KI-Richtlinie für Mitarbeitende: Muster mit 12 Regeln

Eine KI-Richtlinie legt fest, welche KI-Werkzeuge Ihre Beschäftigten nutzen dürfen, welche Daten hineindürfen, wie Ergebnisse geprüft werden und an wen man sich bei Fragen und Fehlern wendet. Für die meisten mittelständischen Unternehmen genügen zwölf klare Regeln auf zwei bis drei Seiten. Unten finden Sie ein Muster mit diesen zwölf Regeln, das Sie übernehmen und an Ihr Unternehmen anpassen können.

Der Artikel gibt den Stand Oktober 2026 wieder und ist keine Rechtsberatung.

Warum eine KI-Richtlinie sinnvoll ist

Wenn Sie keine Regeln aufstellen, nutzen Ihre Beschäftigten KI trotzdem, nur eben mit privaten Konten und nach eigenem Ermessen. Dieser Zustand heißt Schatten-KI. Dabei landen Kundenmails, Kalkulationen oder Lebensläufe in Werkzeugen, über die das Unternehmen keinen Vertrag und keine Kontrolle hat.

Eine Richtlinie hilft gleich mehrfach:

• KI-Verordnung: Art. 4 verlangt seit dem Digital Omnibus Maßnahmen, die die KI-Kompetenz des Personals unterstützen. Eine Richtlinie ist ein naheliegender Teil davon.
• Datenschutz: Personenbezogene Daten dürfen nur mit Rechtsgrundlage und Auftragsverarbeitungsvertrag (AVV) in KI-Werkzeuge. Die Richtlinie regelt, welche Werkzeuge diese Voraussetzungen erfüllen.
• Geschäftsgeheimnisse: Das Geschäftsgeheimnisgesetz schützt Informationen nur, wenn Sie angemessene Geheimhaltungsmaßnahmen treffen. Klare Regeln für KI gehören heute dazu.
• Sicherheit im Alltag: Beschäftigte wissen, was erlaubt ist, und müssen nicht raten.

Das Muster: 12 Regeln

Die folgenden Regeln sind so formuliert, dass Sie sie direkt übernehmen können. Passen Sie die Angaben in eckigen Klammern an.

Regel 1: Nur freigegebene Werkzeuge

Für dienstliche Aufgaben nutzen wir ausschließlich die freigegebenen KI-Werkzeuge mit dem Unternehmenskonto: [zum Beispiel Microsoft 365 Copilot, DeepL Pro]. Die aktuelle Liste steht [Ort, etwa im Intranet].

Regel 2: Keine privaten Konten

Private oder kostenlose Konten, etwa ein privates ChatGPT-Konto, nutzen wir nicht für dienstliche Inhalte, auch nicht „nur kurz“. Bei solchen Konten fehlt ein Vertrag des Unternehmens, und Eingaben können je nach Anbieter und Einstellung zum Training verwendet werden.

Regel 3: Daten nach der Ampel

• Grün, in alle freigegebenen Werkzeuge: öffentliche Informationen, allgemeine Fachfragen, eigene Texte ohne Namen und Vertrauliches.
• Gelb, nur in freigegebene Werkzeuge mit Unternehmenskonto und so sparsam wie möglich: interne Informationen, Kundenmails, Protokolle, Angebotsentwürfe.
• Rot, in kein KI-Werkzeug ohne ausdrückliche Freigabe für genau diesen Zweck: Gesundheitsdaten, Bewerbungen, Personalakten, Gehälter, Bankdaten, Kalkulationen, Konstruktionsdaten, Rezepturen, vertrauliche Verträge, Daten unter Geheimhaltungsvereinbarung.

Im Zweifel gilt die strengere Farbe.

Regel 4: Niemals Zugangsdaten

Passwörter, PINs, API-Schlüssel und andere Zugangsdaten geben wir in kein KI-Werkzeug ein, auch nicht in ein freigegebenes.

Regel 5: Platzhalter statt Namen

Wo es für die Aufgabe nicht nötig ist, ersetzen wir Namen, Adressen und Kennungen durch Platzhalter wie [Kunde A]. Die echten Angaben setzen wir erst im fertigen Text ein.

