KI-Richtlinie für Unternehmen: Muster, Inhalte und was der AI Act verlangt
KI-Richtlinie für Unternehmen: kostenloses Muster zum Anpassen, die 10 Bausteine und was AI Act, DSGVO und Betriebsrat verlangen. Stand Oktober 2026.

Eine KI-Richtlinie ist die interne Regel, die festlegt, welche KI-Tools Ihre Beschäftigten nutzen dürfen, welche Daten hineindürfen und wer für Freigaben, Schulungen und Kontrolle zuständig ist. Gesetzlich vorgeschrieben ist sie nicht. Sie ist aber der einfachste Weg, die Pflicht zur KI-Kompetenz aus Art. 4 AI Act, die DSGVO und den Schutz Ihrer Geschäftsgeheimnisse nachweisbar abzudecken. Weiter unten finden Sie ein vollständiges Muster zum Kopieren.
Dieser Ratgeber richtet sich an Geschäftsführung, Personal- und IT-Verantwortliche in kleinen und mittleren Unternehmen. Er gehört zu meinem Überblick KI und Recht im Unternehmen und ersetzt keine Rechtsberatung. Stand der Rechtslage: Oktober 2026.
Ist eine KI-Richtlinie für Unternehmen Pflicht?
Kurz: nein, nicht als eigenes Dokument. Aber drei Pflichten, die Sie ohnehin treffen, lassen sich ohne schriftliche Regeln kaum erfüllen.
Art. 4 AI Act (KI-Kompetenz). Seit dem 2. Februar 2025 gilt: Wer KI-Systeme einsetzt, muss sich um die KI-Kompetenz der Beschäftigten kümmern. Im Juli 2026 hat die EU den Artikel mit der Verordnung (EU) 2026/1744 entschärft. Unternehmen müssen jetzt „Maßnahmen ergreifen“, die den Aufbau von KI-Kompetenz unterstützen, und kein bestimmtes Niveau mehr garantieren. Nachweisen, was Sie getan haben, müssen Sie trotzdem. Eine Richtlinie plus dokumentierte Einführung ist genau dieser Nachweis.
DSGVO. Sobald personenbezogene Daten in ein KI-Tool fließen, brauchen Sie eine Rechtsgrundlage und in aller Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Mit einem privaten Gratis-Konto ist das nicht zu machen.
Geschäftsgeheimnisse. Nach § 2 GeschGehG ist eine Information nur dann rechtlich als Geschäftsgeheimnis geschützt, wenn Sie „angemessene Geheimhaltungsmaßnahmen“ getroffen haben. Eine klare Regel, was nicht in Chatbots gehört, ist so eine Maßnahme. Fehlt sie, wird es im Streitfall schwer.
Und dann ist da noch die Praxis. In einer Bitkom-Umfrage von 2025 gingen 4 von 10 Unternehmen davon aus, dass ihre Beschäftigten private KI-Zugänge nutzen. KI-Regeln hatten nur 23 Prozent. Die Lücke dazwischen heißt Schatten-KI: Kundendaten landen in Tools, die niemand geprüft hat, und die Geschäftsführung erfährt es als Letzte.
In meinen Projekten ist das häufigste Schatten-Tool mit Abstand ChatGPT, oft in der kostenlosen Version mit privatem Konto. Genau die ist für Firmendaten ungeeignet. Bei den privaten Tarifen (Free, Plus, Pro) nutzt OpenAI die Eingaben standardmäßig zum Training seiner Modelle, solange niemand in den Einstellungen widerspricht. Einen Auftragsverarbeitungsvertrag nach DSGVO gibt es nur für die Business-Angebote, und dort werden die Daten standardmäßig auch nicht zum Training verwendet.
Ein typisches Szenario: Ein Vertriebsmitarbeiter soll schnell auf eine Reklamation antworten. Er kopiert den ganzen E-Mail-Verlauf in sein privates ChatGPT: Kundenname, Ansprechpartner, Auftragsnummer, Preise. Nach einer Minute steht eine gut formulierte Antwort. Nur liegen die Kundendaten jetzt bei einem Anbieter ohne Auftragsverarbeitungsvertrag, womöglich im Trainingsbestand, und im Unternehmen weiß niemand davon.
