Eine KI-Richtlinie für Unternehmen ist heute keine Kür mehr. Sie ist die einfachste Versicherung gegen ein Risiko, das in den meisten Betrieben längst Alltag ist: Mitarbeitende nutzen ChatGPT, Gemini oder andere Werkzeuge mit privaten Konten, und niemand weiß genau, welche Daten dabei das Haus verlassen. Eine gute Richtlinie verbietet das nicht pauschal. Sie sagt klar, welche Tools erlaubt sind, welche Daten hineindürfen und wer bei Fragen hilft. Zwei bis vier Seiten reichen dafür, wenn sie gut gemacht sind.
Kurz gesagt: Eine KI-Richtlinie regelt, welche KI-Tools im Betrieb erlaubt sind, welche Daten hineindürfen, wie Ergebnisse geprüft werden und wer verantwortlich ist. Sie ist der wirksamste Hebel gegen Schatten-KI, hilft beim Nachweis der KI-Kompetenzpflicht nach Artikel 4 AI Act und schützt dich vor Datenschutzpannen. Entscheidend ist, dass du gleichzeitig ein offizielles, datenschutzfreundliches Tool bereitstellst. Verbote allein treiben die Nutzung nur weiter in den Untergrund.
Was ist eine KI-Richtlinie überhaupt?
Eine KI-Richtlinie ist eine schriftliche, verbindliche Regel für den Umgang mit künstlicher Intelligenz im Arbeitsalltag. Sie richtet sich an alle Beschäftigten, vom Azubi bis zur Geschäftsführung, und beantwortet vier Fragen: Welche Tools sind erlaubt? Welche Daten dürfen hinein? Wie werden Ergebnisse geprüft und verwendet? Wer hilft bei Fragen?
Manche nennen sie KI-Nutzungsrichtlinie, KI-Policy oder KI-Leitlinie. Gemeint ist immer dasselbe. Wichtig ist die Abgrenzung zur KI-Strategie: Die Strategie beschreibt, wo KI deinem Betrieb Geld oder Zeit bringen soll. Die Richtlinie beschreibt, wie das sicher passiert. Du kannst eine Richtlinie haben, bevor du eine Strategie hast. Umgekehrt ist es riskanter.
Warum gerade jetzt? Schatten-KI ist in kleinen Betrieben am weitesten verbreitet
Schatten-KI bedeutet, dass Beschäftigte KI-Werkzeuge nutzen, die der Arbeitgeber nicht bereitgestellt oder freigegeben hat. Meist ist das ein kostenloses Konto bei einem Chatbot, eingerichtet mit der privaten E-Mail-Adresse. Böse Absicht steckt fast nie dahinter. Die Leute wollen schneller fertig werden.
Die Zahlen zeigen, wie verbreitet das ist. Laut einer Bitkom-Umfrage vom Oktober 2025 unter 604 Unternehmen ab 20 Beschäftigten wissen 8 Prozent der Firmen, dass private KI-Tools bei ihnen weit verbreitet sind, weitere 17 Prozent kennen Einzelfälle und noch einmal 17 Prozent vermuten es. Nur 29 Prozent sind sicher, dass es bei ihnen nicht vorkommt. Gleichzeitig stellen erst 26 Prozent ihren Leuten einen eigenen Zugang zu generativer KI zur Verfügung. Bei Betrieben mit 20 bis 99 Beschäftigten sind es 23 Prozent.
Ein Kurzbericht des Instituts der deutschen Wirtschaft vom September 2026 bestätigt das aus Sicht der Mitarbeitenden. Grundlage ist eine repräsentative Beschäftigtenbefragung aus dem Frühjahr 2026: 29,1 Prozent der Menschen, die KI beruflich nutzen, greifen zu Tools, die ihr Arbeitgeber nicht bereitgestellt hat. In Betrieben mit weniger als 50 Beschäftigten liegt der Anteil bei 33,5 Prozent, in Unternehmen ab 250 Beschäftigten bei 25,5 Prozent.
