KI-Richtlinie im Unternehmen: klare Regeln statt stillem Wildwuchs

Die kurze Antwort: Warten Sie nicht, bis sich die KI-Nutzung in Ihrem Unternehmen von selbst sortiert. Eine KI-Richtlinie auf ein bis zwei Seiten regelt die drei entscheidenden Punkte: welche Tools erlaubt sind, welche Daten dort nie hinein dürfen und dass jedes KI-Ergebnis vor der Verwendung von einem Menschen geprüft wird. Den formalen Anlass liefert die europäische KI-Verordnung, die Verordnung (EU) 2024/1689: Ihr Artikel 4 verpflichtet Unternehmen, die KI-Systeme einsetzen, seit dem 2. Februar 2025 zu Maßnahmen für die KI-Kompetenz der Beschäftigten, seit dem 27. Juli 2026 in geänderter Fassung ohne vorgeschriebenes Niveau. Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung.

KI wird längst genutzt, nur selten geregelt

Nach einer im Oktober 2025 veröffentlichten Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten hatten erst 23 Prozent Regeln für den Einsatz von KI-Tools aufgestellt, ein Jahr zuvor waren es 15 Prozent. Gleichzeitig wächst die stille Nutzung: In 8 Prozent der Unternehmen ist der Einsatz privater KI-Tools laut Bitkom weit verbreitet, in weiteren 17 Prozent gibt es Einzelfälle. Genau diese Lücke ist das Risiko. Ohne Regeln entscheidet jeder Schreibtisch selbst, welche Firmeninformationen in welches Tool wandern, und die Verantwortung für personenbezogene Daten bleibt nach der Datenschutz-Grundverordnung trotzdem bei Ihrem Unternehmen. Die deutschen Datenschutzaufsichtsbehörden empfehlen in der DSK-Orientierungshilfe zu KI und Datenschutz deshalb unter anderem klare interne Regeln und Handlungsanweisungen und raten davon ab, private Konten und Geräte für die dienstliche KI-Nutzung zuzulassen.

Wie verbreitet diese stille Nutzung ist und woran sie im Ernstfall scheitert, zeigt Schatten-KI im Mittelstand.

Drei Kernregeln, die in jede KI-Richtlinie gehören

Erstens die erlaubten Tools: Legen Sie eine kurze Liste freigegebener Dienste fest, die über Firmenkonten laufen und zentral verwaltet werden können. Zweitens die Tabu-Daten: Kundendaten, personenbezogene Daten, Geschäftsgeheimnisse, Kalkulationen und Zugangsdaten gehören nicht in öffentliche KI-Tools, deren Anbieter Eingaben speichern oder für das Training verwenden können. Das BSI empfiehlt in seiner Publikation zu generativen KI-Modellen unter anderem einen sparsamen Umgang mit sensiblen Daten bei Eingaben in solche Dienste und rät, Beschäftigte für Stärken und Schwächen der Modelle zu sensibilisieren. Drittens die Prüfpflicht: KI-Ergebnisse können faktisch falsch, veraltet oder rechtlich heikel sein. Vor der Verwendung prüft ein Mensch, und die Verantwortung für das Ergebnis bleibt bei der Person, die es nutzt. Ergänzen Sie einen benannten Ansprechpartner für neue Tool-Wünsche, dann muss niemand heimlich ausweichen.

Zur Richtlinie gehört der Blick auf die Pflichten nach außen: KI-Kennzeichnung nach dem EU AI Act.

