Die KI-Nutzungsrichtlinie
Das wichtigste Dokument, und es passt auf zwei Seiten. Eine brauchbare Richtlinie beantwortet, welche Werkzeuge freigegeben sind, welche Daten hineindürfen und was mit den Ergebnissen zu geschehen hat.
- Freigegebene Werkzeuge — namentlich, mit Angabe der zulässigen Version (privater Account vs. Unternehmenslizenz).
- Verbotene Eingaben — Personendaten, Geschäftsgeheimnisse, Zugangsdaten, Mandanten- und Patientendaten.
- Prüfpflicht — Ergebnisse werden vor Verwendung geprüft; die Verantwortung bleibt beim Menschen.
- Kennzeichnung — wann intern und extern auf KI-Einsatz hingewiesen wird.
- Ansprechpartner — an wen man sich bei Zweifeln wendet.
Rollen und Verantwortlichkeiten
Die Verordnung schreibt keine Rollen vor. Trotzdem braucht es Zuständigkeiten, sonst passiert nichts.
In kleineren Unternehmen genügt eine benannte Person, die den Überblick über eingesetzte Systeme hält und Ansprechpartner ist. Ab mittlerer Größe lohnt eine kleine Runde aus IT, Datenschutz und einer Fachabteilung, die neue Anwendungen bewertet, bevor sie eingeführt werden.
| Rolle | Aufgabe | Wer das übernimmt |
|---|---|---|
| KI-Verantwortliche(r) | Überblick über Systeme, erster Ansprechpartner | Benannte Person, oft aus IT oder Orga |
| Datenschutz | Rechtsgrundlage, AVV, Drittlandfragen | DSB oder externe Beratung |
| Fachabteilung | Bewertung neuer Anwendungsfälle | Bereichsleitung |
| Geschäftsführung | Freigabe der Richtlinie, Gesamtverantwortung | Leitungsebene |
Risikoklassen einordnen
Die KI-Verordnung teilt Systeme in vier Klassen ein. Die Einordnung entscheidet, welche Pflichten gelten — und ist damit der erste Schritt jeder Governance. Die meisten Anwendungen im Mittelstand liegen bei „begrenzt“ oder „minimal“.
| Klasse | Beispiel | Folge |
|---|---|---|
| Verboten | Social Scoring, manipulative Systeme | Einsatz untersagt seit 02.02.2025 |
| Hoch | KI in Personalauswahl, Kreditvergabe | Umfangreiche Pflichten ab 02.08.2026 (Anhang III) |
| Begrenzt (Transparenz) | Chatbot, KI-generierte Inhalte | Kennzeichnung nach Art. 50 ab 02.08.2026 |
| Minimal | Rechtschreibhilfe, Textbausteine | Keine besonderen Pflichten |
Was dokumentiert gehört
Ein einfaches Verzeichnis der eingesetzten KI-Systeme ist die Basis für fast alles Weitere: für die Risikoeinstufung nach der Verordnung, für den Datenschutz und für die Frage, was bei einem Anbieterwechsel betroffen wäre.
Pro System genügen wenige Angaben. Das Verzeichnis ist bewusst schlank — es soll gepflegt werden, nicht in der Schublade liegen.
| Feld | Beispielinhalt |
|---|---|
| Zweck | Zusammenfassung eingehender E-Mails |
| Anbieter / Version | Unternehmenslizenz, EU-Region |
| Datenarten | Kundenanfragen, keine Sonderkategorien |
| Risikoklasse | Begrenzt (Transparenz) |
| Verantwortliche Person | Name / Abteilung |
| Letzte Prüfung | Datum |
Der AI Act als Pflichtrahmen
Governance ist kein Selbstzweck, sondern die Struktur, mit der Sie die Fristen der KI-Verordnung einhalten. Zwei davon sind bereits scharf: Seit dem 2. Februar 2025 gilt die KI-Kompetenzpflicht aus Artikel 4, seit dem 2. August 2025 die Pflichten für allgemeine KI-Modelle samt Sanktionsregime.
Die Sanktionen reichen von bis zu 7,5 Mio € oder 1 % des Umsatzes für falsche Angaben bis zu 35 Mio € oder 7 % für verbotene Praktiken. Für die meisten Betreiber ist die mittlere Stufe relevant: bis 15 Mio € oder 3 % bei sonstigen Pflichtverstößen.