Das passt zu dem, was wir in Gesprächen mit Handwerksbetrieben, Steuerbüros und kleinen Onlineshops erleben. Die Neugier ist da, die Werkzeuge sind da, nur der Rahmen fehlt. Genau da liegt das Problem. Wer Kundendaten in ein privates Chatbot-Konto kopiert, hat keinen Vertrag zur Auftragsverarbeitung, keine Kontrolle über Speicherdauer und oft keine Ahnung, ob die Eingaben zum Training genutzt werden.
Der überraschende Befund: mehr Förderung, mehr Schatten-KI
Die IW-Studie enthält einen Punkt, der auf den ersten Blick widersprüchlich wirkt. Wer sich von seinem Arbeitgeber stark beim Aufbau von KI-Kompetenz unterstützt fühlt, nutzt häufiger Schatten-KI (44,5 Prozent) als jemand ohne Unterstützung (21,3 Prozent). Die Autorinnen erklären das so: Wo Kompetenz aufgebaut wird, wächst auch die Lust aufs Ausprobieren, und diese Experimentierfreude eilt dem offiziellen Angebot voraus. Wenn der Betrieb kein passendes Werkzeug bereitstellt, landen die Leute beim privaten Konto. Ob das eine das andere direkt verursacht, lässt die Befragung allerdings offen.
Für dich heißt das: Schulung ohne offizielles Tool und ohne Regeln bringt eher mehr Wildwuchs als weniger. Die Studie empfiehlt deshalb, die „Bereitstellungslücke“ zu schließen: Kompetenz aufbauen, datenschutzkonforme Werkzeuge anbieten, klare Nutzungsregeln aufstellen. Alle drei Dinge gehören zusammen.
Was verlangt das Recht? AI Act, Omnibus und DSGVO in Kürze
Eine Pflicht, ein Dokument mit der Überschrift „KI-Richtlinie“ zu haben, gibt es nicht. Trotzdem ist die Richtlinie in der Praxis der einfachste Weg, mehrere rechtliche Anforderungen auf einmal abzudecken.
KI-Kompetenz nach Artikel 4 AI Act. Seit dem 2. Februar 2025 müssen Unternehmen, die KI-Systeme einsetzen, Maßnahmen für die KI-Kompetenz ihres Personals ergreifen. Das gilt auch, wenn du „nur“ ChatGPT oder Copilot nutzt. Mit der Omnibus-Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist, wurde diese Pflicht entschärft: Unternehmen müssen die Entwicklung von KI-Kompetenz unterstützen, aber nicht mehr für jede einzelne Person ein bestimmtes Kompetenzniveau garantieren. Die Pflicht zum Handeln bleibt. Eine Richtlinie plus kurze, dokumentierte Einweisung ist genau so eine Maßnahme.
Transparenzpflichten nach Artikel 50. Seit dem 2. August 2026 gelten die Transparenzregeln der KI-Verordnung. Wenn du etwa einen Chatbot auf deiner Website betreibst, müssen Besucher erkennen können, dass sie mit einer KI sprechen. Für die maschinenlesbare Markierung KI-erzeugter Inhalte durch die Anbieter gilt bei generativen Systemen, die schon vor diesem Stichtag auf dem Markt waren, eine Übergangsfrist bis zum 2. Dezember 2026. Deine Richtlinie sollte festhalten, wann Mitarbeitende KI-Inhalte kennzeichnen. Mehr dazu findest du in unserem Beitrag zur KI-Kennzeichnungspflicht auf der Website.
Aufsicht in Deutschland. Seit dem 29. Juli 2026 ist laut Bundesnetzagentur das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) in Kraft. Die Bundesnetzagentur ist damit Marktüberwachungsbehörde und zentrale Anlaufstelle für die KI-Verordnung. Ihr KI-Service-Desk bietet unter anderem ein Online-Tool zur ersten Einschätzung der Risikoklasse und Hinweise zum Aufbau von KI-Kompetenz. Das Angebot richtet sich ausdrücklich an KMU und Start-ups und ist für kleine Betriebe eine brauchbare erste Adresse.
Datenschutz. Die DSGVO gilt unabhängig vom AI Act. Sobald personenbezogene Daten in ein KI-Tool fließen, brauchst du eine Rechtsgrundlage, in der Regel einen Vertrag zur Auftragsverarbeitung mit dem Anbieter und Klarheit darüber, wo die Daten verarbeitet werden. Die Datenschutzkonferenz hat dazu im Mai 2024 eine Orientierungshilfe veröffentlicht. Wie du das sauber aufsetzt, beschreiben wir ausführlich in KI datenschutzkonform einsetzen.