Mit Richtlinie läuft derselbe Vorgang über das freigegebene Business-Tool, und Namen und Preise ersetzt er vorher durch Platzhalter, wo sie für die Antwort nicht nötig sind. Gleiche Zeitersparnis, kein Datenschutzproblem.

„KI-Richtlinie der EU“? Es ist eine Verordnung
Wer „KI-Richtlinie EU“ sucht, meint meist den AI Act. Juristisch ist das ein Unterschied mit Folgen: Der AI Act ist die Verordnung (EU) 2024/1689 und gilt in Deutschland unmittelbar. Eine EU-Richtlinie müsste der Bundestag erst in deutsches Recht umsetzen. Die „KI-Richtlinie“ in Ihrem Unternehmen ist dagegen Ihre interne Regel, wie KI genutzt wird.
Die Pflichten aus dem AI Act gelten gestaffelt. Für Unternehmen, die KI nutzen (im Gesetz „Betreiber“), sind diese Termine wichtig:
- AI Act tritt in Kraft
- Verbote und KI-Kompetenz gelten
Verbotene KI-Praktiken nach Art. 5, z. B. Emotionserkennung am Arbeitsplatz, und die Pflicht zur KI-Kompetenz nach Art. 4.
- Digital Omnibus in Kraft
Art. 4 wird zur Pflicht, Maßnahmen zur KI-Kompetenz zu ergreifen, ohne ein bestimmtes Niveau garantieren zu müssen. Fristen für Hochrisiko-KI werden verschoben.
- Transparenzpflichten nach Art. 50
Unter anderem müssen Deepfakes als KI-erzeugt offengelegt werden.
- Heute
Art. 4 und Art. 50 gelten. Jetzt ist der richtige Zeitpunkt für Ihre Richtlinie.
- Hochrisiko-KI nach Anhang III
Z. B. KI in Bewerbungsverfahren und Personalentscheidungen: umfangreiche Pflichten für Betreiber.
Quellen: Verordnung (EU) 2024/1689, geändert durch Verordnung (EU) 2026/1744.
Was gehört in eine KI-Richtlinie? Die 10 Bausteine
Eine gute KI-Richtlinie beantwortet die Fragen, die im Alltag auftauchen: „Darf ich das Angebot für Kunde X in ChatGPT überarbeiten lassen?“ Diese zehn Bausteine decken sie ab:
- Geltungsbereich: Für wen gilt die Richtlinie (auch Auszubildende, Freelancer, Werkstudierende) und was zählt als KI (auch KI-Funktionen in Office, CRM oder Buchhaltung).
- Freigegebene Tools: eine Liste mit Firmenkonten und ein einfacher Weg, neue Tools zu beantragen.
- Datenregeln: welche Daten in welches Tool dürfen. Am besten als Ampel (siehe unten).
- Keine privaten Konten: dienstliche Inhalte nur in freigegebenen Tools. Das ist die wichtigste Einzelregel gegen Schatten-KI.
- Prüfen vor Weitergeben: KI erfindet Fakten. Wer ein Ergebnis nutzt, verantwortet es.
- Kennzeichnung: wann KI-Inhalte als solche markiert werden, z. B. realistisch wirkende Bilder und Videos (Art. 50 AI Act).
- Rechte Dritter: Urheberrecht, Marken, Vertraulichkeitsvereinbarungen mit Kunden.
- Verbotene Anwendungen: alles, was Art. 5 AI Act verbietet, plus Ihre eigenen roten Linien, etwa keine Personalentscheidungen durch KI.
- Schulung: wer vor der Nutzung eine Einführung braucht und wie das dokumentiert wird (Art. 4 AI Act).
- Zuständigkeiten: eine verantwortliche Person, ein Meldeweg für Fehler und ein Termin für die nächste Überprüfung.
