• KI-Richtlinie
  • EU AI Act
  • KI-Kompetenz

KI-Richtlinie für Unternehmen: Muster, Inhalte und was der AI Act verlangt

KI-Richtlinie für Unternehmen: kostenloses Muster zum Anpassen, die 10 Bausteine und was AI Act, DSGVO und Betriebsrat verlangen. Stand Oktober 2026.

Illustration: leuchtendes Dokument „KI-Richtlinie“ mit Ampel in Grün, Gelb und Rot auf dunkelblauem Grund

Eine KI-Richtlinie ist die interne Regel, die festlegt, welche KI-Tools Ihre Beschäftigten nutzen dürfen, welche Daten hineindürfen und wer für Freigaben, Schulungen und Kontrolle zuständig ist. Gesetzlich vorgeschrieben ist sie nicht. Sie ist aber der einfachste Weg, die Pflicht zur KI-Kompetenz aus Art. 4 AI Act, die DSGVO und den Schutz Ihrer Geschäftsgeheimnisse nachweisbar abzudecken. Weiter unten finden Sie ein vollständiges Muster zum Kopieren.

Dieser Ratgeber richtet sich an Geschäftsführung, Personal- und IT-Verantwortliche in kleinen und mittleren Unternehmen. Er gehört zu meinem Überblick KI und Recht im Unternehmen und ersetzt keine Rechtsberatung. Stand der Rechtslage: Oktober 2026.

Ist eine KI-Richtlinie für Unternehmen Pflicht?

Kurz: nein, nicht als eigenes Dokument. Aber drei Pflichten, die Sie ohnehin treffen, lassen sich ohne schriftliche Regeln kaum erfüllen.

Art. 4 AI Act (KI-Kompetenz). Seit dem 2. Februar 2025 gilt: Wer KI-Systeme einsetzt, muss sich um die KI-Kompetenz der Beschäftigten kümmern. Im Juli 2026 hat die EU den Artikel mit der Verordnung (EU) 2026/1744 entschärft. Unternehmen müssen jetzt „Maßnahmen ergreifen“, die den Aufbau von KI-Kompetenz unterstützen, und kein bestimmtes Niveau mehr garantieren. Nachweisen, was Sie getan haben, müssen Sie trotzdem. Eine Richtlinie plus dokumentierte Einführung ist genau dieser Nachweis.

DSGVO. Sobald personenbezogene Daten in ein KI-Tool fließen, brauchen Sie eine Rechtsgrundlage und in aller Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Mit einem privaten Gratis-Konto ist das nicht zu machen.

Geschäftsgeheimnisse. Nach § 2 GeschGehG ist eine Information nur dann rechtlich als Geschäftsgeheimnis geschützt, wenn Sie „angemessene Geheimhaltungsmaßnahmen“ getroffen haben. Eine klare Regel, was nicht in Chatbots gehört, ist so eine Maßnahme. Fehlt sie, wird es im Streitfall schwer.

Und dann ist da noch die Praxis. In einer Bitkom-Umfrage von 2025 gingen 4 von 10 Unternehmen davon aus, dass ihre Beschäftigten private KI-Zugänge nutzen. KI-Regeln hatten nur 23 Prozent. Die Lücke dazwischen heißt Schatten-KI: Kundendaten landen in Tools, die niemand geprüft hat, und die Geschäftsführung erfährt es als Letzte.

In meinen Projekten ist das häufigste Schatten-Tool mit Abstand ChatGPT, oft in der kostenlosen Version mit privatem Konto. Genau die ist für Firmendaten ungeeignet. Bei den privaten Tarifen (Free, Plus, Pro) nutzt OpenAI die Eingaben standardmäßig zum Training seiner Modelle, solange niemand in den Einstellungen widerspricht. Einen Auftragsverarbeitungsvertrag nach DSGVO gibt es nur für die Business-Angebote, und dort werden die Daten standardmäßig auch nicht zum Training verwendet.

Ein typisches Szenario: Ein Vertriebsmitarbeiter soll schnell auf eine Reklamation antworten. Er kopiert den ganzen E-Mail-Verlauf in sein privates ChatGPT: Kundenname, Ansprechpartner, Auftragsnummer, Preise. Nach einer Minute steht eine gut formulierte Antwort. Nur liegen die Kundendaten jetzt bei einem Anbieter ohne Auftragsverarbeitungsvertrag, womöglich im Trainingsbestand, und im Unternehmen weiß niemand davon.

Mit Richtlinie läuft derselbe Vorgang über das freigegebene Business-Tool, und Namen und Preise ersetzt er vorher durch Platzhalter, wo sie für die Antwort nicht nötig sind. Gleiche Zeitersparnis, kein Datenschutzproblem.

Illustration: links verstreute, rot leuchtende Chat-Fenster und Tool-Symbole als Schatten-KI, rechts geordnete, blau leuchtende freigegebene Werkzeuge, verbunden mit einem Richtlinien-Dokument
Ohne Regeln entsteht Schatten-KI (links). Mit Richtlinie und freigegebenen Tools wird daraus ein geordneter Werkzeugkasten (rechts).

„KI-Richtlinie der EU“? Es ist eine Verordnung

Wer „KI-Richtlinie EU“ sucht, meint meist den AI Act. Juristisch ist das ein Unterschied mit Folgen: Der AI Act ist die Verordnung (EU) 2024/1689 und gilt in Deutschland unmittelbar. Eine EU-Richtlinie müsste der Bundestag erst in deutsches Recht umsetzen. Die „KI-Richtlinie“ in Ihrem Unternehmen ist dagegen Ihre interne Regel, wie KI genutzt wird.

Die Pflichten aus dem AI Act gelten gestaffelt. Für Unternehmen, die KI nutzen (im Gesetz „Betreiber“), sind diese Termine wichtig:

  1. AI Act tritt in Kraft
  2. Verbote und KI-Kompetenz gelten

    Verbotene KI-Praktiken nach Art. 5, z. B. Emotionserkennung am Arbeitsplatz, und die Pflicht zur KI-Kompetenz nach Art. 4.

  3. Digital Omnibus in Kraft

    Art. 4 wird zur Pflicht, Maßnahmen zur KI-Kompetenz zu ergreifen, ohne ein bestimmtes Niveau garantieren zu müssen. Fristen für Hochrisiko-KI werden verschoben.

  4. Transparenzpflichten nach Art. 50

    Unter anderem müssen Deepfakes als KI-erzeugt offengelegt werden.

  5. Heute

    Art. 4 und Art. 50 gelten. Jetzt ist der richtige Zeitpunkt für Ihre Richtlinie.

  6. Hochrisiko-KI nach Anhang III

    Z. B. KI in Bewerbungsverfahren und Personalentscheidungen: umfangreiche Pflichten für Betreiber.

Quellen: Verordnung (EU) 2024/1689, geändert durch Verordnung (EU) 2026/1744.

Was gehört in eine KI-Richtlinie? Die 10 Bausteine

Eine gute KI-Richtlinie beantwortet die Fragen, die im Alltag auftauchen: „Darf ich das Angebot für Kunde X in ChatGPT überarbeiten lassen?“ Diese zehn Bausteine decken sie ab:

  1. Geltungsbereich: Für wen gilt die Richtlinie (auch Auszubildende, Freelancer, Werkstudierende) und was zählt als KI (auch KI-Funktionen in Office, CRM oder Buchhaltung).
  2. Freigegebene Tools: eine Liste mit Firmenkonten und ein einfacher Weg, neue Tools zu beantragen.
  3. Datenregeln: welche Daten in welches Tool dürfen. Am besten als Ampel (siehe unten).
  4. Keine privaten Konten: dienstliche Inhalte nur in freigegebenen Tools. Das ist die wichtigste Einzelregel gegen Schatten-KI.
  5. Prüfen vor Weitergeben: KI erfindet Fakten. Wer ein Ergebnis nutzt, verantwortet es.
  6. Kennzeichnung: wann KI-Inhalte als solche markiert werden, z. B. realistisch wirkende Bilder und Videos (Art. 50 AI Act).
  7. Rechte Dritter: Urheberrecht, Marken, Vertraulichkeitsvereinbarungen mit Kunden.
  8. Verbotene Anwendungen: alles, was Art. 5 AI Act verbietet, plus Ihre eigenen roten Linien, etwa keine Personalentscheidungen durch KI.
  9. Schulung: wer vor der Nutzung eine Einführung braucht und wie das dokumentiert wird (Art. 4 AI Act).
  10. Zuständigkeiten: eine verantwortliche Person, ein Meldeweg für Fehler und ein Termin für die nächste Überprüfung.

