Sobald Mitarbeitende ChatGPT, Copilot oder ähnliche Tools im Arbeitsalltag nutzen, entsteht ein Regelungsbedarf, den viele KMU unterschätzen. Eine KI-Nutzungsrichtlinie legt schriftlich fest, welche KI-Tools erlaubt sind, wie mit Unternehmens- und Kundendaten umzugehen ist und wer im Zweifelsfall entscheidet. Ohne sie experimentieren Teams meist auf eigene Faust – mit Risiken, die vom Datenschutzverstoß bis zum Verlust von Geschäftsgeheimnissen reichen.
Was bedeutet eine KI-Nutzungsrichtlinie?
Eine KI-Nutzungsrichtlinie ist ein internes Regelwerk, das den Einsatz von KI-Systemen im Betrieb verbindlich strukturiert. Sie definiert typischerweise drei Dinge: erstens, welche Tools genutzt werden dürfen (Whitelist) und welche tabu sind, zweitens, welche Daten in welche Systeme eingegeben werden dürfen, und drittens, wer bei neuen Tool-Wünschen oder Zweifelsfällen entscheidet. Anders als ein Auftragsverarbeitungsvertrag, der die Beziehung zu einem einzelnen Anbieter regelt, betrifft die Richtlinie das Verhalten der eigenen Belegschaft. Sie ergänzt damit Verträge mit KI-Anbietern, ersetzt sie aber nicht. In größeren Betrieben mit Betriebsrat kommt meist eine begleitende Betriebsvereinbarung hinzu, weil KI-Systeme, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, der Mitbestimmung nach § 87 BetrVG unterliegen können.
Warum ist eine KI-Nutzungsrichtlinie für mein Unternehmen wichtig?
Ohne klare Regeln entsteht schnell sogenannte Schatten-KI: Mitarbeitende nutzen private Accounts kostenloser KI-Tools, um schneller zu arbeiten – oft ohne zu wissen, dass eingegebene Texte zu Trainingszwecken verarbeitet werden können oder vertrauliche Kundendaten in fremde Systeme gelangen. Ein typisches Beispiel: Ein Mitarbeiter kopiert einen Kundenvertrag in ein kostenloses KI-Tool, um eine Zusammenfassung zu erhalten – ohne Prüfung, ob dafür die datenschutzrechtlichen Voraussetzungen erfüllt sind. Das kann personenbezogene Daten oder Geschäftsgeheimnisse offenlegen, ohne dass die Geschäftsführung davon erfährt.
Eine Richtlinie schafft hier Klarheit und schützt gleich mehrfach: Sie reduziert das Risiko von Datenschutzverstößen, sie dokumentiert gegenüber Aufsichtsbehörden und Kunden, dass der KI-Einsatz gesteuert wird, und sie gibt Mitarbeitenden Sicherheit, welche Tools sie bedenkenlos nutzen dürfen. Gerade weil der EU AI Act zusätzliche Pflichten für bestimmte KI-Anwendungen einführt, hilft eine aktuelle Richtlinie auch dabei, neue regulatorische Anforderungen frühzeitig einzuordnen.
KI-Nutzungsrichtlinie in der Praxis
Ein Beispiel aus einem Steuerbüro mit 25 Mitarbeitenden zeigt den typischen Ablauf:
1. Bestandsaufnahme. Zunächst wird erfasst, welche KI-Tools bereits im Team genutzt werden – oft mehr, als die Geschäftsleitung vermutet. Dazu gehört auch Schatten-KI, also nicht offiziell freigegebene Nutzung.
2. Kategorisierung. Tools werden in drei Gruppen eingeteilt: freigegeben, freigegeben mit Auflagen (z. B. keine Kundendaten), und nicht erlaubt. Für den Bürobetrieb könnte etwa Microsoft 365 Copilot (DSGVO-Score 8,0/10, ab 18 €/Monat) für interne Textarbeit freigegeben werden, während ChatGPT Plus (DSGVO-Score 5,0/10, kostenloser Plan vorhanden, Preise beim Anbieter prüfen) nur ohne personenbezogene Mandantendaten genutzt werden darf. Für Entwicklungsteams ist GitHub Copilot (DSGVO-Score 7,5/10, Preis beim Anbieter prüfen) ein Beispiel für ein Tool, das mit klaren Vorgaben zum Umgang mit Quellcode eingesetzt werden kann. Diese Werte sind Momentaufnahmen – aktuelle Konditionen und Datenschutzangaben solltet ihr direkt beim jeweiligen Anbieter prüfen.
