KI-Richtlinie im Unternehmen: 8 Bausteine

Viele KI-Richtlinien liegen im Intranet und ändern nichts. Meist fehlt jemand, der zuständig ist, und der Text geht an der echten Arbeit vorbei.

Teil 4 der Reihe „KI sicher einführen“

Eine KI-Richtlinie ist die interne Regel, welche KI-Tools Beschäftigte wofür nutzen dürfen, wer über neue Werkzeuge entscheidet und wer eingreift, wenn etwas schiefläuft. Laut einer Bitkom-Umfrage (Oktober 2025) hatten erst 23 Prozent der Unternehmen ab 20 Beschäftigten Regeln für KI-Tools aufgestellt, weitere 31 Prozent planten sie. Wirksam wird eine Richtlinie durch acht Bausteine, geklärte Zuständigkeiten und einen Betriebsrat, der von Anfang an mitredet.

Ist eine KI-Richtlinie Pflicht?

Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Ohne schriftliche Regeln lassen sich die Pflichten aus zwei Gesetzen aber kaum erfüllen. Seit dem Digital Omnibus vom Juli 2026 verpflichtet Artikel 4 der KI-Verordnung (AI Act) Unternehmen, die KI-Systeme einsetzen, zu Maßnahmen, die die KI-Kompetenz ihres Personals unterstützen. Ein bestimmtes Niveau schulden sie nicht, die Maßnahmen sollten sie aber belegen können. Die DSGVO verlangt technische und organisatorische Maßnahmen und in Artikel 24 ausdrücklich interne Datenschutzvorkehrungen. Nachweisen muss das Unternehmen sie selbst (Art. 5 Abs. 2).

Die Vorgaben von außen, also KI-Verordnung, DSGVO und Betriebsverfassung, bilden den Rahmen der Governance. KI-Compliance heißt, sie im eigenen Betrieb umzusetzen. Das zentrale Dokument dafür ist die Richtlinie.

Ist ein KI-Beauftragter im Unternehmen Pflicht?

Nein. Die KI-Verordnung kennt keinen KI-Beauftragten, wie ihn das Datenschutzrecht mit dem Datenschutzbeauftragten kennt. Erst wer Hochrisiko-KI betreibt, muss ab Dezember 2027 bestimmte Personen mit der menschlichen Aufsicht betrauen. Sinnvoll ist trotzdem eine benannte Person, die Anträge annimmt und die Richtlinie pflegt. Im kleinen Betrieb ist das oft die Geschäftsführung selbst, im größeren Mittelstand jemand aus IT, Datenschutz oder Qualitätsmanagement.

Die 8 Bausteine einer KI-Richtlinie für Unternehmen

Vorlagen für die Freigabeliste und den Antragsweg enthält Teil 3 der Reihe: eine KI-Ampel mit Freigabeliste und ein Antragsformular, beide als ausfüllbares PDF.

KI-Richtlinie erstellen in fünf Schritten

1. Bestand aufnehmen: Welche KI-Anwendungen laufen schon, offiziell und inoffiziell, etwa ChatGPT, Copilot oder Übersetzungsdienste?
2. Daten einordnen: Welche Eingaben sind unkritisch, welche vertraulich oder personenbezogen?
3. Zuständige benennen und den Betriebsrat einladen, bevor die erste Zeile steht.
4. Die acht Bausteine auf zwei bis vier Seiten füllen, in der Sprache, die im Betrieb gesprochen wird.
5. Mit einer Schulung einführen und nach sechs Monaten überprüfen.

Muster für ein solches Regelwerk gibt es etwa von der Gesellschaft für Datenschutz und Datensicherheit (GDD) und, mit kostenfreien Vorlagen, vom Mittelstand-Digital Zentrum Berlin. Sie sparen Zeit, ersetzen aber nicht den Blick in die eigenen Abläufe. Wie die Richtlinie in die übrige Compliance passt, zeigt der Beitrag KI im Unternehmen: 9 Schritte zur Compliance.

Schreiben Sie an den echten Abläufen entlang

Viele Richtlinien entstehen am Schreibtisch der Geschäftsführung, auf Grundlage des Prozesshandbuchs. Das Handbuch beschreibt aber selten, wie ein Team tatsächlich arbeitet. Eine Richtlinie, die daran vorbeigeht, befolgt niemand. Sprechen Sie deshalb vorher mit den Fachbereichen: Wo setzen sie KI schon ein, und woran scheitert es?