Baustein 3 entscheidet, ob die Richtlinie im Alltag funktioniert. Paragrafen liest niemand, bevor er etwas in ein Chatfenster kopiert. Eine Ampel dagegen merkt man sich:
- Öffentlich verfügbare Informationen
- Eigene Texte ohne Personenbezug
- Allgemeine Fach- und Formulierungsfragen
- Interne Dokumente und Protokolle
- Angebote und Kalkulationen
- Pseudonymisierte Kundendaten
- Gesundheits- und Personaldaten
- Passwörter und Zugangsdaten
- Bank- und Zahlungsdaten
- Unterlagen unter Geheimhaltungsvereinbarung
Im Zweifel gilt Rot. Die Einteilung passen Sie an Ihre Branche an, z. B. Mandantendaten in Kanzleien immer Rot.
Keine Regel wird in der Praxis so oft gebrochen wie diese. Kundendaten landen viel zu häufig in Tools, die nicht DSGVO-konform sind, meist ohne böse Absicht und aus reiner Zeitnot. Deshalb gehört die Ampel nicht nur ins Dokument, sondern in die Schulung, mit Beispielen aus dem eigenen Arbeitsalltag.
Muster einer KI-Nutzungsrichtlinie zum Kopieren
Das folgende Muster ist für Unternehmen mit etwa 10 bis 250 Beschäftigten gedacht. Gelb markierte Stellen passen Sie an. Lassen Sie die fertige Fassung von Ihrem Datenschutzbeauftragten und, falls vorhanden, mit dem Betriebsrat abstimmen.
KI-Nutzungsrichtlinie der [Firmenname]
Stand: [Datum] · Version 1.0 · Verantwortlich: [Name, Funktion]
§ 1 Zweck und Geltungsbereich
Diese Richtlinie regelt den Einsatz von KI-Anwendungen bei [Firmenname]. Dazu zählen Chatbots, Text-, Bild- und Übersetzungstools sowie KI-Funktionen in bereits genutzter Software. Sie gilt für alle Beschäftigten, Auszubildenden und Praktikantinnen und Praktikanten sowie für externe Kräfte, die in unserem Auftrag arbeiten.
§ 2 Grundsatz
Wir nutzen KI, um Routinearbeit zu verringern und bessere Ergebnisse zu erzielen. KI unterstützt, sie entscheidet nicht. Für jedes Arbeitsergebnis bleibt der Mensch verantwortlich, der es verwendet.
§ 3 Freigegebene KI-Tools
- Dienstlich genutzt werden dürfen nur die Tools aus Anlage 1, und zwar mit dem Firmenkonto.
- Private Konten und kostenlose Versionen sind für dienstliche Inhalte nicht erlaubt.
- Neue Tools beantragen Sie formlos bei [KI-Verantwortliche/r]. Geprüft werden insbesondere Auftragsverarbeitungsvertrag, Speicherort der Daten, Nutzung der Eingaben für KI-Training, Einbindung in unsere bestehenden Systeme und Kosten. Die Entscheidung fällt innerhalb von [10] Arbeitstagen.
- KI-Funktionen in bereits genutzter Software (z. B. [Office-Paket, CRM]) gelten erst nach Freigabe als freigegeben.
§ 4 Welche Daten in KI-Tools dürfen
- Grün, erlaubt in freigegebenen Tools: öffentlich verfügbare Informationen, eigene Texte ohne Personenbezug, allgemeine Fachfragen.
- Gelb, nur in freigegebenen Tools mit Auftragsverarbeitungsvertrag und nur so viel wie nötig: interne Dokumente, Angebote, Kalkulationen, pseudonymisierte Kundendaten.
- Rot, nie: Gesundheits- und Personaldaten, Passwörter und Zugangsdaten, Bank- und Zahlungsdaten, Unterlagen unter Geheimhaltungsvereinbarung, [weitere schutzbedürftige Informationen].
Im Zweifel gilt Rot. Fragen Sie [KI-Verantwortliche/r].
§ 5 Umgang mit Ergebnissen
- KI-Ergebnisse können falsch, veraltet oder erfunden sein. Prüfen Sie Fakten, Zahlen, Zitate und Quellen, bevor Sie Ergebnisse weitergeben.
