KI-Richtlinie im Unternehmen: klare Regeln für den Umgang mit KI-Werkzeugen

Eine KI-Richtlinie legt fest, wie Mitarbeiter eines Unternehmens KI-Werkzeuge wie Sprachmodelle, Übersetzungs- oder Transkriptionsdienste nutzen dürfen: welche Werkzeuge freigegeben sind, welche Daten eingegeben werden dürfen, wie Ergebnisse geprüft werden und wer bei Unklarheiten entscheidet. Sie schützt Daten und Geschäftsgeheimnisse und gibt Beschäftigten Sicherheit im Alltag.

Wozu eine KI-Richtlinie dient

In fast jedem Unternehmen probieren Mitarbeiter frei verfügbare Werkzeuge aus, um Texte zu formulieren, Tabellen auszuwerten oder E-Mails zu übersetzen. Ohne Regel geschieht das im Verborgenen: Niemand weiß, welche Dienste genutzt werden und welche Informationen dabei das Haus verlassen. Ein Verbot ohne Alternative ändert daran wenig, es verlagert die Nutzung nur auf private Geräte.

Für Geschäftsführer kommt eine Haftungsfrage hinzu. Gelangen Kundendaten oder vertrauliche Unterlagen über ein privates Konto zu einem Anbieter, dessen Bedingungen niemand geprüft hat, trägt das Unternehmen die Folgen, nicht der Dienst. Eine schriftliche Regel mit freigegebenen Werkzeugen zeigt im Zweifel, dass das Unternehmen Vorkehrungen getroffen hat.

Eine Regel verfolgt deshalb zwei Ziele zugleich. Sie ermöglicht die Nutzung dort, wo sie hilft, und zieht Grenzen dort, wo Risiken entstehen. Außerdem ist sie ein naheliegender Baustein, um die Pflicht der europäischen KI-Verordnung zu erfüllen, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen.

Bausteine einer KI-Richtlinie

• Geltungsbereich. Für wen die Regel gilt, einschließlich Auszubildender, Aushilfen und externer Kräfte mit Zugang zu Unternehmensdaten.
• Freigegebene Werkzeuge. Eine Liste der erlaubten Dienste mit den Konten, über die sie genutzt werden, und ein Weg, neue Werkzeuge zur Prüfung vorzuschlagen.
• Datenregeln. Welche Informationen in welches Werkzeug dürfen, gestuft nach Vertraulichkeit.
• Prüfpflicht. Ergebnisse von KI-Werkzeugen gelten als Entwurf. Wer sie verwendet, prüft Fakten, Zahlen und Formulierungen und trägt die Verantwortung.
• Kennzeichnung. Wann gegenüber Kunden offengelegt wird, dass ein Text oder eine Antwort automatisch erstellt wurde.
• Zuständigkeit. Eine benannte Stelle für Fragen, Freigaben und gemeldete Vorfälle.

Die Datenfrage in drei Stufen

Der wichtigste Teil jeder Regel ist die Frage, welche Informationen eingegeben werden dürfen. Bewährt hat sich eine Einteilung in drei Stufen:

1. Frei. Öffentliche Informationen und allgemeine Formulierungsaufgaben ohne Bezug zu Kunden oder internen Zahlen.
2. Nur in freigegebenen Unternehmenskonten. Interne Unterlagen ohne Personenbezug, bei Diensten, deren Vertrag die Nutzung der Eingaben regelt.
3. Nicht ohne besondere Freigabe. Personenbezogene Daten von Kunden und Beschäftigten, Gesundheitsdaten, Zugangsdaten, Geschäftsgeheimnisse und Informationen, die unter eine Geheimhaltungsvereinbarung fallen.

Für die dritte Stufe gilt: Soll ein KI-System regelmäßig mit solchen Daten arbeiten, ist das kein Fall für ein Chatfenster, sondern für eine eigene Anwendung mit den passenden Verträgen, etwa einem Auftragsverarbeitungsvertrag.

Einführen, schulen, anpassen

Eine Regel wirkt nur, wenn sie gelesen und verstanden wird. Zwei Seiten in klarer Sprache mit Beispielen aus dem eigenen Alltag erreichen mehr als ein langes Dokument voller Paragrafen. Sinnvoll ist eine kurze Schulung, in der Beschäftigte erlaubte Werkzeuge ausprobieren und typische Fehler sehen: erfundene Quellen, falsche Zahlen, vertrauliche Angaben im Eingabefeld.

Gibt es im Unternehmen einen Betriebsrat, ist er bei der Einführung von Werkzeugen, die Verhalten oder Leistung von Beschäftigten erfassen können, zu beteiligen. Die Regel selbst wird regelmäßig überprüft, weil sich Werkzeuge, Verträge und Rechtslage schnell ändern.

Bewährt hat sich außerdem ein einfacher Meldeweg. Wer versehentlich vertrauliche Angaben in ein nicht freigegebenes Werkzeug eingegeben hat, soll das ohne Angst vor Folgen melden können. Nur dann lässt sich prüfen, ob Daten gelöscht werden müssen oder eine Meldepflicht besteht. Eine Kultur des Verschweigens ist gefährlicher als der einzelne Fehler.

Fallstricke

• Nur Verbote. Wer alles untersagt, bekommt heimliche Nutzung statt geregelter.
• Keine freigegebenen Konten. Ohne Unternehmenszugänge greifen Mitarbeiter auf private Konten zurück, deren Bedingungen niemand kennt.
• Juristendeutsch. Eine Regel, die niemand versteht, wird nicht befolgt.
• Einmal geschrieben, nie angepasst. Die Liste erlaubter Werkzeuge veraltet schneller als jede andere Unternehmensregel.

Dieser Überblick ersetzt weder arbeitsrechtliche noch datenschutzrechtliche Beratung.

Wie wir dabei helfen

Im Rahmen einer Beratung sammeln wir, welche Werkzeuge im Haus tatsächlich genutzt werden, ordnen die Daten in Stufen ein und formulieren die Regel so, dass sie in den Alltag passt. Wo ein Ablauf mit sensiblen Daten regelmäßig KI braucht, zeigen wir, wie eine eigene Anwendung das sauber löst. Mehr dazu im Beitrag zur KI-Strategie und auf der Seite KI-Beratung.