KI-Richtlinie für Unternehmen: Muster zum Herunterladen

Ist eine KI-Richtlinie Pflicht?

Nach unserem Stand schreibt kein Gesetz ein Dokument mit dem Namen KI-Richtlinie vor. Zwei Regelwerke machen Nutzungsregeln aber naheliegend.

Erstens Artikel 4 der KI-Verordnung: Firmen, die KI einsetzen, ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Die EU-Kommission spricht dabei von Schulungen und Anleitung, passend zum Wissen der Beschäftigten und zum Einsatz der Werkzeuge. Klare Regeln sind eine solche Anleitung. Was Artikel 4 genau verlangt, steht im Ratgeber KI-Kompetenz nach Art. 4.

Zweitens der Datenschutz. Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, empfiehlt in ihrer Orientierungshilfe, klare interne Weisungen zu erteilen und zu dokumentieren: ob, unter welchen Voraussetzungen und wofür welche KI-Anwendungen genutzt werden dürfen. Beispiele für erlaubte und verbotene Einsätze hält sie für hilfreich.

Warum braucht ein Betrieb Regeln für KI?

Weil KI oft schon genutzt wird, auch ohne Absprache. In einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten im Sommer 2025 wussten oder vermuteten 42 Prozent, dass Beschäftigte private KI-Zugänge für die Arbeit nutzen. Regeln für den KI-Einsatz hatten nur 23 Prozent. Das Institut der deutschen Wirtschaft (IW) hat im Frühjahr 2026 Beschäftigte gefragt: 29,1 Prozent derer, die KI beruflich nutzen, verwenden Werkzeuge, die ihr Arbeitgeber nicht bereitgestellt hat. In Betrieben mit weniger als 50 Beschäftigten sind es 33,5 Prozent.

Dahinter steckt selten böser Wille, aber private Konten laufen außerhalb Ihrer Kontrolle. Die Datenschutzkonferenz rät deshalb, Beschäftigten Firmenkonten zu stellen, statt sie mit privaten Konten arbeiten zu lassen. Dazu kommt das Geschäftsgeheimnisgesetz: Es schützt Informationen nur, wenn der Betrieb angemessene Maßnahmen zur Geheimhaltung trifft (§ 2). Klare Regeln, was nicht in KI-Werkzeuge gehört, können ein Teil davon sein.

Verbieten allein hilft wenig. Das IW empfiehlt drei Hebel zusammen: Kompetenz aufbauen, datenschutzkonforme Werkzeuge bereitstellen und klare Nutzungsregeln kommunizieren.

Was gehört in eine KI-Richtlinie?

• Erlaubte Werkzeuge: welche KI-Werkzeuge wofür genutzt werden, und zwar über Firmenkonten. Die Datenschutzkonferenz rät, dort die Nutzung der Eingaben für das Training von Anfang an auszuschalten.
• Verbotene Eingaben: personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten. Nur Namen zu entfernen reicht oft nicht, weil sich Personen aus dem Zusammenhang erkennen lassen.
• Ergebnisse prüfen: KI-Ergebnisse sind Entwürfe. Wer sie verwendet, prüft sie und bleibt verantwortlich.
• Kennzeichnung: Seit dem 02.08.2026 müssen Betreiber offenlegen, wenn sie mit KI Bilder, Videos oder Tonaufnahmen erzeugen oder verändern, die täuschend echt wirken, sogenannte Deepfakes (Art. 50 KI-Verordnung). Was Sie darüber hinaus kennzeichnen, legen Sie selbst fest.
• Ansprechperson: wer Fragen beantwortet, neue Werkzeuge freigibt und Fehler entgegennimmt.
• Schulung: wer vor dem Start eine Einweisung bekommt und wann aufgefrischt wird. Wie Sie das festhalten, zeigt der Ratgeber KI-Kompetenz nachweisen.
• Betriebsrat: falls vorhanden, früh einbinden.
• Überprüfung: wann die Richtlinie wieder auf den Tisch kommt, etwa einmal im Jahr und bei jedem neuen Werkzeug.

Muss der Betriebsrat bei einer KI-Richtlinie mitreden?

Wenn es bei Ihnen einen Betriebsrat gibt, beziehen Sie ihn früh ein. Das Betriebsverfassungsgesetz verlangt, ihn rechtzeitig über Arbeitsverfahren einschließlich des Einsatzes von Künstlicher Intelligenz zu unterrichten (§ 90 BetrVG). Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen, hat er ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Die Datenschutzkonferenz schreibt, dass die Einführung einer KI-Anwendung in einigen Fällen ein solches Mitbestimmungsrecht auslöst, und nennt eine Betriebsvereinbarung als möglichen Weg. Ob Sie eine brauchen, klären Sie mit Ihrem Anwalt.

Ohne Betriebsrat geben Sie die Richtlinie als Anweisung an Ihr Team heraus. Erklären Sie sie kurz und lassen Sie die Kenntnisnahme bestätigen.

Wie führt man eine KI-Richtlinie ein?

• Erfassen, welche KI-Werkzeuge im Team schon genutzt werden, auch private. Fragen Sie ohne Vorwurf, sonst erfahren Sie wenig.
• Firmenkonten für die Werkzeuge einrichten, die Sie erlauben wollen.
• Das Muster anpassen: Werkzeuge, Zwecke, Ansprechperson, Beispiele aus Ihrem Alltag.
• Von Ihrem Datenschutzbeauftragten oder Anwalt prüfen lassen.
• Im Team vorstellen, Fragen klären, Kenntnisnahme festhalten.
• Einmal im Jahr und bei neuen Werkzeugen überprüfen.

