KI-Richtlinie für dein Team: was rein muss

Eine KI-Richtlinie ist die schriftliche Hausregel, wie dein Team KI-Werkzeuge wie ChatGPT, Claude oder Gemini nutzt: welche Werkzeuge erlaubt sind, welche Daten hinein dürfen, wer Ergebnisse prüft und wann etwas gekennzeichnet wird. Ein bestimmtes Dokument schreibt das Gesetz nicht vor, die KI-Verordnung der EU verlangt aber Maßnahmen für die KI-Kompetenz deiner Leute, und eine schriftliche Regel ist eine einfache, nachweisbare Form davon. Für ein kleines Team reichen eine bis zwei Seiten.

Ich bin Entwickler und kein Anwalt, das hier ist keine Rechtsberatung, sondern die Betreiber-Perspektive. Meine vierzehn KI-Mitarbeiter laufen auf Claude Team, manche auch auf offenen Modellen oder über die API. Für sie gilt ein schriftliches Regelwerk. Die Gesetzestexte habe ich am 27.10.2026 an der Quelle gelesen: die KI-Verordnung in der konsolidierten Fassung auf EUR-Lex, das Betriebsverfassungsgesetz und das Geschäftsgeheimnisgesetz. Weitere Beiträge zu KI im Betrieb sammle ich auf der Seite KI-Grundlagen.

Warum eine Richtlinie sinnvoll ist

Eine KI-Richtlinie bündelt Pflichten, die ohnehin gelten, in einer Seite, die jeder versteht:

• KI-Kompetenz. Nach Artikel 4 der KI-Verordnung ergreifen Anbieter und Betreiber von KI-Systemen „Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen“, die in ihrem Auftrag mit KI arbeiten. Betreiber bist du, sobald dein Betrieb KI beruflich nutzt. Ein bestimmtes Format gibt es nicht. Die Bundesnetzagentur empfiehlt aber, die Maßnahmen gut zu dokumentieren und „Ziele und Verantwortlichkeiten“ festzulegen. Wie das im Detail geht, steht in KI-Kompetenz nach AI Act: Mitarbeiter schulen.
• Datenschutz. Für Kundendaten gilt die Datenschutz-Grundverordnung (DSGVO). Arbeitet ein KI-Anbieter als Auftragsverarbeiter, also in deinem Auftrag, braucht es nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Darin steht unter anderem, dass der Anbieter die Daten nur nach deiner dokumentierten Weisung verarbeitet. Der Vertrag ist nötig, aber nicht alles: Auch Einstellungen und die Frage, welche Daten überhaupt hinein dürfen, gehören geklärt, und die Regel dafür muss jeder kennen, nicht nur du. Meine drei Prüffragen vor jeder Eingabe stehen in KI und Datenschutz: was die KI sehen darf.
• Geschäftsgeheimnisse. Nach § 2 Nr. 1 Buchst. b des Geschäftsgeheimnisgesetzes ist eine Information nur dann geschützt, wenn sie unter anderem „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen“ ist. Eine klare Regel, was nicht in fremde Werkzeuge gehört, kann zu solchen Maßnahmen gehören.
• Betriebsrat. Gibt es einen, muss er nach § 90 Abs. 1 Nr. 3 BetrVG rechtzeitig über die Planung von Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichtet werden. Bei Werkzeugen, die Verhalten oder Leistung überwachen können, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht. Prüfen solltest du außerdem § 87 Abs. 1 Nr. 1 BetrVG, der „Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb“ betrifft. Ob eine KI-Richtlinie darunter fällt, klärst du am besten fachlich. Mehr dazu in Brauche ich einen KI-Beauftragten?.

Was in die Richtlinie gehört

Sieben Punkte decken bei kleinen Betrieben fast alles ab. Das ist meine Empfehlung, keine gesetzliche Liste.

1. Wer zuständig ist. Eine Person, die Fragen beantwortet und die Richtlinie aktuell hält. Bei fünf Leuten meist die Inhaberin oder der Inhaber.
2. Welche Werkzeuge erlaubt sind. Mit Name und Tarif, zum Beispiel „Claude Team über das Firmenkonto“. Private Konten für Firmendaten schließt du ausdrücklich aus.
3. Welche Daten hinein dürfen. Am einfachsten als Ampel: Grün für Öffentliches und eigene Entwürfe, Gelb für interne Informationen und Kundendaten, die nur in freigegebene Werkzeuge mit Vertrag zur Auftragsverarbeitung dürfen, Rot für alles, was nie in ein KI-Werkzeug gehört, etwa Passwörter und Zugangsdaten.
4. Wer prüft und freigibt. KI-Ergebnisse sind Entwürfe. Was an Kunden, Behörden oder die Öffentlichkeit geht, prüft vorher ein Mensch.
5. Wann gekennzeichnet wird. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung, etwa die Offenlegung bei Deepfakes. Die Richtlinie legt fest, wie ihr das im Alltag umsetzt.
6. Was mit fremden Inhalten gilt. Keine fremden Fotos, Logos oder Texte als Vorlage hochladen, wenn ihr die Rechte nicht habt, und KI-Ergebnisse vor der Veröffentlichung auf erkennbare fremde Werke prüfen.
7. Wohin mit Fehlern und Fragen. Ein Weg, um Unsinn, Datenpannen oder Unsicherheit zu melden, ohne dass jemand Ärger fürchten muss. Dazu ein Datum, an dem ihr die Regel überprüft.

Vorlage zum Anpassen

Die folgende Vorlage ist ein Gerüst für einen kleinen Betrieb ohne Hochrisiko-Anwendungen. Ersetze die Klammern und streiche, was nicht passt.

KI-Richtlinie von [Betrieb], Stand [Datum]

1. Zuständig: [Name]. Fragen zu KI-Werkzeugen gehen an diese Person.

2. Erlaubte Werkzeuge: [Werkzeug und Tarif, z. B. über das Firmenkonto]. Andere Werkzeuge nur nach Rücksprache. Private Konten nutzen wir nicht für Firmendaten.

3. Daten: Grün, erlaubt: öffentliche Informationen, eigene Texte, anonymisierte Beispiele. Gelb, nur in [freigegebene Werkzeuge mit Vertrag zur Auftragsverarbeitung] und nur so viel wie nötig: interne Informationen, Kundendaten. Rot, nie: Passwörter, Zugangsdaten, [weitere, z. B. Personalakten oder Gesundheitsdaten].

4. Prüfen: KI-Ergebnisse sind Entwürfe. Was unser Haus verlässt, prüft vorher ein Mensch auf Fakten, Zahlen und Ton.

5. Kennzeichnen: Bilder, Videos oder Ton, die echt wirken, aber mit KI erzeugt oder verändert sind, kennzeichnen wir sichtbar.

6. Fremde Inhalte: Wir laden keine fremden Werke hoch, für die wir keine Rechte haben, und prüfen KI-Ergebnisse vor der Veröffentlichung.

7. Lernen und Melden: Jede Person bekommt eine Einweisung in die Werkzeuge, die sie nutzt. Fehler und Unsicherheiten melden wir an [Name]. Wir prüfen diese Richtlinie am [Datum].

So führst du sie ein

1. Erst fragen, dann schreiben. Frag dein Team, welche Werkzeuge es heute schon nutzt und wofür. Die Liste ist zugleich der erste Schritt der Bundesnetzagentur: Bedarf ermitteln.
2. Gemeinsam durchgehen. Eine halbe Stunde im Team reicht, mit einem Beispiel je Ampelfarbe aus eurem Alltag.
3. Festhalten, wer eingewiesen wurde. Datum, Thema, Teilnehmende. Das ist deine Dokumentation zur KI-Kompetenz.
4. Nachschärfen. Nach drei Monaten fragst du, wo die Regel im Weg war oder gefehlt hat.

In meinem eigenen Betrieb gilt eine Regel, die ich jedem kleinen Team empfehle: Was das Haus verlässt, gebe ich frei, und eine getrennte Rolle prüft vorher. Das ist meine Arbeitsregel, keine gesetzliche Vorgabe.

Worauf du achten solltest

• Keine Konzernvorlage abschreiben. Zwanzig Seiten liest in einem kleinen Betrieb niemand. Eine Seite, die gelebt wird, schützt mehr.
• Verbote brauchen eine Alternative. Wer nur verbietet, ohne ein erlaubtes Werkzeug zu nennen, lädt zur Nutzung privater Konten ein.
• Freelancer mitdenken. Artikel 4 spricht auch von Personen, die in deinem Auftrag mit KI arbeiten.
• Hochrisiko ist ein anderes Kapitel. Wer KI etwa für die Auswahl von Bewerbern einsetzen will, hat ab dem 2. Dezember 2027 deutlich mehr Pflichten. Dafür reicht eine Hausregel nicht, dann gehört eine fachliche Beratung dazu.

Häufige Fragen

Ist eine KI-Richtlinie Pflicht?

Ein bestimmtes Dokument schreibt die KI-Verordnung nicht vor. Sie verlangt aber Maßnahmen für die KI-Kompetenz, und die Bundesnetzagentur empfiehlt, diese zu dokumentieren. Eine kurze Richtlinie mit Einweisung ist dafür ein einfacher Weg. Das ist keine Rechtsberatung.

Was gehört in eine KI-Richtlinie?

Zuständigkeit, erlaubte Werkzeuge, eine Regel für Daten, wer Ergebnisse prüft, wann gekennzeichnet wird, der Umgang mit fremden Inhalten und ein Meldeweg für Fehler. Die Vorlage oben deckt alle sieben Punkte ab.

Gibt es eine Vorlage für eine KI-Richtlinie?

Ja, oben in diesem Beitrag. Sie ist für kleine Betriebe ohne Hochrisiko-Anwendungen gedacht und muss an deine Werkzeuge und Daten angepasst werden.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?

Wenn es einen gibt, muss er nach § 90 BetrVG rechtzeitig über den Einsatz von KI unterrichtet werden. Bei Werkzeugen, die Verhalten oder Leistung überwachen können, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht. Ein zweiter Prüfpunkt ist § 87 Abs. 1 Nr. 1 BetrVG zum Verhalten der Arbeitnehmer im Betrieb. Ob die Richtlinie selbst darunter fällt, klärst du am besten fachlich.

Gilt die Richtlinie auch für Freelancer?

Für die KI-Kompetenz ja: Artikel 4 nennt ausdrücklich auch andere Personen, die in deinem Auftrag mit KI-Systemen arbeiten. Am einfachsten nimmst du die wichtigsten Regeln in den Auftrag mit auf.

Wie du weitermachst

Schreib heute nur Punkt 2 und 3 auf: welche Werkzeuge erlaubt sind und welche Daten in welche Ampelfarbe gehören. Der Rest ergibt sich im Gespräch mit dem Team. Was genau bei der Kennzeichnung gilt, erkläre ich im nächsten Schritt: KI-Kennzeichnungspflicht: was ab wann gilt. Davor im Lernpfad: KI-Texte erkennen: was Detektoren können. Wenn dein Team gerade erst mit KI anfängt, gib ihm vorher KI für Anfänger: was du beachten musst zu lesen. Alle Fachwörter rund um KI findest du kurz erklärt in KI-Begriffe einfach erklärt: das Glossar. Wie andere Betriebe ihre Regeln für KI aufschreiben, besprechen wir in meiner deutschsprachigen Community Claude Practitioners. Eine rechtliche Prüfung ersetzt die Mitgliedschaft nicht.