KI · Ratgeber · Regeln im Betrieb
KI-Richtlinie für Mitarbeiter: Was hineingehört
Eine KI-Richtlinie ist kein Gesetzestext für den Aushang. Sie ist eine Seite, auf der steht, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und wer prüft, bevor etwas rausgeht. Hier sind die sieben Bausteine, die ich in Betrieben verwende, und eine Vorlage zum Anpassen.
Was gehört in eine KI-Richtlinie für Mitarbeiter?
Eine KI-Richtlinie für Mitarbeiter regelt sieben Dinge: Geltungsbereich, freigegebene Werkzeuge, welche Daten hineindürfen und welche nicht, die Pflicht, Ergebnisse vor der Weitergabe zu prüfen, Offenheit gegenüber Kunden, Zuständigkeiten und den Umgang mit Fehlern. Gesetzlich vorgeschrieben ist sie nicht. Die Datenschutzkonferenz empfiehlt Unternehmen aber interne Richtlinien für KI-Dienste, und sie ist der einfachste Weg, die KI-Kompetenz nach Art. 4 im Alltag zu verankern.
In vielen Betrieben läuft KI längst, nur weiß niemand genau, wo. Die Kollegin im Büro lässt Mails glätten, der Azubi fragt einen Chatbot nach Normen, der Chef diktiert Angebote ins Handy. Keiner macht etwas Verbotenes, weil nichts verboten ist. Es ist aber auch nichts erlaubt. Genau diese Lücke schließt eine KI-Richtlinie.
Ich zeige hier, was hineingehört und was du weglassen kannst. Der Beitrag ergänzt den Ratgeber zur KI-Schulungspflicht nach Art. 4: Dort geht es um die Pflicht, hier um das Werkzeug, mit dem du sie im Betrieb umsetzt. Er ersetzt keine Rechtsberatung, vor allem nicht beim Arbeitsrecht.
Veröffentlicht am 24. Oktober 2026 · 7 Min. Lesezeit · Autor: Christoph Brinke · Alle Blogbeiträge
Ich verkaufe keine KI, ich verkaufe Veränderung.
Einordnung
Ist eine KI-Richtlinie Pflicht?
Als eigenes Dokument nicht. Weder Art. 4 der KI-Verordnung noch die Fragen und Antworten der EU-Kommission noch die Hinweise der Bundesnetzagentur verlangen eine schriftliche KI-Richtlinie. Art. 4 verlangt Maßnahmen zur Förderung der KI-Kompetenz. Welche das sind, entscheidet der Betrieb. Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, empfiehlt in ihrer Orientierungshilfe vom Mai 2024 allerdings ausdrücklich, für die Nutzung frei verfügbarer KI-Dienste interne Richtlinien aufzustellen.
Für mich ist die Richtlinie die wichtigste aller Maßnahmen. Eine Schulung ist nach einer Stunde vorbei, eine Richtlinie bleibt. Auf sie verweist die Schulung, sie bekommen neue Mitarbeiter in der Einarbeitung, und sie kannst du vorzeigen, wenn jemand fragt, wie du KI im Betrieb regelst. Dazu kommt der Datenschutz: Wer Kundendaten in ein Werkzeug gibt, braucht eine Rechtsgrundlage und in der Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das lässt sich nicht jedem Mitarbeiter einzeln überlassen.
- ✓Keine eigene gesetzliche Pflicht zur Richtlinie
- ✓Von der Datenschutzkonferenz empfohlen
- ✓Datenschutz lässt sich nicht dem Einzelnen überlassen
Bausteine
Die sieben Bausteine einer KI-Richtlinie
Die Richtlinie passt auf eine bis zwei Seiten. Länger liest sie niemand. Jeder Baustein beantwortet eine Frage, die Mitarbeiter sonst einzeln stellen oder, schlimmer, gar nicht stellen.
- 01
Geltungsbereich
Für wen gilt die Richtlinie, für welche Tätigkeiten? Auch für Aushilfen, Azubis und externe Kräfte, die mit deinen Werkzeugen arbeiten. Ein Satz zum Zweck hilft: KI soll Routinearbeit abnehmen, keine Entscheidungen.
