KI-Richtlinie im Unternehmen: Welche Regeln Ihre Mitarbeitenden für ChatGPT und Co. brauchen
Fragen Sie in Ihrem Betrieb, wer KI-Werkzeuge nutzt, ist die ehrliche Antwort oft: mehr Menschen als gedacht, häufig mit privaten Konten und auf eigene Faust. Das ist kein Fehlverhalten. Es zeigt, dass die Werkzeuge im Alltag helfen. Das Risiko liegt woanders: Ohne Regeln weiß niemand, welche Daten in welche Dienste fließen und welche Texte ungeprüft beim Kunden landen. KI ohne Regeln gehört zu den vier Herausforderungen, die wir bei Inhabern im Mittelstand immer wieder sehen. Die gute Nachricht: Regeln für ChatGPT im Betrieb passen auf ein bis zwei Seiten.
Warum ein Verbot selten weiterhilft
Manche Geschäftsführer reagieren auf die Unsicherheit mit einem pauschalen Verbot. Damit verschwindet die Nutzung selten, sie wandert nur aus dem Blickfeld, etwa aufs private Smartphone. Man spricht dann von Schatten-KI. Eine Richtlinie wirkt anders. Sie beantwortet drei Fragen, die sich jede Mitarbeiterin und jeder Mitarbeiter stellt: Was darf ich? Was darf ich nicht? Wen frage ich, wenn ich unsicher bin?
Welche Bausteine in eine KI-Richtlinie gehören
Eine gute KI-Richtlinie im Unternehmen ist kurz, konkret und in der Sprache Ihres Betriebs geschrieben. Fünf Bausteine bilden den Kern.
1. Freigegebene Werkzeuge
Legen Sie fest, welche Werkzeuge für welche Aufgaben erlaubt sind und mit welchem Zugang: Firmenkonto statt Privatkonto. Nennen Sie ebenso, was ausdrücklich nicht freigegeben ist. Und beschreiben Sie den Weg, wie ein neues Werkzeug geprüft und freigegeben wird. Sonst testet jeder selbst.
2. Umgang mit Kunden- und Personaldaten
Das ist der wichtigste Baustein. Halten Sie fest, welche Daten in kein KI-Werkzeug gehören oder nur in ausdrücklich dafür freigegebene:
- personenbezogene Daten von Kunden und Ansprechpartnern,
- Personaldaten wie Bewerbungen, Beurteilungen oder Krankmeldungen,
- Geschäftsgeheimnisse, Kalkulationen und vertrauliche Unterlagen.
Eine einfache Faustregel hilft im Alltag: Was Sie nicht in eine E-Mail an Fremde schreiben würden, gehört nicht in ein Werkzeug, das dafür nicht freigegeben ist. Oft reicht es, Namen und Kennungen vor der Eingabe durch Platzhalter zu ersetzen.
3. Kennzeichnung von KI-Ergebnissen
Intern sollte erkennbar sein, wenn ein Entwurf mit KI entstanden ist. Wer prüft, weiß dann, worauf er achten muss. Nach außen kann es Kennzeichnungspflichten geben, etwa wenn Kunden mit einem Chatbot schreiben oder KI-erzeugte Bilder veröffentlicht werden. Welche Pflichten der EU AI Act sonst vorsieht, darunter die KI-Kompetenz der Beschäftigten, lesen Sie im Beitrag KI-Kompetenz nach dem EU AI Act.
4. Menschliche Prüfung
Kein KI-Ergebnis verlässt das Haus ohne menschliche Prüfung. Sprachmodelle können überzeugend klingende Fehler erzeugen: falsche Fakten, erfundene Quellen, unpassende Zusagen. Legen Sie fest, wer welche Dokumente freigibt. Die Verantwortung trägt immer der Mensch, der freigibt, nicht das Werkzeug.
5. Ansprechpartner
Benennen Sie eine Person, die Fragen beantwortet, neue Werkzeuge prüft und die Richtlinie aktuell hält. Regeln Sie auch, was passiert, wenn doch einmal Daten versehentlich in ein falsches Werkzeug geraten. Wer einen Fehler ohne Sorge melden kann, meldet ihn früh.
Wer die KI-Richtlinie erarbeitet
Eine Richtlinie, die allein in der IT oder in der Rechtsabteilung entsteht, wird selten gelebt. Besser ist eine kleine Runde:
- Geschäftsführung: Sie verantwortet die Regeln und erklärt, warum es sie gibt.
- Ein bis zwei Praktiker: Menschen aus Vertrieb oder Verwaltung, die KI schon täglich nutzen und wissen, wo es hakt.
- IT oder Ihr IT-Dienstleister: für Zugänge und technische Einstellungen.
- Datenschutzbeauftragte: für die Frage, welche Daten wohin dürfen.
- Betriebsrat, falls vorhanden: Beziehen Sie ihn früh ein. Welche Rechte er hier im Einzelnen hat, klären Sie mit Ihrer Rechtsberatung.
Am Anfang steht eine ehrliche Bestandsaufnahme: Welche Werkzeuge werden heute genutzt, von wem und wofür? Noch wichtiger ist die Frage, wohin Sie wollen. Wer weiß, welche Rolle KI in drei Jahren im Betrieb spielen soll, schreibt Regeln, die dorthin führen, statt nur Risiken abzuwehren. Wie diese Planung vom Ziel her funktioniert, beschreibt der Beitrag zum Backcasting.
