Die KI-Nutzungsrichtlinie: was rein muss

Irgendwann in jedem KI-Projekt fällt der Satz: „Wir brauchen erst mal eine Richtlinie.“ Zwei Wochen später liegt ein dreißigseitiges Muster aus dem Internet auf dem Tisch, in dem viel von Transparenz, Fairness und menschlicher Aufsicht steht — und in dem der Sachbearbeiter aus dem Vertrieb die einzige Frage nicht beantwortet findet, die er tatsächlich hat: Darf ich das Angebot dieses Kunden da jetzt reinkopieren oder nicht?

Eine gute KI-Nutzungsrichtlinie ist kurz, konkret und beantwortet diese Frage auf der ersten Seite. Dieser Artikel zeigt die zehn Bausteine, die wirklich hineingehören, wie das Herzstück — die Erlaubnistabelle — aussieht, und auf welcher Ebene welche Regel stehen sollte, damit das Papier nicht nach einem halben Jahr veraltet ist. Vorweg der übliche und ernst gemeinte Hinweis: Das hier ist eine Landkarte aus Betreibersicht und ersetzt keine Rechtsberatung.

Wozu die Richtlinie überhaupt da ist

Drei Adressaten, drei Erwartungen

Der häufigste Konstruktionsfehler ist, dass ein Dokument alles gleichzeitig sein soll. Tatsächlich hat die Richtlinie drei Leserkreise mit sehr unterschiedlichen Erwartungen. Die Belegschaft will wissen, was erlaubt ist — konkret, mit Beispielen, in fünf Minuten lesbar. Datenschutz, Revision und im Ernstfall die Aufsicht wollen einen Nachweis, dass ihr die Nutzung geregelt und die Leute eingewiesen habt. Und die Geschäftsführung will Risiken gesteuert wissen, ohne dass die Fachbereiche ausgebremst werden. Diese drei Erwartungen lassen sich in einem Dokument bedienen, wenn man sie sauber trennt: vorn die Regeln für den Alltag, hinten der Rahmen für alle anderen.

Der Pflichtanteil

Ein Gesetz, das wörtlich „ihr braucht eine KI-Richtlinie“ sagt, gibt es nicht. Mehrere Pflichten laufen aber darauf hinaus. Aus der Datenschutzgrundverordnung ergibt sich, dass ihr als Verantwortliche steuern müsst, welche personenbezogenen Daten wohin fließen — ohne interne Regel könnt ihr das nicht belegen. Aus der KI-Verordnung kommt die Kompetenzpflicht: Wer KI-Systeme betreibt, muss dafür sorgen, dass die Beschäftigten damit umgehen können. Diese Pflicht gilt seit Februar 2025; der Digital Omnibus hat sie im Sommer 2026 abgemildert — gefordert ist nun, die Entwicklung dieser Kompetenz zu fördern, statt für jede einzelne Person ein bestimmtes Niveau zu garantieren —, gestrichen wurde sie ausdrücklich nicht. Praktisch heißt das: Eine schriftliche Regel plus eine dokumentierte Einweisung sind der günstigste Nachweis, den ihr führen könnt. Hinzu kommen arbeitsrechtliche Gründe: Ohne klare Anweisung ist im Streitfall schwer zu begründen, dass jemand gegen etwas verstoßen hat.

Die zehn Bausteine

Rahmen: Geltung, Werkzeuge, Zuständigkeit

Am Anfang steht, wofür das Papier überhaupt gilt: für welche Personengruppen — Beschäftigte, Auszubildende, Externe, Dienstleister —, für welche Tätigkeiten und ab wann. Dann folgt die Positivliste der zugelassenen Werkzeuge samt Kontotyp, verbunden mit dem klarsten Satz der ganzen Richtlinie: Andere KI-Werkzeuge werden im dienstlichen Kontext nicht genutzt. Und schließlich die Zuständigkeiten — wer entscheidet über neue Werkzeuge, wer über Konnektorfreigaben, wer über Ausnahmen. Diese drei Bausteine kosten zusammen eine halbe Seite und ersparen später erstaunlich viele Diskussionen.

Regeln: der Teil, den alle lesen

Das Herzstück ist die Erlaubnistabelle nach Datenklassen, die gleich ein eigenes Kapitel bekommt. Daneben stehen fünf weitere Regeln. Erstens verbotene Anwendungsfälle: keine Entscheidungen über Menschen — Bewerberauswahl, Leistungsbewertung, Kündigungen —, keine verbindlichen Rechts- oder Medizinauskünfte nach außen, nichts, was die Belegschaft überwacht. Zweitens die menschliche Verantwortung: Wer ein Ergebnis freigibt, verantwortet es; geprüft wird vor dem Versand, nicht danach. Drittens die Kennzeichnung — wann wird KI-Beteiligung offengelegt, intern wie gegenüber Kunden? Viertens der Umgang mit fremden Rechten: Was mit fremdem Material passiert und was vor einer Veröffentlichung geprüft wird. Und fünftens der Meldeweg für den Fall, dass etwas schiefgeht — falsche Ausgabe mit Folgen, versehentlich eingegebene Daten, auffälliges Verhalten.

