KI-Nutzungsrichtlinie: Was gehört hinein?

Dieser Beitrag wurde mit KI erstellt.

Eine KI-Nutzungsrichtlinie legt fest, welche KI-Werkzeuge dein Team nutzen darf, welche Daten hinein dürfen, wer Ergebnisse prüft und wer bei Fragen hilft. Sie passt auf wenige Seiten, schützt Kundendaten und Geschäftsgeheimnisse und ist gleichzeitig ein sichtbarer Schritt, mit dem du die KI-Kompetenz deiner Mitarbeitenden förderst. Wir zeigen, was hineingehört und wie du sie einführst.

Warum eine Richtlinie, wenn doch alle schon KI nutzen?

Genau deshalb. In vielen Betrieben ist KI längst im Alltag angekommen, nur ohne Absprache: Jemand lässt sich eine E-Mail an einen Kunden formulieren, jemand anderes lädt eine Tabelle mit Umsatzzahlen in einen Chat-Dienst, ein Dritter testet ein Werkzeug zum Protokollieren von Besprechungen. Häufig geschieht das über private Konten, für die das Unternehmen keinen Vertrag hat und nicht weiß, was mit den Eingaben passiert. Man spricht hier von Schatten-KI.

Ein Verbot hilft selten: Es treibt die Nutzung nur weiter ins Verborgene, und die Zeitersparnis geht verloren. Eine Richtlinie macht KI dagegen nutzbar, weil jeder weiß, was erlaubt ist. Das nimmt Unsicherheit, gerade bei Mitarbeitenden, die sich bisher gar nicht getraut haben.

Was der EU AI Act zur KI-Kompetenz verlangt

Die europäische KI-Verordnung (EU AI Act) enthält seit dem 2. Februar 2025 in Artikel 4 Vorgaben zur KI-Kompetenz. Sie gelten nicht nur für Hersteller von KI, sondern auch für Unternehmen, die KI-Systeme einsetzen, also schon dann, wenn dein Team einen Chat-Assistenten für Texte oder Übersetzungen nutzt. Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, ist Artikel 4 seit dem 27. Juli 2026 neu gefasst: Unternehmen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals unterstützen, ausgerichtet an Vorkenntnissen, Aufgaben und Einsatzzweck. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie nicht garantieren (Einordnungen bieten ITMR Rechtsanwälte und das Mittelstand-Digital Zentrum Fokus Mensch).

Ein Zertifikat, eine feste Stundenzahl oder einen eigenen KI-Beauftragten schreibt die Verordnung nicht vor. Eine Nutzungsrichtlinie zusammen mit einer kurzen Einweisung ist eine naheliegende Maßnahme, und schriftlich festgehalten hast du etwas in der Hand, falls jemand nachfragt. Was die Verordnung für deinen Betrieb im Einzelnen verlangt, klärst du verbindlich mit deinem Datenschutzbeauftragten oder deiner Rechtsberatung.

Diese Punkte gehören in die Richtlinie

Eine gute Richtlinie ist kurz und in der Sprache deines Teams geschrieben. Diese Bausteine haben sich bewährt:

• Zweck und Geltungsbereich: für wen die Richtlinie gilt, also auch für Aushilfen, Auszubildende und externe Dienstleister, die in deinem Auftrag arbeiten.
• Freigegebene Werkzeuge: eine Liste der erlaubten Dienste mit dem jeweiligen Tarif, zum Beispiel der Geschäftstarif eines Chat-Assistenten oder ein privates Sprachmodell. Alles, was nicht auf der Liste steht, ist erst nach Rückfrage erlaubt.
• Firmenkonten statt privater Konten: KI-Werkzeuge werden nur mit vom Unternehmen bereitgestellten Zugängen genutzt.
• Datenklassen: welche Daten in welches Werkzeug dürfen. Bewährt hat sich eine einfache Ampel: öffentliche Inhalte frei, interne Inhalte nur in freigegebene Dienste mit Vertrag, personenbezogene und vertrauliche Daten nur in Systeme, die das Unternehmen selbst kontrolliert.
• Prüfpflicht: KI-Ergebnisse sind Entwürfe. Wer sie verwendet, prüft Fakten, Zahlen, Namen und Quellen und trägt die Verantwortung für das, was rausgeht.
• Kennzeichnung: wann KI-Inhalte nach außen gekennzeichnet werden, etwa realistisch wirkende KI-Bilder oder ein Chatbot auf der Website.
• Urheberrecht und Code: keine fremden Texte, Bilder oder Logos ungeprüft übernehmen; KI-generierter Code wird vor dem Einsatz geprüft.
• Ansprechpartner: wer neue Werkzeuge freigibt, Fragen beantwortet und Vorfälle entgegennimmt.
• Vorfälle: was zu tun ist, wenn versehentlich vertrauliche Daten in ein nicht freigegebenes Werkzeug gelangt sind: sofort melden, statt es zu verschweigen.
• Schulung und Überprüfung: wie neue Mitarbeitende eingewiesen werden und wann die Richtlinie überprüft wird, zum Beispiel halbjährlich.