Wie sieht ein Muster für eine KI-Richtlinie aus?

Das folgende Muster ist ein Vorschlag von uns, kein geprüfter Rechtstext. Eckige Klammern markieren, was Sie an Ihren Betrieb anpassen. Streichen Sie, was bei Ihnen nicht passt.

Muster, an Ihren Betrieb anzupassen

KI-Richtlinie der [Betrieb]

Stand: [Datum]. Gilt für alle, die für [Betrieb] arbeiten, auch für Auszubildende, Aushilfen und [freie Mitarbeitende].

1. Wozu diese Richtlinie

KI-Werkzeuge können uns Arbeit abnehmen. Damit das sicher geht, legt diese Richtlinie fest, welche Werkzeuge wir nutzen, welche Daten nicht hineingehören und wie wir mit Ergebnissen umgehen.

2. Erlaubte Werkzeuge

Für die Arbeit nutzen wir nur diese KI-Werkzeuge, und nur über die Firmenkonten:

• [Werkzeug] für [Zweck, z. B. Entwürfe für Mails und Angebote]
• [Werkzeug] für [Zweck, z. B. Zusammenfassungen interner Unterlagen]

Private Konten und andere Werkzeuge nutzen wir für die Arbeit nicht. Wer ein weiteres Werkzeug braucht, fragt vorher [Ansprechperson]. [Ansprechperson] sorgt dafür, dass in den Firmenkonten die Nutzung unserer Eingaben für das Training abgeschaltet ist, soweit das Werkzeug das zulässt.

3. Was nicht in KI-Werkzeuge gehört

Ohne Freigabe durch [Ansprechperson] geben wir nicht ein:

• personenbezogene Daten, also alles, was sich einer Person zuordnen lässt, etwa Namen, Adressen, Kundennummern, Gesundheitsdaten oder Bewerbungsunterlagen. Namen zu entfernen reicht oft nicht, weil sich Personen aus dem Zusammenhang erkennen lassen.
• Geschäftsgeheimnisse, etwa Preise, Kalkulationen, Verträge, Konstruktionsdaten oder interne Zahlen
• vertrauliche Unterlagen von Kunden und Partnern
• Zugangsdaten und Passwörter

Freigegebene Fälle stehen in [Ablageort].

4. Ergebnisse prüfen

KI-Ergebnisse sind Entwürfe. KI kann Fakten, Zahlen und Quellen erfinden. Wer ein Ergebnis verwendet, prüft es vorher und bleibt für die Arbeit verantwortlich. Entscheidungen über Menschen, etwa über Bewerbungen, trifft ein Mensch. Was wir veröffentlichen, übernimmt keine fremden Texte, Bilder oder Marken, die wir nicht nutzen dürfen.

5. Kennzeichnung

Bilder, Videos und Tonaufnahmen, die mit KI erzeugt oder verändert wurden und echt wirken, kennzeichnen wir als KI-erzeugt. Texte, die wir veröffentlichen, prüft vorher eine verantwortliche Person. [Weitere Fälle, die Sie kennzeichnen wollen.]

6. Fragen und Fehler

Ansprechperson für alle Fragen zu KI ist [Name, Telefon, Mail]. Wer versehentlich Daten eingegeben hat, die nicht hineingehören, meldet das sofort. Eine schnelle Meldung hilft, die Folgen klein zu halten.

7. Schulung

Wer KI-Werkzeuge nutzt, bekommt vorher eine Einweisung und [einmal im Jahr] eine Auffrischung. Die Teilnahme halten wir fest.

8. Betriebsrat [nur falls vorhanden]

Diese Richtlinie ist mit dem Betriebsrat abgestimmt. [Verweis auf eine Betriebsvereinbarung, falls es eine gibt.]

9. Überprüfung

[Ansprechperson] prüft diese Richtlinie mindestens [einmal im Jahr] und immer, wenn ein neues Werkzeug dazukommt.

Kenntnisnahme

Ich habe die Richtlinie gelesen und halte mich daran.

Name, Datum, Unterschrift: ______________________

Muster von Net-Evolution, Stand 14.10.2026. Ein Vorschlag, kein geprüfter Rechtstext. Bitte an Ihren Betrieb anpassen und von Ihrem Datenschutzbeauftragten oder Anwalt prüfen lassen.

Vorlage als Word-Datei herunterladen

Wie wir helfen

Wir richten Firmenkonten ein, setzen die Datenschutz-Einstellungen nach den Empfehlungen der Datenschutzkonferenz um und passen die Richtlinie mit Ihnen an Ihre Werkzeuge und Abläufe an. Das ist Teil unserer KI-Beratung. In der KI-Schulung lernt Ihr Team die Regeln an eigenen Aufgaben kennen. Online in ganz Deutschland, vor Ort rund um Bad Kreuznach. Die rechtliche Prüfung bleibt bei Ihrem Datenschutzbeauftragten oder Anwalt. Ein erster Schritt ist ein kostenloses Erstgespräch.

Quellen

• Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz, 06.05.2024
• Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, 21.10.2025
• IW-Kurzbericht 63/2026: Schatten-KI, 19.09.2026
• EU-Kommission: AI Literacy, Questions and Answers (Stand 27.07.2026)
• Art. 50 KI-Verordnung, Transparenzpflichten (dejure.org)
• § 90 BetrVG (gesetze-im-internet.de) und § 87 BetrVG
• § 2 Geschäftsgeheimnisgesetz (gesetze-im-internet.de)

Stand 14.10.2026. Diese Seite und das Muster fassen öffentlich zugängliche Quellen zusammen und sind keine Rechtsberatung.