KI-Richtlinie erstellen: Leitfaden und Vorlage

Eine KI-Richtlinie im Unternehmen ist ein internes Regelwerk, das festlegt, welche KI-Tools Mitarbeitende nutzen dürfen, welche Daten sie eingeben dürfen und wer für den Einsatz von KI verantwortlich ist. Sie schützt vor Datenschutzverstößen und Schatten-KI und hilft, die Anforderungen der KI-Verordnung zu erfüllen. Eine gute KI-Richtlinie für Unternehmen ist kurz, verständlich und gibt klare Beispiele.

Was ist eine KI-Richtlinie?

Eine KI-Richtlinie ist eine schriftliche Vorgabe des Unternehmens zum Umgang mit KI-Systemen im Arbeitsalltag. Sie beschreibt, wofür Mitarbeitende KI nutzen dürfen, welche KI-Anwendungen freigegeben sind und welche Grenzen gelten. Häufig heißt sie auch KI-Leitfaden, KI-Policy oder Richtlinie zur KI-Nutzung.

Die KI-Richtlinie ist ein Bestandteil der KI-Governance, also der Art und Weise, wie ein Unternehmen den Einsatz von KI steuert. Sie steht neben anderen Regelwerken wie dem Datenschutzkonzept, der IT-Sicherheitsrichtlinie oder dem Verhaltenskodex. Viele Unternehmen nehmen die KI-Richtlinie auch in ihr Mitarbeiterhandbuch auf.

Eine KI-Richtlinie ist kein Selbstzweck. Ihr Ziel ist es, KI-Tools sicher und produktiv zu nutzen, statt sie zu verbieten. Mitarbeitende sollen wissen, was sie tun dürfen, und sich nicht aus Unsicherheit zurückhalten oder heimlich private Tools verwenden. Wer KI im Personalwesen bereits einsetzt, findet einen Überblick im Beitrag KI im Personalwesen.

Warum braucht jedes Unternehmen eine KI-Richtlinie?

Jedes Unternehmen braucht eine KI-Richtlinie, weil Mitarbeitende KI längst nutzen, oft ohne dass die Geschäftsführung davon weiß. Ob ChatGPT, Copilot oder ein KI-Übersetzer: KI-Tools sind frei verfügbar und in viele Programme eingebaut. Ohne Regeln entsteht Schatten-KI, also die Nutzung von KI-Systemen ohne Freigabe und Kontrolle.

Die wichtigsten Gründe für eine KI-Richtlinie im Unternehmen:

• Datenschutz: Ohne Regeln landen personenbezogene Daten, Gehälter oder Kundendaten in KI-Tools, deren Datenverarbeitung niemand geprüft hat.
• Geheimnisschutz: Vertrauliche Informationen wie Angebote, Strategien oder Quellcode können über Eingaben nach außen gelangen.
• Qualität: KI-Ergebnisse können falsch sein. Eine Richtlinie legt fest, dass Menschen Ergebnisse prüfen.
• KI-Verordnung: Der AI Act verlangt von Unternehmen Maßnahmen zur KI-Kompetenz und verbietet bestimmte KI-Praktiken.
• Haftung: Klare Verantwortlichkeiten zeigen im Streitfall, dass das Unternehmen sorgfältig gehandelt hat.
• Vertrauen: Mitarbeitende, KundInnen und BewerberInnen wissen, wie das Unternehmen mit KI umgeht.

Gerade kleine Unternehmen unterschätzen das Risiko. Dort gibt es oft keine IT-Abteilung, die Tools prüft, und jede Person entscheidet selbst. Eine KI-Richtlinie schafft hier mit wenig Aufwand einen klaren Rahmen. Sie ist auch dann sinnvoll, wenn KI im Unternehmen offiziell noch gar kein Thema ist.

Welche Rolle spielt die KI-Verordnung für die KI-Richtlinie?

Die KI-Verordnung, kurz KI-VO oder AI Act, schreibt keine KI-Richtlinie ausdrücklich vor, macht sie aber zum naheliegenden Werkzeug. Die EU verlangt von Unternehmen, die KI-Systeme nutzen, Maßnahmen zur KI-Kompetenz ihrer Mitarbeitenden. Außerdem gelten seit Februar 2025 Verbote für bestimmte KI-Praktiken, etwa die Emotionserkennung am Arbeitsplatz.

Eine KI-Richtlinie übersetzt diese Anforderungen in den Arbeitsalltag. Sie legt fest, welche KI-Anwendungen erlaubt sind, welche verboten sind und wie Mitarbeitende geschult werden. Für Hochrisiko-KI, etwa im Recruiting, gelten ab Dezember 2027 zusätzliche Pflichten. Wer heute eine KI-Richtlinie aufsetzt, bereitet sich darauf bereits vor.