Was ein Governance-Aufbau kostet
Governance im pragmatischen Sinn ist die günstigste Absicherung, die es gibt. Der größte Posten ist meist nicht das Dokument, sondern die Schulung — und die ist förderfähig.
| Baustein | Aufwand | Orientierung |
|---|---|---|
| Bestandsaufnahme / Potenzialanalyse | Einmalig | niedriger vierstelliger Bereich |
| Nutzungsrichtlinie und Systemverzeichnis | Einmalig, jährliche Pflege | im Rahmen der Bestandsaufnahme |
| Erster begleiteter Anwendungsfall | Einmalig | 5.000–20.000 € |
| Schulung der Beschäftigten | Einmalig bis laufend | über Qualifizierungschancengesetz bis 100 % förderfähig |
Governance in Schritten aufbauen
Man muss nicht alles auf einmal haben. Diese Reihenfolge bringt schnell einen belastbaren Stand.
- Systeme erfassen: Welche KI-Werkzeuge sind faktisch im Einsatz — auch die inoffiziellen?
- Einstufen: Jedes System einer Risikoklasse zuordnen.
- Richtlinie schreiben: Zwei Seiten, freigegeben von der Geschäftsführung.
- Verantwortliche benennen: Mindestens eine Person, ab mittlerer Größe eine kleine Runde.
- Schulen: Die Richtlinie wirkt erst, wenn sie erklärt wurde — zugleich Erfüllung der Kompetenzpflicht.
- Jährlich prüfen: Verzeichnis und Richtlinie aktuell halten, zusätzlich bei jedem neuen Werkzeug.
Verhältnis zu ISO 42001, Betriebsrat und Datenschutz
Governance steht nicht isoliert. Die ISO 42001 ist die zertifizierbare Ausbaustufe desselben Gedankens — für die meisten Mittelständler zunächst überdimensioniert, aber ein sinnvoller Fluchtpunkt. Nach unten grenzt sie an zwei weitere Regelwerke: Wo ein Betriebsrat besteht, greift die Mitbestimmung, und der Umgang mit personenbezogenen Daten folgt den Regeln der DSGVO-konformen KI.
Eine gute Governance verbindet diese Fäden in einem Rahmen, statt sie getrennt zu behandeln. Wenn Sie unsicher sind, wo Ihr Unternehmen steht, ist eine kurze Standortbestimmung der schnellste Einstieg — dafür ist der Kontakt da.
Häufige Fragen
Brauchen wir eine KI-Richtlinie?
Rechtlich zwingend vorgeschrieben ist sie nicht. Praktisch ist sie die günstigste Absicherung, die es gibt — und sie ist Voraussetzung dafür, dass eine Schulung überhaupt etwas Konkretes vermitteln kann.
Was ist der Unterschied zur ISO 42001?
Die ISO 42001 ist ein zertifizierbares Managementsystem mit erheblichem Aufwand. Governance im hier gemeinten Sinn ist der pragmatische Kern davon. Einordnung unter ISO 42001.
Wer sollte die Richtlinie erstellen?
Fachlich die Person, die den KI-Einsatz überblickt, formal die Geschäftsführung. Bei bestehendem Betriebsrat gehört er eingebunden.
Wie oft muss das aktualisiert werden?
Mindestens jährlich, zusätzlich bei jedem neuen Werkzeug. Der Markt bewegt sich schneller als jedes Dokument.
Schreibt die KI-Verordnung eine bestimmte Governance vor?
Für Betreiber schreibt sie keine feste Struktur vor. Sie verlangt aber Kompetenz (Art. 4), Transparenz (Art. 50) und bei Hochrisiko-Systemen konkrete Pflichten. Eine schlanke Governance ist der Weg, diese Anforderungen nachweisbar zu erfüllen.
Wie stufen wir unsere Systeme in Risikoklassen ein?
Ausgangspunkt ist der Einsatzzweck. Die meisten Büroanwendungen liegen bei „minimal“ oder „begrenzt“ (Transparenz). Kritisch wird es bei Personalauswahl, Kreditvergabe oder ähnlichen Entscheidungen über Menschen — dort greift die Hochrisiko-Klasse mit umfangreichen Pflichten.
Was kostet der Aufbau einer KI-Governance?
Eine Bestandsaufnahme liegt im niedrigen vierstelligen Bereich, ein erster begleiteter Anwendungsfall bei 5.000–20.000 € je nach Systemanbindung. Die Schulung ist über das Qualifizierungschancengesetz bis zu 100 % förderfähig.
Reicht eine benannte Person oder brauchen wir einen KI-Beauftragten?
In kleineren Unternehmen genügt eine benannte verantwortliche Person. Ab mittlerer Größe lohnt eine kleine Runde aus IT, Datenschutz und Fachabteilung. Ein formaler KI-Beauftragter ist nicht gesetzlich vorgeschrieben, kann die Zuständigkeit aber bündeln.