KI-Richtlinie für Ihr Unternehmen: Inhalte, Schritte und Mustertext

Kurzfassung

• Eine KI-Richtlinie muss nicht lang sein. Eine bis zwei Seiten genügen, wenn sie klar sind.
• Sie regelt: erlaubte Tools, Datenampel, Prüfpflicht, Verantwortliche, Umgang mit Vorfällen.
• Sie ist kein Verbot, sondern gibt Sicherheit und verhindert Schatten-KI.
• Sie hilft auch bei Pflichten, etwa der KI-Kompetenz nach dem EU AI Act und der DSGVO.
• Unten finden Sie einen Mustertext zum Anpassen. Er ersetzt keine Rechtsberatung.

Warum eine Richtlinie sinnvoll ist

KI-Werkzeuge sind im Arbeitsalltag angekommen, oft ohne Absprache. Bitkom Research ermittelte 2025 in einer Befragung von 604 Unternehmen in Deutschland, dass rund vier von zehn Betrieben vermuten, dass Beschäftigte private KI-Zugänge für die Arbeit nutzen. Ohne Regeln entscheidet jede Person selbst, was sie eingibt. Das führt zu drei typischen Problemen:

• Datenschutz und Geheimhaltung: Kundendaten oder Vertrauliches landen in privaten Konten.
• Qualität und Haftung: Ungeprüfte KI-Texte gehen an Kunden, Zahlen werden übernommen.
• Unsicherheit im Team: Manche trauen sich nicht, KI zu nutzen, andere zu viel.

Eine Richtlinie klärt die wichtigsten Fragen einmal für alle. Sie ersetzt keine Schulung, sondern ist deren Grundlage. Hintergrund zu Datenschutz und Schatten-KI: KI und Datenschutz in Österreich.

Was in die Richtlinie gehört

1. Geltungsbereich

Für wen gilt sie (Beschäftigte, freie Mitarbeitende, Praktikanten)? Für welche Werkzeuge (Assistenten, KI in Software, Übersetzer, Bildgeneratoren)?

2. Freigegebene Werkzeuge

Benennen Sie die erlaubten Werkzeuge mit Tarif. Wichtig ist der Unterschied zwischen Privat- und Firmenzugang: Eingaben aus kostenlosen und privaten Konten werden teils zum Training genutzt, bei Business-Tarifen laut Anbieterangaben in der Regel nicht. Ein bezahlter Privattarif gilt nicht automatisch als Firmenzugang mit Vertrag. Führen Sie auch auf, was nicht erlaubt ist (private Konten für Firmendaten, nicht freigegebene Zusatzprogramme).

3. Datenampel

Teilen Sie Daten in drei Klassen:

4. Prüfpflicht und Verantwortung

Jedes Ergebnis wird vor der Verwendung von einem Menschen geprüft. Die Person, die das Ergebnis verwendet, ist dafür verantwortlich. Bei Aussagen nach außen gilt das Vier-Augen-Prinzip dort, wo Fehler teuer wären (Verträge, Preise, rechtliche Aussagen). Erhebliche Entscheidungen über Personen werden nicht allein von einer KI getroffen.

5. Kennzeichnung und Transparenz

Legen Sie fest, wann KI-Einsatz offengelegt wird, etwa im Kundenchat. Für bestimmte KI-Systeme und Inhalte gibt es Kennzeichnungspflichten nach dem EU AI Act, siehe den Leitfaden zum EU AI Act für österreichische KMU.

6. Urheberrecht und Marken

Hinweise, keine fremden geschützten Inhalte hochzuladen und Bilder, Logos und Namen vor der Veröffentlichung zu prüfen. Details: KI und Urheberrecht in Österreich.

