Eine KI-Richtlinie (auch KI-Nutzungsrichtlinie oder KI-Policy) ist eine schriftliche interne Regel, die festlegt, ob und wie Beschäftigte KI-Werkzeuge bei der Arbeit nutzen dürfen. Sie ist enger als eine KI-Strategie: Sie regelt den Alltag, nicht die Ausrichtung des Unternehmens.
In einfachen Worten
Viele Beschäftigte nutzen KI-Programme wie Chatbots, ohne dass der Betrieb etwas geregelt hat. Eine KI-Richtlinie schafft Klarheit. Sie sagt, welche Programme erlaubt sind und welche Daten man nicht eingeben darf. Außerdem steht darin, dass Menschen die Ergebnisse prüfen müssen. Fehlt so eine Regel, kann der Betrieb trotzdem haften, wenn Beschäftigte auf eigene Faust handeln.
Zusammenfassung
Der Hamburgische Datenschutzbeauftragte beschrieb schon im November 2023, dass Chatbots in vielen Einrichtungen Teil des Arbeitsalltags geworden seien, „oft jedoch ohne verbindliche Vorgaben zur Nutzung“. Seine Checkliste nennt als ersten Punkt: klare, dokumentierte interne Weisungen formulieren (HmbBfDI 2023).
Wer nichts regelt, kann davon ausgehen, dass Beschäftigte die Werkzeuge „eigenmächtig und unkontrolliert“ nutzen. Unter Umständen haftet dafür die arbeitgebende Einrichtung (HmbBfDI 2023).
Was die Hamburger Checkliste vorgibt
Die Checkliste richtet sich an Unternehmen und Behörden und behandelt Chatbots auf Basis großer Sprachmodelle. Sie enthält 15 Punkte. Für eine Richtlinie sind vor allem diese relevant:
| Regelungsgegenstand | Inhalt der Empfehlung |
|---|---|
| Zugelassene Werkzeuge | Weisungen sollen sagen, ob und unter welchen Voraussetzungen welche Tools infrage kommen; Beispiele für erlaubte und untersagte Einsätze helfen |
| Beteiligung | Datenschutzbeauftragte einbinden, je nach Fall Betriebs- und Personalrat |
| Zugänge | berufliche Konten statt privater, starke Authentifizierung |
| Eingaben | keine personenbezogenen Daten, wenn der Anbieter die Daten für eigene Zwecke nutzen darf |
| Einstellungen | Training mit eigenen Eingaben ablehnen, Chatverlauf abwählen |
| Ergebnisse | auf Richtigkeit und Diskriminierung prüfen |
| Entscheidungen | keine automatisierte Letztentscheidung mit Rechtswirkung |
| Schulung | Beschäftigte durch Schulungen und Leitfäden sensibilisieren |
| Überprüfung | Vorgaben regelmäßig an neue Systeme und Modelle anpassen |
Quelle: HmbBfDI 2023, eigene Zusammenstellung.
Eingaben und Daten
Zu Eingaben macht die Behörde zwei Aussagen. Personenbezogene Daten sollen nicht eingegeben werden, wenn sich der Anbieter in seinen Geschäftsbedingungen eine Nutzung für eigene Zwecke einräumen lässt, denn eine Rechtsgrundlage sei dafür in der Regel nicht zu finden (HmbBfDI 2023).
Auch Eingaben, die sich auf Personen beziehen lassen, sind heikel: Es reiche nicht, Namen und Anschriften zu entfernen, weil sich Autor:innen oder Betroffene auch aus dem Zusammenhang erschließen lassen. Als unproblematisch gilt die Bitte um einen Werbetext zu einem Produkt, als problematisch die Frage, welche Personen sich voraussichtlich dafür interessieren (HmbBfDI 2023).
Ergebnisse prüfen
Nutzer:innen tragen laut Checkliste die Verantwortung, Ergebnisse auf Richtigkeit zu prüfen, weil Sprachmodelle Texte erzeugen, die dem gewünschten Ergebnis wahrscheinlich nahekommen, aber nicht zwingend korrekt sind (HmbBfDI 2023). Das Phänomen heißt Halluzination.
Auch diskriminierende Ergebnisse sind zu prüfen. Entscheidungen mit Rechtswirkung sollen grundsätzlich Menschen treffen. Sonst gilt Artikel 22 DSGVO. Wer Vorschläge der KI übernimmt, braucht einen tatsächlichen Entscheidungsspielraum. Zeitdruck und fehlende Nachvollziehbarkeit können dazu führen, dass Vorschläge ungeprüft übernommen werden (HmbBfDI 2023).
Verbindung zu anderen Pflichten
Die Checkliste selbst nennt Schulung als eigenen Punkt und verweist darauf, dass die künftige KI-Verordnung voraussichtlich auch bestimmte Nutzer:innen betrifft (HmbBfDI 2023). Die gesetzliche Schulungspflicht behandelt der Artikel zur KI-Kompetenz.
Je nach Anwendungsfall sei auch eine Datenschutz-Folgenabschätzung sinnvoll, empfiehlt die Behörde (HmbBfDI 2023). Dazu gibt es einen eigenen Artikel zur Datenschutz-Folgenabschätzung.
Die Checkliste mahnt außerdem, über den Datenschutz hinaus weitere Aspekte zu regeln, etwa Urheberrechte und Geschäftsgeheimnisse (HmbBfDI 2023).
Grenzen der Belege
Der Artikel stützt sich auf eine einzige Primärquelle: die Checkliste des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit vom 13. November 2023.
Sie ist keine Rechtsnorm und stammt aus der Zeit vor der KI-Verordnung. Einzelne Hinweise, etwa zu den Einstellungen eines bestimmten Anbieters, sind überholt.
Die später erschienene Orientierungshilfe der Datenschutzkonferenz vom 6. Mai 2024 wurde nicht im Volltext gelesen; eine Pressemitteilung beschreibt nur ihren Umfang. Mitbestimmungsrechte des Betriebsrats, arbeitsrechtliche Folgen und Musterformulierungen sind nicht Gegenstand dieses Artikels und ersetzen keine Rechtsberatung.
Verwandte Begriffe
- Menschliche Aufsicht – Prinzip hinter der Regel „keine automatisierte Letztentscheidung“
- Automation Bias – Neigung, Vorschläge der Maschine ungeprüft zu übernehmen
- Personenbezogene Daten – Daten, die nicht in Cloud-Chatbots gehören
- Lokale Modelle – Betriebsform, die Eingaben im eigenen Netz hält
Quellenangaben
- Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), 2023. Checkliste zum Einsatz LLM-basierter Chatbots. 13. November 2023. https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Datenschutz/Informationen/20231113_Checkliste_LLM_Chatbots_DE.pdf, abgerufen am 3. November 2026.