KI-Nutzungsrichtlinie für Unternehmen: Inhalt, Aufbau, Verantwortung

Fast jedes Unternehmen hat dieses Dokument nicht, und fast jedes Unternehmen braucht es. Der Grund ist unspektakulär: KI-Werkzeuge sind ohne Beschaffungsvorgang in die Betriebe gelangt. Jemand hat ein Konto angelegt, ein Ergebnis war brauchbar, und seither entscheidet jede Person für sich, was sie hineinkopiert. Solange niemand die Grenze aufgeschrieben hat, verläuft sie in jedem Kopf woanders.

Was ist eine KI-Nutzungsrichtlinie?

Eine KI-Nutzungsrichtlinie ist eine interne Regel, die den Umgang mit KI-Werkzeugen im Betrieb verbindlich festlegt. Sie ist kein Rechtstext und kein Vertrag, sondern eine Arbeitsanweisung: kurz genug, dass sie gelesen wird, und konkret genug, dass sie am Schreibtisch eine Frage beantwortet.

Von einer Datenschutz- oder IT-Sicherheitsrichtlinie unterscheidet sie sich in einem Punkt. Klassische Richtlinien regeln, wer auf welche Systeme zugreifen darf. Eine KI-Richtlinie regelt, was aus dem Haus hinaus in ein fremdes System hineingegeben wird und wie mit dem zurückkommenden Ergebnis umzugehen ist. Zugriffsrechte helfen dabei nicht, weil das Werkzeug ohnehin für alle offen im Browser liegt.

Warum eine Richtlinie und nicht eine Schulung?

Beides gehört zusammen, aber die Reihenfolge wird meistens verkehrt herum gedacht. Eine Schulung ohne Regel erzeugt Begeisterung ohne Grenze. Eine Regel ohne Schulung erzeugt ein Dokument, das niemand versteht. Was funktioniert, ist die Regel, die während der Arbeit am eigenen Material entsteht, weil dann jeder Satz an einem echten Fall geprüft wurde.

Es gibt auch einen unbequemen Nebeneffekt fehlender Regeln, der selten benannt wird: Vorsichtige Mitarbeitende nutzen die Werkzeuge gar nicht, weil sie das Risiko nicht einschätzen können, während sorglose alles hineingeben. Beides ist teuer. Eine klare Grenze hebt die Nutzung eher an, als sie zu senken, weil sie die persönliche Verantwortung aus der Einzelentscheidung herausnimmt.

Welche fünf Abschnitte gehören hinein?

Die folgenden fünf Abschnitte tragen das Dokument. Alles Weitere ist Anhang, und ein Anhang macht eine Richtlinie länger, aber nicht besser.

Welche Daten dürfen in welches Werkzeug?

Der praktikabelste Aufbau ist eine Ampel mit drei Klassen. Sie funktioniert, weil sie eine Frage stellt, die jede Person beantworten kann, ohne die Rechtsabteilung anzurufen: In welche Klasse fällt das, was ich gerade in der Zwischenablage habe?

Zwei Hinweise, die aus der Praxis kommen. Erstens: Die Ampel gehört auf eine Seite und in die Nähe der Menschen, nicht in ein Verzeichnis auf dem Laufwerk. Zweitens: Die Beispiele in der mittleren Spalte müssen aus dem eigenen Haus stammen. Eine allgemeine Aufzählung erzeugt Kopfnicken, ein Beispiel aus dem eigenen Posteingang erzeugt eine Entscheidung.

Wer genehmigt eine Ausnahme?

Jede Richtlinie trifft innerhalb weniger Wochen auf einen Fall, den sie nicht vorgesehen hat. Wenn dafür kein Weg beschrieben ist, entscheidet die betroffene Person selbst, und die Richtlinie ist ab diesem Moment Dekoration. Deshalb gehören drei Dinge in den Abschnitt: eine namentlich benannte Person mit Vertretung, ein Weg, der nicht länger als eine kurze Nachricht ist, und eine Frist, innerhalb derer geantwortet wird.

Die Genehmigung muss außerdem festhalten, was genau erlaubt wurde und für wie lange. Eine unbefristete Ausnahme ist eine stille Änderung der Richtlinie. Wenn sich Ausnahmen zum selben Thema häufen, ist das kein Ärgernis, sondern die nützlichste Rückmeldung, die das Dokument produziert: Der Regelfall ist falsch geschnitten und gehört beim nächsten Überprüfungstermin geändert.

Die Prüfpflicht vor jedem Ergebnis

Der zweite Teil jeder Richtlinie betrifft nicht die Eingabe, sondern die Ausgabe. Ein Sprachmodell formuliert eine falsche Auskunft genauso souverän wie eine richtige; die Sicherheit im Ton ist kein Hinweis auf die Richtigkeit des Inhalts. Deshalb braucht die Richtlinie einen Satz, der eine Handlung beschreibt und nicht eine Haltung.

