KI-Richtlinie fürs Unternehmen: eine Vorlage, die auf zwei Seiten passt

Eine KI-Richtlinie fürs Unternehmen ist ein kurzes Dokument, das festhält, welche KI-Werkzeuge im Betrieb erlaubt sind, welche Daten hineingehören und welche nicht, wer Ergebnisse prüft und wer im Zweifel entscheidet. Gesetzlich vorgeschrieben ist so ein Dokument in Deutschland nicht. Mehrere Pflichten, die sehr wohl gelten, lassen sich ohne so ein Dokument praktisch nicht erfüllen, und deshalb schreiben die meisten kleinen Unternehmen sie am Ende doch.

Wir schreiben das als zwei Leute, die mehrere Unternehmen ohne zusätzliches Team führen und täglich in Claude Code und Cowork arbeiten. Bei uns steht der technische Teil in einer Kontext-Datei, die Claude bei jeder Sitzung liest. Der Teil für Menschen steht auf zwei Seiten, und diese zwei Seiten sind das, was du unten komplett zum Kopieren findest, mit Platzhaltern in eckigen Klammern für Firmenname und Ansprechpartner.

Der wichtigste Abschnitt dieses Artikels ist deshalb nicht die rechtliche Einordnung, es ist die Vorlage in der Mitte. Zwölf Abschnitte, jeder zwei bis vier Sätze, in einer Sprache, die jeder im Team versteht. Davor steht, wer so ein Dokument überhaupt braucht. Danach steht, wie du es im Team besprichst, statt es per Mail zu verschicken, und wie du festhältst, dass alle es gelesen haben.

Stand: 25. September 2026. Rechtsstand aus Verordnung (EU) 2024/1689, der DSGVO und dem Betriebsverfassungsgesetz, alle abgerufen am 25. September 2026.

Was ist eine KI-Richtlinie im Unternehmen?

Eine KI-Richtlinie im Unternehmen ist eine schriftliche Anweisung des Arbeitgebers, die für alle Personen im Betrieb festlegt, wie KI-Werkzeuge benutzt werden dürfen. Das Dokument ist kein Gesetz, kein Vertrag und kein Antrag an eine Behörde, es ist eine interne Regel, so wie die Regel zum Umgang mit dem Firmenwagen oder zum privaten Surfen am Arbeitsrechner.

Der Inhalt fällt in drei Gruppen. Erstens Erlaubnisse: welche Programme benutzt werden dürfen und wer neue freigibt. Zweitens Verbote: welche Daten nicht eingegeben werden und in welchen Bereichen KI gar nicht vorkommt. Drittens Abläufe: wer ein Ergebnis prüft, wer im Zweifel entscheidet und was passiert, wenn etwas schiefgeht.

Im Netz laufen mehrere Namen für dasselbe Dokument: KI-Richtlinie, KI-Nutzungsrichtlinie, KI-Policy, KI-Guidelines, KI-Leitlinie. Ein juristischer Unterschied steckt dahinter nicht. Wir nennen das Dokument in diesem Artikel Richtlinie und im Fließtext auch Regelung, weil das Wort weniger nach Konzern klingt und die Leute im Team es eher lesen.

Was die Richtlinie ausdrücklich nicht ist: eine Schulung. Das Dokument erklärt niemandem, wie ein Sprachmodell zu einer falschen Quellenangabe kommt. Es legt fest, was gilt. Die Schulung ist der andere Teil derselben Aufgabe, und was die KI-Verordnung dazu verlangt, steht in KI-Schulung für Mitarbeiter.

Ist eine KI-Richtlinie in Deutschland vorgeschrieben?

Nein, eine KI-Richtlinie ist in Deutschland nicht vorgeschrieben, weil kein Gesetz und kein EU-Rechtsakt ein Dokument mit diesem Namen oder diesem Inhalt verlangt. Es gibt keine Vorschrift, die eine schriftliche KI-Regelung fordert, und es gibt keinen Bußgeldtatbestand für eine fehlende Regelung. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Das ist der Punkt, an dem sich seriöse Information von Verkaufstexten unterscheidet. Wer dir ein Muster mit dem Hinweis auf eine gesetzliche Pflicht verkauft, verwechselt zwei Dinge: die Pflicht, ein bestimmtes Ergebnis herzustellen, und die Pflicht, ein bestimmtes Dokument zu besitzen. Das Erste gibt es, das Zweite nicht.

Vorgeschrieben sind vier Ergebnisse, und alle vier lassen sich in einem kleinen Betrieb ohne ein schriftliches Dokument kaum herstellen.

Erstens: ein ausreichendes Maß an KI-Kompetenz beim Personal. Artikel 4 der KI-Verordnung verlangt von Anbietern und Betreibern von KI-Systemen Maßnahmen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Betreiber ist laut Artikel 3 Nummer 4 jede Person, die ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer rein persönlichen, nicht beruflichen Tätigkeit. Quelle: Verordnung (EU) 2024/1689, Artikel 4 und Artikel 3 Nummer 4, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Zweitens: die Nachweispflicht beim Datenschutz. Artikel 5 Absatz 2 DSGVO bestimmt, dass der Verantwortliche für die Einhaltung der Grundsätze aus Absatz 1 verantwortlich ist und deren Einhaltung nachweisen können muss. Zu diesen Grundsätzen gehören Zweckbindung, Datenminimierung sowie Integrität und Vertraulichkeit. Ein Nachweis ohne ein Stück Papier ist schwer zu führen. Quelle: Verordnung (EU) 2016/679, Artikel 5, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Drittens: geeignete technische und organisatorische Maßnahmen. Artikel 32 Absatz 1 DSGVO verlangt vom Verantwortlichen und vom Auftragsverarbeiter, unter Berücksichtigung des Stands der Technik, der Kosten und der Umstände der Verarbeitung geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Eine schriftliche Anweisung, welche Daten nicht in ein Chat-Fenster gehören, ist genau so eine organisatorische Maßnahme. Quelle: Verordnung (EU) 2016/679, Artikel 32 Absatz 1, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Viertens: keine rein automatisierten Entscheidungen über Menschen. Artikel 22 Absatz 1 DSGVO gibt der betroffenen Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Genau deshalb steht in der Vorlage unten ein Abschnitt, der Bewerbungen, Kündigungen und Kreditentscheidungen ausnimmt. Quelle: Verordnung (EU) 2016/679, Artikel 22 Absatz 1, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Zum Vergrößern tippen