- 02
Freigegebene Werkzeuge
Eine Liste mit Namen, Zweck und Zugang. Nur Werkzeuge mit geprüften Vertragsbedingungen, möglichst mit Firmenkonto statt privatem Konto. Alles, was nicht auf der Liste steht, ist erst nach Rücksprache erlaubt.
- 03
Daten-Ampel
Grün: allgemeine Texte, anonymisierte Beispiele, öffentliche Informationen. Gelb: interne Unterlagen ohne Personenbezug, nur in freigegebenen Werkzeugen. Rot: Gesundheitsdaten, Personalakten, Zugangsdaten, Kundendaten ohne Vertrag. Rot gehört nie ohne ausdrückliche Freigabe in ein KI-Werkzeug.
- 04
Prüfpflicht
Jedes KI-Ergebnis, das den Betrieb verlässt, prüft ein Mensch. Fachangaben, Zahlen, Fristen und Zitate werden gegen die Quelle geprüft. Die Verantwortung bleibt bei der Person, die das Ergebnis weitergibt, nicht beim Werkzeug.
- 05
Offenheit gegenüber Kunden
Wann sagst du, dass KI beteiligt war? Bei Chatbots und Telefonassistenten verlangt Art. 50 der KI-Verordnung seit dem 2. August 2026, dass Menschen erkennen, dass sie mit einer KI sprechen. Mehr dazu im Ratgeber Voicebot. Für interne Entwürfe reicht meist eine klare Regel, wer final freigibt.
- 06
Zuständigkeiten
Eine Person, die Fragen beantwortet, neue Werkzeuge prüft und die Liste pflegt. In kleinen Betrieben ist das der Inhaber oder die Büroleitung. Einen eigenen KI-Beauftragten schreibt Art. 4 nicht vor.
- 07
Fehler und Meldungen
Was tun, wenn Kundendaten im falschen Werkzeug gelandet sind oder eine falsche Angabe rausging? Sofort melden, ohne Nachteile für den, der meldet. Für meldepflichtige Datenpannen gilt nach Art. 33 DSGVO eine Frist von 72 Stunden gegenüber der Aufsichtsbehörde. Die Meldung muss also schnell beim Zuständigen ankommen.
Vorlage
Vorlage: So kann deine KI-Richtlinie aussehen
Die folgende Struktur kannst du übernehmen und mit deinen Angaben füllen. Sie ist bewusst kurz. Ersetze die Angaben in Klammern durch das, was in deinem Betrieb wirklich gilt, und schreib das Datum der letzten Änderung oben drüber.
Wichtig ist der letzte Schritt: Die Richtlinie wird nicht per Mail verteilt, sondern in einer kurzen Runde erklärt, mit zwei, drei echten Beispielen aus dem Betrieb. Wer sie unterschreibt, ohne sie zu verstehen, hält sich im Alltag nicht daran.
- ✓Geltung: alle Beschäftigten, Azubis, Aushilfen und Externe mit Zugang zu unseren Systemen
- ✓Erlaubt: (Werkzeug für Texte, Werkzeug für Transkription), nur mit Firmenkonto
- ✓Daten: Grün frei, Gelb nur in freigegebenen Werkzeugen, Rot nie ohne Freigabe
- ✓Prüfung: Was rausgeht, prüft ein Mensch, Fachangaben gegen die Quelle
- ✓Kunden: Chatbot und Telefonassistent geben sich als KI zu erkennen
- ✓Ansprechpartner: (Name), prüft neue Werkzeuge vor dem Einsatz
- ✓Fehler: sofort an (Name), Meldung ohne Nachteile
Datenschutz
Welche Daten in KI-Werkzeuge dürfen
Der heikelste Teil jeder Richtlinie ist die Daten-Ampel, weil hier Recht und Alltag aufeinandertreffen. Personenbezogene Daten dürfen nur mit Rechtsgrundlage verarbeitet werden. Gibt ein Betrieb sie an einen KI-Anbieter, braucht es in der Regel einen Vertrag zur Auftragsverarbeitung. Private Konten bei frei nutzbaren KI-Diensten bieten den meistens nicht. Die Datenschutzkonferenz empfiehlt außerdem, Beschäftigte über den datenschutzkonformen Einsatz zu informieren, und rät, die private Nutzung ausdrücklich zu untersagen, wenn ein Betrieb KI-Anwendungen nicht offiziell einsetzt.
