Was gehört in eine interne Richtlinie für KI im Unternehmen? Die kurze Antwort: ein klarer Zweck, ein Geltungsbereich, erlaubte und verbotene Anwendungen, Regeln für Daten, ein Freigabeweg für neue Werkzeuge, Schulungen und eine benannte Verantwortung. Laut Bitkom setzt inzwischen die Mehrheit der Unternehmen KI ein. Wer KI nutzt, ohne Regeln festzulegen, überlässt Mitarbeitenden die Entscheidung über Daten und Werkzeuge. Dieser Ratgeber zeigt die Bausteine, die eine Richtlinie im Mittelstand tragen, und die Punkte, die Sie vor dem Entwurf mit Ihrer Rechtsberatung klären sollten. Dies ist kein Rechtsrat.
Eine interne KI-Richtlinie beantwortet sechs Fragen: Wozu gibt es die Regel, für wen gilt sie, was ist erlaubt, was ist verboten, wie kommt ein neues Werkzeug in den Betrieb und wer ist verantwortlich. Fehlt eine dieser Antworten, bleibt die Richtlinie ein Dokument ohne Wirkung.
Der Zweck sollte knapp formuliert sein. Er nennt die Ziele, etwa effizientes Arbeiten, Schutz von Kundendaten und die Einhaltung rechtlicher Pflichten. Der Geltungsbereich legt fest, ob die Regel für Angestellte, Freelancer und Dienstleister gilt und ob sie auch private Geräte umfasst. Gerade der zweite Punkt wird im Mittelstand oft übersehen.
Hilfreich ist eine Prozesslandkarte, die zeigt, an welchen Stellen KI tatsächlich eingesetzt wird. Wie Sie diese Übersicht erstellen, beschreibt der Beitrag Prozesslandkarte erstellen. Die Richtlinie wird damit konkret, statt allgemeine Verbote auszusprechen.
KI ist im Alltag angekommen. Laut Bitkom setzen 57 Prozent der befragten Unternehmen ab 20 Beschäftigten KI ein. Im Vorjahr lag der Anteil bei 36 Prozent. Die Basis der Erhebung umfasst 603 Unternehmen. Wo Werkzeuge verbreitet sind, entstehen Eingaben, Ergebnisse und Abhängigkeiten, die niemand mehr zentral steuert.
Dazu kommt eine rechtliche Komponente. Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz ihres Personals zu ergreifen. Eine interne Richtlinie ist der naheliegende Ort, um diese Maßnahmen zu dokumentieren. Den Rahmen für Personalauswahl beschreibt unser Ratgeber zu KI in der Personalauswahl und der EU-KI-Verordnung.
Die Einsatzfelder selbst sind vielfältig, von Texterstellung über Auswertungen bis zur Unterstützung in Verwaltungsprozessen. Welche Felder für den Mittelstand typisch sind, zeigt der Beitrag KI im Mittelstand: Einsatzfelder.
Der wichtigste Abschnitt betrifft Daten. Die Richtlinie sollte drei Kategorien unterscheiden: Daten, die nie in externe KI-Dienste eingegeben werden dürfen, Daten, die nur mit freigegebenen Werkzeugen verarbeitet werden, und unkritische Inhalte. Personenbezogene Daten von Beschäftigten, Bewerbern und Kunden sollte die Richtlinie gesondert regeln.
Hier kommen datenschutzrechtliche Fragen ins Spiel. Ob ein Anbieter Eingaben zum Training nutzt, wo Server stehen und welche Auftragsverarbeitung besteht, sollte geklärt sein, bevor ein Werkzeug freigegeben wird. Diese Prüfung sollte nicht der einzelnen Person am Schreibtisch überlassen bleiben.
Ein Beispiel zeigt den Unterschied. Ein Vertriebsmitarbeiter möchte den Entwurf einer Angebotsvorlage sprachlich glätten. Die Richtlinie erlaubt das mit einem freigegebenen Werkzeug, solange im Text keine Kundennamen, Konditionen oder Vertragsdetails stehen. Die Kundenkorrespondenz mit diesen Angaben bleibt dagegen außerhalb solcher Werkzeuge. So weiß jede Person, was sie tun darf, ohne jede Frage an die Geschäftsführung zu richten.
Praktisch kann sich eine einfache Ampel für Eingaben eignen: Grün für unkritische Inhalte, Gelb für interne Daten mit freigegebenen Werkzeugen, Rot für personenbezogene und vertrauliche Daten. Die Ampel gehört an einen Ort, an dem Mitarbeitende sie finden, etwa ins Intranet.
Ein Freigabeweg verhindert, dass jede Abteilung eigene Werkzeuge einführt. Er beschreibt, wer einen Antrag stellt, wer ihn prüft und welche Kriterien gelten: Datenschutz, Vertragsbedingungen, Sicherheit, Kosten und Nutzen. Fehlt dieser Weg, entsteht eine Schattennutzung, die die Geschäftsführung nicht sieht.
Die Richtlinie sollte außerdem eine Liste freigegebener Werkzeuge führen und regelmäßig aktualisieren. Eine kurze Tabelle mit Zweck, Datenklasse und verantwortlicher Person reicht für den Anfang. Wichtig ist, dass die Liste leicht zugänglich ist und Änderungen mit Datum vermerkt werden.