Bewährt hat sich eine Staffelung nach Wirkung: Was das Haus verlässt oder in ein Dokument eingeht, wird von einem Menschen geprüft, der den Sachverhalt beurteilen kann. Was nur der eigenen Vorbereitung dient, muss nicht denselben Weg gehen. Nachprüfbare Angaben, also Zahlen, Namen, Fristen und Rechtsverweise, werden immer an der Quelle geprüft, weil genau dort die überzeugendsten Fehler entstehen.

Wem gehört das Dokument?

Eine Richtlinie ohne benannte Eigentümerin oder benannten Eigentümer veraltet innerhalb eines Quartals, weil sich die Werkzeuge schneller ändern als die Aufmerksamkeit. Die Zuständigkeit muss deshalb an eine Person gehen, nicht an eine Abteilung. In kleineren Betrieben ist das meist die Geschäftsführung selbst; ab einer gewissen Größe die Person, die ohnehin über neue Werkzeuge entscheidet.

Praktisch braucht diese Person drei Befugnisse: neue Werkzeuge freigeben oder ablehnen, Ausnahmen entscheiden und die Richtlinie zum vereinbarten Termin fortschreiben. Und sie braucht ein einfaches internes Verzeichnis darüber, was wann geregelt und welche Hinweise wann gegeben wurden. Genau dieses Verzeichnis ist auch das, was die Europäische Kommission zur Dokumentation für ausreichend hält.

Was die KI-Verordnung dazu verlangt

Weniger, als der Markt behauptet, und trotzdem etwas. Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen seit dem 2. Februar 2025 dazu, Maßnahmen zu ergreifen, um „die Entwicklung der KI-Kompetenz“ ihres Personals und anderer in ihrem Auftrag tätiger Personen „zu unterstützen“. Seit der Neufassung durch die Verordnung (EU) 2026/1744 vom 27. Juli 2026 steht dort ausdrücklich, dass diese Verpflichtung niemanden dazu zwingt, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“ (EUR-Lex, Verordnung (EU) 2026/1744).

Zur Dokumentation schreibt die Kommission in ihren Fragen und Antworten: „There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives.“ (Europäische Kommission, AI Literacy Q&A). Eine schriftliche Nutzungsrichtlinie samt Verteilerliste und Datum ist genau eine solche guiding initiative, und sie ist zugleich das einzige Dokument aus dieser Familie, das im Alltag wirklich benutzt wird.

Ein zweiter Punkt aus der Verordnung wird häufig übersehen und betrifft mehr Unternehmen als Artikel 4: Wer ein KI-System betreibt, das mit Menschen spricht, unterliegt ab dem 2. August 2026 der Offenlegungspflicht des Artikels 50. Wenn Ihre Richtlinie also den Einsatz eines Sprachagenten oder eines Chatbots im Kundenkontakt erlaubt, gehört dieser Hinweis hinein (EUR-Lex, Verordnung (EU) 2024/1689).

Wie eine Richtlinie entsteht, die gelesen wird

Vier Fehler, die eine Richtlinie wertlos machen

• Sie ist zu lang. Ab etwa drei Seiten wird sie abgelegt statt gelesen. Was nicht auf zwei Seiten passt, gehört in eine Anlage für die Personen, die es wirklich brauchen.
• Sie verbietet, ohne einen Weg zu öffnen. Eine Regel, die für eine häufige Aufgabe keinen erlaubten Weg beschreibt, erzeugt keine Vorsicht, sondern Umgehung über private Konten. Das ist der schlechteste aller Zustände, weil er zusätzlich unsichtbar ist.
• Sie nennt keine Namen. „Die Fachabteilung entscheidet“ ist keine Zuständigkeit. Ohne Person und Frist findet die Ausnahme nicht statt.
• Sie wird nie wieder angefasst. Anbieter ändern Kontoarten, Funktionen und Konditionen. Eine Richtlinie ohne Überprüfungstermin beschreibt nach einem Jahr eine Produktlandschaft, die es nicht mehr gibt.

Wir schreiben solche Richtlinien nicht als Beratungsprodukt auf Vorrat, sondern während der Einführung der Systeme, die sie regeln soll, gemeinsam mit dem Team, das damit arbeiten wird. Wie das im Ablauf aussieht, steht auf unserer Seite zu KI-Schulungen für Unternehmen. Wenn die Richtlinie ein internes System mit eigenen Dokumenten betrifft, beschreibt die Seite zum internen KI-Assistenten, welche Fragen dann zusätzlich zu klären sind.