Wir brauchen eine KI-Richtlinie. Was muss da hinein?
KI-Regeln im Unternehmen: Was in eine Richtlinie gehört
Es gibt viele Dokumenten-Generatoren, die in kürzester Zeit eine mehrseitige KI-Richtlinie als PDF ausgeben. Das Ergebnis ist formal einwandfrei und im Betrieb wirkungslos, weil es Werkzeuge regelt, die nicht genutzt werden, und diejenigen auslässt, die tatsächlich in Betrieb sind.
Kurz gesagt
Eine brauchbare KI-Richtlinie passt oft auf eine einzige Seite und beantwortet vier Fragen: Welche Werkzeuge sind zu welchem Zweck freigegeben, welche Daten dürfen hinein, wer entscheidet im Zweifel, und was passiert, wenn etwas schiefgeht. Alles darüber hinaus wird im Alltag nicht gelesen und ändert deshalb wenig.
Auf dieser Seite
Stand: 11. September 2026 · Diese Seite wird gepflegt, wenn sich die Lage ändert.
Warum die meisten Vorlagen im Betrieb nicht ankommen
Eine allgemeine Vorlage erfasst nicht, welche Software bei Ihnen in welchen Anwendungen läuft, welche Daten darin liegen, ein- und ausgehen und wer bei darüber entscheidet. Sie füllt diese Lücken mit allgemeinen Formulierungen, und die sind im konkreten Fall genau dort unbrauchbar, wo jemand tatsächlich eine Antwort bräuchte: Darf der Angebotstext mit dem Kundennamen in dieses Werkzeug?
Dazu kommt ein Effekt, der schwerer wiegt als die Lücke selbst. Eine abgelegte Richtlinie erzeugt das falsche Gefühl, dass das Thema erledigt sei. Damit ist die Wahrscheinlichkeit, dass sich noch jemand die tatsächliche Nutzung ansieht, nach der "Umsetzung" geringer als davor.
Das ist kein Argument gegen ordentliche Vorlagen, sondern eines für die Reihenfolge: Erst wissen, was im genutzt wird, dann regeln. Eine Vorlage ist ein brauchbares Gerüst — aber eben ein Gerüst und kein Ergebnis.
Die vier Fragen, die eine Regel im KI-Regelwerk beantworten muss
Welche Werkzeuge sind freigegeben und zu welchem Zweck?
Eine kurze, namentliche Liste und eine Aussage, was mit allen anderen Fällen ist. „Nicht aufgeführt heißt: vorher fragen“ ist eine funktionierende Regel (Am besten mit Ansprechpartner). „Alles ist verboten, was nicht erlaubt ist“ ist es nicht, weil es nicht eingehalten wird. Wichtig ist, neben dem Werkzeug selbst auch den Anwendungsrahmen zu bestimmen. Das sollte über die Abteilung bis hin zum speziellen Prozess beschrieben sein, wenn möglich
Welche Daten dürfen hinein?
Der eigentliche Kern. Sinnvoll geregelt wird das nicht über Werkzeuge, sondern über Datenklassen, sonst muss die Regel bei jedem neuen Programm neu angepasst werden.
Wer entscheidet im Zweifel?
Ein konkreter Name und keine Abteilung. Die häufigste Ursache für nicht eingehaltene Regeln ist nicht Unwilligkeit, sondern dass im Moment der Unsicherheit niemand erreichbar ist und die Arbeit trotzdem fertig werden muss.
Was passiert, wenn etwas schiefgeht?
Eine Regel ohne folgenlosen Meldeweg produziert Schweigen. Wenn klar ist, dass eine gemeldete Fehlnutzung geklärt und nicht sanktioniert wird, erfahren Sie davon und sonst nicht.
Datenklassen mit Anwendungsfällen statt Verbotslisten
Werkzeuge wechseln, Datenarten nicht. Eine Regel, die an Datenklassen (und Anwendungsfällen) hängt, überlebt deshalb den nächsten Anbieterwechsel, während eine Liste verbotener Programme schon beim übernächsten Update falsch ist. Drei Klassen reichen für die meisten Anwendungen aus:
- Unkritisch: alles, was ohnehin veröffentlicht ist oder werden könnte. Darunter fallen beispielsweise Produktbeschreibungen, allgemeine Recherche oder Textentwürfe ohne Bezug zu einer Person oder einem Auftrag.