Werden Werkzeuge eingeführt, die Leistung oder Verhalten von Beschäftigten auswerten können, kann in Betrieben mit Betriebsrat dessen Mitbestimmung berührt sein. Der Freigabeweg sollte diesen Schritt ausdrücklich vorsehen. Die genaue Rechtslage klärt Ihre Rechtsberatung.
Vergessen Sie nicht die Fälle, in denen Mitarbeitende bereits Werkzeuge nutzen. Eine Übergangsregel, die offene Fragen klärt und Nutzungen meldet, kann wirksamer sein als ein pauschales Verbot, das im Alltag leicht umgangen wird.
Nach Auswertung aktueller Fachquellen hat der sogenannte KI-Omnibus die Pflicht aus Artikel 4 abgeschwächt. Ein bestimmtes Kompetenzniveau muss ein Unternehmen danach nicht mehr garantieren. Die Verpflichtung, die Entwicklung der KI-Kompetenz zu unterstützen, bleibt bestehen. Eine allgemeine Zertifikatspflicht gibt es nicht.
Diese Angaben stammen aus Sekundärquellen und sind keine Rechtsauskunft. Den Normtext der aktuell geltenden Fassung sollten Sie mit Ihrer Rechtsberatung prüfen, bevor Sie die Richtlinie verabschieden. Für die Richtlinie selbst ist das praktisch wenig entscheidend: Ein dokumentierter Schulungsplan ist in jedem Fall der sinnvollste Nachweis.
Eine Richtlinie braucht eine verantwortliche Person mit Entscheidungsbefugnis, meist aus der Geschäftsführung, der IT oder dem Datenschutz. Sie entscheidet über Freigaben, pflegt die Werkzeugliste und ist Ansprechpartner für Fragen. Ohne diese Rolle bleibt die Richtlinie ein Dokument im Ordner.
Die Einführung ist auch eine Veränderungsaufgabe. Wie Sie Abläufe dabei mitnehmen, beschreibt der Ratgeber Change Management im Mittelstand. Wer die Digitalisierung insgesamt plant, findet im Beitrag Digitalisierung im Mittelstand: Wo anfangen? eine Reihenfolge für die nächsten Schritte.
Eine gute Richtlinie ist kurz, klar und lebt im Betrieb. Sie beantwortet die Frage, die Mitarbeitende am Tag der Entscheidung haben: Darf ich das eingeben, und wen frage ich, wenn ich unsicher bin?
Mindestens Zweck, Geltungsbereich, erlaubte und verbotene Anwendungen, Regeln für Daten, einen Freigabeweg für neue Werkzeuge und eine verantwortliche Person. Ergänzend sind Schulungen und eine regelmäßige Überprüfung sinnvoll, damit die Liste freigegebener Werkzeuge aktuell bleibt. Wer diese Bausteine klar benennt, schafft Orientierung im Alltag.
Laut Bitkom setzen 57 Prozent der Unternehmen ab 20 Beschäftigten KI ein, Stand September 2026. Im Vorjahr lag der Anteil bei 36 Prozent. Weitere 38 Prozent planen oder diskutieren den Einsatz. Die Basis umfasst 603 Unternehmen, die Erhebung wurde im September 2026 veröffentlicht.
Artikel 4 gilt für Anbieter und Betreiber von KI-Systemen. Er verpflichtet zur Förderung der KI-Kompetenz des Personals und ist seit dem 2. Februar 2025 in Kraft. Ob und wie das im Einzelfall umzusetzen ist, sollten Sie mit Ihrer Rechtsberatung klären. Dies ist kein Rechtsrat.
Das hängt vom Werkzeug, dem Vertrag und der Datenart ab. Personenbezogene und vertrauliche Daten sollten nur in freigegebene Werkzeuge mit geklärter Auftragsverarbeitung eingegeben werden. Eine Ampel für Eingaben gibt Mitarbeitenden im Alltag eine schnelle Orientierung und verhindert Fehlentscheidungen unter Zeitdruck.
In der Regel nicht. Verbote, die im Alltag nicht durchsetzbar sind, bleiben oft wirkungslos. Wirksamer sind eine Übergangsregel, ein Meldeweg für bestehende Nutzung und ein Freigabeprozess, der schnell genug arbeitet, damit Mitarbeitende nicht ausweichen. So bleibt die Nutzung sichtbar und steuerbar.
Sinnvoll ist eine Person mit Entscheidungsbefugnis, etwa aus der Geschäftsführung, der IT oder dem Datenschutz. Diese Person entscheidet über Freigaben, pflegt die Werkzeugliste und ist Ansprechpartner für Fragen. Die Verantwortung sollte im Dokument namentlich oder über eine Rolle festgelegt sein.
Sie möchten Ihre KI-Regeln strukturiert aufsetzen?
Wir sprechen mit Ihnen darüber, welche Regeln Ihr Unternehmen braucht, wer sie im Alltag verantwortet und wie Sie Werkzeuge sauber freigeben. Münker & Partner wurde 2019 gegründet und arbeitet an den Standorten Düsseldorf und München.