Die Datenfrage entscheidet über die Werkzeuge

Der wichtigste Teil der Richtlinie ist die Frage, welche Daten wohin dürfen. Für Texte ohne vertrauliche Inhalte reicht oft ein Cloud-Dienst mit Geschäftstarif und Vertrag zur Auftragsverarbeitung. Sobald Kundendaten, Verträge, Personalakten oder Angebote im Spiel sind, gehört die KI in eine Umgebung, die du kontrollierst. Wann sich ein eigenes Sprachmodell lohnt, erklärt unser Ratgeber Private KI oder Cloud-KI?. Prüfe bei jedem Dienst außerdem, ob er Eingaben speichert oder zum Training verwendet; das hängt vom gebuchten Tarif ab und kann sich mit neuen Nutzungsbedingungen ändern.

Auch die Kennzeichnung gehört in diesen Zusammenhang: Seit dem 2. August 2026 gelten die Transparenzpflichten des AI Act, etwa für Chatbots und täuschend echte KI-Bilder. Wie wir das auf unserer eigenen Website umsetzen, zeigt unser Beitrag KI-Kennzeichnung ab dem 02.08.2026.

So führst du die Richtlinie ein

• Bestandsaufnahme: Frag offen und ohne Vorwürfe, wer welche KI-Werkzeuge wofür nutzt. Das Ergebnis zeigt, was dein Team wirklich braucht.
• Werkzeuge auswählen: Gib für die häufigsten Aufgaben ein passendes Werkzeug frei, damit niemand auf private Konten ausweichen muss.
• Entwurf abstimmen: mit Geschäftsführung, Datenschutzbeauftragtem und, wo vorhanden, dem Betriebsrat.
• Team einweisen: eine kurze Einweisung mit Beispielen aus eurem Alltag wirkt mehr als ein langes Dokument, das niemand liest. Halte fest, wer wann eingewiesen wurde.
• Regelmäßig nachschärfen: KI-Werkzeuge ändern sich schnell. Prüfe die Liste der freigegebenen Dienste und die Regeln in festen Abständen.

Typische Fehler

Die häufigsten Stolpersteine sind ein pauschales Verbot ohne Alternative, eine Richtlinie in Juristendeutsch, die niemand versteht, und eine Liste freigegebener Werkzeuge, die seit Monaten niemand gepflegt hat. Ebenso riskant ist eine Regel, die Daten zwar einteilt, aber offenlässt, welches Werkzeug für vertrauliche Inhalte da ist. Dann landen sie doch wieder im erstbesten Chat-Fenster.

Wir helfen dir dabei

Im Rahmen unserer KI-Einführung & Beratung setzen wir mit dir eine verständliche Nutzungsrichtlinie auf: Welche Werkzeuge sind freigegeben, welche Daten dürfen hinein, wer ist Ansprechpartner? Eine Einweisung deines Teams stimmen wir bei Bedarf mit dir ab. Für vertrauliche Daten betreiben wir private Sprachmodelle in unseren 3 Rechenzentren an 2 Standorten in Gummersbach, alle Angebote findest du unter KI-Hosting & Datensouveränität.

Du willst KI in deinem Unternehmen mit klaren Regeln nutzen? Schreib uns an support@baebeca.de, ruf uns unter 02261-81616-0 an oder nimm Kontakt mit uns auf – wir vereinbaren ein unverbindliches Erstgespräch.