Niemand verlangt von dir ein Papier mit der Überschrift KI-Richtlinie, eine bestimmte Länge, eine bestimmte Form oder eine Meldung an eine Behörde. Vorgeschrieben sind die KI-Kompetenz deiner Leute aus Artikel 4 der KI-Verordnung, der Nachweis der Datenschutz-Grundsätze aus Artikel 5 Absatz 2 DSGVO, geeignete Schutzmaßnahmen aus Artikel 32 DSGVO und das Verbot rein automatisierter Entscheidungen über Menschen aus Artikel 22 DSGVO.

Wer eine KI-Richtlinie braucht und wer keine braucht

Eine Richtlinie braucht jeder Betrieb, in dem außer dem Inhaber mindestens eine weitere Person im Auftrag der Firma mit KI-Werkzeugen arbeitet. Wer allein arbeitet, ohne Angestellte, ohne freie Mitarbeiter und ohne Dienstleister, die Firmendaten in ein KI-Werkzeug geben, braucht kein solches Dokument. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Der Grund ist einfach: Eine Richtlinie ist eine Anweisung an andere. Wer niemanden hat, den er anweisen kann, schreibt ein Dokument für sich selbst, und das erledigt keine der vier Pflichten von oben besser als eine kurze Notiz. Ein Solo-Selbstständiger, der ChatGPT für Angebotstexte nutzt, schuldet sich selbst die Kompetenz aus Artikel 4 und beim Datenschutz die Sorgfalt aus Artikel 32. Beides ist eine Sache von Gewohnheit, keine Sache von Formulierungen.

Wo die Grenze wirklich liegt, zeigt diese Übersicht.

Situation	Richtlinie nötig	Was stattdessen reicht
Einzelunternehmer, keine Mitarbeiter, keine Dienstleister mit Datenzugriff	nein	eine Notiz mit den eigenen Regeln zu Kundendaten, ein Satz im Auftragsverarbeitungsvertrag prüfen
Einzelunternehmer plus eine freie Texterin, die Kundenmaterial in ein Sprachmodell gibt	ja	eine Seite, per Mail bestätigt, plus eine Zeile im Vertrag mit ihr
2 bis 15 Personen, alle nutzen KI	ja	die zwölf Abschnitte unten, einmal im Team besprochen
2 bis 15 Personen, nur 3 nutzen KI	ja	dieselben zwölf Abschnitte, mit einem Satz, dass die Nutzung auf diese 3 begrenzt ist
Betrieb mit Betriebsrat	ja	dieselben Abschnitte, vorher mit dem Betriebsrat abgestimmt, siehe unten
Betrieb, in dem KI über Bewerbungen, Kredite oder Gesundheitsdaten mitentscheidet	ja	die Richtlinie und dazu anwaltliche Prüfung, weil hier höhere Risikoklassen der KI-Verordnung im Spiel sind

Sobald in deinem Betrieb eine zweite Person in deinem Auftrag mit KI arbeitet, gibt es etwas zu regeln, und in der letzten Zeile der Übersicht reicht die Vorlage allein nicht mehr.

Eine Sache wird dabei regelmäßig übersehen: Es geht nicht nur um die offensichtlichen Chat-Fenster. Wenn dein Buchhaltungsprogramm Belege automatisch zuordnet, dein Telefonsystem Anrufe verschriftet oder dein Bewerbungsformular Lebensläufe vorsortiert, arbeitet dort ein KI-System. Als wir für unsere eigenen Firmen einmal alle Werkzeuge aufgelistet haben, standen am Ende deutlich mehr Zeilen auf dem Blatt als die drei Chat-Anbieter, an die wir vorher gedacht hatten. Das ist der Moment, in dem eine Richtlinie plötzlich Sinn ergibt.

Warum zwei Seiten die richtige Länge sind

Zwei Seiten sind die richtige Länge, weil ein Dokument, das niemand zu Ende liest, keine der vier Pflichten von oben erfüllt. Eine Regelung mit 14 Seiten, Begriffsverzeichnis und Verweisen auf Anhänge ist rechtlich vermutlich sauberer und praktisch wertlos, wenn die Person am Freitagnachmittag nicht weiß, ob der Kundenname in den Prompt darf.

Was in eine Richtlinie hineinwächst, wenn man nicht aufpasst: Erklärungen zur Funktionsweise von Sprachmodellen, Aufzählungen von Modellnamen mit Versionsnummer, Absätze zur Haftung, Wiederholungen des Verordnungstexts. Das Erste gehört in die Schulung, das Zweite ist nach drei Monaten überholt, das Dritte gehört in ein Dokument, das ein Anwalt gesehen hat, und das Vierte hilft niemandem.

Die Faustregel, mit der wir arbeiten: Jeder Satz in der Richtlinie muss einer Person im Team eine Entscheidung abnehmen, die sie sonst selbst treffen müsste. Sätze, die nur beschreiben oder begründen, fliegen raus. Nach diesem Filter bleiben bei einem Team mit 3 bis 15 Personen etwa 700 Wörter übrig, und das sind zwei Seiten.