- Texte, Bilder und Code aus KI-Tools können Rechte Dritter verletzen. Übernehmen Sie keine erkennbar fremden Inhalte, Logos oder Marken ohne Prüfung.
- Entscheidungen über Personen, etwa zu Bewerbungen, Leistungsbeurteilungen oder Kündigungen, trifft immer ein Mensch. KI darf dafür höchstens Informationen aufbereiten.
§ 6 Kennzeichnung
- KI-erzeugte oder wesentlich veränderte Bilder, Videos und Tonaufnahmen, die echt wirkende Personen, Orte oder Ereignisse zeigen, kennzeichnen wir als KI-generiert.
- KI-erstellte Texte, mit denen wir die Öffentlichkeit informieren, kennzeichnen wir, wenn sie nicht von einem Menschen geprüft und redaktionell verantwortet wurden.
- Chatbots in unserem Kundenkontakt geben sich als KI zu erkennen.
§ 7 Verbotene Anwendungen
- Nicht erlaubt ist jeder KI-Einsatz, den Art. 5 der KI-Verordnung verbietet, z. B. Emotionserkennung am Arbeitsplatz oder manipulative Techniken. Außerdem nicht erlaubt: [eigene Verbote, z. B. Aufzeichnen von Gesprächen ohne Zustimmung aller Beteiligten].
- KI in Bewerbungsverfahren, bei der Leistungsbewertung oder für andere Personalentscheidungen setzen wir nur nach vorheriger Zustimmung der Geschäftsführung [und des Betriebsrats] ein.
§ 8 Schulung
- Wer KI-Tools dienstlich nutzt, nimmt vorher an einer Einführung teil ([2 Stunden]) und danach an einer jährlichen Auffrischung.
- Inhalte: diese Richtlinie, Stärken und Grenzen von KI, Datenschutz, Beispiele aus unserem Arbeitsalltag.
- Die Teilnahme wird dokumentiert (Art. 4 KI-Verordnung).
§ 9 Zuständigkeiten und Meldewege
KI-Verantwortliche/r: [Name]. Datenschutz: [Name oder externe/r Datenschutzbeauftragte/r]. Fehler, mögliche Datenpannen und Zweifel melden Sie sofort an [E-Mail-Adresse]. Wer einen Fehler meldet, muss keine Nachteile befürchten.
§ 10 Überprüfung und Inkrafttreten
Diese Richtlinie wird mindestens [jährlich] und bei wesentlichen Änderungen (neue Tools, neue Rechtslage) überprüft. Sie tritt am [Datum] in Kraft. [Sie wurde mit dem Betriebsrat abgestimmt.]
Anlage 1: Freigegebene KI-Tools
| Tool und Lizenz | Zweck | Erlaubte Daten | Ansprechpartner |
|---|---|---|---|
| [z. B. Chat-Assistent, Business-Version] | [Texte, Recherche] | Grün, Gelb | [Name] |
| [z. B. Übersetzungstool] | [Übersetzungen] | Grün, Gelb | [Name] |
Kostenlose Vorlage
Das Muster als Word-Datei zum Anpassen
Drei kurze Fragen, dann laden Sie die bearbeitbare Word-Vorlage herunter. Ihre Antworten helfen mir, Ihnen bei Bedarf eine passende Einschätzung zu geben.
Danke! Hier ist Ihre Vorlage.
Passen Sie die gelb markierten Stellen an Ihr Unternehmen an. Wenn Sie ein Anliegen ausgewählt haben, melde ich mich persönlich bei Ihnen.
Word-Vorlage herunterladenIn 6 Schritten zur eigenen KI-Richtlinie
Aus dem Muster wird Ihre Richtlinie, wenn Sie es mit Ihrer Realität abgleichen. Diese Reihenfolge hat sich bewährt, weil jeder Schritt auf dem vorigen aufbaut:
Bestandsaufnahme: Wer nutzt schon was?
Fragen Sie anonym, welche KI-Tools im Team laufen und wofür. Zehn Minuten Umfrage zeigen mehr als jede Vermutung, und anonym bekommen Sie ehrliche Antworten.