Was das alles für Hochrisiko-Systeme, Fristen und Bußgelder bedeutet, haben wir im Überblick zum EU AI Act für kleine Unternehmen zusammengefasst. Für die meisten KMU gilt: Du nutzt KI mit geringem Risiko, und deine Hausaufgaben heißen Kompetenz, Transparenz und Datenschutz. Die Richtlinie bündelt alle drei.
Was gehört in eine KI-Richtlinie? Die acht Bausteine
Eine gute KI-Richtlinie ist kurz, konkret und in normaler Sprache geschrieben. Juristendeutsch liest niemand, und was niemand liest, wirkt nicht. Diese acht Bausteine haben sich bewährt:
| Baustein | Was du regelst | Beispiel aus dem Alltag |
|---|---|---|
| Geltungsbereich | Wer ist gemeint, welche Tools zählen als KI | Alle Beschäftigten, auch Aushilfen und Freelancer mit Firmenzugang |
| Erlaubte Tools | Positivliste der freigegebenen Werkzeuge mit Kontoart | Firmenkonto bei einem Chatbot mit AV-Vertrag, Übersetzer im Business-Tarif |
| Datenregeln | Welche Daten hinein dürfen, welche nie | Keine Kundennamen, Gesundheitsdaten oder Passwörter in KI-Tools |
| Prüfpflicht | Ergebnisse werden vor Verwendung von einem Menschen geprüft | Angebotstext wird gegengelesen, Zahlen werden nachgerechnet |
| Kennzeichnung | Wann KI-Inhalte als solche erkennbar sein müssen | Chatbot auf der Website, KI-Bilder in Werbung |
| Urheberrecht | Umgang mit fremden Texten, Bildern und Marken | Keine Logos von Wettbewerbern als Bildvorlage hochladen |
| Zuständigkeit | Ansprechperson, Freigabe neuer Tools, Meldeweg bei Pannen | Inhaberin entscheidet über neue Tools, Meldung bei versehentlicher Dateneingabe |
| Schulung | Einweisung, Auffrischung, Dokumentation | 60 Minuten Einweisung pro Jahr, Teilnahmeliste im Ordner |
Du musst nicht jeden Baustein auf eine halbe Seite ausdehnen. In einem Betrieb mit zwölf Leuten reicht oft ein Satz pro Punkt. Entscheidend ist, dass die Regeln eindeutig sind. „Sei vorsichtig mit Daten“ ist keine Regel. „Keine Namen, Adressen oder Kundennummern in KI-Tools eingeben“ ist eine.
Die Datenampel: die wichtigste Seite der Richtlinie
Wenn deine Mitarbeitenden sich nur an eine Sache erinnern, dann sollte es die Datenampel sein. Sie teilt Informationen in drei Stufen ein und ist in Sekunden verstanden.
Grün sind öffentliche oder allgemeine Inhalte: Texte von deiner eigenen Website, Produktbeschreibungen, allgemeine Fachfragen, Entwürfe ohne Personenbezug. Die dürfen in jedes freigegebene Tool.
Gelb sind interne Informationen ohne Personenbezug: Preiskalkulationen, interne Abläufe, Entwürfe von Angeboten mit anonymisierten Platzhaltern. Die dürfen nur in Tools mit Firmenkonto und Vertrag, bei denen die Eingaben nicht zum Training verwendet werden.
Rot sind personenbezogene, vertrauliche oder besonders geschützte Daten: Namen und Kontaktdaten von Kunden, Personalakten, Gesundheitsdaten, Bankverbindungen, Zugangsdaten, Geschäftsgeheimnisse. Die gehören in kein allgemeines KI-Tool. Wenn du solche Daten mit KI verarbeiten willst, braucht es eine eigens geprüfte Lösung, etwa eine lokale KI im eigenen Netz oder ein Fachsystem mit passendem Vertrag.