Die Gliederung: zwölf Abschnitte, die jede Frage aus dem Alltag abdecken

Die Richtlinie besteht aus zwölf Abschnitten, und die Reihenfolge folgt dem Weg einer Aufgabe durch den Betrieb: erst wer und womit, dann was hinein darf, dann wer prüft, dann was passiert, wenn etwas schiefgeht. So findet jemand, der eine konkrete Frage hat, die Antwort ohne Inhaltsverzeichnis.

Zum Vergrößern tippen

Auf Seite 1 stehen die Abschnitte 1 bis 6: für wen die Richtlinie gilt, welche Werkzeuge freigegeben sind, welche Daten nicht hineingehören, wann Kundendaten doch hineindürfen, wer das Ergebnis prüft und wo keine KI mitentscheidet. Auf Seite 2 stehen die Abschnitte 7 bis 12: wann Kunden von KI erfahren, wie Zugänge geführt werden, was bei einem Fehler passiert, welche Schulung erwartet wird, was beim Ein- und Austritt gilt und wer zuständig ist.

Drei Abschnitte in dieser Liste stehen in kaum einem Muster, das wir gesehen haben, und wir halten alle drei für wichtiger als die Hälfte der üblichen Punkte. Abschnitt 8 zu den Zugängen, weil sonst nach einem Jahr niemand mehr weiß, wer welches Konto auf welche Rechnung laufen hat. Abschnitt 11 zum Ein- und Austritt, weil eine Regel ohne Übergabepunkt beim ersten Personalwechsel verschwindet. Abschnitt 12 mit einem Datum, weil ein Dokument ohne Prüftermin kein Dokument ist, es ist eine Erinnerung.

Die Vorlage: die komplette KI-Richtlinie zum Kopieren

Hier steht die vollständige Richtlinie. Alles in eckigen Klammern wird ersetzt, alles andere kann so stehen bleiben. Der Text ist absichtlich in der dritten Person geschrieben, damit er für Angestellte, freie Mitarbeiter und die Geschäftsführung gleich gilt. Einordnung aus der Praxis, ersetzt keine Rechtsberatung: Wenn bei dir KI über Bewerbungen, Kredite oder Gesundheitsdaten mitentscheidet, lass die Richtlinie vorher prüfen.

Richtlinie zur Nutzung von KI-Werkzeugen bei [Firmenname] Fassung 1.0, gültig ab [Datum]. Zuständig: [Vorname Nachname], [E-Mail-Adresse].

1. Für wen und wofür diese Richtlinie gilt.

Diese Richtlinie gilt für alle Beschäftigten, Auszubildenden, Werkstudenten, Aushilfen, freien Mitarbeiter und Dienstleister von [Firmenname], die im Auftrag der Firma KI-Werkzeuge nutzen. Erfasst sind alle Programme, die Texte, Bilder, Töne, Code, Zusammenfassungen oder Auswertungen selbst erzeugen oder Vorschläge für Entscheidungen machen. Erfasst sind auch Programme, in denen solche Funktionen nur mitlaufen, etwa im Buchhaltungsprogramm, im Telefonsystem oder im Bewerbungsformular. Für die private Nutzung außerhalb der Arbeit gilt sie nicht.

2. Welche Werkzeuge freigegeben sind.

Freigegeben für die Arbeit bei [Firmenname] sind: [Werkzeug 1], [Werkzeug 2], [Werkzeug 3]. Wer ein weiteres Werkzeug nutzen möchte, meldet das vorher bei [Vorname Nachname] und wartet die Freigabe ab. Bis zur Freigabe wird das Werkzeug beruflich nicht benutzt, auch nicht zum Ausprobieren mit echten Daten. Die aktuelle Liste der freigegebenen Werkzeuge liegt unter [Ort der Liste].

3. Welche Daten nicht in ein KI-Werkzeug eingegeben werden.

Nicht eingegeben werden: Namen, Adressen, Telefonnummern und E-Mail-Adressen von Kunden und Bewerbern, Rechnungen, Verträge, Angebote mit Preisen, Bewerbungsunterlagen, Krankmeldungen, Zeugnisse, Gehalts- und Kontodaten, Passwörter und Zugangsschlüssel, Quellcode aus Kundenprojekten sowie alle Unterlagen, die als vertraulich gekennzeichnet sind oder unter eine Vertraulichkeitsvereinbarung fallen. Das gilt für den Text im Eingabefeld und für hochgeladene Dateien gleichermaßen. Wer unsicher ist, ob etwas hineindarf, fragt vorher bei [Vorname Nachname]. Eine Frage kostet zwei Minuten, ein Datenleck kostet mehr.

4. Wann Kundendaten trotzdem hineindürfen.

Sollen personenbezogene Daten in ein KI-Werkzeug eingegeben werden, wird das vorher mit [Vorname Nachname] abgestimmt. Vor der Abstimmung wird geprüft, ob die Aufgabe auch ohne diese Daten geht, etwa mit Platzhaltern wie Kunde A oder mit anonymisierten Zahlen. Erlaubt wird die Eingabe nur bei Werkzeugen, für die [Firmenname] einen Auftragsverarbeitungsvertrag geschlossen hat und bei denen das Training mit unseren Inhalten abgeschaltet ist. Die Entscheidung wird mit Datum und Werkzeug in [Ort der Liste] festgehalten.

