KI-Richtlinien für Ihr Unternehmen: So erstellen Sie eine interne KI-Policy

Warum jedes Unternehmen eine KI-Policy braucht

KI-Tools wie ChatGPT, Claude oder Gemini sind längst im Arbeitsalltag angekommen – auch in österreichischen KMU. Doch während die Nutzung rasant steigt, fehlen in den meisten Betrieben klare Regeln. Das Ergebnis: Jeder macht, was er für richtig hält.

Ohne interne Richtlinien riskieren Sie:

• Datenlecks: Mitarbeiter geben vertrauliche Kundendaten oder Geschäftsgeheimnisse in KI-Tools ein
• Compliance-Verstöße: DSGVO-Verletzungen oder Konflikte mit dem EU AI Act
• Qualitätsprobleme: Ungeprüfte KI-Texte gehen an Kunden, fehlerhafte Kalkulationen werden übernommen
• Haftungsrisiken: Wer ist verantwortlich, wenn eine KI-gestützte Entscheidung Schaden verursacht?

Eine KI-Policy schafft Klarheit für alle Beteiligten – und schützt gleichzeitig Ihr Unternehmen.

Was in eine KI-Policy gehört

Eine gute KI-Richtlinie muss nicht 50 Seiten lang sein. Entscheidend ist, dass sie die folgenden Bereiche abdeckt:

Erlaubte Tools und Anwendungen

Definieren Sie, welche KI-Tools im Unternehmen verwendet werden dürfen. Nicht jedes Tool erfüllt die Anforderungen an Datenschutz und DSGVO-Konformität.

• Freigegebene Tools: z. B. ChatGPT Plus (mit Business-Konto), Claude Pro, Microsoft Copilot
• Verbotene Tools: Kostenlose Versionen ohne Datenschutzgarantien, unbekannte Drittanbieter
• Erlaubte Einsatzbereiche: Texterstellung, Recherche, Kalkulation, Übersetzung

Datenklassifizierung

Nicht alle Daten sind gleich sensibel. Teilen Sie Ihre Unternehmensdaten in Kategorien ein:

Qualitätskontrolle

KI-generierte Inhalte müssen immer von einem Menschen geprüft werden, bevor sie das Unternehmen verlassen. Legen Sie fest:

• Wer prüft KI-generierte Texte, bevor sie an Kunden gehen?
• Wie werden KI-gestützte Kalkulationen verifiziert?
• Müssen KI-generierte Inhalte als solche gekennzeichnet werden?

Schritt für Schritt zur KI-Policy

Schritt 1: Bestandsaufnahme

Finden Sie heraus, welche KI-Tools bereits im Einsatz sind. Oft nutzen Mitarbeiter längst ChatGPT oder andere Tools – ohne dass die Geschäftsführung davon weiß. Führen Sie eine anonyme Umfrage durch oder sprechen Sie das Thema in Teammeetings offen an.

Schritt 2: Risikoanalyse

Bewerten Sie: Welche Daten verarbeitet Ihr Unternehmen? Wo liegen die größten Risiken? Ein Steuerberater hat andere Anforderungen als ein Handwerksbetrieb.

Schritt 3: Richtlinie formulieren

Halten Sie die Regeln kurz, klar und verständlich. Vermeiden Sie Juristendeutsch. Die Policy sollte so geschrieben sein, dass jeder Mitarbeiter sie auf Anhieb versteht.

Schritt 4: Feedback einholen

Besprechen Sie den Entwurf mit Ihrem Team. Mitarbeiter, die an der Entstehung beteiligt werden, halten sich eher an die Regeln.

Schritt 5: Einführung und Schulung

Stellen Sie die Policy im Team vor und schulen Sie Ihre Mitarbeiter. Eine Richtlinie, die in der Schublade liegt, bringt niemandem etwas.