Ein Beispiel aus einem Steuerbüro: Die Bitte „Formuliere eine freundliche Zahlungserinnerung“ ist grün. Die Bitte „Fasse diese Mandantenakte zusammen“ ist rot. Dazwischen liegt der Satz „Schreib mir eine Erinnerung an Herrn Müller wegen der Rechnung über 2.340 Euro“. Der ist ebenfalls rot, solange der Name drinsteht. Mit „[Kunde]“ und „[Betrag]“ als Platzhalter wird er grün. Diese eine Gewohnheit, Platzhalter statt echter Daten, verhindert in der Praxis die meisten Pannen.
Verbieten oder erlauben? Warum ein Verbot selten funktioniert
Manche Inhaber reagieren auf Schatten-KI mit einem Komplettverbot. Das ist verständlich und fühlt sich sicher an. In der Praxis läuft es dann meist so: Die Nutzung geht weiter, nur heimlicher, auf dem privaten Handy statt am Firmenrechner. Du verlierst den letzten Rest an Überblick.
Die Bitkom-Zahlen von oben machen das greifbar. Nur rund jedes vierte Unternehmen stellt einen offiziellen Zugang bereit, aber in gut vier von zehn Betrieben ist private KI-Nutzung bekannt oder wird zumindest vermutet. Diese Lücke füllen die Beschäftigten selbst.
Besser funktioniert ein kontrolliertes Ja: Du gibst ein oder zwei Werkzeuge mit Firmenkonto frei, regelst die Daten über die Ampel und zeigst in einer kurzen Schulung, wie es richtig geht. Die Kosten dafür liegen bei üblichen Business-Tarifen im niedrigen zweistelligen Euro-Bereich pro Person und Monat. Das ist meist weniger, als dich eine einzige Stunde Aufarbeitung nach einer Datenpanne kostet.
Ein Verbot kann für einzelne Bereiche trotzdem richtig sein. In einer Arztpraxis sollte die Patientenakte tabu bleiben, im Personalbüro die Bewerbungsunterlagen. Das ist kein Widerspruch: Die Richtlinie darf großzügig sein, wo das Risiko klein ist, und streng, wo es groß ist.
In fünf Schritten zur eigenen KI-Richtlinie
Du brauchst keine Beratung über Monate, um eine brauchbare KI-Richtlinie für dein Unternehmen aufzustellen. Mit diesen fünf Schritten kommst du in zwei bis drei Wochen zu einem Ergebnis, das trägt.
Schritt 1: Ehrliche Bestandsaufnahme
Frag dein Team, welche KI-Tools es schon nutzt und wofür. Mach daraus kein Verhör. Sag vorher klar, dass es keine Konsequenzen gibt, sondern dass du die Nutzung auf sichere Füße stellen willst. Meist kommt mehr zusammen als gedacht: Übersetzungen, Texte für Social Media, Formeln für Excel, Zusammenfassungen von langen E-Mails. Diese Liste ist wertvoll, denn sie zeigt dir, welche Anwendungsfälle wirklich gebraucht werden.
Schritt 2: Offizielle Tools auswählen
Wähle auf Basis der Liste ein bis zwei Werkzeuge aus, die die häufigsten Fälle abdecken. Achte auf drei Dinge: einen Vertrag zur Auftragsverarbeitung, die Zusicherung, dass Eingaben nicht zum Training genutzt werden, und eine Verwaltung, mit der du Konten anlegen und wieder entziehen kannst. Wenn ihr ohnehin mit Microsoft 365 oder Google Workspace arbeitet, lohnt der Blick auf die dort enthaltenen KI-Funktionen. Bei Fragen zur Auswahl hilft dir unsere Digitalisierungsberatung.
Schritt 3: Regeln aufschreiben
Jetzt schreibst du die Richtlinie anhand der acht Bausteine. Halte dich kurz. Formuliere in der Du- oder Sie-Form, die in deinem Betrieb üblich ist, und nicht im Passiv. Ein Satz wie „Ergebnisse werden geprüft“ lässt offen, wer prüft. „Wer einen KI-Text verwendet, liest ihn vorher vollständig gegen“ lässt nichts offen. Hast du einen Betriebsrat, binde ihn früh ein. Die Einführung von KI-Tools kann seine Mitbestimmungsrechte berühren, und gemeinsam erarbeitete Regeln werden besser akzeptiert.