5. Wer das Ergebnis prüft, bevor es das Haus verlässt.

Jedes Ergebnis wird von der Person geprüft, die es verwendet, bevor es an Kunden, Partner, Behörden oder in die Öffentlichkeit geht. Geprüft werden mindestens: Zahlen, Namen, Zitate, Links, Termine und rechtliche Angaben, jeweils gegen die Originalquelle. Bei Auswertungen wird eine Stichprobe von Hand nachgerechnet, bei Code wird der Code ausgeführt, bevor er weitergegeben wird. Die Verantwortung für den Inhalt liegt immer bei der Person, die ihn verschickt, nicht beim Werkzeug.

6. Wo bei [Firmenname] keine KI mitentscheidet.

Nicht eingesetzt werden KI-Werkzeuge für Entscheidungen über Bewerbungen, Einstellungen, Kündigungen, Abmahnungen, Beurteilungen, Gehälter und Arbeitszeiten. Ebenfalls nicht eingesetzt werden sie für medizinische, steuerliche oder rechtliche Auskünfte an Kunden und für die Beurteilung der Zahlungsfähigkeit einer Person. Eine Vorsortierung, die eine solche Entscheidung vorbereitet, gilt als Teil der Entscheidung und ist damit auch ausgenommen. Entscheidungen über Menschen trifft bei [Firmenname] ein Mensch.

7. Wann Kunden erfahren, dass ein KI-Werkzeug beteiligt war.

Auf Nachfrage wird Kunden offen beantwortet, welche KI-Werkzeuge [Firmenname] einsetzt und wofür. Texte, Bilder und Töne, die ganz oder überwiegend von einem KI-Werkzeug erzeugt wurden und öffentlich veröffentlicht werden, werden intern im Dateinamen als Entwurf gekennzeichnet, damit die Prüfung aus Abschnitt 5 nachvollziehbar bleibt. Inhalte, die eine echte Person oder ein echtes Ereignis darstellen, ohne echt zu sein, werden nicht veröffentlicht. Ein Chat-Fenster auf unserer Website, in dem ein KI-Werkzeug antwortet, sagt im ersten Satz, dass dort keine Person schreibt.

8. Wie Zugänge und Konten geführt werden.

Berufliche KI-Zugänge laufen auf die Firmen-E-Mail-Adresse und über den Firmenzugang von [Firmenname], nicht über private Konten. Wer ein Werkzeug mit einem privaten Konto nutzt, gibt darin keine Firmendaten ein. Neue Abos und Verlängerungen werden vorher mit [Vorname Nachname] abgestimmt, damit Rechnungen und Vertragsbedingungen an einer Stelle liegen. In den Einstellungen jedes Werkzeugs wird das Training mit unseren Inhalten abgeschaltet, soweit der Anbieter das anbietet.

9. Was passiert, wenn etwas schiefgeht.

Wer bemerkt, dass vertrauliche Daten in ein Werkzeug gelangt sind oder ein falsches Ergebnis nach draußen gegangen ist, meldet das noch am selben Arbeitstag bei [Vorname Nachname]. Gemeldet wird auch der Verdacht, ohne Sicherheit. Eine Meldung hat für die meldende Person keine Nachteile, das Verschweigen einer Meldung hat welche. [Vorname Nachname] entscheidet dann über die nächsten Schritte, dazu gehört bei personenbezogenen Daten die Prüfung, ob eine Meldung an die Aufsichtsbehörde nötig ist.

10. Welche Einweisung erwartet wird.

Vor der ersten beruflichen Nutzung eines KI-Werkzeugs nimmt jede Person an einer Einweisung von [Firmenname] teil oder liest die Unterlagen dazu und bestätigt das schriftlich. Inhalt der Einweisung sind: wie eine falsche Antwort entsteht, was der Anbieter mit den Eingaben macht, welche Daten nach Abschnitt 3 draußen bleiben und wie nach Abschnitt 5 geprüft wird. Die Einweisung wird einmal im Jahr wiederholt und bei jedem neuen freigegebenen Werkzeug ergänzt. Datum, Dauer, Inhalt und Teilnehmer werden in einer Liste festgehalten.

11. Was beim Ein- und Austritt gilt.

Wer neu anfängt, bekommt diese Richtlinie am ersten Arbeitstag, liest sie und bestätigt das mit Datum und Unterschrift. Die Zugänge zu freigegebenen Werkzeugen werden erst danach eingerichtet. Wer geht, gibt die Zugänge zurück, und [Vorname Nachname] deaktiviert sie am letzten Arbeitstag. Bei freien Mitarbeitern und Dienstleistern wird diese Richtlinie dem Vertrag beigelegt und die Geltung per E-Mail bestätigt.

12. Wer zuständig ist und wann die Richtlinie geprüft wird.

Zuständig für Fragen zu dieser Richtlinie und für Freigaben ist [Vorname Nachname], [E-Mail-Adresse]. Diese Richtlinie wird einmal im Jahr geprüft und bei jeder wesentlichen Änderung der eingesetzten Werkzeuge oder der Rechtslage früher. Letzte Prüfung: [Datum]. Nächste Prüfung: [Datum].

Das war die komplette Vorlage. Wer sie in ein Dokument kopiert, die Klammern füllt und die Werkzeugliste anlegt, hat in etwa 45 Minuten eine Richtlinie, die im Alltag Antworten gibt.

Wie du die Platzhalter füllst, ohne eine Woche dafür zu brauchen

Die Platzhalter füllst du in einer Reihenfolge, die von den Fakten zu den Entscheidungen geht, und die einzige Vorarbeit ist die Liste der Werkzeuge. Alles andere folgt daraus. Nach unserer Erfahrung dauert das zusammen etwa 90 Minuten, verteilt auf zwei Termine.