Muster-Inhalte einer KI-Policy

Eine praxistaugliche KI-Policy enthält mindestens diese Punkte:

• Geltungsbereich: Für wen gilt die Richtlinie (alle Mitarbeiter, Freelancer, Praktikanten)?
• Freigegebene KI-Tools: Liste der erlaubten Anwendungen mit Versionsnummern/Tarifen
• Verbotene Nutzungen: Keine personenbezogenen Daten, keine Passwörter, kein Quellcode mit Geschäftsgeheimnissen
• Datenklassifizierung: Welche Daten dürfen in welche Tools eingegeben werden?
• Prüfpflicht: Alle KI-Ergebnisse müssen vor der Weiterverwendung geprüft werden
• Dokumentation: KI-Nutzung bei wichtigen Entscheidungen dokumentieren
• Verantwortlichkeiten: Wer ist Ansprechperson für KI-Fragen im Unternehmen?
• Konsequenzen: Was passiert bei Verstößen gegen die Richtlinie?
• Überprüfungszyklus: Wann wird die Policy aktualisiert (z. B. halbjährlich)?

Schulung der Mitarbeiter

Die beste Policy nützt nichts, wenn Ihre Mitarbeiter sie nicht kennen oder verstehen. Planen Sie:

• Einführungsschulung bei Inkrafttreten der Richtlinie (60–90 Minuten)
• Praktische Übungen: Zeigen Sie konkret, wie Daten anonymisiert werden und welche Prompts sicher sind
• Anlaufstelle: Benennen Sie eine Person, die bei Unsicherheiten hilft
• Regelmäßige Auffrischung: KI-Technologie entwickelt sich schnell – Ihre Schulungen sollten das auch tun

In einem KI-Workshop erarbeiten wir gemeinsam mit Ihrem Team praxistaugliche Richtlinien und schulen den sicheren Umgang mit KI-Tools.

Regelmäßige Überprüfung und Anpassung

Eine KI-Policy ist kein einmaliges Dokument. Die Technologie, die Rechtslage und die Anforderungen Ihres Unternehmens ändern sich laufend. Planen Sie mindestens alle sechs Monate eine Überprüfung ein:

• Sind neue KI-Tools auf dem Markt, die freigegeben werden sollten?
• Hat sich die Rechtslage geändert (z. B. durch den EU AI Act)?
• Gab es Vorfälle oder Beinahe-Vorfälle, die neue Regeln erfordern?
• Nutzen Mitarbeiter die Tools anders als vorgesehen?

Praxisbeispiel: KI-Policy in einem 30-Personen-Betrieb

Ein Grazer Planungsbüro mit 30 Mitarbeitern wollte KI-Tools einsetzen, ohne Risiken einzugehen. So sind sie vorgegangen:

1. Anonyme Umfrage: Es stellte sich heraus, dass bereits 12 Mitarbeiter ChatGPT privat für Arbeitszwecke nutzten – teilweise mit Kundendaten
2. Workshop mit allen Teamleitern: Gemeinsame Erarbeitung der Richtlinie in einem halbtägigen Workshop
3. Pilotphase: Drei Monate lang testete eine kleine Gruppe die freigegebenen Tools unter den neuen Regeln
4. Rollout: Einführung für alle Mitarbeiter mit 90-minütiger Schulung
5. Ergebnis: Produktivitätssteigerung bei gleichzeitig null Datenschutzvorfällen in den ersten zwölf Monaten

Der Schlüssel zum Erfolg: Die Mitarbeiter wurden eingebunden statt kontrolliert. Die Policy wurde als Hilfestellung kommuniziert, nicht als Verbot.

Fazit

Eine interne KI-Policy ist kein bürokratischer Aufwand – sie ist eine Investition in die Sicherheit und Produktivität Ihres Unternehmens. Starten Sie mit einer einfachen Richtlinie und passen Sie diese laufend an. Das Wichtigste: Fangen Sie jetzt an, bevor unkontrollierte KI-Nutzung zum Problem wird.

Weiterführende Artikel:

• KI und Datenschutz: So nutzen Sie ChatGPT & Co. DSGVO-konform
• EU AI Act: Was österreichische KMU jetzt wissen müssen
• Die 5 häufigsten Fehler bei der KI-Einführung – und wie Sie sie vermeiden