KI-Richtlinie für das Unternehmen
Eine Seite, die alle kennen, ist mehr wert als zwanzig, die im Intranet liegen.
Ohne Regel nutzen Mitarbeitende KI trotzdem – nur eben über private Konten, mit Unternehmensdaten und ohne dass jemand davon weiß. Eine KI-Richtlinie ist deshalb kein Bürokratieakt, sondern das Instrument, mit dem Sie diese Nutzung überhaupt sichtbar und steuerbar machen.
Der häufigste Fehler ist Länge. Eine Richtlinie, die auf zwölf Seiten alle denkbaren Fälle regelt, wird nicht gelesen und damit nicht befolgt. Wirksam ist eine Seite, die vier Fragen beantwortet: Welche Werkzeuge darf ich nutzen? Was darf ich hineingeben? Wer haftet für das Ergebnis? Und wen frage ich im Zweifel?
Für wen: Geschäftsführung, IT-Leitung, Datenschutzbeauftragte, Personalabteilung
Die zehn Punkte, die hineingehören
- Geltungsbereich: für wen die Regel gilt, einschließlich Externer und Werkstudierender.
- Freigegebene Werkzeuge: namentlich, mit dem Hinweis, dass andere Werkzeuge vorher freizugeben sind.
- Zugang: dass dienstliche Konten zu nutzen sind und private Konten für dienstliche Zwecke nicht.
- Erlaubte Daten: welche Kategorien eingegeben werden dürfen.
- Verbotene Daten: besondere Kategorien nach Art. 9 DSGVO, Personalakten, Zugangsdaten, Unterlagen unter Verschwiegenheitsvereinbarung.
- Prüfpflicht: dass das Ergebnis vor Verwendung von einem Menschen geprüft wird und die Verantwortung bei diesem bleibt.
- Kennzeichnung: wo KI-Unterstützung offengelegt werden muss – etwa in wissenschaftlichen oder behördlichen Zusammenhängen.
- Entscheidungen über Personen: dass KI dabei höchstens unterstützt und nie allein entscheidet.
- Ansprechpartner: eine namentlich benannte Person für Zweifelsfälle.
- Stand und Gültigkeit: Datum, Version und der nächste Überprüfungstermin.
Typische Fehler
- Zu lang: Alles, was über zwei Seiten geht, wird überflogen.
- Nur Verbote: Eine Richtlinie ohne freigegebenen Weg produziert Schatten-IT statt Sicherheit.
- Zu abstrakt: „Sorgfältiger Umgang mit Daten“ ist keine Regel, sondern eine Hoffnung. Nennen Sie Datenarten.
- Ohne Ansprechpartner: Wenn niemand benannt ist, entscheidet im Zweifel jeder für sich.
- Einmal erlassen, nie geprüft: Werkzeuge und Tarife ändern sich schneller als Richtlinien.
Vorlage zum Anpassen
Der folgende Text ist als Ausgangspunkt gedacht. Passen Sie ihn an Ihre Werkzeuge, Ihre Datenarten und Ihre Organisation an und lassen Sie ihn vor Inkrafttreten rechtlich prüfen – insbesondere, wenn ein Betriebsrat besteht.
- 1. Geltungsbereich: Diese Regelung gilt für alle Beschäftigten sowie für Externe, die in unserem Auftrag tätig sind.
- 2. Freigegebene Werkzeuge: Für dienstliche Zwecke sind ausschließlich die von der IT freigegebenen KI-Werkzeuge zu verwenden. Der Einsatz weiterer Werkzeuge ist vorab bei [Ansprechpartner] zu beantragen.
- 3. Zugang: Es sind ausschließlich die bereitgestellten dienstlichen Zugänge zu nutzen. Die Nutzung privater Konten für dienstliche Inhalte ist nicht zulässig.
- 4. Zulässige Eingaben: Zulässig sind allgemeine fachliche Inhalte, öffentlich verfügbare Informationen sowie interne Texte ohne besondere Schutzbedürftigkeit.
- 5. Unzulässige Eingaben: Nicht eingegeben werden dürfen Gesundheitsdaten und weitere besondere Kategorien personenbezogener Daten, Bewerbungs- und Personalunterlagen, vollständige Kundendatensätze, Zugangsdaten sowie Unterlagen, die einer Verschwiegenheitsvereinbarung unterliegen.
- 6. Verantwortung: Ergebnisse sind vor jeder Verwendung inhaltlich zu prüfen. Die Verantwortung für das Ergebnis verbleibt bei der Person, die es verwendet.
- 7. Entscheidungen über Personen: KI-Werkzeuge dürfen Entscheidungen über Personen vorbereiten, aber nicht treffen. Die Entscheidung trifft nachvollziehbar ein Mensch.
- 8. Kennzeichnung: Wo Dritte eine Offenlegung erwarten oder verlangen, ist die KI-Unterstützung kenntlich zu machen.
- 9. Ansprechpartner: Bei Zweifelsfragen wenden Sie sich an [Name, Funktion, Kontakt].
- 10. Stand: Diese Regelung gilt ab [Datum] in der Fassung [Version] und wird mindestens jährlich überprüft.
Häufige Fragen
- Brauchen wir eine KI-Richtlinie?
- Sobald Mitarbeitende KI-Werkzeuge im Arbeitsalltag nutzen – und das tun sie in aller Regel bereits, ob geregelt oder nicht. Die Richtlinie schafft den freigegebenen Weg, ohne den jede Nutzung unsichtbar bleibt. Zusätzlich ist sie ein praktischer Baustein für die nach EU AI Act geforderte KI-Kompetenz, weil sie die eigenen Regeln überhaupt erst benennbar macht.
- Wie lang sollte eine KI-Richtlinie sein?
- Ein bis zwei Seiten. Die Wirksamkeit einer Nutzungsregel hängt fast vollständig davon ab, ob sie gelesen wird. Detailfragen gehören in ergänzende Hinweise, nicht in die Regelung selbst.
- Muss der Betriebsrat der KI-Richtlinie zustimmen?
- Das hängt vom Inhalt ab. Regelungen zum Verhalten der Beschäftigten im Betrieb und der Einsatz technischer Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind, unterliegen der Mitbestimmung nach dem Betriebsverfassungsgesetz. In der Praxis wird die Richtlinie deshalb meist gemeinsam mit dem Betriebsrat erarbeitet oder in eine Betriebsvereinbarung überführt.
- Sollte man private KI-Nutzung einfach verbieten?
- Ein Verbot ohne bereitgestellte Alternative führt erfahrungsgemäß nicht dazu, dass weniger genutzt wird, sondern dazu, dass die Nutzung unsichtbar wird. Wirksamer ist die Kombination: ein freigegebener dienstlicher Zugang plus die klare Regel, dass private Konten für dienstliche Inhalte nicht zulässig sind.
Weiterlesen
Nur in diesem Browser gespeichert. Ihr Stand erscheint auf der Enablement-Übersicht und in Ihrem Einführungsplan.