Zuerst die Werkzeugliste. Setz dich 30 Minuten hin und schreib auf, welche Programme bei euch im Einsatz sind, die Texte erzeugen, Sprache verschriften, Belege zuordnen, Bilder erzeugen oder Vorschläge machen. Frag dazu jede Person im Team per Nachricht, welche Programme sie benutzt. Die Antworten überraschen fast immer, weil jemand ein Werkzeug nutzt, von dem sonst niemand wusste.

Dann die drei Namen. In der Vorlage steht dreimal derselbe Platzhalter für den Ansprechpartner, und er sollte auch dreimal derselbe Name sein. Ein Name, eine E-Mail-Adresse, eine Person, die erreichbar ist. In einem Team mit 5 Leuten ist das die Geschäftsführung, in einem Team mit 15 Leuten kann es die Person sein, die schon den Datenschutz macht.

Dann Abschnitt 3, in eurer Sprache. Das ist der einzige Abschnitt, in dem du wirklich nachdenken musst. Nimm die Liste aus der Vorlage und gehe sie mit euren eigenen Unterlagen durch: Welche Dateien liegen bei euch herum, die dort noch nicht genannt sind? Bei einer Agentur sind es Kundenkonzepte, bei einer Steuerberatung Mandantenunterlagen, bei einem Handwerksbetrieb Angebote mit Kalkulation. Nenn die Sachen so, wie sie bei euch heißen, nicht als Sammelbegriff.

Dann Abschnitt 6, mit einem klaren Nein. Hier entscheidest du, wo bei euch keine KI mitentscheidet. Die Liste in der Vorlage ist der Mindeststand. Wenn bei euch ein Bereich dazugehört, in dem ein Fehler teuer ist, schreib ihn dazu.

Zum Schluss die zwei Daten in Abschnitt 12. Setz das Datum der nächsten Prüfung auf einen Tag, der schon in einem Kalender steht, etwa den ersten Montag im Januar. Ein Datum ohne Termin im Kalender ist keins.

Was du dir sparen kannst: eine Aufzählung von Modellnamen mit Versionsnummer, einen Absatz zur Haftung und eine Erklärung, wie ein Sprachmodell funktioniert. Das Erste ist in drei Monaten überholt, das Zweite gehört in ein Dokument mit anwaltlicher Prüfung, das Dritte in die Einweisung.

Was in einer KI-Richtlinie nichts zu suchen hat

Nicht in die Richtlinie gehören Inhalte, die nach kurzer Zeit falsch sind, Inhalte, die nur ein Anwalt formulieren kann, und Inhalte, die eine Schulung ersetzen sollen. Jeder dieser drei Punkte führt dazu, dass das Dokument länger und im Alltag unbrauchbarer wird.

Modellnamen mit Versionsnummer. Anthropic, OpenAI und Google tauschen ihre Modelle alle paar Monate aus. Eine Richtlinie, in der ein bestimmtes Modell genannt ist, muss bei jedem Wechsel neu herausgegeben und neu bestätigt werden. In der Richtlinie stehen deshalb nur Anbieter und Produkte, die Modellwahl regelt die Werkzeugliste, die du ohne neue Fassung ändern kannst.

Haftungsregeln und Arbeitsrecht. Sätze darüber, wer für welchen Schaden aufkommt und welche arbeitsrechtliche Folge ein Verstoß hat, gehören in Unterlagen, die ein Anwalt gesehen hat. In der Vorlage steht deshalb nur, dass die Verantwortung für einen Inhalt bei der Person liegt, die ihn verschickt. Das ist eine Zuständigkeit, keine Haftungsregel.

Erklärungen zur Technik. Wie ein Sprachmodell Wort für Wort an das anschließt, was gut passt, und dabei eine Quellenangabe erfinden kann, ist der wichtigste Punkt der Einweisung und der langweiligste Absatz jeder Richtlinie. Wer das im Dokument erklärt, verliert die Leser vor Abschnitt 3.

Fremde Textblöcke, die nicht zu euch passen. Viele Muster im Netz kommen aus Konzernen und nennen Rollen, die es bei dir nicht gibt: KI-Beauftragter, Freigabegremium, Governance-Ausschuss. Die EU-Kommission hat zu Artikel 4 ausdrücklich klargestellt, dass keine bestimmte Organisationsform vorgeschrieben ist. Quelle: digital-strategy.ec.europa.eu, Fragen und Antworten zur KI-Kompetenz, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Ein Verbot, das niemand einhalten kann. Der häufigste Fehler in selbst geschriebenen Regelungen ist der Satz, dass keine personenbezogenen Daten in KI-Werkzeuge eingegeben werden dürfen, ohne einen Weg für die Fälle, in denen es ohne nicht geht. Nach zwei Wochen macht es jemand trotzdem und sagt es niemandem. Deshalb hat die Vorlage Abschnitt 4: ein Verbot mit einer beschriebenen Tür.

Wie du die Richtlinie im Team besprichst, statt sie per Mail zu verschicken

Eine Richtlinie wird im Team eingeführt, indem ihr sie gemeinsam durchgeht, nicht indem sie im Anhang einer Mail landet. Der Grund ist nicht Pädagogik, es ist die Mechanik: Eine Mail mit einem Dokument im Anhang wird geöffnet, überflogen und weggelegt, und zwei Wochen später weiß niemand, welche Daten draußen bleiben sollen.

Der Ablauf, der bei uns und in den Teams, mit denen wir arbeiten, funktioniert, dauert 30 Minuten und hat vier Teile.

Teil 1, 5 Minuten: sagen, warum es das Dokument gibt. Zwei Sätze reichen, und sie sollten ehrlich sein. Nicht die Verordnung als Drohung, stattdessen der eigene Grund: Wir nutzen diese Werkzeuge jeden Tag, und wir wollen nicht, dass Kundendaten irgendwo landen, wo wir sie nicht mehr wegbekommen.