3. Datenschutzprüfung. Für jedes freigegebene Tool wird geklärt, ob eine Auftragsverarbeitung vorliegt und ob die entsprechenden Voraussetzungen – insbesondere ein AVV nach Art. 28 DSGVO – erfüllt sind. Bei reiner Texterstellung ohne personenbezogene Daten entfällt dieser Schritt oft.
4. Mitbestimmung einbeziehen. Existiert ein Betriebsrat, wird er frühzeitig eingebunden, da KI-Systeme zur Leistungs- oder Verhaltenskontrolle geeignet sein können.
5. Schulung und Kommunikation. Die Richtlinie nützt nichts, wenn sie niemand kennt. Eine kurze Einweisung plus ein einseitiges Merkblatt reichen oft aus.
6. Verantwortlichkeiten festlegen. Ein fester Ansprechpartner – häufig der oder die Datenschutzbeauftragte – nimmt neue Tool-Anfragen entgegen.
7. Regelmäßige Aktualisierung. Da sich Tools und Rechtslage schnell ändern, sollte die Richtlinie mindestens jährlich überprüft werden.
Häufige Stolperfallen
Viele KMU scheitern nicht an der Idee, sondern an der Umsetzung: Die Richtlinie wird einmal geschrieben und danach nie wieder aktualisiert, obwohl ständig neue Tools auftauchen. Oder sie ist so allgemein formuliert, dass sie im Alltag keine Entscheidungshilfe bietet. Hilfreich ist deshalb ein kurzes, konkretes Dokument statt eines langen Grundsatzpapiers – mit einer klaren Tool-Liste, die regelmäßig gepflegt wird, statt abstrakter Prinzipien.
Weiterführendes
Wer eine Richtlinie aufsetzt, sollte sich zusätzlich mit dem Auftragsverarbeitungsvertrag, mit Standardvertragsklauseln (SCCs) für Datenübermittlungen in Drittländer außerhalb der EU sowie mit dem EU AI Act auseinandersetzen. Auch unsere Methodik-Seite unter /methodik erläutert, wie wir KI-Tools hinsichtlich Datenschutz bewerten.
Häufige Fragen
Braucht jedes Unternehmen eine KI-Nutzungsrichtlinie?
Sobald Mitarbeitende KI-Tools im Arbeitsalltag einsetzen, empfiehlt sich eine Richtlinie unabhängig von der Unternehmensgröße. Schon ein einseitiges Dokument mit erlaubten Tools und Datenregeln reduziert das Risiko von Schatten-KI deutlich.
Muss der Betriebsrat bei einer KI-Nutzungsrichtlinie beteiligt werden?
Ist ein Betriebsrat vorhanden, ist eine frühzeitige Einbindung sinnvoll, da KI-Systeme, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, der Mitbestimmung nach Paragraf 87 Betriebsverfassungsgesetz unterliegen können. Ob im konkreten Fall eine Betriebsvereinbarung nötig ist, sollte arbeitsrechtlich geprüft werden.
Reicht ein Verbot privater KI-Tools als Richtlinie aus?
Ein reines Verbot führt in der Praxis oft dazu, dass Mitarbeitende Tools trotzdem heimlich nutzen. Wirksamer ist eine Richtlinie, die konkrete freigegebene Alternativen benennt und klare Datenregeln vorgibt.
Wie oft sollte eine KI-Nutzungsrichtlinie aktualisiert werden?
Da sich Tools, Anbieterbedingungen und Rechtslage schnell ändern, empfiehlt sich eine Überprüfung mindestens einmal jährlich sowie zusätzlich immer dann, wenn neue KI-Tools im Unternehmen eingeführt werden.