KI-Richtlinie für Unternehmen: Was muss in eine interne KI-Policy?
Ob ChatGPT, Microsoft Copilot oder spezialisierte KI-Tools: Künstliche Intelligenz gehört in immer mehr Unternehmen zum Arbeitsalltag, oft schneller, als interne Regeln dafür entstehen. Eine KI-Richtlinie schafft hier Klarheit. Sie legt fest, welche KI-Tools genutzt werden dürfen, wie mit Daten umzugehen ist und wer im Unternehmen wofür verantwortlich ist. Dieser Artikel zeigt, warum eine KI-Policy sinnvoll ist und welche Inhalte sie unbedingt enthalten sollte.
Warum Unternehmen eine KI-Richtlinie brauchen
Ohne klare Vorgaben entscheiden Mitarbeitende oft eigenständig, welche KI-Tools sie nutzen und welche Informationen sie dabei preisgeben. Eine KI-Richtlinie nimmt diese Entscheidung nicht weg, gibt ihr aber einen verbindlichen Rahmen. Sie ist damit ein zentrales Element der KI-Governance und Grundlage dafür, dass Unternehmen den Einsatz von KI überhaupt steuern können, statt ihm nur hinterherzulaufen.
Risiken unkontrollierter KI-Nutzung
Fehlt eine Richtlinie, entsteht häufig Schatten-KI: Mitarbeitende nutzen KI-Tools nach eigenem Ermessen, ohne dass IT-Abteilung oder Geschäftsleitung davon wissen. Die Folgen reichen von abgeflossenen Geschäftsgeheimnissen über Datenschutzverstöße bis zu rechtlich angreifbaren KI-generierten Inhalten, etwa wenn urheberrechtlich geschützte Inhalte unbedacht übernommen werden.
Datenschutz und Compliance
Werden personenbezogene Daten in KI-Systeme eingegeben, greift die DSGVO uneingeschränkt. Eine KI-Richtlinie sollte deshalb klare Vorgaben enthalten, welche Daten überhaupt in KI-Tools eingegeben werden dürfen, und sicherstellen, dass für eingesetzte KI-Dienste, soweit erforderlich, ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO vorliegt. Kostenlose KI-Tools ohne entsprechende Vereinbarung sind für den dienstlichen Einsatz in der Regel ungeeignet.
Anforderungen durch den AI Act
Auch der EU AI Act spricht für eine schriftliche KI-Richtlinie, ohne sie ausdrücklich vorzuschreiben: Die nach Artikel 4 geforderte KI-Kompetenz lässt sich kaum glaubhaft nachweisen, wenn es keine dokumentierten internen Regeln zur KI-Nutzung gibt. Eine KI-Policy ist damit auch ein praktischer Baustein, um die AI-Act-Pflichten nachvollziehbar zu erfüllen.
Welche Inhalte gehören in eine KI-Policy?
Eine wirksame KI-Richtlinie sollte präzise und für alle Mitarbeitenden verständlich formuliert sein. Drei Bereiche sind dabei besonders wichtig.
Zulässige KI-Tools
Die Richtlinie sollte konkret benennen, welche KI-Tools im Unternehmen freigegeben sind, etwa eine unternehmensweit lizenzierte Version von Microsoft Copilot oder ChatGPT Enterprise, statt sich auf allgemeine Formulierungen zu beschränken. Für jedes freigegebene Tool sollte klar sein, wofür es genutzt werden darf und wofür nicht.
Umgang mit personenbezogenen Daten
Klar geregelt werden sollte, ob und unter welchen Voraussetzungen personenbezogene Daten überhaupt in KI-Systeme eingegeben werden dürfen. Häufig empfiehlt sich ein grundsätzliches Verbot mit klar definierten Ausnahmen für freigegebene, vertraglich abgesicherte Tools.
Verbotene Eingaben und Inhalte
Neben personenbezogenen Daten sollte die Richtlinie auch andere sensible Inhalte ausdrücklich ausschließen: Geschäftsgeheimnisse, unveröffentlichte Verträge, Quellcode mit vertraulichen Informationen oder interne Strategiepapiere gehören grundsätzlich nicht in öffentlich zugängliche KI-Systeme.
Eine KI-Richtlinie entfaltet ihre Wirkung nur, wenn sie sowohl technisch umsetzbar als auch rechtlich belastbar formuliert ist. Wir entwickeln KI-Richtlinien gemeinsam mit Unternehmen so, dass IT-technische Realität und rechtliche Anforderungen zueinander passen und ziehen für besonders komplexe rechtliche Einzelfragen bei Bedarf eine spezialisierte, eng mit uns zusammenarbeitende Kanzlei hinzu.