Teil 2, 10 Minuten: Abschnitt 3 und Abschnitt 5 laut vorlesen. Nur diese zwei, weil sie die einzigen Abschnitte sind, die im Alltag jeden Tag gebraucht werden. Alle anderen liest jeder selbst.

Teil 3, 10 Minuten: drei echte Fälle durchgehen. Nimm drei Beispiele aus der letzten Woche, bei denen die Antwort nicht offensichtlich ist. Eine Kundenmail mit Name und Adresse, die zusammengefasst werden soll. Eine Excel-Tabelle mit Umsätzen, die ausgewertet werden soll. Ein Angebot, das umformuliert werden soll. Lass das Team sagen, was jeweils gilt, und korrigiere, wo es abweicht. Diese 10 Minuten entscheiden darüber, ob die Richtlinie im Kopf ankommt.

Teil 4, 5 Minuten: Fragen sammeln, nicht sofort beantworten. Was offen bleibt, wird notiert und innerhalb einer Woche nachgezogen. Wenn dabei herauskommt, dass ein Abschnitt unklar formuliert ist, änderst du den Abschnitt, nicht die Antwort.

Was du beim Termin vermeiden solltest: Folien, die Fachbegriffe aus der Verordnung erklären. Die Einordnung, welche Rolle dein Betrieb rechtlich hat, interessiert die Person, die am Montag eine Kundenmail zusammenfasst, überhaupt nicht. Diese Person will wissen, ob der Name des Kunden drinbleiben darf.

Bei Teams, die über mehrere Standorte verteilt sind, funktioniert derselbe Ablauf als Videotermin mit Aufzeichnung. Wer nicht dabei war, sieht die Aufzeichnung und bestätigt danach. Wichtig ist, dass jemand die drei echten Fälle auch in der Aufzeichnung durchspricht, weil genau dieser Teil in einem Dokument nicht steht.

Wie du festhältst, dass alle die Richtlinie gelesen haben

Festgehalten wird die Kenntnisnahme über eine Liste mit vier Spalten: Name, Datum, Fassung der Richtlinie und Unterschrift oder Bestätigung per E-Mail. Eine vorgeschriebene Form gibt es dafür nicht. Was im Streitfall etwas hergibt, ist ein Nachweis mit Datum, der sagt, welche Fassung die Person gesehen hat.

Drei Wege funktionieren in der Praxis, und sie unterscheiden sich vor allem darin, wie gut sie ein Jahr später noch nachvollziehbar sind.

Weg	Wie es geht	Was daran gut ist	Was fehlt
Papierliste im Termin	ausgedruckte Liste liegt beim Termin herum, jeder schreibt Name und Datum hinein und unterschreibt	dauert 2 Minuten, alle sind sowieso da, eine echte Unterschrift	wer fehlt, wird leicht vergessen; das Blatt muss abgelegt werden
Bestätigung per E-Mail	du schickst die Richtlinie mit der Bitte um eine kurze Antwort mit Datum	funktioniert auch bei freien Mitarbeitern und über Standorte hinweg	jemand antwortet nicht, und du musst nachhalten
Formular im eigenen System	ein kurzes Formular mit Name, Datum und einem Kästchen zur Bestätigung	sammelt sich von allein, leicht auszuwerten	braucht ein Werkzeug, das jeder erreicht

Am zuverlässigsten ist die Papierliste im Termin, ergänzt um Mail-Bestätigungen der Leute, die nicht dabei waren.

In den Ordner gehören am Ende fünf Unterlagen: die Werkzeugliste mit Nutzern und Zweck, die Richtlinie mit Datum und Fassungsnummer, die Liste der Kenntnisnahmen, die Bestätigungen der freien Mitarbeiter und Dienstleister und eine Notiz mit den offenen Fragen aus dem Termin. Wie derselbe Ordner für die Schulung aussieht, steht in KI-Schulung für Mitarbeiter.

Eine Sache, die oft fehlt und beim zweiten Durchgang Arbeit macht: die Fassungsnummer in der Liste. Wenn du die Richtlinie ein Jahr später änderst, willst du sehen können, wer Fassung 1.0 bestätigt hat und wer Fassung 1.1. Ohne diese Spalte musst du bei jeder Änderung alle neu bestätigen lassen.

Zum Vergrößern tippen

Von der leeren Vorlage zur bestätigten Richtlinie sind es fünf Schritte: 30 Minuten für die Werkzeugliste, 60 Minuten für die Platzhalter, 30 Minuten für den Termin im Team, 10 Minuten für die Kenntnisnahme und 10 Minuten für den Prüftermin und die Ablage. Zusammen gut zwei Stunden, verteilt auf zwei Tage.