Neben der KI-Verordnung bleibt die DSGVO der wichtigste rechtliche Rahmen. Sobald KI mit personenbezogenen Daten arbeitet, gelten Rechtsgrundlage, Zweckbindung, Datenminimierung und Informationspflichten. Eine gute KI-Richtlinie verweist deshalb auf das bestehende Datenschutzkonzept, statt eigene Regeln daneben zu stellen. Grundlagen dazu findest du unter DSGVO. Für Unternehmen, die KI über eine HR-Software nutzen, gehört auch der Anbieter in die Prüfung.

Was gehört in eine KI-Richtlinie?

In eine KI-Richtlinie gehören klare Regeln zu Geltungsbereich, erlaubten Tools, Daten, Prüfung der Ergebnisse und Verantwortlichkeiten. Diese Inhalte haben sich als Muster bewährt:

• Ziel und Geltungsbereich: Für wen gilt die Richtlinie, und welche KI-Systeme umfasst sie?
• Erlaubte KI-Tools: eine Liste freigegebener Tools, etwa ein Unternehmenskonto für ChatGPT oder Copilot.
• Verbotene Nutzung: zum Beispiel private KI-Accounts für Unternehmensdaten oder verbotene KI-Praktiken nach der KI-VO.
• Umgang mit Daten: welche Daten Mitarbeitende eingeben dürfen und welche nicht, etwa personenbezogene Daten oder Geschäftsgeheimnisse.
• Prüfung der KI-Ergebnisse: Menschen prüfen jedes Ergebnis, bevor sie es verwenden.
• Transparenz: Wann muss offengelegt werden, dass Inhalte mit KI erstellt wurden?
• Urheberrecht: Regeln zur Nutzung von KI-generierten Texten und Bildern.
• Verantwortlichkeiten: Wer gibt neue Tools frei, und wer ist Ansprechperson für Fragen?
• Schulungen: Welche Schulungen alle Mitarbeitenden zur KI-Kompetenz erhalten.
• Meldewege und Verstöße: Wie Fehler oder Datenpannen gemeldet werden und welche Folgen Verstöße haben.

Wichtig ist der Ton. Eine KI-Richtlinie, die nur verbietet, wird ignoriert. Erkläre deshalb, warum eine Regel gilt, und gib Beispiele aus dem Arbeitsalltag. Gute Richtlinien sind selten länger als drei bis fünf Seiten. Eine kurze Zusammenfassung auf einer Seite hilft zusätzlich, die wichtigsten Regeln im Kopf zu behalten.

Welche Daten dürfen Mitarbeitende in KI-Tools eingeben?

Welche Daten Mitarbeitende in KI-Tools eingeben dürfen, hängt vor allem davon ab, ob das Tool vom Unternehmen geprüft und vertraglich abgesichert ist. Für frei verfügbare KI-Tools mit privatem Account gilt eine einfache Regel: keine personenbezogenen Daten und keine vertraulichen Informationen. Für freigegebene Unternehmenslösungen mit Vertrag zur Auftragsverarbeitung kann mehr erlaubt sein.

Ein einfaches Ampelmodell hilft Mitarbeitenden im Alltag:

• Grün: öffentliche Informationen, allgemeine Fragen, Texte ohne Bezug zu Personen oder KundInnen, etwa der Entwurf einer allgemeinen Stellenanzeige.
• Gelb: interne Inhalte ohne Personenbezug, nur in freigegebenen Tools mit Unternehmenskonto, etwa ein Entwurf für eine interne Ankündigung.
• Rot: Gesundheitsdaten, Gehälter, Bewerbungsunterlagen, Beurteilungen, Kundendaten und Geschäftsgeheimnisse, außer in ausdrücklich dafür freigegebenen Systemen.

Für HR ist die rote Kategorie besonders wichtig. Lebensläufe, Krankmeldungen oder Gesprächsnotizen haben in einem privaten KI-Account nichts zu suchen. Wer solche Daten mit KI verarbeiten will, braucht eine Lösung, die DSGVO-konform ist und deren Datenverarbeitung vertraglich geregelt ist. Weitere Hinweise liefert der Beitrag zum Datenschutz.

Wie erstellst du eine KI-Richtlinie in sechs Schritten?

Eine KI-Richtlinie erstellst du am besten in sechs Schritten, von der Bestandsaufnahme bis zur Schulung. Der Leitfaden funktioniert für kleine und mittlere Unternehmen gleichermaßen.

• Schritt 1: Bestandsaufnahme. Frage alle Teams, welche KI-Tools sie heute nutzen und wofür. So erkennst du Schatten-KI und echte Bedürfnisse.
• Schritt 2: Verantwortliche benennen. Lege fest, wer in der Geschäftsführung und in den Fachbereichen für KI verantwortlich ist.
• Schritt 3: Tools bewerten. Prüfe jedes Tool auf Datenschutz, IT-Sicherheit, Vertragslage und Risiko nach der KI-Verordnung.
• Schritt 4: Regeln formulieren. Schreibe die KI-Richtlinie mit Beispielen und einer Ampel für Daten.
• Schritt 5: Abstimmen. Binde Datenschutzbeauftragte, IT und, falls vorhanden, den Betriebsrat ein.
• Schritt 6: Einführen und schulen. Stelle die Richtlinie vor, schule alle Mitarbeitenden und dokumentiere die Schulungen.

Halte die Ergebnisse der Bestandsaufnahme in einem einfachen KI-Verzeichnis fest. Es zeigt, welche KI-Anwendungen im Einsatz sind, wer sie nutzt, mit welchen Daten und auf welcher Vertragsbasis. Dieses Verzeichnis ist die Grundlage für jede spätere Prüfung und hilft auch bei Fragen von Aufsichtsbehörden.

Muster: So kann eine KI-Richtlinie aufgebaut sein

Eine Vorlage hilft beim Start, muss aber immer an das eigene Unternehmen angepasst werden. Diese Gliederung eignet sich als Muster für eine KI-Richtlinie im Unternehmen:

• 1. Zweck: „Diese Richtlinie regelt den sicheren und verantwortungsvollen Einsatz von KI in unserem Unternehmen.“
• 2. Geltungsbereich: alle Mitarbeitenden, Auszubildenden und Freelancer mit Zugang zu Unternehmensdaten.
• 3. Freigegebene Tools: Liste mit Tool, Zweck und Art des Kontos.
• 4. Datenregeln: Ampel für Eingaben mit Beispielen.
• 5. Qualität: „KI-Ergebnisse prüfen wir immer selbst, bevor wir sie verwenden oder versenden.“
• 6. Transparenz: Kennzeichnung von KI-Inhalten nach außen, wo das nötig ist.
• 7. Verbotene Anwendungen: etwa automatische Entscheidungen über Personen oder die Auswertung von Emotionen.
• 8. Verantwortlichkeiten und Ansprechpersonen.
• 9. Schulungen und Nachweise.
• 10. Meldewege, Verstöße und Überprüfung der Richtlinie.

Formuliere die Regeln so, dass sie auch ohne juristisches Vorwissen verständlich sind. Ein Satz wie „Gib keine Namen, Gehälter oder Gesundheitsdaten in ChatGPT mit privatem Account ein“ wirkt besser als ein Verweis auf Artikel der DSGVO. Wer möchte, ergänzt die Richtlinie um eine kurze FAQ mit typischen Fragen aus dem Team.

Was bedeutet eine KI-Richtlinie für HR?

Für HR bedeutet eine KI-Richtlinie vor allem zwei Aufgaben: die eigene KI-Nutzung im Personalbereich regeln und die Richtlinie im ganzen Unternehmen einführen. HR arbeitet mit besonders sensiblen Daten. Deshalb gelten für HR-Prozesse oft strengere Regeln als für andere Abteilungen.

Typische Einsatzgebiete von KI in HR und die passenden Regeln:

• Stellenanzeigen schreiben: erlaubt, in der Regel ohne Personenbezug.
• Gesprächsnotizen zusammenfassen: nur mit einem freigegebenen Tool, das DSGVO-konform arbeitet.
• Bewerbungen vorsortieren: nur mit menschlicher Prüfung jeder Entscheidung und Information der BewerberInnen, da oft Hochrisiko-KI.
• Stimmungen oder Emotionen aus Gesprächen auswerten: verboten.
• HR-Kennzahlen auswerten: besser aggregiert nach Teams als auf einzelne Personen bezogen.

Zusätzlich organisiert HR meist die Schulungen. Eine kurze Pflichtschulung für alle, ergänzt um Vertiefungen für Teams mit intensiver KI-Nutzung, ist ein guter Standard. Formate wie Microlearning oder digitale Weiterbildung eignen sich dafür besonders. Auch beim Onboarding gehört die KI-Richtlinie inzwischen dazu.

Wie führst du die KI-Richtlinie erfolgreich ein?

Eine KI-Richtlinie führst du erfolgreich ein, wenn du sie erklärst, statt sie nur zu verschicken. Mitarbeitende sollen verstehen, warum es Regeln gibt und wie sie ihnen helfen. Eine kurze Session mit Beispielen aus dem Arbeitsalltag wirkt mehr als ein langes PDF.