7. Verantwortliche und Vorfälle

Benennen Sie eine Ansprechperson für Fragen. Regeln Sie, was bei einem Fehler zu tun ist: Falls personenbezogene Daten versehentlich in ein nicht freigegebenes Werkzeug gelangt sind, melden Beschäftigte das sofort intern. Die DSGVO sieht bei Datenschutzverletzungen mit Risiko für Betroffene eine Meldung an die Datenschutzbehörde vor, und zwar unverzüglich und möglichst binnen 72 Stunden (Artikel 33), deshalb zählt jede Stunde. Sorgen Sie für eine Fehlerkultur ohne Schuldzuweisung, damit Vorfälle gemeldet werden.

8. Schulung und Überprüfung

Legen Sie fest, wie Beschäftigte geschult werden (siehe KI-Schulung für Mitarbeiter), und prüfen Sie die Richtlinie regelmäßig, zum Beispiel halbjährlich.

Die Datenampel im Alltag

Die Einteilung wirkt erst, wenn Beschäftigte sie auf ihre Aufgaben übertragen können. Typische Beispiele:

• Grün: Eine Formulierung für einen Newsletter verbessern, einen öffentlichen Text zusammenfassen, Ideen für einen Workshop sammeln.
• Gelb: Ein internes Angebot überarbeiten, einen Prozess beschreiben lassen, Besprechungsnotizen ohne Namen zusammenfassen.
• Rot: Eine Bewerbung bewerten lassen, eine Krankmeldung auswerten, Passwörter oder Zugangsdaten einfügen, Mandantenakten hochladen.

Hängen Sie die Beispiele am besten als Spickzettel neben die Richtlinie, am Arbeitsplatz oder im Intranet. Bei Unsicherheit gilt: erst fragen, dann eingeben. Eine Ansprechperson, die schnell antwortet, ist die wirksamste Ergänzung zur Ampel.

In fünf Schritten zur Richtlinie

1. Bestandsaufnahme: Welche Werkzeuge werden schon genutzt und wofür? Fragen Sie offen und ohne Vorwurf, am besten anonym.
2. Risiko klären: Welche Daten verarbeiten Sie? Ein Steuerberater hat andere Anforderungen als ein Handwerksbetrieb.
3. Entwurf schreiben: Kurz, in einfacher Sprache, mit Beispielen.
4. Gegenlesen: Team, Datenschutzverantwortliche und bei Bedarf Betriebsrat und Rechtsberatung. Wenn es einen Betriebsrat gibt, binden Sie ihn früh ein. Je nach Ausgestaltung können Mitbestimmungsrechte nach dem Arbeitsverfassungsgesetz berührt sein, siehe Change Management bei KI.
5. Einführen und schulen: Vorstellen, an Beispielen üben, zugänglich ablegen, Termin für die Überprüfung festlegen.

Mustertext zum Anpassen

Der folgende Text ist ein Ausgangspunkt. Ersetzen Sie die Platzhalter, passen Sie ihn an Ihren Betrieb an und lassen Sie ihn bei Bedarf rechtlich prüfen.

KI-Richtlinie von [Firmenname]

1. Zweck. Wir nutzen KI-Werkzeuge, um Aufgaben zu erleichtern. Diese Richtlinie sorgt dafür, dass dies sicher, rechtmäßig und mit Qualität geschieht.

2. Geltung. Sie gilt für alle Beschäftigten, freie Mitarbeitende und Praktikanten bei der Arbeit mit KI.

3. Freigegebene Werkzeuge. [Werkzeug, Tarif, Zugang] sind freigegeben. Nicht freigegebene Werkzeuge und private Konten dürfen für Firmendaten nicht verwendet werden. Neue Werkzeuge beantragen Sie bei [Ansprechperson].

4. Daten. Grün: öffentliche und anonymisierte Inhalte dürfen in freigegebenen Werkzeugen verwendet werden. Gelb: interne Inhalte nur im Firmenzugang. Rot: Gesundheitsdaten, Personalunterlagen, Zugangsdaten und Berufsgeheimnisse werden nicht in KI-Werkzeuge eingegeben. Im Zweifel fragen wir nach.