- Intern: Das sind Angebote, Kalkulationen, interne Kommunikation, alles mit Rückschluss auf Kunden oder Projekte. Diese Daten sollten nur in KI-Werkzeuge gelangen, bei denen die Verarbeitung vertraglich geklärt ist.
- Besonders geschützt: Damit sind personenbezogene Daten, Gesundheits-, Bewerber- und Mandantendaten und Geschäftsgeheimnisse gemeint. Diese dürfen nur in ausdrücklich dafür freigegebene KI-Werkzeuge und nie ohne vorherige Prüfung.
Der praktische Gewinn dabei ist: Eine Entscheidung über den Einsatz eines KI-Werkzeugs wird damit erheblich beschleunigt und auch die Risikoklassifizierung im KI-Inventar wird um eine Dimension einfacher.
Was bewusst nicht hineingehört
Eine Erklärung, was KI ist
Gehört in die Einweisung, nicht in die Regel. Wer im Moment der Entscheidung eine Definition liest, sucht eine Anweisung.
Rechtstexte und Artikelverweise
Die Regel muss im Alltag funktionieren, nicht die Verordnung belegen. Der Rechtsbezug gehört in die Dokumentation dahinter.
Absolute Verbote ohne Alternative
Ein Verbot ohne freigegebenen Weg verlagert die Nutzung auf private Geräte und Konten. Dann ist sie nicht weg, sondern nur unsichtbar und wird zur Schatten-KI.
Regeln für Werkzeuge, die niemand hat
Jede Zeile, die im Haus niemanden betrifft, senkt die Wahrscheinlichkeit, dass die Zeilen darüber oder darunter gelesen werden.
Vom Papier in den Alltag
Eine Regel wirkt erst, wenn sie dort auftaucht, wo gearbeitet wird. Drei Dinge entscheiden darüber und kosten zusammen weniger Zeit als das Schreiben des Dokuments: Sie geht einmal mündlich durch, und das nicht als Rundmail, sondern in derselben Sitzung, in der die Einweisung zur KI-Kompetenz stattfindet. Sie ist Teil der Einarbeitung, sodass jemand, der gerade neu anfängt, sie auch bekommt. Und sie hat einen festen Termin, an dem sie gegen das Inventar gehalten wird, typischerweise einmal im Quartal.
Wichtig: Erst wenn das Regelwerk zum zweiten Mal überarbeitet wurde, hat es sich im Betrieb gesetzt. Bis dahin ist es ein Entwurf, auch wenn es unterschrieben ist.
Vor Ort
Was das in der Region bedeutet
Regeln, die im Betrieb tatsächlich gelten, entstehen selten am Schreibtisch. Am besten funktioniert es, wenn die Leute, die die Werkzeuge täglich benutzen, beim Formulieren mit am Tisch sitzen, denn dann kommen die Fälle auf den Tisch, die eine Vorlage nicht kennt. Solche Termine lassen sich im Zollernalbkreis und in den Nachbarlandkreisen kurzfristig und ohne großen Reiseaufwand ansetzen.
Vor Ort im Zollernalbkreis, in Rottweil, Tuttlingen, Freudenstadt, Tübingen und Reutlingen — und im gesamten Großraum Stuttgart.
Der nächste Schritt
Wenn Sie das nicht allein machen wollen: Die vier Bausteine
Das Regelwerk entsteht in Baustein 3, auf Grundlage des Inventars aus Baustein 2 — deshalb regelt es die Werkzeuge, die Sie wirklich haben.
Häufige Fragen
Was dazu am häufigsten gefragt wird
Ist eine KI-Richtlinie für Unternehmen vorgeschrieben?
Die KI-Verordnung verlangt kein Dokument dieses Namens. Sie verlangt aber, dass Betreiber ihre Systeme bestimmungsgemäß einsetzen, für KI-Kompetenz sorgen und die menschliche Aufsicht sicherstellen. Eine schriftliches Regelwerk ist der praktikabelste Weg, das im Alltag zu organisieren und später auch zeigen zu können. Es ist damit sinnvoll, aber nicht als solches vorgeschrieben.
Taugt eine kostenlose Vorlage als KI-Richtlinie?