Artikel 4 der KI-Verordnung: KI-Kompetenz ist Pflicht

Artikel 4 gilt seit dem 2. Februar 2025 und verpflichtet Anbieter und Betreiber von KI-Systemen unabhängig von der Unternehmensgröße zu Maßnahmen, die die Entwicklung der KI-Kompetenz ihrer Beschäftigten unterstützen. In dieser Fassung gilt er seit dem 27. Juli 2026; ein bestimmtes oder ausreichendes Niveau ist seitdem nicht mehr vorgeschrieben. Die EU-Kommission stellt in ihren Fragen und Antworten zur KI-Kompetenz klar, dass KI-Kompetenz auch nach der Änderung eine Pflicht für Anbieter und Betreiber bleibt. Ein bestimmtes Schulungsformat oder Zertifikat ist nicht vorgeschrieben, die Maßnahmen sollen zu Rolle und Vorwissen der Beschäftigten passen, und Unternehmen können eine interne Aufzeichnung über Schulungen führen. Überwacht und durchgesetzt wird die Vorgabe laut Kommission seit dem 2. August 2026 von den nationalen Marktüberwachungsbehörden. Eine kurze, wiederkehrende Schulung im Team erfüllt damit zwei Zwecke auf einmal: Sie vermittelt Ihre Richtlinie und unterstützt die KI-Kompetenz, um die es in Artikel 4 geht.

Was die geänderte Fassung im Einzelnen verlangt und was ein kleiner Betrieb festhalten kann, zeigt KI-Schulungspflicht nach Artikel 4.

Einführung ohne Reibung

Reden Sie zuerst mit Ihrem Team: Wer nutzt heute welche Tools und wofür? Jede Antwort zeigt echten Bedarf. Stellen Sie dann eine freigegebene Alternative bereit, etwa in Microsoft 365 mit Firmenkonten und verwalteten Geräten, und stellen Sie die Richtlinie in einer kurzen Teamrunde vor statt per stiller Rundmail. Prüfen Sie die Regeln einmal im Jahr, denn Tools und Rechtslage entwickeln sich weiter.

Häufige Fragen

Reicht es nicht, KI-Tools komplett zu verbieten?

Nein. Ein Totalverbot verlagert die Nutzung auf private Geräte und Konten, wo Ihre IT nichts mehr sieht. Wirksamer ist eine kurze Richtlinie mit freigegebenen Tools und klaren Tabu-Daten, ergänzt um eine bequeme offizielle Alternative.

Welche Daten dürfen auf keinen Fall in öffentliche KI-Tools?

Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse, Kalkulationen, Vertragsinhalte und Zugangsdaten. Bei kostenlosen Diensten können Eingaben gespeichert und teils für das Training verwendet werden, und Sie können weder Speicherort noch Löschung verlässlich steuern.

Ist eine KI-Schulung wirklich Pflicht?

Verpflichtend sind Maßnahmen für die KI-Kompetenz der Beschäftigten, eine bestimmte Schulung oder Schulungsform schreibt Artikel 4 aber nicht vor. Seit dem 27. Juli 2026 verlangt er, die Entwicklung der KI-Kompetenz zu unterstützen, ohne ein bestimmtes Niveau vorzuschreiben. Laut EU-Kommission ist kein Zertifikat nötig, Unternehmen können eine interne Aufzeichnung über Schulungen führen.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet die technische Seite Ihrer KI-Richtlinie ein: freigegebene Tools mit Firmenkonten sowie Zugriffs- und Gerätekontrolle in Microsoft 365. Ihr Team führen wir praxisnah in die Nutzung ein, wie auf der Seite KI im Arbeitsalltag beschrieben; das Awareness-Training mit Phishing-Übungen und kurzen Lerneinheiten ergänzt das um den sicheren Umgang mit E-Mails. Ordnung bei Regeln und Nachweisen schafft unsere Betreuung zur IT-Compliance. Die juristische Feinabstimmung Ihrer Richtlinie klären Sie mit Ihrer Rechtsberatung, die Umsetzung im Alltag übernehmen wir.

Quellen

• EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4 in der konsolidierten Fassung vom 27.07.2026
• EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus zur KI)
• EU-Kommission, AI Act Service Desk: Artikel 4 KI-Kompetenz
• EU-Kommission: AI Literacy, Questions and Answers
• Bitkom-Presseinformation: Beschäftigte nutzen vermehrt Schatten-KI
• DSK: Orientierungshilfe KI und Datenschutz
• BSI: Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden