KI nutzen, ohne Datenchaos zu riskieren: Was in Ihre Richtlinie gehört

25 Seiten Richtlinie? Brauchen die wenigsten zum Start. Was Sie brauchen, ist eine kurze, klare und wirklich nutzbare Vereinbarung darüber, wie Ihr Team KI einsetzen darf – und wo die Grenzen liegen.

Eine gute KI-Richtlinie ist kein Dokument für die Schublade. Sie soll Tempo ermöglichen, Unsicherheit reduzieren und verhindern, dass jede Person im Unternehmen ihre eigene Schattenregel entwickelt.

Im Mittelstand ist der richtige Anfang meist pragmatisch: wenige Seiten, klare Beispiele, feste Verantwortlichkeiten und ein Rhythmus zur Weiterentwicklung.

Hinweis: Dieser Beitrag bietet technische und organisatorische Orientierung, aber keine Rechtsberatung. Prüfen Sie den konkreten KI-Einsatz mit Ihrer Datenschutzfunktion und einer fachlich qualifizierten Rechtsberatung.

Warum eine KI-Richtlinie überhaupt nötig ist

KI-Nutzung entsteht selten erst nach offizieller Freigabe. Mitarbeitende testen Tools, schreiben Texte, fassen E-Mails zusammen, analysieren Tabellen, formulieren Angebote oder lassen sich Code und Formeln erklären.

Wenn es dafür keine Regeln gibt, entstehen vier Risiken:

• Menschen geben sensible Daten in ungeeignete Tools ein.
• Ergebnisse werden ungeprüft übernommen.
• Teams nutzen unterschiedliche Werkzeuge ohne Übersicht.
• Führung, IT und Datenschutz erfahren zu spät, was bereits passiert.

Eine Richtlinie muss diese Realität anerkennen. Sie sollte nicht so tun, als könne man KI-Nutzung einfach verbieten und damit erledigen. Besser ist ein klarer Rahmen: Was ist erlaubt, was ist verboten, was braucht Freigabe und was muss dokumentiert werden?

Der aktuelle regulatorische Kontext

Seit dem 2. Februar 2025 gilt Artikel 4 des EU AI Act zur KI-Kompetenz. Anbieter und Betreiber von KI-Systemen müssen angemessene Maßnahmen ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei Personen sicherzustellen, die mit KI-Systemen umgehen. Die EU-Kommission betont dabei einen risikobasierten Ansatz: Kontext, Rolle, Kenntnisse, Nutzung und Risiken des jeweiligen Systems zählen.

Quelle: EU-Kommission: Fragen und Antworten zur KI-Kompetenz

Das heißt für Ihre Richtlinie: Sie ist nicht nur ein Datenschutztext. Sie gehört zu einem größeren Betriebsmodell aus Schulung, klaren Tool-Regeln, Prüfung und Verantwortung.

Eine interne KI-Richtlinie ersetzt weder die Prüfung des konkreten Einsatzes nach DSGVO und AI Act noch belastbare Nachweise zu Rollen, Zuständigkeiten und Verträgen.

Zusätzlich bietet ISO/IEC 42001 die Perspektive eines Managementsystems auf KI: Organisationen sollen Risiken, Chancen, Verantwortlichkeiten und kontinuierliche Verbesserung strukturiert führen. Für die meisten Mittelständler ist eine Zertifizierung nicht der erste Schritt. Aber die Logik dahinter ist hilfreich: KI braucht nicht nur Einzelfreigaben, sondern wiederkehrende Regeln und klare Verantwortlichkeiten.

Quelle: ISO/IEC 42001:2023

Was in eine pragmatische KI-Richtlinie hineinmuss

1. Zweck und Geltungsbereich

Beginnen Sie mit einer einfachen Aussage:

• Warum gibt es die Richtlinie?
• Für wen gilt sie?
• Welche Arten von KI-Nutzung sind gemeint?
• Gilt sie nur für öffentliche Tools oder auch für integrierte Funktionen in Office, CRM, ERP, Browsern und Fachsoftware?

Beispielhafte Logik:

„Diese Richtlinie regelt die Nutzung von KI-Werkzeugen im Arbeitskontext. Sie gilt für alle Mitarbeitenden, Dienstleisterinnen und Dienstleister, die im Auftrag des Unternehmens mit KI arbeiten.“

Wichtig: Der Geltungsbereich darf nicht zu eng sein. KI steckt inzwischen in vielen Produkten, nicht nur in separaten Chat-Tools.

2. Erlaubte und nicht erlaubte Tools

Die Richtlinie sollte eine einfache Tool-Ampel enthalten.