5. Prüfung. KI-Ergebnisse sind Entwürfe. Wer ein Ergebnis verwendet, prüft Inhalt, Zahlen, Quellen und Ton und trägt die Verantwortung. Verbindliche Zusagen, Verträge und rechtliche Aussagen werden von einer zuständigen Person freigegeben.

6. Kunden. Wo Kunden mit KI interagieren, weisen wir darauf hin und sorgen für eine Übergabe an einen Menschen.

7. Fehler und Vorfälle. Wenn Daten versehentlich falsch eingegeben wurden oder ein Ergebnis Schaden verursachen könnte, melden wir das sofort an [Ansprechperson]. Niemand wird für eine rasche Meldung gemaßregelt.

8. Schulung und Überprüfung. Wir schulen alle, die KI nutzen. Diese Richtlinie wird alle sechs Monate überprüft. Ansprechperson: [Name, Kontakt]. Stand: [Datum].

Wie oft und von wem wird die Richtlinie angepasst?

Werkzeuge, Tarife und rechtliche Vorgaben ändern sich schnell. Legen Sie deshalb fest, wer Änderungen vorschlägt und wer sie freigibt. Bewährt hat sich ein halbjährlicher Termin von 30 Minuten: Was hat im Alltag nicht funktioniert? Welche Werkzeuge sind neu? Gab es Vorfälle oder Beinahe-Vorfälle? Halten Sie Änderungen mit Datum fest und informieren Sie das Team kurz über jede neue Fassung.

Häufige Fehler bei Richtlinien

• Zu lang und juristisch: Niemand liest zehn Seiten. Besser eine Seite mit Beispielen.
• Nur Verbote: Ohne erlaubte Alternative weichen Beschäftigte auf private Konten aus.
• Keine Schulung: Eine Richtlinie in der Schublade ändert nichts.
• Keine Pflege: Werkzeuge und Regeln ändern sich, planen Sie Überprüfungen ein.
• Keine Ansprechperson: Wer Fragen hat, muss wissen, wohin.

Checkliste

• Bestandsaufnahme durchgeführt
• Freigegebene Werkzeuge mit Tarif benannt
• Datenampel festgelegt
• Prüfpflicht und Verantwortliche geregelt
• Umgang mit Vorfällen und Meldeweg festgelegt
• Betriebsrat und Datenschutzverantwortliche eingebunden
• Schulung terminisiert
• Überprüfungstermin im Kalender

Unser Fazit

Eine gute KI-Richtlinie ist kurz, verständlich und gelebt. Sie schafft Sicherheit, verhindert Schatten-KI und liefert die Grundlage für Schulung und Pflichten. Starten Sie mit dem Mustertext, passen Sie ihn an und verbessern Sie ihn mit den Erfahrungen Ihres Teams.

Sie wollen die Richtlinie gemeinsam mit Ihrem Team erarbeiten? In einem KI-Workshop entwickeln wir Datenampel, Regeln und Beispiele für Ihren Betrieb. Der Einstieg gelingt im kostenlosen Erstgespräch.

Weiterführend

• KI-Workshops und Schulungen: Richtlinie gemeinsam erarbeiten
• KI für Steuerberater und Rechtsanwälte: Berufsgeheimnis und KI
• KI und Datenschutz in Österreich
• Die 7 häufigsten Fehler bei der KI-Einführung
• Kostenloser KI-Readiness-Check: Wie bereit ist Ihr Unternehmen für KI?

Quellen

• Schatten-KI in Unternehmen (Befragung von 604 Unternehmen in Deutschland, Oktober 2025): Bitkom, Presseinformation
• Meldung von Datenschutzverletzungen innerhalb von 72 Stunden: Artikel 33 DSGVO, Verordnung (EU) 2016/679
• Der Mustertext ist ein Entwurf und ersetzt keine Rechtsberatung.