Die Faustregel für den Alltag: Was die KI für die Aufgabe nicht braucht, bekommt sie nicht. Für einen Angebotstext braucht sie keinen Kundennamen, für eine Stellenanzeige keine Personalakte. Und es reicht nicht, nur den Namen zu streichen, wenn sich die Person aus dem Rest trotzdem erkennen lässt. Wie du einen bekannten KI-Chat im Unternehmen so einrichtest, dass die Ampel hält, beschreibe ich im Ratgeber ChatGPT im Unternehmen datenschutzkonform nutzen.
- ✓Rechtsgrundlage und Vertrag zur Auftragsverarbeitung
- ✓Beschäftigte informieren
- ✓Nur Daten, die die Aufgabe braucht
Mitbestimmung
Betriebsrat und Arbeitsrecht: was du früh klären solltest
Gibt es in deinem Betrieb einen Betriebsrat, gehört er früh an den Tisch. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz bestimmt er mit bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Ob ein KI-Werkzeug darunter fällt, hängt davon ab, was es aufzeichnet und auswertet. Das ist eine Frage für den Einzelfall und für eine arbeitsrechtliche Beratung.
Ohne Betriebsrat ist die Richtlinie in der Regel eine Vorgabe des Arbeitgebers zur Arbeitsweise. Auch dann lohnt es sich, sie mit dem Team zu besprechen, statt sie nur auszuhängen. Die Leute, die die Werkzeuge nutzen, wissen am besten, wo eine Regel im Alltag hakt. Warum mir dieser Teil wichtiger ist als jede Werkzeugwahl, steht im Beitrag Ich verkaufe keine KI. Ich verkaufe Veränderung.
Pflege
Wie die Richtlinie aktuell bleibt
Eine KI-Richtlinie veraltet schneller als jede andere Betriebsanweisung, weil sich die Werkzeuge ständig ändern. Ich empfehle drei Regeln. Jede Änderung bekommt ein Datum. Neue Werkzeuge kommen erst auf die Liste, wenn jemand die Vertragsbedingungen geprüft hat. Und einmal im Jahr wird geprüft, ob die Richtlinie noch zum Alltag passt.
Bei jeder Änderung bekommen die Betroffenen eine kurze Einweisung, und diese Einweisung landet in deiner Liste der Maßnahmen zur KI-Kompetenz. Wann eine solche Auffrischung fällig ist, beschreibt der Ratgeber Wie oft muss eine KI-Schulung wiederholt werden?
Frag dich selbst
- Gibt es in deinem Betrieb schon eine schriftliche Regel, welche KI-Werkzeuge erlaubt sind?
- Wüssten deine Mitarbeiter, an wen sie sich wenden, wenn Kundendaten im falschen Werkzeug gelandet sind?
- Nutzt jemand im Team ein privates Konto für die Arbeit?
Start
Wo du mit der KI-Richtlinie anfängst
Fang mit der Werkzeugliste an. Frag im Team, wer welches KI-Werkzeug wofür nutzt, ohne Vorwurf. Aus den Antworten entstehen die freigegebenen Werkzeuge, die Daten-Ampel und die offenen Fragen. Meist ist der erste Entwurf nach einem Nachmittag fertig.
Im AI-Ready-Check gehört genau diese Bestandsaufnahme zum Bereich Organisation, zusammen mit Prozessen, Daten und Technik. Wenn du die Richtlinie lieber gemeinsam mit jemandem aufsetzt, der viele Betriebe von innen gesehen hat, steht auf der Seite zur KI-Beratung, wie ich arbeite.
Quellen
Quellen und Stand
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex – Art. 4 (KI-Kompetenz) und Art. 50 (Transparenzpflichten). Abgerufen am 24. Oktober 2026.
- Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI), EUR-Lex – Neufassung von Art. 4, Amtsblatt vom 24. Juli 2026. Abgerufen am 24. Oktober 2026.
- Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz (6. Mai 2024) – Empfehlung interner Richtlinien für frei verfügbare KI-Dienste, Information der Beschäftigten, Prüfung von Verträgen zur Auftragsverarbeitung. Abgerufen am 24. Oktober 2026.