Betrieb: Schulung, Prüftermin, Ausnahmen

Der zehnte Baustein ist der, den fast alle Muster vergessen, und er entscheidet über die Haltbarkeit: Wer wird wie eingewiesen und wie wird das dokumentiert? Wann wird die Richtlinie überprüft — halbjährlich ist ein guter Takt, jährlich das Minimum? Und wie beantragt ein Team eine begründete Ausnahme? Der letzte Punkt ist wichtiger, als er klingt: Es wird immer Bereiche geben, die mehr dürfen müssen. Ein definierter Weg mit Begründung, Freigabe und Ablaufdatum ist deutlich besser als stille Sonderlocken, von denen der Datenschutz erst beim Audit erfährt.

Abb.: Die zehn Bausteine in drei Gruppen — Rahmen, Regeln, Betrieb.

Die Erlaubnistabelle

Wenn ihr aus diesem ganzen Artikel eine Sache umsetzt, dann diese: eine Tabelle mit drei bis fünf Datenklassen, je einer Zeile mit Beispielen aus dem eigenen Betrieb, einer klaren Aussage und einer Bedingung. Vier Klassen reichen in den meisten Häusern völlig — öffentlich, intern, vertraulich, streng vertraulich. Entscheidend sind die Beispiele: „personenbezogene Daten“ ist eine Kategorie, mit der niemand im Vertrieb etwas anfangen kann; „die Kundenakte, das Angebot, die Bewerbung“ versteht jeder sofort.

Genauso wichtig ist die dritte Spalte. Eine Richtlinie, die nur sagt, was verboten ist, produziert zuverlässig Schatten-IT: Wer eine Aufgabe erledigen muss und im Firmenwerkzeug nicht darf, macht es eben im Privatkonto — und dann ist genau das passiert, was die Regel verhindern sollte. Auf jedes Verbot gehört deshalb eine Antwort auf die Frage „was denn dann“: welches Werkzeug, welcher Weg, welcher Ansprechpartner. Wenn ihr für die vertrauliche Klasse noch keinen freigegebenen Weg habt, schreibt das hin und nennt den Termin, bis wann es einen geben soll. Ehrlichkeit schlägt Vagheit.

Abb.: Beispiel für eine Erlaubnistabelle — vier Klassen, Beispiele aus dem Alltag, klare Bedingung.

Governance-Ebenen: welche Regel gehört wohin

Der zweite große Konstruktionsfehler ist, alles in ein Dokument zu packen. Regeln haben nämlich sehr unterschiedliche Halbwertszeiten. Die Grundsatzfrage, wofür euer Haus KI einsetzt und wofür bewusst nicht, ändert sich über Jahre nicht — zwei Absätze der Geschäftsführung, jährlich angesehen. Die Nutzungsrichtlinie selbst, um die es hier geht, hält typischerweise ein halbes Jahr, weil Werkzeuge und Funktionen sich ändern. Die technische Konfiguration — welche Konnektoren offen sind, welche Aufbewahrung gilt, welche Sperrlisten gesetzt sind — ändert sich quartalsweise und gehört deshalb gerade nicht in die Richtlinie, sondern in die Betriebsdokumentation der IT. Und die konkrete Arbeitsweise eines Teams mit Vorlagen und Prüfschritten ändert sich laufend und gehört in die Hand des Fachbereichs.

Der praktische Nutzen dieser Trennung: Ihr müsst nicht jedes Mal die mitbestimmungspflichtige Richtlinie aufmachen, wenn die IT einen Konnektor freigibt. Umgekehrt bleibt die Richtlinie lesbar, weil sie nicht mit Konfigurationsdetails zugestellt ist. Für die Mitbestimmung gilt: Sobald Nutzungsdaten der Beschäftigten anfallen oder Verhalten und Leistung berührt sein könnten, gehört der Betriebsrat auf Ebene zwei früh eingebunden — das ist ein eigenes Thema, aber ignorieren macht es nicht kleiner.

Abb.: Vier Governance-Ebenen mit unterschiedlicher Halbwertszeit — und wer jeweils beschließt.