Der Betriebsrat: was gilt, wenn es einen gibt

Wenn in deinem Betrieb ein Betriebsrat besteht, kannst du eine KI-Richtlinie nicht allein herausgeben, weil Teile davon mitbestimmungspflichtig sind. § 87 Absatz 1 Nummer 1 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei "Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb", und genau das ist eine Nutzungsregel. Quelle: gesetze-im-internet.de, § 87 BetrVG, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Ein zweiter Punkt kommt dazu, wenn das Werkzeug Leistung oder Verhalten erfassen kann. § 87 Absatz 1 Nummer 6 BetrVG nennt die "Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". Werkzeuge, die Anrufe verschriften, Bearbeitungszeiten protokollieren oder die Nutzung pro Person auswerten, fallen in diese Richtung. Quelle: gesetze-im-internet.de, § 87 BetrVG, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Das Gesetz nennt künstliche Intelligenz sogar ausdrücklich. § 90 BetrVG verpflichtet den Arbeitgeber, den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes künstlicher Intelligenz rechtzeitig zu unterrichten und die Maßnahmen und ihre Auswirkungen auf die Arbeitnehmer mit ihm zu beraten. Rechtzeitig heißt laut Gesetzestext: so früh, dass Vorschläge und Bedenken noch in die Planung einfließen können. Quelle: gesetze-im-internet.de, § 90 BetrVG, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Und noch ein Punkt, der in Gesprächen immer für Bewegung sorgt: Nach § 80 Absatz 3 BetrVG gilt die Hinzuziehung eines Sachverständigen als erforderlich, wenn der Betriebsrat zur Durchführung seiner Aufgaben die Einführung oder Anwendung von künstlicher Intelligenz beurteilen muss. Das Gesetz nimmt dem Betriebsrat hier die Begründungslast ab. Die Kosten dafür liegen beim Arbeitgeber. Quelle: gesetze-im-internet.de, § 80 BetrVG, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Was daraus praktisch folgt, sind drei Dinge. Erstens: Geh mit dem Entwurf zum Betriebsrat, bevor du ein Datum in Abschnitt 12 einträgst, nicht danach. Zweitens: Trenne im Entwurf die Abschnitte, die reine Datenschutz-Anweisung sind, von den Abschnitten, die das Verhalten im Betrieb regeln, weil die Gespräche sich fast immer um die zweite Gruppe drehen. Drittens: Rechne damit, dass aus der Richtlinie eine Betriebsvereinbarung wird. Das ist kein Rückschritt, das macht die Regel verbindlicher.

Kommt keine Einigung zustande, entscheidet nach § 87 Absatz 2 BetrVG die Einigungsstelle verbindlich. Quelle: gesetze-im-internet.de, § 87 BetrVG, abgerufen am 25.09.2026. Einordnung aus der Praxis, ersetzt keine Rechtsberatung. In Betrieben ohne Betriebsrat gibt es diesen Weg nicht, dort gibt der Arbeitgeber die Richtlinie allein heraus.

Wie oft du die Richtlinie prüfst und was sich zuerst ändert

Geprüft wird die Richtlinie einmal im Jahr zu einem Termin, der schon im Kalender steht, und zusätzlich bei jeder Änderung an den eingesetzten Werkzeugen. Eine vorgeschriebene Frist dafür gibt es nicht, in keiner der Quellen, die wir geprüft haben. Einmal im Jahr ist unsere eigene Entscheidung, keine Vorgabe.

Was sich in der Praxis zuerst ändert, ist fast nie der Text der Richtlinie. Es ist die Werkzeugliste. Deshalb steht in der Vorlage die Liste an einem eigenen Ort und nicht im Dokument: Du ergänzt eine Zeile, informierst das Team, und die Richtlinie bleibt in Fassung 1.0. Eine neue Fassung wird nur nötig, wenn sich eine Regel ändert.

Drei Anlässe außerhalb des Jahrestermins, die eine Prüfung auslösen.

Ein neues Werkzeug mit Zugriff auf Kundendaten. Sobald ein Programm freigegeben wird, das auf Postfach, Kalender, Ablage oder Kundendatenbank zugreift, wird Abschnitt 4 angesehen. Die Frage ist immer dieselbe: Gibt es für dieses Werkzeug einen Auftragsverarbeitungsvertrag, und ist das Training mit unseren Inhalten abgeschaltet? Was Anthropic und OpenAI dazu für die einzelnen Pläne zusagen, steht in Claude und Datenschutz und in ChatGPT und Datenschutz.

Ein Wechsel vom Einzelkonto auf einen Firmenplan. In den Firmenplänen gelten andere Bedingungen als in den Verbraucherplänen, und Einstellungen wie das Gedächtnis sind dort teils standardmäßig aus. Wenn du diesen Schritt machst, sind Abschnitt 4 und Abschnitt 8 betroffen. Was sich dabei ändert, steht in Claude Team und in ChatGPT Business.

Ein Vorfall. Wenn Abschnitt 9 einmal gebraucht wurde, gehört die Richtlinie danach angesehen, und zwar mit einer Frage: Hätte eine andere Formulierung den Vorfall verhindert? Wenn ja, ändere die Formulierung. Wenn nein, ändere nichts und halte fest, dass du geprüft hast.

Was wir uns für den Jahrestermin angewöhnt haben, ist ein Ablauf von 20 Minuten: Werkzeugliste gegen die Rechnungen prüfen, Abschnitt 3 gegen die letzten drei Monate prüfen, Kenntnisnahmen der neuen Leute prüfen, Datum in Abschnitt 12 weiterschreiben. Länger dauert es nur, wenn im Jahr etwas passiert ist.

Drei Fehler, die wir bei uns selbst gesehen haben

Die drei Fehler, die uns selbst passiert sind, haben alle denselben Kern: Das Dokument war fertig, und die Arbeit danach fehlte. Wir schreiben sie hier hin, weil sie in keinem Muster stehen und nichts mit Formulierungen zu tun haben.

Erster Fehler: die Liste der Werkzeuge war unvollständig, weil wir sie aus dem Kopf geschrieben haben. Wir hatten die drei Chat-Anbieter im Blick und die mitlaufenden Funktionen in den Programmen, die wir jeden Tag benutzen, nicht. Was geholfen hat: die Rechnungen des letzten Quartals durchgehen und jede Software anschauen, die einen Punkt in den Einstellungen mit dem Wort KI hat.

Zweiter Fehler: Wir hatten eine Regel und keinen Ort, an dem sie steht. Eine Regel, die in einem Chat-Verlauf verabredet wurde, ist nach vier Wochen weg. Bei uns liegt der technische Teil jetzt in einer Kontext-Datei, die Claude bei jeder Sitzung liest, und der Teil für Menschen auf zwei Seiten an einer Stelle, die jeder findet. Beide Teile sagen dasselbe.

