen vor. Die DSK empfiehlt aber dokumentierte interne Regeln, und Art. 4 EU AI Act verlangt Maßnahmen zur KI-Kompetenz. Eine Richtlinie ist der praktischste Weg, beides nachzuweisen.

### Was muss in einer KI-Richtlinie stehen?

Mindestens die freigegebenen Werkzeuge, welche Daten hineindürfen, erlaubte und verbotene Zwecke, die Pflicht zur menschlichen Prüfung und wer zuständig ist. Konkrete Beispiele aus dem eigenen Betrieb machen die Regeln verständlich.

### Muss der Betriebsrat bei der KI-Richtlinie mitbestimmen?

Eine Mitbestimmung liegt nahe. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei technischen Einrichtungen mitzubestimmen, die Verhalten oder Leistung überwachen können. Die DSK nennt eine Betriebsvereinbarung als geeigneten Rahmen.

### Darf ich ChatGPT im Unternehmen einfach verbieten?

Ein Verbot ist zulässig, aber allein selten wirksam. Mitarbeitende weichen dann oft auf private Konten aus. Besser wirkt ein freigegebenes Werkzeug mit klaren Regeln.

### Wie oft sollte ich meine KI-Richtlinie aktualisieren?

Plane eine feste Überprüfung mindestens einmal im Jahr und zusätzlich bei jedem neuen Werkzeug oder neuen Use Case. Die DSK empfiehlt, die Anpassung als Routine im Datenschutzmanagement zu verankern.

### Wovon hängt der Aufwand für die Einführung einer KI-Richtlinie ab?

Das hängt vor allem von der Bestandsaufnahme und der Abstimmung mit Betriebsrat und Datenschutz ab. Beginne mit dem Inventar, denn ohne Überblick über die genutzten Werkzeuge lässt sich keine passende Regel formulieren.

## Kostenlose Vorlagen

Per E-Mail nach der Anmeldung zum Hey2Ai-Newsletter, als PDF und als Datei zum Bearbeiten:

- Vorlage KI-Richtlinie (PDF und Word): Muster mit Werkzeugen, Datenklassen, erlaubten Zwecken, Prüfpflicht, Freigabe und Zuständigkeit, zum Ausfüllen.
- Vorlage KI-Inventar (PDF und Excel): Alle KI-Werkzeuge, Agenten und Automatisierungen auf einen Blick, mit Ausfüllhilfe und Spalten für Rolle und Risikoklasse.

## Quellen

- [DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0, 6. Mai 2024](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf)
- [Bitkom, Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“, 21. Oktober 2025](https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI)
- [Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)
- [Digital Omnibus on AI, Verordnung (EU) 2026/1744, Übersicht](https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/)
- [§ 87 Betriebsverfassungsgesetz, gesetze-im-internet.de](https://www.gesetze-im-internet.de/betrvg/__87.html)

## Kontakt

Kostenlose KI-Analyse (30 Minuten): https://cal.com/hey2ai-ki-check/termin · E-Mail: info@hey2.ai