Diese Punkte helfen bei der Einführung:

• Stelle die Richtlinie in einem Teammeeting vor und beantworte Fragen direkt.
• Lege die Richtlinie zentral ab, wo alle sie jederzeit finden.
• Lass Mitarbeitende den Erhalt bestätigen und dokumentiere die Schulung.
• Benenne eine Ansprechperson für Fragen zu neuen Tools.
• Prüfe die Richtlinie mindestens einmal im Jahr, denn Tools und Regeln ändern sich schnell.

Eine KI-Richtlinie ist ein lebendiges Dokument. Neue Tools kommen hinzu, Anbieter ändern ihre Bedingungen, und die Rechtslage entwickelt sich weiter. Plane deshalb von Anfang an eine regelmäßige Überprüfung ein. Tipps zur Kommunikation im Unternehmen findest du unter interne Kommunikation und Change Management.

Welche Fehler passieren bei KI-Richtlinien häufig?

Die häufigsten Fehler bei KI-Richtlinien sind zu viele Verbote, zu wenig Praxisbezug und fehlende Pflege. Eine Richtlinie, die niemand liest oder versteht, schützt das Unternehmen nicht. Diese Fehler kommen besonders oft vor:

• Pauschales KI-Verbot: Mitarbeitende nutzen KI dann trotzdem, nur heimlich mit privaten Accounts. Das verstärkt Schatten-KI, statt sie zu verhindern.
• Juristische Sprache: Regeln, die nur mit Rechtskenntnissen verständlich sind, werden im Alltag nicht angewendet.
• Keine freigegebenen Alternativen: Wer verbietet, ohne ein sicheres Tool anzubieten, lässt Mitarbeitende allein.
• Fehlende Verantwortlichkeiten: Niemand fühlt sich für neue Tools oder Fragen zuständig.
• Keine Schulungen: Die Richtlinie wird verschickt, aber nie erklärt.
• Veraltete Inhalte: Die Liste der Tools stimmt nach einem halben Jahr nicht mehr.

Ein weiterer Fehler ist eine KI-Richtlinie, die nur für bestimmte Abteilungen gilt. KI-Tools sind in fast allen Bereichen im Einsatz, vom Vertrieb über Marketing bis zur Buchhaltung. Die Richtlinie sollte deshalb für das ganze Unternehmen gelten und bei Bedarf um Regeln für einzelne Teams ergänzt werden.

Ein gutes Zeichen für eine wirksame Richtlinie: Mitarbeitende fragen nach, bevor sie ein neues Tool nutzen. Dann ist das Thema in der täglichen Arbeit angekommen. Ein einfaches Formular oder eine feste Ansprechperson macht diese Nachfrage leicht. So wächst die Liste der freigegebenen KI-Anwendungen mit den echten Bedürfnissen der Teams, und die Richtlinie bleibt aktuell.

So unterstützt HoorayHR dich bei KI-Richtlinie und KI-Nutzung

HoorayHR ist HR-Software für KMU, mit der du die KI-Richtlinie im Unternehmen verteilst, Schulungen organisierst und KI sicher mit deinen HR-Daten nutzt. Die Richtlinie legst du in unserem Dokumentenmanagement ab und teilst sie mit allen Mitarbeitenden. Smarte Benachrichtigungen sorgen dafür, dass jede Person sie erhält.

Mit unseren HR-Workflows machst du die KI-Schulung zu einer festen Aufgabe, etwa im Onboarding, und siehst den Fortschritt pro Person. So dokumentierst du die Maßnahmen zur KI-Kompetenz ohne zusätzliche Excel-Liste.

Wir setzen KI ein, um HR-Administration zu reduzieren, damit mehr Zeit für Menschen bleibt. Mit unserem Chat stellst du HR-Fragen und bekommst Antworten auf Basis deiner eigenen HoorayHR-Daten. Mit unserer MCP sprichst du mit deinen HR-Daten über den KI-Assistenten, den du schon nutzt, etwa Claude, ChatGPT oder Copilot. Dabei arbeitet jede Person innerhalb ihrer eigenen Nutzerrechte. Alle Daten speichern wir DSGVO-konform und ISO-27001-zertifiziert innerhalb der EU.

Eine KI-Richtlinie ist der einfachste Weg, KI im Unternehmen sicher zu nutzen. Sie schützt Daten, schafft Klarheit und gibt Mitarbeitenden die Freiheit, KI-Tools sinnvoll einzusetzen. Wer heute startet, hat einen Vorsprung, wenn die nächsten Pflichten aus der KI-Verordnung greifen.