Wie Sie die Richtlinie einführen, statt sie nur zu verschicken
Eine PDF im Postfach ändert kein Verhalten — das gilt für die Richtlinie ebenso wie für die KI-Einführung als Ganzes, bei der Sie Ihr Team mitnehmen. Fünf Schritte machen aus dem Dokument gelebte Praxis:
- Im Gespräch vorstellen. Die Geschäftsführung erklärt in einer Teambesprechung, warum es die Regeln gibt und dass sie die Nutzung ermöglichen sollen, nicht verhindern.
- Mit Beispielen aus dem eigenen Alltag arbeiten. Was ist im Vertrieb erlaubt, was in der Buchhaltung, was im Personalwesen? Konkrete Fälle bleiben hängen, Paragrafen nicht.
- Kurz schulen und festhalten. Eine rollengerechte Einweisung, dokumentiert mit Datum und Teilnehmenden. Das stärkt zugleich die KI-Kompetenz, die der EU AI Act verlangt.
- Freigegebene Werkzeuge bereitstellen. Erst wenn die erlaubten Zugänge tatsächlich verfügbar sind, endet die Nutzung privater Konten.
- Nach einigen Wochen nachjustieren. Sammeln Sie Fragen und Unklarheiten und passen Sie die Regeln an. Werkzeuge ändern sich schnell; eine Richtlinie mit Versionsdatum bleibt ein lebendes Dokument.
Ein Beispiel aus dem Alltag
Denken Sie an einen Vertriebsinnendienst in einem mittelständischen Betrieb, der Angebote mit KI formuliert. Eine Kollegin nutzt dafür ihr privates Konto und kopiert Kundenanfragen vollständig hinein, mit Namen, Telefonnummern und Preisen. Ein Kollege lehnt KI ab, weil er nicht weiß, ob er sie nutzen darf. Die Teamleitung erfährt von beidem eher zufällig.
Mit der neuen Richtlinie ändert sich der Ablauf. Das Team arbeitet mit einem freigegebenen Werkzeug über einen Firmenzugang. Namen und Kontaktdaten werden vor der Eingabe durch Platzhalter ersetzt. Die KI formuliert aus den vorhandenen Textbausteinen die Leistungsbeschreibung und das Anschreiben. Preise, Rabatte und Liefertermine setzen die Mitarbeitenden selbst. Der Entwurf ist intern als KI-Entwurf markiert, die Teamleitung gibt frei. Fragen gehen an eine benannte Ansprechperson. Beide können jetzt mit KI arbeiten, und beide wissen, wo die Grenzen liegen.
Wichtiger Hinweis
Dieser Beitrag ersetzt keine Rechtsberatung. Er ordnet die wichtigsten Punkte für Ihre Entscheidungen ein. Datenschutzfragen, etwa ob ein Anbieter als Auftragsverarbeiter geeignet ist oder welche Daten Sie verarbeiten dürfen, klären Sie mit den zuständigen Stellen: Ihrer oder Ihrem Datenschutzbeauftragten, Ihrer Rechtsberatung oder der zuständigen Datenschutz-Aufsichtsbehörde.
Beratung oder Umsetzung: wer was übernimmt
Das Zielbild für den KI-Einsatz und die Regeln dafür zu erarbeiten, ist Teil der Beratung. Diese Beratung ist über das BAFA förderfähig. Bei einer Bemessungsgrundlage von 3.500 € beträgt der Zuschuss im Fall einer Bewilligung 2.800 € in Gebieten mit 80 % Förderquote, Ihr Eigenanteil liegt dann bei 700 €; in Gebieten mit 50 % sind es 1.750 € Zuschuss und 1.750 € Eigenanteil. Die Reihenfolge ist zwingend: erst der Antrag, dann das Informationsschreiben des BAFA, danach Vertrag und Beginn. Eine Förderung kann niemand zusagen; das BAFA entscheidet nach Ermessen. Wie die BAFA-Förderung für Ihre Beratung im Einzelnen funktioniert, zeigt unsere Startseite.
Die technische Umsetzung ist nicht förderfähig: etwa Firmenzugänge einrichten, Werkzeuge an Ihre Systeme anbinden oder Einstellungen zum Datenschutz technisch vornehmen. Sie wird separat beauftragt und abgerechnet, auf Wunsch über die Spezialisten unserer Markengruppe oder über einen Dienstleister Ihrer Wahl. Warum diese Trennung wichtig ist, erklärt der Beitrag Beratung oder Umsetzung?
Ihr nächster Schritt
Bei ONFYR umfasst die Beratung fünf Beratungstage (40 Stunden) in vier bis sechs Wochen. Am Ende stehen ein Zielbild, die passenden Anwendungsfälle, die Regeln für den KI-Einsatz und ein Fahrplan. Michael Selck ist beim BAFA als Berater akkreditiert (ID 228667) und zertifizierter KI-Manager. Wenn Sie klären möchten, welche Regeln Ihr Betrieb braucht, fragen Sie ein kostenloses Erstgespräch über unser Kontaktformular an oder buchen Sie direkt einen Termin per Microsoft Teams oder Telefon: 30 Minuten, unverbindlich, werktags meldet sich innerhalb von 24 Stunden ein Mensch. Ida beantwortet Ihre erste Frage auch direkt hier auf dieser Seite.