Schritt 4: Einweisen und dokumentieren
Eine Richtlinie, die nur per E-Mail verschickt wird, bleibt ungelesen. Plane stattdessen eine kurze Einweisung von 45 bis 60 Minuten: die Ampel erklären, das offizielle Tool live zeigen, zwei, drei typische Fehler vorführen. Lass dir die Teilnahme kurz bestätigen und lege die Liste ab. Damit hast du gleichzeitig einen sauberen Nachweis für die KI-Kompetenzpflicht.
Schritt 5: Nach drei Monaten überprüfen
KI-Werkzeuge entwickeln sich schnell weiter. Neue Funktionen kommen dazu, Tarife und Vertragsbedingungen ändern sich. Setz dir einen festen Termin nach drei Monaten und danach einmal im Jahr, an dem du die Positivliste und die Regeln durchgehst. Frag dabei auch das Team: Was fehlt? Wo sind die Regeln unpraktisch? Eine Richtlinie, die nachgebessert wird, bleibt lebendig.
Wenn du KI nicht nur regeln, sondern gezielt in Abläufe bringen willst, zeigt unser 90-Tage-Plan vom Pilot in den Alltag, wie Richtlinie, Pilotprojekt und Rollout ineinandergreifen.
Typische Fehler bei der KI-Richtlinie
In den Richtlinien, die wir bei kleinen und mittleren Betrieben zu sehen bekommen, tauchen immer wieder dieselben Schwachstellen auf.
Zu lang und zu juristisch. Zwölf Seiten mit Verweisen auf Gesetzesartikel schützen auf dem Papier, aber im Alltag liest sie niemand. Pack die Rechtsgrundlagen in einen Anhang und halte den Hauptteil auf zwei bis vier Seiten.
Kein offizielles Werkzeug. Eine Richtlinie, die sagt, was verboten ist, aber kein erlaubtes Tool nennt, ist ein verstecktes Verbot. Die Folge kennst du inzwischen: Schatten-KI.
Keine Ansprechperson. Wenn unklar ist, wen man fragen kann, ob ein neues Tool in Ordnung ist, fragt niemand. Benenne eine Person, auch wenn das in einem kleinen Betrieb einfach die Inhaberin oder der Inhaber ist.
Kein Meldeweg für Pannen. Irgendwann kopiert jemand versehentlich eine Kundenliste in ein KI-Tool. Dann zählt, dass die Person es sofort meldet, statt es zu verschweigen. Das klappt nur, wenn die Richtlinie ausdrücklich sagt: Melden ist erwünscht und wird nicht bestraft. Ob daraus eine Meldepflicht bei der Datenschutzbehörde folgt, kannst du nur prüfen, wenn du davon erfährst.
Einmal geschrieben, nie wieder angefasst. Eine Richtlinie aus dem Frühjahr 2025 kennt die Änderungen durch den Omnibus nicht und listet womöglich Tools, die es so nicht mehr gibt. Deshalb ist der feste Prüftermin aus Schritt 5 so wichtig.
Was bedeutet das für deine Website?
Die KI-Richtlinie wirkt zuerst nach innen, hat aber auch Folgen für deinen Auftritt nach außen. Wenn dein Team Texte für Website, Blog oder Newsletter mit KI entwirft, sollte die Richtlinie die Qualitätsprüfung regeln: Fakten prüfen, eigene Erfahrung ergänzen, den Ton an deine Marke anpassen. Inhalte, die erkennbar ungeprüft aus einem Chatbot kommen, schaden deiner Glaubwürdigkeit bei Kunden und bringen dir auch bei Google und in KI-Suchen wenig.
Betreibst du einen Chatbot oder ein KI-gestütztes Kontaktformular auf deiner Website, gehört ein Abschnitt dazu in die Richtlinie: Wer pflegt die Antworten, wer prüft, ob der Bot korrekt informiert, und wie wird für Besucher erkennbar, dass sie mit einer KI sprechen. So ist die Transparenzpflicht nach Artikel 50 nicht nur erfüllt, sondern auch im Alltag verankert.