Regel 6: Ergebnisse vollständig prüfen

Kein KI-Ergebnis geht ungelesen weiter. Wir prüfen Zahlen, Namen, Termine, technische Angaben und Quellen. Genannte Quellen öffnen wir. Zusagen zu Preisen, Leistungen oder Terminen übernehmen wir nur, wenn sie freigegeben sind.

Regel 7: Vier Augen bei wichtigen Inhalten

Texte an Kunden, Lieferanten oder die Öffentlichkeit sowie Inhalte zu Verträgen, Preisen, Rechtsfragen und Arbeitssicherheit prüft zusätzlich eine fachkundige zweite Person oder sie werden nach den üblichen Regeln freigegeben.

Regel 8: Keine Entscheidungen über Menschen

Wir setzen KI nicht ein, um Bewerbungen auszuwählen oder zu bewerten, Leistung oder Verhalten von Beschäftigten zu beurteilen oder über Beförderungen, Kündigungen oder Kredite zu entscheiden, es sei denn, die Geschäftsführung hat einen solchen Einsatz ausdrücklich freigegeben. Emotionserkennung von Beschäftigten und heimliche Aufzeichnungen sind ausgeschlossen.

Regel 9: Kennzeichnen, wo es nötig ist

Realistische KI-Bilder, Videos oder Tonaufnahmen von Personen, Orten oder Ereignissen veröffentlichen wir nur nach Freigabe und mit Kennzeichnung. KI-Bilder geben wir nicht als echte Fotos unserer Produkte oder Projekte aus. Intern weisen wir darauf hin, wenn ein Dokument im Wesentlichen mit KI erstellt wurde.

Regel 10: Zahlungen nur nach Rückruf

Zahlungsaufforderungen und geänderte Bankverbindungen bestätigen wir immer über einen zweiten, bekannten Kanal, etwa per Rückruf unter der hinterlegten Nummer. Das gilt auch, wenn Stimme oder Video echt wirken, denn beides lässt sich mit KI fälschen.

Regel 11: Neue Werkzeuge nur nach Freigabe

Neue KI-Werkzeuge, Browser-Erweiterungen, KI-Protokollanten für Besprechungen und neue KI-Funktionen in bestehender Software nutzen wir erst nach Freigabe durch [Ansprechperson]. Vorschläge für neue Werkzeuge sind willkommen.

Regel 12: Fragen stellen, Fehler melden

Ansprechperson für alle Fragen zu KI ist [Name, Kontakt]. Fehler und Vorfälle melden wir sofort, etwa vertrauliche Daten im falschen Werkzeug, fehlerhafte Ergebnisse, die nach außen gegangen sind, oder vermutete Deepfakes und Phishing. Wer einen Fehler meldet, handelt richtig.

Was Sie vor der Einführung klären

Ein Muster ersetzt nicht die Entscheidungen, die nur Sie treffen können. Klären Sie vorab:

• Welche Werkzeuge freigegeben werden. Prüfen Sie dafür Datenschutz (AVV, Speicherort, Nutzung der Eingaben zum Training), Kosten und Nutzen. Für viele Unternehmen sind das die Unternehmensversionen von Microsoft 365 Copilot, ChatGPT, Gemini oder Claude sowie DeepL Pro.
• Wer Ansprechperson ist. In kleineren Unternehmen ist das oft eine Person aus Geschäftsführung, IT oder Datenschutz. Wichtig ist, dass sie erreichbar ist und Entscheidungen treffen darf.
• Wie neue Werkzeuge freigegeben werden. Ein einfacher Ablauf mit Antrag, Prüfung, Entscheidung und Bekanntgabe verhindert, dass Freigaben am Flurgespräch hängen.
• Wer beteiligt werden muss. Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter sollte die Richtlinie kennen. Gibt es einen Betriebsrat, binden Sie ihn früh ein (siehe unten).