Einführen und aktuell halten

Für die Einführung gilt dasselbe wie beim Rollout: Verteilen allein wirkt nicht. Die Richtlinie gehört in die Einweisung, mit der die Leute ihren Zugang bekommen — dann ist sie im richtigen Moment präsent und der Kompetenznachweis fällt nebenbei ab. Eine Kenntnisnahme lasst ihr am besten dort quittieren, wo ihr das ohnehin tut; ein eigenes Verfahren dafür zu bauen, lohnt selten.

Und dann der Punkt, an dem die meisten Richtlinien sterben: die Aktualisierung. Setzt den Prüftermin gleich bei Verabschiedung in den Kalender und macht eine Person dafür verantwortlich. Anlassbezogen wird zusätzlich geprüft, wenn ein neues Werkzeug dazukommt, ein Anbieter seine Bedingungen ändert oder — wie derzeit regelmäßig — sich die Rechtslage bewegt. Eine Richtlinie ohne Prüftermin ist nach einem Jahr ein Dokument, das niemand mehr anwendet und trotzdem alle unterschrieben haben. Das ist der schlechteste aller Zustände: Aufwand ohne Wirkung, aber mit dokumentierter Verbindlichkeit.

Häufige Fragen (FAQ)

Was muss in eine KI-Nutzungsrichtlinie?

Zehn Bausteine in drei Gruppen: Rahmen (Geltungsbereich, zugelassene Werkzeuge, Zuständigkeiten), Regeln (Erlaubnistabelle nach Datenklassen, verbotene Anwendungsfälle, menschliche Verantwortung, Kennzeichnung, Umgang mit fremden Rechten, Meldeweg) und Betrieb (Schulung, Prüftermin, Ausnahmeverfahren). Das Herzstück ist die Erlaubnistabelle mit Beispielen aus dem eigenen Haus — sie beantwortet die einzige Frage, die im Alltag wirklich gestellt wird. Alles zusammen passt für die Belegschaft auf eine Seite; der Rest gehört in den Anhang.

Gibt es ein Muster für eine KI-Richtlinie?

Vorlagen gibt es reichlich, und als Gliederungshilfe sind sie brauchbar — als fertiges Dokument nicht. Ein Muster kennt weder eure Datenklassen noch eure Werkzeuge noch eure Prozesse, und genau diese drei Dinge machen den Unterschied zwischen einer Regel, die steuert, und einem Papier, das existiert. Nehmt die Struktur, ersetzt jeden Beispielsatz durch eines aus eurem Betrieb und streicht alles, was bei euch nicht vorkommt.

Ist eine KI-Richtlinie gesetzlich vorgeschrieben?

Nicht als eigene Pflicht, wohl aber als praktische Folge mehrerer Pflichten: Die Datenschutzgrundverordnung verlangt, dass ihr den Umgang mit personenbezogenen Daten steuert und belegen könnt, und die KI-Verordnung verpflichtet Betreiber, die KI-Kompetenz ihrer Beschäftigten zu fördern. Eine schriftliche Regel plus dokumentierte Einweisung ist der einfachste Weg, beides nachzuweisen. Für die verbindliche Bewertung eures Falls fragt euren Datenschutzbeauftragten oder eure Rechtsberatung.

Wer erstellt und beschließt die Richtlinie?

Erstellt wird sie meist von der Projektleitung gemeinsam mit IT und Datenschutz, beschlossen von der Geschäftsführung — und dort, wo Beschäftigtendaten oder Verhaltens- und Leistungsdaten berührt sind, unter Beteiligung des Betriebsrats. Wichtig ist eine namentlich benannte verantwortliche Person für Pflege und Prüftermin. Ohne diesen Namen driftet jede Richtlinie mit der ersten Ausnahme.

Wie oft muss die Richtlinie aktualisiert werden?

Halbjährlich ist ein guter Takt, jährlich das Minimum — zusätzlich anlassbezogen, wenn ein neues Werkzeug dazukommt, ein Anbieter seine Bedingungen ändert oder sich die Rechtslage bewegt. Der Prüftermin gehört bei der Verabschiedung in den Kalender, nicht in einen guten Vorsatz. Weil sich in diesem Bereich derzeit alle paar Monate etwas ändert, ist die aktuelle Fassung wichtiger als die perfekte.

Weiterlesen

Wie Claude im Unternehmen insgesamt aufgesetzt wird — Lizenzen, Identität, Datenschutz, Microsoft-Umfeld und Einführung — steht im Überblick Claude im Unternehmen. Und wenn ihr die Richtlinie lieber in zwei Terminen fertig habt als in zwei Quartalen: In der Beratung zu Claude und KI-Governance erarbeiten wir Datenklassen, Erlaubnistabelle und Ebenenmodell direkt an euren Prozessen.