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex – Art. 28 (Auftragsverarbeitung) und Art. 33 (Meldung von Datenpannen binnen 72 Stunden). Abgerufen am 24. Oktober 2026.
- § 87 Betriebsverfassungsgesetz, gesetze-im-internet.de – Mitbestimmung bei technischen Einrichtungen, Abs. 1 Nr. 6. Abgerufen am 24. Oktober 2026.
Keine Rechtsberatung: Dieser Ratgeber gibt die Rechtslage nach den genannten Quellen mit Stand 24. Oktober 2026 wieder. Die Vorlage ist ein Muster aus der Praxis. Für Fragen zu Arbeitsrecht, Mitbestimmung und Datenschutz in deinem Einzelfall wende dich an eine Rechtsanwältin oder einen Rechtsanwalt.
Über den Autor
Christoph Brinke
Ich war über 15 Jahre in der Kfz-Branche, als Lackierer, als Kfz-Sachverständiger und auf der Seite, die Aufträge verteilt. Heute baue ich KI für inhabergeführte Unternehmen und empfehle nur, was ich selbst gebaut habe.
Gelernter Fahrzeuglackierer, Kfz-Sachverständiger · Weiterbildung: IHK AI Practitioner · KI-Kompetenz nach Art. 4 KI-Verordnung (IMB.Berlin, 2025) · Claude Code Masterclass (Everlast, 2026)
LinkedIn-ProfilWerdegang und QualifikationenAlle BlogbeiträgeGespräch anfragen
Häufige Fragen
Häufige Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie für Unternehmen gesetzlich vorgeschrieben?
Nein. Die EU-KI-Verordnung verlangt in Art. 4 Maßnahmen zur Förderung der KI-Kompetenz, aber kein bestimmtes Dokument. Die Datenschutzkonferenz empfiehlt Unternehmen jedoch interne Richtlinien für die Nutzung frei verfügbarer KI-Dienste. Eine schriftliche Richtlinie hält Werkzeuge, Datenregeln und Prüfpflichten für alle fest und dient als Teil des Nachweises.
Wie lang sollte eine KI-Richtlinie sein?
Eine bis zwei Seiten reichen für die meisten kleinen und mittleren Betriebe. Wichtiger als die Länge ist, dass jeder Baustein eine konkrete Frage beantwortet: welche Werkzeuge, welche Daten, wer prüft, wer ist ansprechbar, was tun bei Fehlern. Eine lange Richtlinie, die niemand liest, schützt weniger als eine kurze, die jeder kennt.
Dürfen Mitarbeiter private ChatGPT-Konten für die Arbeit nutzen?
Davon rate ich ab, sobald Daten des Betriebs oder von Kunden hineingehen. Bei privaten Konten fehlt in der Regel ein Vertrag zur Auftragsverarbeitung mit dem Betrieb, und der Betrieb hat keinen Überblick, was eingegeben wurde. Besser ist ein Firmenkonto mit geprüften Bedingungen, das in der KI-Richtlinie als freigegebenes Werkzeug steht.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Das hängt vom Werkzeug ab. Der Betriebsrat bestimmt nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz mit, wenn technische Einrichtungen eingeführt werden, die Verhalten oder Leistung der Beschäftigten überwachen sollen. Ob ein KI-Werkzeug darunter fällt, ist eine Frage des Einzelfalls. Es lohnt sich, den Betriebsrat früh einzubinden und sich arbeitsrechtlich beraten zu lassen.
Ersetzt eine KI-Richtlinie die KI-Schulung?
Nein, beide ergänzen sich. Die Richtlinie hält fest, was gilt. Die Schulung erklärt, warum, und übt es an echten Beispielen. Zusammen mit einer Liste der durchgeführten Maßnahmen bilden sie einen schlanken Nachweis dafür, dass der Betrieb die KI-Kompetenz seiner Mitarbeiter nach Art. 4 der KI-Verordnung fördert.
Der erste Schritt
Regeln, die im Alltag halten.
Im AI-Ready-Check schauen wir in 60 Minuten auf Prozesse, Daten, Technik und Organisation. Du siehst danach, welche KI-Werkzeuge in deinem Betrieb schon laufen, wo Regeln fehlen und womit du anfängst. Keine Rechtsberatung, sondern ein ehrlicher Blick aus der Praxis.