Baustein 3 entscheidet, ob die Richtlinie im Alltag funktioniert. Paragrafen liest niemand, bevor er etwas in ein Chatfenster kopiert. Eine Ampel dagegen merkt man sich:

Grün: erlaubtin allen freigegebenen Tools
  • Öffentlich verfügbare Informationen
  • Eigene Texte ohne Personenbezug
  • Allgemeine Fach- und Formulierungsfragen
Gelb: nur mit Vertragnur in Tools mit Auftragsverarbeitungsvertrag, nur so viel wie nötig
  • Interne Dokumente und Protokolle
  • Angebote und Kalkulationen
  • Pseudonymisierte Kundendaten
Rot: nieauch nicht in freigegebenen Tools, außer mit ausdrücklicher Freigabe
  • Gesundheits- und Personaldaten
  • Passwörter und Zugangsdaten
  • Bank- und Zahlungsdaten
  • Unterlagen unter Geheimhaltungsvereinbarung

Im Zweifel gilt Rot. Die Einteilung passen Sie an Ihre Branche an, z. B. Mandantendaten in Kanzleien immer Rot.

Keine Regel wird in der Praxis so oft gebrochen wie diese. Kundendaten landen viel zu häufig in Tools, die nicht DSGVO-konform sind, meist ohne böse Absicht und aus reiner Zeitnot. Deshalb gehört die Ampel nicht nur ins Dokument, sondern in die Schulung, mit Beispielen aus dem eigenen Arbeitsalltag.

Muster einer KI-Nutzungsrichtlinie zum Kopieren

Das folgende Muster ist für Unternehmen mit etwa 10 bis 250 Beschäftigten gedacht. Gelb markierte Stellen passen Sie an. Lassen Sie die fertige Fassung von Ihrem Datenschutzbeauftragten und, falls vorhanden, mit dem Betriebsrat abstimmen.

Kostenlose Vorlage

Das Muster als Word-Datei zum Anpassen

Drei kurze Fragen, dann laden Sie die bearbeitbare Word-Vorlage herunter. Ihre Antworten helfen mir, Ihnen bei Bedarf eine passende Einschätzung zu geben.

Worum geht es Ihnen?Mehrfachauswahl möglich
Wie viele Beschäftigte hat Ihr Unternehmen? / Wann möchten Sie starten?

Wie viele Beschäftigte hat Ihr Unternehmen?

Wann möchten Sie starten?

Wie erreiche ich Sie?

Kein Newsletter, keine automatischen Angebote. Ihre Angaben gehen direkt an mich, Christoph Weingärtner.

In 6 Schritten zur eigenen KI-Richtlinie

Aus dem Muster wird Ihre Richtlinie, wenn Sie es mit Ihrer Realität abgleichen. Diese Reihenfolge hat sich bewährt, weil jeder Schritt auf dem vorigen aufbaut:

  1. Bestandsaufnahme: Wer nutzt schon was?

    Fragen Sie anonym, welche KI-Tools im Team laufen und wofür. Zehn Minuten Umfrage zeigen mehr als jede Vermutung, und anonym bekommen Sie ehrliche Antworten.

  2. Tools prüfen und freigeben

    Für jedes Tool: Gibt es eine Business-Version mit Auftragsverarbeitungsvertrag? Wo liegen die Daten? Werden Eingaben zum Training genutzt? Lässt es sich in Ihre bestehenden Systeme einbinden? Was kostet es pro Kopf?