Dabei zeigt sich oft, dass ein Ablauf selbst das Problem ist. Mit KI läuft ein schlechter Ablauf nur schneller. Das gehört in die Planung, bevor die Richtlinie ihn festschreibt.

Die Stopp-Regel: wer eingreifen darf

Jeder produktive Einsatz von KI-Systemen braucht vorab drei Antworten: Wofür genau wird die KI eingesetzt? Welche Daten fließen wohin? Wer darf den Einsatz stoppen? Ein Pilotprojekt ohne diese dritte Antwort hat keine Bremse.

Ein Beispiel zeigt, wie einfach menschliche Aufsicht sein kann: Wer E-Mails von einer KI beantworten lässt, lässt die Antworten im Entwurfsordner landen. Ein Mensch prüft und schickt ab. Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblichen Folgen, etwa eine Absage auf eine Bewerbung, dürfen nach Artikel 22 DSGVO grundsätzlich nicht ausschließlich automatisiert fallen.

Den Betriebsrat früh einbinden

Seit dem Betriebsrätemodernisierungsgesetz von 2021 nennt das Betriebsverfassungsgesetz KI ausdrücklich: bei der Unterrichtung über Arbeitsverfahren, bei Auswahlrichtlinien und beim Hinzuziehen von Sachverständigen. Sobald ein Werkzeug objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen, greift zudem die Mitbestimmung bei technischen Einrichtungen, auch ohne Überwachungsabsicht.

Eine Grenze zog das Arbeitsgericht Hamburg im Januar 2024 in einem Eilverfahren (Az. 24 BVGa 1/24): Erlaubt ein Arbeitgeber ChatGPT nur über private Konten im Browser und regelt die Nutzung per Richtlinie, bestand kein Mitbestimmungsrecht. Mitbestimmungsfrei heißt allerdings nicht datenschutzkonform. Und sobald das Unternehmen eigene Konten bereitstellt, sieht die Lage anders aus.

Wichtiger als die Rechtsfrage ist oft die Stimmung. Wer Betriebsrat, Datenschutz und Rechtsabteilung erst beim fertigen Entwurf dazuholt, erntet Widerstand. In Schulungen berichten Betriebsräte, dass sie Vereinbarungen zu Werkzeugen abschließen sollen, die ihnen niemand gezeigt hat. Das Ergebnis sind dann Regeln wie willkürliche Zeichengrenzen, die mit der Arbeit nichts zu tun haben.

Was eine Richtlinie wirkungslos macht

Eine Datei im Intranet, die niemand findet. Zwei Seiten Nutzen, gefolgt von acht Seiten Sanktionen. Verbote ohne erlaubte Alternative, die direkt in die Schatten-KI führen. Und eine Richtlinie ohne Schulung: Wer nicht weiß, wie ein Werkzeug arbeitet, kann seine Grenzen nicht einhalten. Was die Verordnung zur Schulung verlangt, steht auf der Seite zur KI-Schulungspflicht. Wer eine Richtlinie mit Begleitung aufsetzen will, findet mein Angebot unter KI-Strategie für Unternehmen.

Quellen

1. Bitkom e. V.: Beschäftigte nutzen vermehrt Schatten-KI. Presseinformation vom 21. Oktober 2025.
2. Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4, Art. 26 und Art. 50, in der Fassung der Verordnung (EU) 2026/1744.
3. Verordnung (EU) 2016/679 (DSGVO), Art. 5 Abs. 2, Art. 22, Art. 24 und Art. 32.
4. Betriebsverfassungsgesetz, § 87 Abs. 1 Nr. 6 sowie §§ 80 Abs. 3, 90 Abs. 1 Nr. 3, 95 Abs. 2a in der Fassung des Betriebsrätemodernisierungsgesetzes vom 14. Juni 2021.
5. Arbeitsgericht Hamburg, Beschluss vom 16. Januar 2024, Az. 24 BVGa 1/24.

Dieser Beitrag ist Orientierung für Ihre Praxis, keine Rechtsberatung. Die verbindliche Prüfung im Einzelfall gehört in anwaltliche Hände. Ich komme von der Sprache, nicht von der Kanzlei.