Dritter Fehler: Wir haben den Fall nicht geregelt, in dem es ohne Kundendaten nicht geht. Das erste Verbot war absolut, und nach kurzer Zeit gab es eine Aufgabe, die ohne einen echten Kundentext keinen Sinn hatte. Ohne einen beschriebenen Weg macht es dann jemand einfach so. Abschnitt 4 der Vorlage ist die Antwort darauf, und er ist der Abschnitt, den wir am häufigsten verteidigen müssen, weil er nach einer Lücke im Verbot aussieht. Er ist das Gegenteil davon.

Kurz zur Einordnung: Das hier ist unsere Einordnung aus der Praxis, keine Rechtsberatung. Was in deinem Fall gilt, klärst du mit deinem Datenschutzbeauftragten oder Anwalt.

Fazit

Eine KI-Richtlinie ist kein Papier, das du für eine Behörde schreibst, und niemand verlangt sie von dir. Das Dokument ist das kürzeste Mittel, um vier Pflichten zu erfüllen, die es wirklich gibt, und um der Person im Team am Freitagnachmittag eine Antwort zu geben. Die zwölf Abschnitte oben passen auf zwei Seiten, und das Füllen der Klammern dauert weniger lang als die Suche nach einem passenden Muster. Was länger dauert, ist der Termin, in dem ihr drei echte Fälle durchgeht, und genau dieser Termin entscheidet, ob das Dokument etwas ändert.

Häufige Fragen

Ist eine KI-Richtlinie gesetzlich vorgeschrieben?

Nein. Kein deutsches Gesetz und kein EU-Rechtsakt verlangt ein Dokument mit dem Namen KI-Richtlinie, und es gibt keine Strafe für eine fehlende Richtlinie. Vorgeschrieben sind einzelne Ergebnisse: die KI-Kompetenz des Personals nach Artikel 4 der Verordnung (EU) 2024/1689, der Nachweis der Datenschutz-Grundsätze nach Artikel 5 Absatz 2 DSGVO und geeignete Schutzmaßnahmen nach Artikel 32 DSGVO. In einem Betrieb mit mehreren Personen lassen sich diese Ergebnisse ohne ein schriftliches Dokument kaum herstellen. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Wie lang muss eine KI-Richtlinie sein?

Eine vorgeschriebene Länge gibt es nicht. Für ein Team mit 3 bis 15 Personen reichen zwei Seiten mit etwa 700 Wörtern, aufgeteilt in zwölf kurze Abschnitte. Der Maßstab ist nicht Vollständigkeit, es ist die Frage, ob jeder Satz einer Person im Team eine Entscheidung abnimmt.

Wer schreibt die KI-Richtlinie im Unternehmen?

In kleinen Betrieben die Geschäftsführung, oft zusammen mit der Person, die schon den Datenschutz betreut. Ein KI-Beauftragter ist nicht vorgeschrieben, die EU-Kommission hat zu Artikel 4 ausdrücklich klargestellt, dass keine bestimmte Organisationsform verlangt wird. Wichtig ist, dass in der Richtlinie eine erreichbare Person mit Namen und E-Mail-Adresse steht.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?

Wenn ein Betriebsrat besteht, ja, soweit die Richtlinie das Verhalten im Betrieb regelt oder Werkzeuge betrifft, die Leistung und Verhalten erfassen können. Das ergibt sich aus § 87 Absatz 1 Nummer 1 und Nummer 6 BetrVG. Nach § 90 BetrVG ist der Betriebsrat außerdem rechtzeitig über den geplanten Einsatz künstlicher Intelligenz zu unterrichten, und nach § 80 Absatz 3 BetrVG gilt die Hinzuziehung eines Sachverständigen zur Beurteilung von KI als erforderlich. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Wie weise ich nach, dass alle die Richtlinie kennen?

Über eine Liste mit Name, Datum, Fassung der Richtlinie und Unterschrift oder Mail-Bestätigung. Eine vorgeschriebene Form gibt es nicht. Am zuverlässigsten ist die ausgedruckte Liste im Einführungstermin, ergänzt um Mail-Bestätigungen der Leute, die nicht dabei waren.

Gilt die KI-Richtlinie auch für Freelancer und Dienstleister?

Ja, wenn sie in deinem Auftrag mit KI arbeiten. Artikel 4 der KI-Verordnung nennt neben dem Personal ausdrücklich andere Personen, die im Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Praktisch heißt das: Richtlinie dem Vertrag beilegen und die Geltung per E-Mail bestätigen lassen. Einordnung aus der Praxis, ersetzt keine Rechtsberatung.

Wie oft muss eine KI-Richtlinie überprüft werden?

Eine Frist steht in keiner der geprüften Quellen. Einmal im Jahr plus bei jeder Änderung an den eingesetzten Werkzeugen hat sich bei uns bewährt. Was sich meistens ändert, ist die Werkzeugliste, und die liegt deshalb an einem eigenen Ort, damit die Richtlinie in derselben Fassung bleiben kann.

Was wir selbst an einem Nachmittag geregelt haben

Wir führen mehrere Unternehmen ohne zusätzliches Team, und der Teil, der bei uns am längsten offen lag, war nicht die Technik. Es war die Frage, welche Kundenunterlagen in welches Werkzeug dürfen, und beantwortet war sie erst, als sie auf zwei Seiten stand. Im Newsletter schreiben wir jede Woche auf, was wir konkret abgegeben haben, welcher Prompt dahintersteckt und was davon nicht funktioniert hat.