  3. Daten-Ampel festlegen

    Ordnen Sie Ihre typischen Daten Grün, Gelb und Rot zu. Nehmen Sie echte Beispiele aus Ihrem Alltag, keine abstrakten Kategorien.

  4. Entwurf schreiben und abstimmen

    Muster anpassen, dann mit Datenschutzbeauftragtem und, falls vorhanden, Betriebsrat besprechen. Zwei bis vier Seiten reichen.

  5. Einführen und schulen

    Stellen Sie die Richtlinie in einer kurzen Schulung vor, mit Beispielen aus Ihrem Unternehmen. Teilnahme dokumentieren: Das ist Ihr Nachweis nach Art. 4 AI Act.

  6. Überprüfen

    Tools und Rechtslage ändern sich schnell. Der AI Act wurde allein 2026 geändert. Planen Sie eine feste Überprüfung ein, mindestens jährlich.

Die 5 häufigsten Fehler bei KI-Richtlinien

Verbieten statt regeln

Ein pauschales „Keine KI“ klingt sicher und bewirkt das Gegenteil: Die Nutzung wandert in private Konten, wo Sie keine Kontrolle mehr haben. Die Bitkom-Zahlen oben zeigen, wie verbreitet das schon ist.

Regeln ohne Werkzeug

Eine Richtlinie, die private Tools verbietet, aber kein freigegebenes Tool anbietet, wird ignoriert. Erst das Firmenkonto, dann die Regel.

Zu lang, zu juristisch

Zwanzig Seiten Paragrafen liest niemand. Auf eine Seite müssen die Ampel und die Tool-Liste passen, der Rest darf in Anlagen.

Einmal geschrieben, nie angefasst

Neue KI-Funktionen kommen in Office- und CRM-Software oft per automatischem Update. Wer seine Richtlinie nicht überprüft, hat nach einem Jahr Regeln für Tools, die niemand mehr nutzt.

Betriebsrat zu spät eingebunden

Kommt der Betriebsrat erst am Ende dazu, beginnt die Diskussion von vorn. Früh einbinden spart Wochen.

Muss der Betriebsrat der KI-Richtlinie zustimmen?

Wenn Sie einen Betriebsrat haben, meistens ja. Drei Vorschriften sind entscheidend:

  • § 90 Abs. 1 Nr. 3 BetrVG: Sie müssen den Betriebsrat über die Planung von Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichten.
  • § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen. Die meisten KI-Tools protokollieren Nutzungsdaten, damit ist diese Schwelle schnell erreicht.
  • § 80 Abs. 3 BetrVG: Muss der Betriebsrat KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich.

In der Praxis wird die KI-Richtlinie deshalb oft als Betriebsvereinbarung geschlossen. Ohne Betriebsrat setzen Sie die Richtlinie über Ihr Weisungsrecht nach § 106 GewO in Kraft. Erklären sollten Sie sie trotzdem: Regeln, die man versteht, werden eher eingehalten.

Fazit und Empfehlung

Die Richtlinien, die ich mit Kunden erarbeite, sind kurz und so einfach gehalten, dass man sie sich merken kann. Die Grundregel für jedes Tool ist simpel: Es muss DSGVO-konform sein und sich in das Gesamtsystem einfügen, also in die Software, mit der Ihr Team ohnehin arbeitet. Ein Tool, das nur nebenher läuft, wird zur nächsten Insel.

Meine Empfehlung: Starten Sie mit einer zweiseitigen Fassung aus dem Muster oben, einem freigegebenen Tool und einer einstündigen Einführung für das Team. Das ist in wenigen Wochen machbar und deckt die wichtigsten Pflichten ab. Verfeinern können Sie später.

In meinen Coachings ist die KI-Nutzungsrichtlinie deshalb eines der ersten Ergebnisse, gemeinsam mit dem Team erarbeitet statt von oben verordnet. Über das Programm INQA-Coaching übernimmt der Bund 80 % der Beratungskosten, wenn Ihr Unternehmen die Voraussetzungen erfüllt. Wie das Programm abläuft, lesen Sie im Überblick zum KI-Einführungsprogramm.

KI-Beratung

Wo steht Ihr Unternehmen bei KI? Lassen Sie uns sprechen.

Strategie, Richtlinie, Schulung oder Automatisierung: Beschreiben Sie Ihr Anliegen in drei Schritten. Sie bekommen eine persönliche Rückmeldung von mir, kein automatisches Angebot.

Worum geht es Ihnen?Mehrfachauswahl möglich
Wie viele Beschäftigte hat Ihr Unternehmen? / Wann möchten Sie starten?

Wie viele Beschäftigte hat Ihr Unternehmen?

Wann möchten Sie starten?

Wie erreiche ich Sie?

Kein Newsletter, keine automatischen Angebote. Ihre Angaben gehen direkt an mich, Christoph Weingärtner.

Häufige Fragen

Ist eine KI-Richtlinie im Unternehmen Pflicht?

Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, aber nach Art. 4 AI Act Maßnahmen für die KI-Kompetenz ihrer Beschäftigten ergreifen. Dazu kommen DSGVO und Geheimnisschutz. Eine schriftliche Richtlinie mit Schulungsnachweis ist der einfachste Weg, das zu belegen.

Was ist der Unterschied zwischen KI-Richtlinie und KI-Verordnung?

Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) ist EU-Recht und gilt in Deutschland unmittelbar. Eine EU-„KI-Richtlinie“ gibt es nicht. Mit KI-Richtlinie ist im Unternehmen die interne Regel gemeint, wie Beschäftigte KI nutzen dürfen.

Wie lang sollte eine KI-Richtlinie sein?

Zwei bis vier Seiten plus eine Liste der freigegebenen Tools reichen für die meisten kleinen und mittleren Unternehmen. Entscheidend ist, dass jede Person im Alltag schnell nachsehen kann, welche Daten in welches Tool dürfen.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?

Wenn die eingesetzten Tools Nutzungsdaten erfassen, mit denen sich Verhalten oder Leistung auswerten lässt, besteht ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Über die Planung des KI-Einsatzes muss der Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG ohnehin unterrichtet werden. Oft wird die Richtlinie deshalb als Betriebsvereinbarung abgeschlossen.

Reicht eine KI-Richtlinie für die Schulungspflicht nach Art. 4 AI Act?

Nein. Die Richtlinie regelt die Nutzung, Art. 4 verlangt Maßnahmen zur KI-Kompetenz. Seit der Änderung durch die Verordnung (EU) 2026/1744 müssen Sie kein bestimmtes Kompetenzniveau garantieren, aber nachweisen können, dass Sie geschult und informiert haben. Die Richtlinie ist dafür ein Baustein, die dokumentierte Schulung der zweite.

Quellen

  1. Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act), EUR-Lex
  2. Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), EUR-Lex · veröffentlicht am 24.07.2026, in Kraft seit 27.07.2026
  3. Bitkom: Beschäftigte nutzen Schatten-KI (Presseinformation) · 21.10.2025, 604 Unternehmen ab 20 Beschäftigten
  4. OpenAI: How your data is used to improve model performance · Training standardmäßig an bei Free, Plus und Pro; aus bei Business, Enterprise und API
  5. Datenschutz-Grundverordnung (EU) 2016/679, EUR-Lex
  6. § 2 Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG)
  7. § 87 Betriebsverfassungsgesetz (Mitbestimmungsrechte)
  8. § 90 Betriebsverfassungsgesetz (Unterrichtungs- und Beratungsrechte)
  9. § 80 Betriebsverfassungsgesetz (Allgemeine Aufgaben, Abs. 3 Sachverständige)
  10. § 106 Gewerbeordnung (Weisungsrecht des Arbeitgebers)

80 % der Beratung zahlt der Staat.

Über INQA-Coaching fördert der Bund 12 Beratungstage zur KI-Einführung mit 80 %. Ihr Eigenanteil: 2.880 € netto. Prüfen Sie in 60 Sekunden, ob Ihr Betrieb infrage kommt.

← Alle Artikel im Ratgeber