Als Gerüst ja, als Ergebnis nein. Eine Vorlage kann nicht wissen, welche Werkzeuge bei Ihnen für welche Zwecke im Einsatz sind, welche Daten darin verarbeitet werden und wer bei Ihnen entscheidet. Genau das sind aber die Angaben, wegen derer jemand im Zweifelsfall nachliest. Sinnvoll ist es, eine Vorlage als Struktur zu nehmen und sie gegen das eigene KI-Inventar zu füllen.
Wie lang sollte eine KI-Richtlinie sein?
So kurz, dass sie im Moment der Unsicherheit tatsächlich gelesen wird. Eine Seite ist für die meisten kleinen und mittleren Unternehmen das richtige Maß: freigegebene Werkzeuge, Datenklassen, Ansprechpartner, Meldeweg. Ausführlichere Begründungen, Rechtsbezüge und Prüfvermerke gehören in die Dokumentation dahinter, nicht in das Papier, das am Arbeitsplatz gilt. Eine Referenzliste mit genauen Freigaben taugt als durchsuchbarer Anhang, und kann beispielsweise auch in das KI-Inventar integriert werden.
Sollten wir KI-Werkzeuge nicht einfach verbieten?
Ein pauschales Verbot löst das Problem selten, weil es die Arbeit nicht erledigt, für die die Werkzeuge benutzt wurden. In der Praxis verlagert sich die Nutzung dann auf private Geräte und Konten und wird dadurch zur unsichtbaren Schatten-KI, statt zu verschwinden. Wirksamer ist die Kombination aus einem freigegebenen Weg für die häufigsten Aufgaben und klaren Grenzen für sensible Daten, sowie einem klar erkennbaren (und vor allem schlanken) Freigabeprozess.
Wer sollte die KI-Richtlinie im Unternehmen verantworten?
Eine namentlich benannte Person mit Entscheidungsbefugnis, und nicht eine Abteilung. In kleineren Betrieben ist das oft die Geschäftsführung selbst, in größeren jemand aus IT, Qualitätsmanagement oder Datenschutzorganisation. Entscheidend ist weniger die Funktion als die Erreichbarkeit: Die Regel wird dort gebrochen, wo im Zweifelsfall niemand ansprechbar ist.
Weiterlesen
Fragen, die sich daran anschließen
Was bedeuten die beiden Begriffe und was passiert wirklich, sobald ich etwas eingebe?
Datenspeicherung und Datenverarbeitung
AnsehenWie bekommen wir einen Überblick über unsere KI-Nutzung?
KI-Inventar erstellen: Erfassen, was im Haus wirklich läuft
AnsehenBrauchen wir eine KI-Schulung — und was muss dokumentiert sein?
KI-Kompetenz nach Artikel 4: Was Unternehmen nachweisen müssen
AnsehenWas gilt für uns — und ab wann?
Die EU-KI-Verordnung für kleine und mittlere Unternehmen
AnsehenAus dem Blog
Die Überlegungen dahinter
Vertiefende Informationen, weiterführende Impulse und Meinungen zum Thema im Blog.
31. August 2026
Sieben Fragen vor der Freigabe eines KI-Tools
Vor der Freigabe eines KI-Tools reicht ein Produktvergleich nicht aus. Oft ist aber ein kurzer Prüfrahmen der bessere Einstieg als eine große Governance-Analyse.
Weiterlesen18. August 2026
KI-Regelwerk auf einer Seite: Schnelle Hilfe bei KI-Compliance
Ein gutes KI-Regelwerk ist ein kurzes Papier und eine praxisnahe Orientierung für den Alltag. Es geht um klare Regeln, verbindliche Zuständigkeiten und einen sicheren Umgang mit KI-Tools.
Weiterlesen12. August 2026
KI-Omnibus 2026: Welche Fristen sich verschieben und was das für Unternehmen praktisch bedeutet
Der KI-Omnibus 2026 verschiebt zentrale Fristen der EU-KI-Verordnung. Entscheidend ist jetzt, die gewonnene Zeit sinnvoll zu nutzen: mit sauberem Inventar, klaren Zuständigkeiten und realistischen Umsetzungsplänen.
WeiterlesenWir brauchen eine KI-Richtlinie. Was muss da hinein?
Im kostenlosen Orientierungsgespräch klären wir in 20 bis 30 Minuten, wie das für Ihr Haus konkret aussieht — ohne Detailprüfung und ohne Verpflichtung.