• Grün: freigegebene Tools für definierte Zwecke
• Gelb: Nutzung nur nach Rücksprache oder in Pilotumgebung
• Rot: keine Nutzung mit Unternehmensdaten

Für jedes freigegebene Tool sollten mindestens diese Punkte festgehalten werden:

• wofür es genutzt werden darf
• welche Datenklassen erlaubt sind
• ob Eingaben gespeichert oder für das Training verwendet werden
• wer fachlich verantwortlich ist
• wo Support oder Rückfragen landen

Das muss nicht perfekt starten. Aber ohne Toolübersicht bleiben Regeln und Verantwortlichkeiten schnell theoretisch.

3. Datenklassen

Das Herzstück jeder KI-Richtlinie ist der Umgang mit Daten. Nicht jede Information ist gleich kritisch.

Pragmatische Klassen:

• Öffentlich: Inhalte, die bereits öffentlich verfügbar sind.
• Intern: Arbeitsinformationen ohne besondere Sensibilität.
• Vertraulich: Kundeninformationen, Konditionslogik, Verträge, interne Strategien.
• Personenbezogen: Daten, die sich auf natürliche Personen beziehen.
• Besonders schützenswert: Gesundheitsdaten, sensible HR-Informationen, besondere Kategorien personenbezogener Daten.

Für jede Klasse sollte klar sein:

• Darf sie in freigegebenen Tools verarbeitet werden?
• Braucht es Anonymisierung oder Pseudonymisierung?
• Braucht es Freigabe durch Datenschutz, IT oder Führung?
• Welche Beispiele gelten im Alltag?

Eine Richtlinie ohne Beispiele wird selten genutzt. Schreiben Sie konkret: „Keine Kundennamen, Sendungsdaten, Bewerbungsunterlagen oder Vertragsdetails in öffentliche KI-Tools eingeben.“

4. Erlaubte Anwendungsfälle

Mitarbeitende brauchen Orientierung. Eine gute Richtlinie nennt ausdrücklich erlaubte Nutzungen.

Typische sichere Startfälle:

• Texte strukturieren oder kürzen
• interne Entwürfe vorbereiten
• Ideen sammeln
• Meetingnotizen zusammenfassen, sofern sie keine sensiblen Inhalte enthalten
• Tabellenlogik erklären lassen
• allgemeine Recherchefragen vorbereiten
• Schulungsunterlagen verständlicher machen

Wichtig ist die Einschränkung: „sofern keine sensiblen, vertraulichen oder personenbezogenen Daten eingegeben werden.“

5. Verbotene oder freigabepflichtige Anwendungsfälle

Ebenso wichtig sind rote Linien.

Typische No-Gos:

• personenbezogene Daten in nicht freigegebene Tools eingeben
• Kundenkommunikation ungeprüft versenden
• rechtliche, medizinische oder finanzielle Aussagen ungeprüft übernehmen
• automatisierte Entscheidungen über Menschen treffen
• vertrauliche Verträge, Konditionen oder Strategiedokumente in öffentliche Tools kopieren
• KI-Ausgaben als sichere Quelle behandeln

Freigabepflichtig sind häufig:

• Verarbeitung personenbezogener Daten
• Integrationen mit Fachsystemen
• automatisierte Kundenkommunikation
• HR- oder Bewerbungsprozesse
• Bewertung oder Priorisierung von Personen
• produktive Abläufe mit Außenwirkung

6. Fachliche Prüfung und Verantwortung

Eine Richtlinie muss klarstellen: Wer KI nutzt, bleibt verantwortlich für das Ergebnis.

Das sollte ausdrücklich drinstehen:

• KI-Ausgaben sind Entwürfe.
• Fachliche Prüfung ist Pflicht.
• Quellen müssen geprüft werden, wenn Fakten relevant sind.
• Bei Außenkommunikation braucht es Prüfung.
• Bei Unsicherheit wird eskaliert.

Gerade im Mittelstand ist das wichtig, weil Verantwortung oft persönlich und kundennah ist. KI darf diese Verantwortung nicht unsichtbar verschieben.

7. Kennzeichnung und Transparenz

Nicht jede KI-Nutzung muss extern gekennzeichnet werden. Aber intern sollte klar sein, wo KI im Prozess hilft.

Regelt:

• Wann muss KI-Nutzung intern dokumentiert werden?
• Wann müssen Kundinnen und Kunden informiert werden?
• Wo wird ein KI-Ablauf im Prozess beschrieben?
• Welche Entscheidungen wurden durch KI vorbereitet?

Für einfache Textentwürfe braucht es oft keine umfangreiche Dokumentation. Für produktive Abläufe mit Datenverarbeitung braucht es deutlich mehr.