Tools prüfen und freigeben
Für jedes Tool: Gibt es eine Business-Version mit Auftragsverarbeitungsvertrag? Wo liegen die Daten? Werden Eingaben zum Training genutzt? Lässt es sich in Ihre bestehenden Systeme einbinden? Was kostet es pro Kopf?
Daten-Ampel festlegen
Ordnen Sie Ihre typischen Daten Grün, Gelb und Rot zu. Nehmen Sie echte Beispiele aus Ihrem Alltag, keine abstrakten Kategorien.
Entwurf schreiben und abstimmen
Muster anpassen, dann mit Datenschutzbeauftragtem und, falls vorhanden, Betriebsrat besprechen. Zwei bis vier Seiten reichen.
Einführen und schulen
Stellen Sie die Richtlinie in einer kurzen Schulung vor, mit Beispielen aus Ihrem Unternehmen. Teilnahme dokumentieren: Das ist Ihr Nachweis nach Art. 4 AI Act.
Überprüfen
Tools und Rechtslage ändern sich schnell. Der AI Act wurde allein 2026 geändert. Planen Sie eine feste Überprüfung ein, mindestens jährlich.
Die 5 häufigsten Fehler bei KI-Richtlinien
Verbieten statt regeln
Ein pauschales „Keine KI“ klingt sicher und bewirkt das Gegenteil: Die Nutzung wandert in private Konten, wo Sie keine Kontrolle mehr haben. Die Bitkom-Zahlen oben zeigen, wie verbreitet das schon ist.
Regeln ohne Werkzeug
Eine Richtlinie, die private Tools verbietet, aber kein freigegebenes Tool anbietet, wird ignoriert. Erst das Firmenkonto, dann die Regel.
Zu lang, zu juristisch
Zwanzig Seiten Paragrafen liest niemand. Auf eine Seite müssen die Ampel und die Tool-Liste passen, der Rest darf in Anlagen.
Einmal geschrieben, nie angefasst
Neue KI-Funktionen kommen in Office- und CRM-Software oft per automatischem Update. Wer seine Richtlinie nicht überprüft, hat nach einem Jahr Regeln für Tools, die niemand mehr nutzt.
Betriebsrat zu spät eingebunden
Kommt der Betriebsrat erst am Ende dazu, beginnt die Diskussion von vorn. Früh einbinden spart Wochen.
Muss der Betriebsrat der KI-Richtlinie zustimmen?
Wenn Sie einen Betriebsrat haben, meistens ja. Drei Vorschriften sind entscheidend:
- § 90 Abs. 1 Nr. 3 BetrVG: Sie müssen den Betriebsrat über die Planung von Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichten.
- § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen. Die meisten KI-Tools protokollieren Nutzungsdaten, damit ist diese Schwelle schnell erreicht.
- § 80 Abs. 3 BetrVG: Muss der Betriebsrat KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich.
In der Praxis wird die KI-Richtlinie deshalb oft als Betriebsvereinbarung geschlossen. Ohne Betriebsrat setzen Sie die Richtlinie über Ihr Weisungsrecht nach § 106 GewO in Kraft. Erklären sollten Sie sie trotzdem: Regeln, die man versteht, werden eher eingehalten.
Fazit und Empfehlung
Die Richtlinien, die ich mit Kunden erarbeite, sind kurz und so einfach gehalten, dass man sie sich merken kann. Die Grundregel für jedes Tool ist simpel: Es muss DSGVO-konform sein und sich in das Gesamtsystem einfügen, also in die Software, mit der Ihr Team ohnehin arbeitet. Ein Tool, das nur nebenher läuft, wird zur nächsten Insel.
Meine Empfehlung: Starten Sie mit einer zweiseitigen Fassung aus dem Muster oben, einem freigegebenen Tool und einer einstündigen Einführung für das Team. Das ist in wenigen Wochen machbar und deckt die wichtigsten Pflichten ab. Verfeinern können Sie später.