Fazit: Lieber ein klares Ja mit Regeln als ein Nein, an das sich keiner hält
KI ist in deinem Betrieb wahrscheinlich längst angekommen, ob mit oder ohne deine Erlaubnis. Die Zahlen von Bitkom und IW zeigen, dass gerade kleine Betriebe am häufigsten mit Schatten-KI leben und dort seltener offizielle Werkzeuge bereitstehen. Eine KI-Richtlinie ändert das mit überschaubarem Aufwand: ein freigegebenes Tool, eine Datenampel, eine Ansprechperson, eine kurze Einweisung und ein fester Prüftermin.
Damit erfüllst du die KI-Kompetenzpflicht des AI Act auf eine Weise, die auch die Aufsicht nachvollziehen kann, schützt die Daten deiner Kunden und gibst deinem Team die Sicherheit, KI ohne schlechtes Gewissen zu nutzen. Fang mit der Bestandsaufnahme an. Eine offene Runde mit deinem Team zeigt dir schnell, wo du wirklich stehst.
Wenn du dabei Unterstützung möchtest, von der Bestandsaufnahme bis zur Einweisung, prüf vorab, ob für dein Vorhaben die BAFA-Förderung von Unternehmensberatungen für KMU infrage kommt. Je nach Region bezuschusst sie einen Teil der förderfähigen Beratungskosten. Danach sprich uns gern über die Kontaktseite an.
Häufige Fragen (FAQ)
Ist eine KI-Richtlinie für Unternehmen gesetzlich vorgeschrieben?
Ein Dokument mit diesem Namen schreibt kein Gesetz vor. Der AI Act verlangt aber seit Februar 2025 Maßnahmen für die KI-Kompetenz des Personals, und die DSGVO verlangt Regeln für den Umgang mit personenbezogenen Daten. Eine KI-Richtlinie mit dokumentierter Einweisung ist der einfachste Weg, beides nachzuweisen.
Was hat sich durch den Digital Omnibus an der KI-Kompetenzpflicht geändert?
Seit Inkrafttreten der Verordnung (EU) 2026/1744 am 27. Juli 2026 müssen Unternehmen die Entwicklung von KI-Kompetenz unterstützen, aber nicht mehr für jede Person ein bestimmtes Kompetenzniveau sicherstellen. Die Pflicht, geeignete Maßnahmen zu ergreifen und diese sinnvollerweise zu dokumentieren, bleibt bestehen.
Was ist Schatten-KI?
Schatten-KI ist die Nutzung von KI-Werkzeugen, die der Arbeitgeber weder bereitgestellt noch freigegeben hat, meist über private Konten. Laut einer IW-Befragung vom September 2026 betrifft das 29,1 Prozent der beruflichen KI-Nutzer, in Betrieben unter 50 Beschäftigten sogar 33,5 Prozent.
Welche Daten dürfen Mitarbeitende in ChatGPT und andere KI-Tools eingeben?
Öffentliche und allgemeine Inhalte ohne Personenbezug sind in freigegebenen Tools unproblematisch. Interne Informationen gehören nur in Tools mit Firmenkonto und Vertrag zur Auftragsverarbeitung. Namen, Kundendaten, Personal- und Gesundheitsdaten, Bankverbindungen und Passwörter gehören in kein allgemeines KI-Tool. Platzhalter statt echter Namen lösen viele Fälle.
Wie lang sollte eine KI-Richtlinie sein?
Für kleine und mittlere Unternehmen reichen meist zwei bis vier Seiten in verständlicher Sprache. Rechtliche Hintergründe können in einen Anhang. Wichtiger als die Länge sind eindeutige Regeln, eine Liste erlaubter Tools, eine Ansprechperson und ein fester Termin zur Überprüfung.
Muss der Betriebsrat bei einer KI-Richtlinie beteiligt werden?
Wenn es einen Betriebsrat gibt, solltest du ihn früh einbinden. Die Einführung von KI-Werkzeugen kann Mitbestimmungsrechte berühren, etwa wenn sich damit Verhalten oder Leistung auswerten lassen. Gemeinsam erarbeitete Regeln werden außerdem deutlich besser akzeptiert. Im Zweifel hilft eine kurze arbeitsrechtliche Beratung.
