KI-Richtlinie im Unternehmen: klare Regeln statt stillem Wildwuchs
Dieser Beitrag wurde KI-gestützt erstellt.
Die kurze Antwort: Warten Sie nicht, bis sich die KI-Nutzung in Ihrem Unternehmen von selbst sortiert. Eine KI-Richtlinie auf ein bis zwei Seiten regelt die drei entscheidenden Punkte: welche Tools erlaubt sind, welche Daten dort nie hinein dürfen und dass jedes KI-Ergebnis vor der Verwendung von einem Menschen geprüft wird. Den formalen Anlass liefert die europäische KI-Verordnung, die Verordnung (EU) 2024/1689: Ihr Artikel 4 verpflichtet Unternehmen, die KI-Systeme einsetzen, seit dem 2. Februar 2025 zu Maßnahmen für ausreichende KI-Kompetenz der Beschäftigten. Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung.
KI wird längst genutzt, nur selten geregelt
Nach einer im Oktober 2025 veröffentlichten Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten hatten erst 23 Prozent Regeln für den Einsatz von KI-Tools aufgestellt, ein Jahr zuvor waren es 15 Prozent. Gleichzeitig wächst die stille Nutzung: In 8 Prozent der Unternehmen ist der Einsatz privater KI-Tools laut Bitkom weit verbreitet, in weiteren 17 Prozent gibt es Einzelfälle. Genau diese Lücke ist das Risiko. Ohne Regeln entscheidet jeder Schreibtisch selbst, welche Firmeninformationen in welches Tool wandern, und die Verantwortung für personenbezogene Daten bleibt nach der Datenschutz-Grundverordnung trotzdem bei Ihrem Unternehmen. Die deutschen Datenschutzaufsichtsbehörden empfehlen in der DSK-Orientierungshilfe zu KI und Datenschutz deshalb unter anderem klare interne Regeln und Handlungsanweisungen und raten davon ab, private Konten und Geräte für die dienstliche KI-Nutzung zuzulassen.
Drei Kernregeln, die in jede KI-Richtlinie gehören
Erstens die erlaubten Tools: Legen Sie eine kurze Liste freigegebener Dienste fest, die über Firmenkonten laufen und zentral verwaltet werden können. Zweitens die Tabu-Daten: Kundendaten, personenbezogene Daten, Geschäftsgeheimnisse, Kalkulationen und Zugangsdaten gehören nicht in öffentliche KI-Tools, deren Anbieter Eingaben speichern oder für das Training verwenden können. Das BSI empfiehlt in seiner Publikation zu generativen KI-Modellen unter anderem einen sparsamen Umgang mit sensiblen Daten bei Eingaben in solche Dienste und rät, Beschäftigte für Stärken und Schwächen der Modelle zu sensibilisieren. Drittens die Prüfpflicht: KI-Ergebnisse können faktisch falsch, veraltet oder rechtlich heikel sein. Vor der Verwendung prüft ein Mensch, und die Verantwortung für das Ergebnis bleibt bei der Person, die es nutzt. Ergänzen Sie einen benannten Ansprechpartner für neue Tool-Wünsche, dann muss niemand heimlich ausweichen.
Artikel 4 der KI-Verordnung: KI-Kompetenz ist Pflicht
Artikel 4 gilt seit dem 2. Februar 2025 und verpflichtet Anbieter und Betreiber von KI-Systemen, nach besten Kräften für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen, unabhängig von der Unternehmensgröße. Die EU-Kommission stellt in ihren Fragen und Antworten zur KI-Kompetenz klar, dass es sich um eine echte Pflicht handelt und nicht um eine Empfehlung. Ein bestimmtes Schulungsformat oder Zertifikat ist nicht vorgeschrieben, die Maßnahmen sollen zu Rolle und Vorwissen der Beschäftigten passen, und eine interne Dokumentation der Schulungen wird empfohlen. Durchgesetzt wird die Vorgabe laut Kommission von den nationalen Behörden ab dem 2. August 2026. Eine kurze, wiederkehrende Schulung im Team erfüllt damit zwei Zwecke auf einmal: Sie vermittelt Ihre Richtlinie und die geforderte Kompetenz.
Einführung ohne Reibung
Reden Sie zuerst mit Ihrem Team: Wer nutzt heute welche Tools und wofür? Jede Antwort zeigt echten Bedarf. Stellen Sie dann eine freigegebene Alternative bereit, etwa in Microsoft 365 mit Firmenkonten und verwalteten Geräten, und stellen Sie die Richtlinie in einer kurzen Teamrunde vor statt per stiller Rundmail. Prüfen Sie die Regeln einmal im Jahr, denn Tools und Rechtslage entwickeln sich weiter.
Häufige Fragen
Reicht es nicht, KI-Tools komplett zu verbieten?
Nein. Ein Totalverbot verlagert die Nutzung auf private Geräte und Konten, wo Ihre IT nichts mehr sieht. Wirksamer ist eine kurze Richtlinie mit freigegebenen Tools und klaren Tabu-Daten, ergänzt um eine bequeme offizielle Alternative.
Welche Daten dürfen auf keinen Fall in öffentliche KI-Tools?
Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse, Kalkulationen, Vertragsinhalte und Zugangsdaten. Bei kostenlosen Diensten können Eingaben gespeichert und teils für das Training verwendet werden, und Sie können weder Speicherort noch Löschung verlässlich steuern.
Ist eine KI-Schulung wirklich Pflicht?
Ja. Artikel 4 der KI-Verordnung verlangt seit dem 2. Februar 2025 Maßnahmen für ausreichende KI-Kompetenz der Beschäftigten. Die EU-Kommission betont, dass kein bestimmtes Format vorgeschrieben ist, empfiehlt aber, die Maßnahmen intern zu dokumentieren.
So unterstützt Sie die High5Manufaktur GmbH
Die High5Manufaktur GmbH richtet die technische Seite Ihrer KI-Richtlinie ein: freigegebene Tools mit Firmenkonten, Zugriffs- und Gerätekontrolle in Ihrer Microsoft-365-Umgebung und ein kompaktes Awareness-Training, das Richtlinie und KI-Kompetenz gemeinsam vermittelt. Ordnung bei Regeln und Nachweisen schafft unsere Betreuung zur IT-Compliance. Die juristische Feinabstimmung Ihrer Richtlinie klären Sie mit Ihrer Rechtsberatung, die Umsetzung im Alltag übernehmen wir.
Quellen
Alexander Häffner
Geschäftsführer der High5Manufaktur GmbH. Betreut seit 2021 kleine und mittlere Unternehmen bei Microsoft 365, IT-Sicherheit und Digitalisierung.
Das könnte Sie auch interessieren
Fehler entdeckt oder eine Anmerkung zum Thema? Schreiben Sie uns an info@h5m.de. Wir freuen uns über Ihren Hinweis.