In meinen Coachings ist die KI-Nutzungsrichtlinie deshalb eines der ersten Ergebnisse, gemeinsam mit dem Team erarbeitet statt von oben verordnet. Über das Programm INQA-Coaching übernimmt der Bund 80 % der Beratungskosten, wenn Ihr Unternehmen die Voraussetzungen erfüllt. Wie das Programm abläuft, lesen Sie im Überblick zum KI-Einführungsprogramm.
KI-Beratung
Wo steht Ihr Unternehmen bei KI? Lassen Sie uns sprechen.
Strategie, Richtlinie, Schulung oder Automatisierung: Beschreiben Sie Ihr Anliegen in drei Schritten. Sie bekommen eine persönliche Rückmeldung von mir, kein automatisches Angebot.
Danke, Ihre Anfrage ist angekommen.
Ich sehe mir Ihre Angaben an und melde mich persönlich. Wenn es schneller gehen soll, buchen Sie direkt ein kostenloses Erstgespräch.
Erstgespräch buchenHäufige Fragen
Ist eine KI-Richtlinie im Unternehmen Pflicht?
Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, aber nach Art. 4 AI Act Maßnahmen für die KI-Kompetenz ihrer Beschäftigten ergreifen. Dazu kommen DSGVO und Geheimnisschutz. Eine schriftliche Richtlinie mit Schulungsnachweis ist der einfachste Weg, das zu belegen.
Was ist der Unterschied zwischen KI-Richtlinie und KI-Verordnung?
Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) ist EU-Recht und gilt in Deutschland unmittelbar. Eine EU-„KI-Richtlinie“ gibt es nicht. Mit KI-Richtlinie ist im Unternehmen die interne Regel gemeint, wie Beschäftigte KI nutzen dürfen.
Wie lang sollte eine KI-Richtlinie sein?
Zwei bis vier Seiten plus eine Liste der freigegebenen Tools reichen für die meisten kleinen und mittleren Unternehmen. Entscheidend ist, dass jede Person im Alltag schnell nachsehen kann, welche Daten in welches Tool dürfen.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Wenn die eingesetzten Tools Nutzungsdaten erfassen, mit denen sich Verhalten oder Leistung auswerten lässt, besteht ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Über die Planung des KI-Einsatzes muss der Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG ohnehin unterrichtet werden. Oft wird die Richtlinie deshalb als Betriebsvereinbarung abgeschlossen.
Reicht eine KI-Richtlinie für die Schulungspflicht nach Art. 4 AI Act?
Nein. Die Richtlinie regelt die Nutzung, Art. 4 verlangt Maßnahmen zur KI-Kompetenz. Seit der Änderung durch die Verordnung (EU) 2026/1744 müssen Sie kein bestimmtes Kompetenzniveau garantieren, aber nachweisen können, dass Sie geschult und informiert haben. Die Richtlinie ist dafür ein Baustein, die dokumentierte Schulung der zweite.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act), EUR-Lex
- Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), EUR-Lex · veröffentlicht am 24.07.2026, in Kraft seit 27.07.2026
- Bitkom: Beschäftigte nutzen Schatten-KI (Presseinformation) · 21.10.2025, 604 Unternehmen ab 20 Beschäftigten
- OpenAI: How your data is used to improve model performance · Training standardmäßig an bei Free, Plus und Pro; aus bei Business, Enterprise und API
- Datenschutz-Grundverordnung (EU) 2016/679, EUR-Lex
- § 2 Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG)
- § 87 Betriebsverfassungsgesetz (Mitbestimmungsrechte)
- § 90 Betriebsverfassungsgesetz (Unterrichtungs- und Beratungsrechte)
- § 80 Betriebsverfassungsgesetz (Allgemeine Aufgaben, Abs. 3 Sachverständige)
- § 106 Gewerbeordnung (Weisungsrecht des Arbeitgebers)
80 % der Beratung zahlt der Staat.
Über INQA-Coaching fördert der Bund 12 Beratungstage zur KI-Einführung mit 80 %. Ihr Eigenanteil: 2.880 € netto. Prüfen Sie in 60 Sekunden, ob Ihr Betrieb infrage kommt.


