Die Frage, ob Beschäftigte generative KI nutzen, stellt sich in den meisten Unternehmen nicht mehr. Offen ist nur, ob sie es mit oder ohne Regeln tun. Eine KI-Richtlinie schafft diese Regeln: Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten tabu bleiben und wer wofür verantwortlich ist. Richtig aufgesetzt, schützt sie das Unternehmen, ohne die Produktivitätsgewinne zu verschenken, um die es eigentlich geht.
Warum jetzt: Schatten-KI ist Alltag
Laut einer repräsentativen Bitkom-Umfrage unter 604 Unternehmen ab 20 Beschäftigten, veröffentlicht im Oktober 2025, ist die private Nutzung generativer KI im Job in 8 Prozent der Unternehmen weit verbreitet, in weiteren 17 Prozent kommt sie in Einzelfällen vor. Zugleich hatten erst 23 Prozent der Unternehmen Regeln für den Einsatz von KI-Werkzeugen aufgestellt, 31 Prozent planten dies.
Dazu kommt der regulatorische Rahmen. Die europäische KI-Verordnung (Verordnung (EU) 2024/1689) verpflichtet Anbieter und Betreiber von KI-Systemen seit Februar 2025 zu Maßnahmen rund um KI-Kompetenz; seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50. Was das im Einzelnen bedeutet, beschreibt unser Überblick EU AI Act: Was seit August 2026 für Unternehmen gilt. Eine KI-Richtlinie ist der naheliegende Ort, diese Pflichten in den Arbeitsalltag zu übersetzen.
Das Ziel: eine Seite, die jeder versteht
Eine gute KI-Richtlinie ist kein juristisches Kompendium. Sie beantwortet für jeden Beschäftigten drei Fragen: Was darf ich nutzen? Was darf ich eingeben? Was muss ich mit dem Ergebnis tun? Details – Tool-Liste, Datenklassen, Schulungsunterlagen – gehören in Anlagen, die sich ohne neue Freigaberunde aktualisieren lassen.
Eine KI-Richtlinie, die niemand liest, schützt niemanden – und ein Verbot, das niemand einhält, schafft nur mehr Schatten-KI.
Schritt für Schritt zur KI-Richtlinie
1. Bestandsaufnahme: Welche Werkzeuge sind im Einsatz?
Am Anfang steht eine ehrliche Inventur. Neben offiziell beschafften Lösungen zählen dazu KI-Funktionen in vorhandener Software, Browser-Erweiterungen und private Konten, die Beschäftigte für dienstliche Aufgaben verwenden. Eine anonyme Kurzumfrage liefert hier oft ehrlichere Antworten als ein Abgleich mit der IT-Beschaffung. Ziel ist nicht die Sanktion, sondern ein realistisches Bild der Nutzung.
2. Daten klassifizieren: Was darf nie in externe Werkzeuge?
Der wichtigste Teil jeder KI-Richtlinie ist die Datenfrage. Bewährt hat sich ein einfaches Ampelschema:
- Grün – öffentlich: bereits veröffentlichte Inhalte, allgemeine Recherchen, eigene Formulierungsentwürfe ohne vertrauliche Details.
- Gelb – intern: interne Dokumente ohne Personenbezug und ohne Geheimnischarakter; nur in freigegebenen Werkzeugen mit Vertrag.
- Rot – vertraulich: personenbezogene Daten im Sinne der DSGVO, Geschäftsgeheimnisse, Kundendaten, Vertragsentwürfe, Finanz- und Personalunterlagen; nie in nicht freigegebene externe Werkzeuge.
Die rote Kategorie hat einen handfesten rechtlichen Hintergrund. Ein Geschäftsgeheimnis im Sinne von § 2 Nr. 1 GeschGehG setzt unter anderem voraus, dass die Information Gegenstand „angemessener Geheimhaltungsmaßnahmen“ ist. Wer Beschäftigten erlaubt, vertrauliche Informationen ungeregelt in externe Dienste zu kopieren, riskiert deshalb nicht nur einen Datenabfluss, sondern im Streitfall auch den gesetzlichen Schutz der Information.
3. Freigegebene Werkzeuge und Beschaffung
Statt pauschaler Verbote braucht es eine Positivliste: Welche Werkzeuge sind für welche Datenklasse freigegeben? Für jedes Werkzeug, in das personenbezogene Daten gelangen können, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Zu prüfen sind außerdem der Speicherort der Daten, die Frage, ob Eingaben zum Training verwendet werden, und die Aufbewahrungsfristen. Neue Werkzeuge sollten über einen festen Antragsweg auf die Liste kommen, sonst wird die Liste selbst zur Quelle von Schatten-KI.
Wer KI mit eigenen Unternehmensdaten verknüpfen will, landet schnell bei internen Lösungen; wie das technisch funktioniert, erklärt der Beitrag RAG erklärt: Wie Unternehmen ihr eigenes Wissen mit KI nutzbar machen.
4. Regeln für den Umgang mit Ergebnissen
KI-Ausgaben können sachlich falsch, veraltet oder erfunden sein. Die Richtlinie sollte daher festhalten: Verantwortlich für ein Ergebnis bleibt der Mensch, der es verwendet. Inhalte, die das Haus verlassen – Angebote, Verträge, Veröffentlichungen, Code in Produktivsystemen – werden vor der Verwendung fachlich geprüft.
Beim Urheberrecht ist Vorsicht angebracht. Nach § 2 Abs. 2 UrhG sind Werke nur „persönliche geistige Schöpfungen“; rein maschinell erzeugte Inhalte genießen danach in der Regel keinen eigenen Schutz. Umgekehrt können Ausgaben Material Dritter wiedergeben. Für Marketing und Produktgestaltung sollte die Richtlinie deshalb eine zusätzliche Prüfung vorsehen.
5. KI-Kompetenz aufbauen
Art. 4 der KI-Verordnung wurde durch den Digital Omnibus, Verordnung (EU) 2026/1744, neu gefasst. Die Änderung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Statt ein ausreichendes Kompetenzniveau „sicherzustellen“, müssen Anbieter und Betreiber nun Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz ihres Personals zu fördern; ein bestimmtes Niveau einzelner Personen wird nicht mehr garantiert verlangt.
Die Pflicht ist damit weicher, aber nicht verschwunden. Sinnvoll sind eine kurze Pflichtschulung vor der Freischaltung eines Werkzeugs, rollenspezifische Vertiefungen etwa für Vertrieb oder Personal und eine Dokumentation der Maßnahmen.
6. Transparenzpflichten nach Art. 50 berücksichtigen
Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung. Für die meisten Mittelständler sind zwei Konstellationen relevant. Wer Deepfakes, also KI-erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte, verwendet, muss dies als Betreiber offenlegen (Art. 50 Abs. 4). Gleiches gilt für KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – es sei denn, sie wurden menschlich geprüft oder redaktionell kontrolliert und eine Person trägt die redaktionelle Verantwortung.
Wer einen Chatbot auf der Website einsetzt, sollte zudem klarstellen, dass Nutzer mit einer KI kommunizieren. Art. 50 Abs. 1 richtet diese Pflicht an Anbieter; ob das Unternehmen selbst als Anbieter gilt, hängt vom Einzelfall ab. Die Pflicht zur maschinenlesbaren Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 trifft ebenfalls Anbieter; für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, sieht der Omnibus eine Übergangsfrist bis zum 2. Dezember 2026 vor.
7. Rollen klären: Verantwortliche, Datenschutz, Betriebsrat
Die Richtlinie braucht einen klar benannten Verantwortlichen, der die Tool-Liste pflegt und Fragen beantwortet – in kleineren Häusern oft die IT-Leitung oder die Geschäftsführung selbst. Der Datenschutzbeauftragte ist bei jeder Freigabe eines Werkzeugs einzubinden, das personenbezogene Daten verarbeitet.
Wo ein Betriebsrat besteht, ist § 87 Abs. 1 Nr. 6 BetrVG zu beachten: Er gewährt ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Das Arbeitsgericht Hamburg hat im Eilverfahren (Beschluss vom 16.01.2024, 24 BVGa 1/24) ein Mitbestimmungsrecht verneint, als ein Arbeitgeber die Nutzung von ChatGPT über private Konten im Browser erlaubte und dafür Richtlinien erließ. Die Entscheidung betrifft aber ausdrücklich diese Konstellation. Stellt das Unternehmen eigene Konten oder Installationen bereit, deren Protokolle Rückschlüsse auf einzelne Beschäftigte zulassen, sollte der Betriebsrat frühzeitig beteiligt werden – in der Praxis häufig über eine Betriebsvereinbarung.
8. Vorfälle melden und bearbeiten
Früher oder später landet etwas im falschen Werkzeug. Entscheidend ist, dass Beschäftigte das ohne Angst melden. Die Richtlinie nennt eine Meldestelle, eine Frist („unverzüglich“) und den Ablauf: Bewertung durch Verantwortlichen und Datenschutzbeauftragten, Prüfung einer Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO bei Datenschutzverletzungen, Löschung beim Anbieter, soweit möglich, und Auswertung.
9. Regelmäßig überprüfen
KI-Werkzeuge und Rechtslage ändern sich schneller als die meisten Unternehmensrichtlinien. Ein fester Überprüfungsrhythmus – etwa halbjährlich sowie anlassbezogen bei neuen Werkzeugen oder Rechtsänderungen – hält die Richtlinie aktuell.
Typische Fehler
- Pauschalverbot: Ein generelles Verbot verlagert die Nutzung in private Konten und damit aus dem Blickfeld.
- Juristendeutsch: Eine Richtlinie über zehn Seiten wird nicht gelesen. Kernregeln gehören auf eine Seite.
- Keine Alternative: Wer externe Werkzeuge einschränkt, muss freigegebene Werkzeuge bereitstellen.
- Einmal-Projekt: Ohne Verantwortlichen und Überprüfungszyklus veraltet die Tool-Liste in wenigen Monaten.
- Betriebsrat zu spät: Nachträgliche Beteiligung kostet mehr Zeit als eine frühe.
Vorlage: die einseitige KI-Richtlinie
Die folgende Gliederung dient als Ausgangspunkt und ist an Branche, Größe und vorhandene Richtlinien anzupassen:
- Zweck und Geltungsbereich: für wen die Richtlinie gilt, welche Werkzeuge erfasst sind (auch KI-Funktionen in bestehender Software).
- Grundsatz: KI-Nutzung ist erwünscht, soweit sie diese Regeln einhält.
- Freigegebene Werkzeuge: Verweis auf die Positivliste (Anlage 1) mit zulässiger Datenklasse je Werkzeug; Antragsweg für neue Werkzeuge.
- Datenregeln: Ampelschema (Anlage 2); keine personenbezogenen Daten und keine Geschäftsgeheimnisse in nicht freigegebene Werkzeuge.
- Umgang mit Ergebnissen: menschliche Prüfung vor externer Verwendung; Verantwortung liegt bei der nutzenden Person; Vorsicht bei urheberrechtlich relevanten Inhalten.
- Kennzeichnung: Offenlegung von KI-erzeugten Bild-, Ton- und Videoinhalten sowie weiterer Fälle nach Art. 50 KI-Verordnung.
- Schulung: Pflichtschulung vor Freischaltung; rollenspezifische Angebote; Dokumentation.
- Zuständigkeiten: Verantwortliche Person, Datenschutzbeauftragter, gegebenenfalls Betriebsrat.
- Vorfälle: Meldestelle, Meldefrist, Ablauf.
- Verstöße: Hinweis auf arbeitsrechtliche Folgen.
- Überprüfung und Inkrafttreten: Datum, Version, nächster Überprüfungstermin.
Fazit
Eine KI-Richtlinie ist weniger eine Compliance-Pflicht als ein Führungsinstrument. Sie holt die Nutzung aus dem Schatten, macht die wichtigsten Datenregeln verständlich und verteilt Verantwortung. Der Aufwand ist überschaubar: Inventur, Datenampel, Tool-Liste, Schulung und ein klarer Ansprechpartner reichen für den Anfang. Entscheidend ist, dass die Regeln kurz bleiben, freigegebene Alternativen existieren und die Richtlinie regelmäßig überprüft wird.
Alle rechtlichen Angaben in diesem Beitrag beschreiben die Situation nach aktueller Rechtslage (Stand: September 2026) in allgemeiner Form. Arbeitsrechtliche und datenschutzrechtliche Fragen hängen stark vom Einzelfall ab.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Maßgeblich ist die individuelle Prüfung durch qualifizierte Berater.
Quellen
- Bitkom – Beschäftigte nutzen vermehrt Schatten-KI (21.10.2025) – https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI
- EUR-Lex – Verordnung (EU) 2024/1689 (KI-Verordnung) – https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- EUR-Lex – Verordnung (EU) 2026/1744 (Digital Omnibus zur KI) – https://eur-lex.europa.eu/eli/reg/2026/1744/oj
- Europäische Kommission – AI Omnibus enters into force – https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
- activeMind.legal – Änderungen der KI-Verordnung durch den Digitalen Omnibus – https://www.activemind.legal/de/guides/aenderungen-ki-verordnung/
- Cooley – Digital AI Omnibus Delays Key Deadlines, Introduces New Rules – https://cdp.cooley.com/digital-ai-omnibus-delays-key-deadlines-introduces-new-rules/
- AI Act Explorer – Artikel 50 KI-Verordnung – https://artificialintelligenceact.eu/article/50/
- EUR-Lex – Verordnung (EU) 2016/679 (DSGVO) – https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Gesetze im Internet – § 2 GeschGehG – https://www.gesetze-im-internet.de/geschgehg/__2.html
- Gesetze im Internet – § 2 UrhG – https://www.gesetze-im-internet.de/urhg/__2.html
- Gesetze im Internet – § 87 BetrVG – https://www.gesetze-im-internet.de/betrvg/__87.html
- LTO – ArbG Hamburg, Beschluss vom 16.01.2024, 24 BVGa 1/24 – https://www.lto.de/recht/hintergruende/h/arbg-hamburg-24bvga-1-24-chatgpt-einsatz-arbeit-beteiligung-betriebsrat
