KI-Richtlinie für Unternehmen: Muster zum Kopieren

Stand: 13. November 2026. Allgemeine Information, keine Rechtsberatung.

Was muss in einer KI-Richtlinie stehen?

Eine KI-Richtlinie braucht sieben Bausteine: Geltungsbereich, freigegebene Tools, Datenklassen, Pflichten bei der Nutzung, Meldeweg, Freigabeprozess für neue Tools sowie Schulung und Überprüfung. Kurze Texte werden eher gelesen und befolgt als lange.

Die Datenschutzkonferenz (DSK) hält fest: Ohne klare Regeln setzen Beschäftigte KI eigenmächtig ein. Sie empfiehlt dokumentierte Anweisungen mit Beispielen für erlaubte und verbotene Nutzung.^[1] Genau das leistet das Muster unten. Es ergänzt die Checkliste zur Einführung von KI im Unternehmen, die zeigt, wo die Richtlinie im Gesamtablauf steht.

Die DSK nennt außerdem Punkte, die in die Richtlinie gehören: Arbeitgeber sollten Dienstgeräte und Dienstkonten bereitstellen, Beschäftigte sollen nicht auf private Konten angewiesen sein, und Kontonamen sollen keine Namen einzelner Beschäftigter enthalten, sondern eine funktionale Adresse.^[1] Der Hamburger Datenschutzbeauftragte ergänzt in seiner Checkliste: Ergebnisse prüfen, Menschen entscheiden lassen, Beschäftigte schulen, Trainings-Opt-out nutzen und den Chatverlauf bei geteilten Konten abschalten.^[2]

So passen Sie das Muster an

1. Platzhalter ersetzen. Alles in eckigen Klammern ist eine Entscheidung Ihres Unternehmens: Firmenname, Tools, Ansprechperson, Datum. Löschen Sie keine Klammer, ohne die Entscheidung getroffen zu haben.
2. Tool-Liste ehrlich füllen. Tragen Sie nur Tools ein, für die Sie Tarif und Vertragsbedingungen geprüft haben. Eine leere Liste ist besser als eine, die nicht stimmt. Hilfe dazu gibt der Vergleich der KI-Assistenten.
3. Datenklassen auf Ihre Branche zuschneiden. Wer einem Berufsgeheimnis unterliegt (etwa Kanzlei, Steuerberatung, Arztpraxis), schiebt weitere Daten in „verboten“. Lesen Sie dazu die Beiträge für Kanzleien und Arztpraxen.
4. Datenschutzbeauftragte und Betriebsrat einbinden. Siehe den Abschnitt unten. Legen Sie den Entwurf vor, bevor Sie ihn verteilen.
5. Verteilen und schulen. Eine Richtlinie ohne Einweisung wird nicht gelesen. Lassen Sie die Kenntnisnahme bestätigen und planen Sie die Schulung (siehe KI-Kompetenz nach Art. 4 KI-VO).

Welche Daten dürfen in KI-Tools: erlaubt, pseudonymisiert oder verboten?

Die Datenklassen sind der Kern der Richtlinie, weil Beschäftigte im Moment des Einfügens wissen wollen: Darf ich das eingeben? Die Tabelle zeigt ein Beispiel für ein freigegebenes Tool mit Geschäftstarif. Passen Sie sie an Ihre Verträge an.

Vier Anmerkungen zur Tabelle. Erstens: Pseudonymisierte Daten bleiben personenbezogene Daten, wenn sich die Person mit zusätzlichen Informationen zuordnen lässt; maßgeblich ist, welche Mittel nach allgemeinem Ermessen eingesetzt werden könnten.^[7] Wer den Schlüssel hat, verarbeitet weiterhin personenbezogene Daten. Zweitens: Die DSK schreibt, das Entfernen von Namen und Anschriften reiche regelmäßig nicht, weil der Kontext die Person noch erkennbar machen kann.^[1] Datumsangaben, Beträge und seltene Funktionen können als Merkmale genügen. Drittens: Besondere Kategorien nach Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten, dürfen grundsätzlich nur verarbeitet werden, wenn eine Ausnahme nach Art. 9 Abs. 2 greift.^[8] Das Muster verbietet sie deshalb als Grundregel. Viertens: Wer einem Berufsgeheimnis unterliegt, muss beachten, dass die unbefugte Offenbarung eines fremden Geheimnisses nach § 203 StGB strafbar ist; die DSGVO-Prüfung ersetzt diese zweite Ebene nicht.^[9] Das Vorgehen beim Pseudonymisieren beschreibt der Beitrag Daten für ChatGPT pseudonymisieren.