8. Datenschutz und Sicherheit

Hier muss die Richtlinie nicht die komplette DSGVO erklären. Sie muss aber die praktischen Pflichten in den Arbeitsalltag übersetzen.

Mindestpunkte:

• keine personenbezogenen Daten in nicht freigegebene Tools
• keine besonderen Kategorien personenbezogener Daten ohne Freigabe
• Auftragsverarbeitung und Anbieterprüfung bei produktiven Tools
• Lösch- und Speicherlogik klären
• Zugriff nach Rollen begrenzen
• Datenminimierung beachten
• Datenschutzbeauftragte früh einbeziehen

Der Europäische Datenschutzausschuss betont bei KI-Modellen, dass Fragen zu personenbezogenen Daten, Anonymität und berechtigtem Interesse fallbezogen bewertet werden müssen. Eine Richtlinie sollte deshalb nicht pauschal alles erlauben, sondern den Prüfpfad festlegen.

Quelle: EDPB: Opinion 28/2024 zu KI-Modellen

9. Schulung und KI-Kompetenz (AI Literacy)

Eine Richtlinie ohne Schulung bleibt Papier. Teams müssen verstehen:

• was KI gut kann
• wo sie halluziniert
• welche Daten nicht eingegeben werden dürfen
• wie Ergebnisse geprüft werden
• welche Tools freigegeben sind
• welche Rolle die menschliche Prüfung spielt

Die EU-Kommission stellt klar, dass AI Literacy kontextabhängig ist. Das passt gut zum Mittelstand: Einkauf, Vertrieb, HR, Service, Operations und IT brauchen nicht alle dieselbe Schulung. Sie brauchen die Schulung, die zu ihrer Nutzung passt.

10. Betrieb, Aktualisierung und Ansprechpartner

KI-Regeln veralten schnell. Deshalb braucht die Richtlinie einen Eigentümer und einen Rhythmus.

Regelt:

• Wer pflegt die Richtlinie?
• Wie werden neue Tools freigegeben?
• Wo melden Teams neue Hebel?
• Wie werden Vorfälle oder Unsicherheiten dokumentiert?
• Wann wird die Richtlinie überprüft?

Für viele Mittelständler reicht eine quartalsweise Prüfung. Wichtig ist, dass das Dokument lebt.

Was für den Start oft nicht nötig ist

Nicht jedes Unternehmen braucht sofort:

• ein 40-seitiges Handbuch für KI-Regeln und Verantwortlichkeiten
• ein eigenes AI Board
• eine ISO-Zertifizierung
• komplexe Rollenmodelle für hypothetische Hebel
• ein Toolverbot, das im Alltag ohnehin umgangen wird

Der erste Schritt darf kleiner sein. Aber er muss ernsthaft sein.

Eine einfache Struktur für Ihr Richtliniendokument

Eine gute erste Struktur:

1. Zweck und Geltungsbereich
2. Grundprinzipien
3. Tool-Ampel
4. Datenklassen
5. Erlaubte Nutzung
6. Verbotene oder freigabepflichtige Nutzung
7. Prüfung, Freigabe und menschliche Kontrolle
8. Datenschutz und Sicherheit
9. Schulung und Support
10. Aktualisierung und Verantwortung

Das passt meist auf wenige Seiten. Die Qualität liegt nicht in der Länge, sondern in der Alltagstauglichkeit.

Der wichtigste Satz

Wenn eine Richtlinie nur einen Satz wirklich verankert, dann diesen:

KI darf Arbeit vorbereiten, aber Verantwortung bleibt bei den Menschen, die für den Prozess zuständig sind.

Das schützt Sie vor zwei Extremen: überzogenen Versprechen und lähmender Angst.

Was wir bei Fluxward daraus machen

Wir entwickeln KI-Richtlinien nicht als juristisches Dokument ohne Bezug zum Alltag. Wir verbinden sie mit Ihren realen Abläufen:

• Welche Teams nutzen KI heute schon?
• Welche Daten kommen tatsächlich vor?
• Welche Tools sind bereits im Einsatz?
• Welche Pilotfälle stehen an?
• Wo braucht es Freigabe?
• Welche Schulung macht die Richtlinie nutzbar?
• Wie wird das Ganze im Betrieb nachgehalten?

Wenn Sie gerade merken, dass KI-Nutzung im Unternehmen schneller wächst als Ihre Regeln, ist das ein guter Moment für ein Orientierungsgespräch. Wenn Regeln, Verantwortlichkeiten, Schulung und laufender Betrieb zusammengeführt werden sollen, brauchen Sie danach einen klaren Prüf- und Betriebsrhythmus.