So führen Sie die Richtlinie ein

1. Bekannt machen: Verschicken Sie die Richtlinie nicht nur per Rundmail, sondern stellen Sie sie in einer Teambesprechung kurz vor.
2. Erklären: Regeln werden eher befolgt, wenn man versteht, warum es sie gibt. Eine kurze Schulung zu Funktionsweise, Risiken und Datenschutz macht die Richtlinie nachvollziehbar.
3. Bestätigen lassen: Eine Kenntnisnahme mit Unterschrift oder per Klick schafft Verbindlichkeit.
4. Auffindbar ablegen: Intranet, Teams oder SharePoint, an einer Stelle, die alle kennen.
5. Überprüfen: Mindestens einmal jährlich und immer, wenn neue Werkzeuge hinzukommen.

Typische Lücken in KI-Richtlinien

Viele Richtlinien regeln ChatGPT ausführlich und vergessen den Rest. Achten Sie auf diese Punkte:

• KI in bestehender Software: Copilot in Outlook, die Zusammenfassungsfunktion im CRM oder die Belegerkennung in der Buchhaltung sind ebenfalls KI. Regel 11 deckt sie ab, wenn Sie neue Funktionen ausdrücklich einschließen.
• Besprechungen: KI-Protokollanten, die sich in Teams- oder Zoom-Termine einwählen, zeichnen auch Kunden und Bewerber auf. Sie brauchen eine klare Regel.
• Externe Kräfte: Leiharbeitskräfte, Werkstudierende und freie Mitarbeitende arbeiten oft mit denselben Werkzeugen. Nehmen Sie sie in den Geltungsbereich auf.
• Nur Verbote: Eine Richtlinie, die nur aufzählt, was nicht erlaubt ist, ohne ein freigegebenes Werkzeug zu nennen, fördert Schatten-KI.
• Kein Datum: Ohne Stand und Prüftermin weiß niemand, ob die Werkzeugliste noch gilt.

Die Richtlinie als fertige Vorlage

Das Muster dieses Artikels gibt es als ausfüllbare KI-Richtlinie-Vorlage kostenlos zum Download. Wenn Sie zusätzlich eine Schulung für das ganze Team suchen: Der Selbstlernkurs KI-Kompetenz von Codext erklärt in rund 60 Minuten genau die Hintergründe dieser zwölf Regeln, erzeugt Ihre Richtlinie mit Firmenname, Ansprechperson und freigegebenen Werkzeugen als PDF und liefert die Nachweis-Dokumentation gleich mit.

Häufige Fragen

Ist eine KI-Richtlinie Pflicht?

Ausdrücklich vorgeschrieben ist sie nicht. Sie ist aber ein naheliegender Teil der Maßnahmen nach Art. 4 KI-VO und hilft, die Anforderungen aus Datenschutz und Geschäftsgeheimnisschutz im Alltag umzusetzen.

Muss der Betriebsrat zustimmen?

Das hängt vom Einzelfall ab. Mitbestimmungsrechte kommen insbesondere in Betracht, wenn KI-Werkzeuge geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG), oder wenn die Richtlinie das Ordnungsverhalten im Betrieb regelt. Binden Sie den Betriebsrat früh ein. Oft bietet sich an, den KI-Einsatz in einer Betriebsvereinbarung zu regeln.

Wie lang sollte eine KI-Richtlinie sein?

So kurz wie möglich. Zwei bis drei Seiten mit klaren Regeln werden gelesen, zwanzig Seiten nicht. Details wie die aktuelle Werkzeugliste können Sie in eine Anlage auslagern.

Dürfen wir ChatGPT einfach verbieten?

Das dürfen Sie. Ein pauschales Verbot ohne Alternative führt in der Praxis aber oft dazu, dass Beschäftigte heimlich private Konten nutzen. Meist ist es besser, ein geeignetes Werkzeug mit Unternehmenskonto freizugeben und die Nutzung zu regeln.

Wie oft sollten wir die Richtlinie aktualisieren?

Mindestens einmal jährlich und zusätzlich, wenn neue Werkzeuge eingeführt werden, Anbieter ihre Bedingungen wesentlich ändern oder sich die Rechtslage ändert.