Warum die Regel vor der Nutzung stehen muss: Beschäftigte sehen nach dem Absenden nicht, wo ein Anbieter die Eingabe verarbeitet; sie können nur Dokumentation und Vertrag entnehmen, was zugesagt ist, und diese Zusagen haben dokumentierte Ausnahmen. Bei OpenAI ist zum Beispiel in den Verbrauchertarifen Free, Plus und Pro die Datenfreigabe für das Training standardmäßig eingeschaltet, und wer sie später ausschaltet, löscht damit gespeicherte Chats nicht.^[10] Was einmal gesendet ist, lässt sich nicht zurückholen. Die Stelle, an der das Unternehmen selbst entscheidet, liegt deshalb vor dem Senden: Daten sparsam einsetzen, wie es der Grundsatz der Datenminimierung verlangt.^[11] Mehr dazu im Beitrag Wo landen Ihre Daten bei KI-Anbietern, und was können Sie kontrollieren?

Muster: KI-Nutzungsrichtlinie (zum Kopieren)

Der folgende Text lässt sich markieren und kopieren. Es gibt bewusst keine Download-Datei: Sie sehen den vollständigen Inhalt und fügen ihn in Ihr eigenes Dokument ein. Er ist ein Ausgangspunkt, kein geprüfter Rechtstext.

Wann muss der Betriebsrat beteiligt werden?

Wenn es einen Betriebsrat gibt, binden Sie ihn vor der Einführung ein, denn die Richtlinie und die Tools berühren mehrere seiner Rechte. Die DSK empfiehlt, den Abschluss einer Dienst- oder Betriebsvereinbarung zu erwägen, und weist darauf hin, dass in einigen Fällen Mitbestimmungsrechte bestehen.^[1]

Zwei Vorschriften des Betriebsverfassungsgesetzes sind einschlägig. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen.^[3] Ob ein bestimmtes KI-Tool darunter fällt, müssen Sie im Einzelfall klären lassen. Nach § 90 Abs. 1 Nr. 3 BetrVG muss der Arbeitgeber den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen unterrichten, einschließlich des Einsatzes von Künstlicher Intelligenz.^[4]

Gibt es keinen Betriebsrat, sind diese Vorschriften nicht anwendbar. Die Beteiligung der Beschäftigten ist trotzdem sinnvoll, weil die Regeln nur wirken, wenn sie zum Arbeitsalltag passen. Zur Überwachung der Nutzung und ihren Grenzen siehe den Beitrag zur Schatten-KI.

Wie unterstützt die Richtlinie die Pflicht aus Art. 4 KI-VO?

Die Richtlinie ist ein Baustein, aber kein Nachweis für sich. Art. 4 Abs. 1 der KI-Verordnung (AI Act, KI-VO) in der seit dem Digital Omnibus geltenden Fassung verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten und anderer Personen zu ergreifen, die in ihrem Auftrag mit KI arbeiten. Dabei sind deren Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext zu berücksichtigen.^[5] Die Pflicht gilt seit dem 2. Februar 2025.^[6]

Als praktische Empfehlung, nicht als Rechtspflicht: Die Richtlinie dokumentiert die Regeln, die Schulung (Ziffer 6) vermittelt sie, und die Teilnahmeliste belegt, dass Sie Maßnahmen ergriffen haben. Der Beitrag KI-Kompetenz nach Art. 4 KI-VO beschreibt, was als angemessener Nachweis in Betracht kommt, und enthält einen Beispiel-Schulungsplan. Welche weiteren Pflichten Unternehmen als Betreiber treffen, steht im Beitrag zu den Pflichten nach der KI-Verordnung.

Nächster Schritt

Kopieren Sie das Muster in ein eigenes Dokument und ersetzen Sie zuerst die Tool-Liste und die Datenklassen, denn dort entscheidet sich, ob die Richtlinie im Alltag trägt. Lassen Sie den Entwurf von Ihren Datenschutzbeauftragten und, falls vorhanden, vom Betriebsrat lesen, bevor Sie ihn verteilen. Wenn Ihre Beschäftigten Texte mit Personenbezug in Chat-Assistenten brauchen, kann eine Pseudonymisierung vor dem Absenden die Klasse-B-Regel praktikabel machen; als ein Beispiel dafür ist Ainym eine Browser-Erweiterung in geschlossener Beta, die erkannte Angaben auf dem eigenen Gerät anzeigt, vor dem Absenden von den Nutzenden bestätigen lässt und durch realistische Pseudonyme ersetzt.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.