Eine KI-Nutzungsrichtlinie ist das wirksamste Dokument im gesamten Governance-Bereich — und sie passt auf zwei Seiten. Diese Bausteine decken die Punkte ab, an denen es sonst Unklarheit gibt, samt Formulierungshilfen zum Übernehmen.
Warum eine schriftliche Richtlinie
Eine Richtlinie ist kein Selbstzweck, sondern erfüllt zwei Funktionen zugleich: Sie schafft Rechtssicherheit im Arbeitsverhältnis und ist Teil des Nachweises nach Artikel 4 der KI-Verordnung.
Nachweis der KI-Kompetenz
Seit dem 2. Februar 2025 verlangt Artikel 4 der KI-VO, dass Beschäftigte über ausreichende KI-Kompetenz verfügen. Eine bekannt gemachte Richtlinie plus dokumentierte Kenntnisnahme ist ein zentraler Baustein dieses Nachweises. Details dazu unter KI-Schulungspflicht.
Schutz vor Schattennutzung
Ohne klare Regeln nutzen Beschäftigte KI über private Konten — mit Firmendaten in Systemen, die niemand freigegeben hat. Die Richtlinie zieht diese Nutzung ins Sichtbare und Regelbare.
Klare Haftungslinie
Der dritte Grund wird oft übersehen: Die Richtlinie legt fest, dass die Verantwortung für ein KI-Ergebnis bei der Person bleibt, die es verwendet. Ohne diese Festlegung entsteht im Streitfall die Frage, ob „die KI” schuld war — eine Frage, die niemand beantworten will.
Die sieben Pflichtbausteine
Diese Reihenfolge hat sich bewährt. Jeder Baustein lässt sich in wenigen Sätzen formulieren.
Geltungsbereich und freigegebene Werkzeuge
Zuerst: Wer ist gebunden — alle Beschäftigten, auch Praktikanten, freie Mitarbeiter und Dienstleister? Dann der wichtigste Baustein, eine namentliche Liste zulässiger Werkzeuge:
Freigegeben sind ausschließlich: [Werkzeug A] in der Unternehmensversion, [Werkzeug B] in der Team-Lizenz. Die Nutzung privater Konten für dienstliche Zwecke ist unzulässig.
Der zweite Satz ist entscheidend. Ohne ihn bleibt die häufigste Schattennutzung ungeregelt.
Verbotene Eingaben und Prüfpflicht
Konkret werden, statt allgemein zu bleiben. „Keine sensiblen Daten” hilft niemandem:
In KI-Systeme dürfen nicht eingegeben werden: personenbezogene Daten von Kunden, Beschäftigten und Bewerbern; Gesundheitsdaten; Zugangsdaten und Schlüssel; als vertraulich gekennzeichnete Unterlagen; Inhalte unter Geheimhaltungsvereinbarung; Quellcode aus Kundenprojekten.
Dazu die arbeitsrechtlich wichtigste Regel der ganzen Richtlinie:
Ergebnisse aus KI-Systemen sind vor jeder Verwendung inhaltlich zu prüfen. Die Verantwortung für Richtigkeit und Rechtmäßigkeit verbleibt bei der Person, die das Ergebnis verwendet.
Kennzeichnung, Fehlerkultur und Zuständigkeit
Wann intern und extern auf KI-Einsatz hinzuweisen ist — mit Verweis auf Artikel 50 der KI-VO. Dann der Umgang mit Fehlern:
Fehlerhafte oder auffällige Ergebnisse sind [Ansprechpartner] zu melden. Aus Meldungen entstehen keine arbeitsrechtlichen Nachteile.
Der zweite Satz ist entscheidend für die Wirksamkeit. Ohne Fehlerkultur erfahren Sie von Problemen erst, wenn sie extern sichtbar werden. Zum Abschluss: Zuständigkeit bei Zweifelsfragen, Geltungsbeginn und Überprüfungsrhythmus.
Die sieben Bausteine im Überblick
| Baustein | Kernfrage |
|---|---|
| Geltungsbereich | Wer ist gebunden? |
| Freigegebene Werkzeuge | Was ist erlaubt, was verboten? |
| Verbotene Eingaben | Welche Daten nie eingeben? |
| Prüfpflicht | Wer haftet für das Ergebnis? |
| Kennzeichnung | Wann Hinweis auf KI-Einsatz? |
| Fehlerkultur | Wohin mit auffälligen Ergebnissen? |
| Zuständigkeit & Review | Wer entscheidet, wann aktualisieren? |
Formulierungsraster für die verbotenen Eingaben
Die Liste sollte an das eigene Geschäft angepasst werden. Eine Orientierung nach Branche:
| Branche | Zusätzlich kritischer Punkt |
|---|---|
| Kanzlei / Steuerberatung | Mandantendaten, laufende Verfahren |
| Maschinenbau | Konstruktionsdaten, Lieferantenkonditionen |
| Gesundheitswesen | Patientendaten, Diagnosen (Art. 9 DSGVO) |
| Agentur / IT | Kundenquellcode, unveröffentlichte Kampagnen |
Die datenschutzrechtliche Grundlage dazu erklärt der Ratgeber DSGVO-konforme KI.
Bekanntmachung und Nachweis
Eine Richtlinie, die niemand nachweislich zur Kenntnis genommen hat, ist als Nachweis wenig wert.
So wird die Kenntnisnahme dokumentiert
Eine E-Mail an alle reicht für die Bekanntmachung nicht. Sinnvoll ist ein unterschriebener oder digital bestätigter Kenntnisnahmevermerk. Schritt für Schritt:
- Richtlinie finalisieren und mit Geltungsdatum versehen
- In einer kurzen Einführung (15 Minuten) vorstellen
- Kenntnisnahme schriftlich oder digital bestätigen lassen
- Bestätigungen zentral ablegen — sie sind Teil des Artikel-4-Nachweises
- Bei neuen Beschäftigten ins Onboarding aufnehmen
Aktualisierung
Mindestens jährlich und bei jedem neuen freigegebenen Werkzeug. Ein festes Review-Datum verhindert, dass die Liste veraltet — tragen Sie es direkt in die Richtlinie ein, statt es dem Zufall zu überlassen.
Was Sie nicht regeln sollten
Manche Regeln schaden mehr, als sie nutzen.
Kein pauschales Verbot
Ein generelles Verbot funktioniert nicht und verlagert die Nutzung nur auf private Geräte — genau in den unkontrollierten Bereich, den die Richtlinie eigentlich schließen soll.
Keine Werkzeug-Detailtiefe im Hauptdokument
Schritt-für-Schritt-Anleitungen zu einzelnen Tools veralten schneller als die Grundregeln. Sie gehören in eine separate Arbeitshilfe, damit die Richtlinie stabil bleibt.
Betriebsrat früh einbinden
Bei bestehendem Betriebsrat gehört die Richtlinie mitbestimmt, spätestens wenn sie Nutzungsverhalten regelt. Es empfiehlt sich, ihn früh einzubinden, statt ein fertiges Dokument vorzulegen. Wer bei der Ausgestaltung Unterstützung braucht, klärt den Rahmen im Erstgespräch.
Quellen: Verordnung (EU) 2024/1689 (EUR-Lex) · Verordnung (EU) 2016/679 (EUR-Lex) · Datenschutzkonferenz (DSK)