KI-Richtlinie für Mitarbeiter: Was muss drinstehen?

In vielen Unternehmen wird mit KI gearbeitet, lange bevor jemand Regeln dafür aufgeschrieben hat. Eine Kollegin lässt sich eine Angebotsmail vorformulieren, ein Kollege fasst ein Protokoll mit einem Chat-Werkzeug zusammen, die Personalabteilung testet Formulierungen für Stellenanzeigen. Irgendwann stellt sich die Frage, was davon in Ordnung ist und was nicht. Die Antwort darauf ist eine KI-Richtlinie. Sie muss weder lang noch kompliziert sein. Entscheidend ist, dass sie die Fragen beantwortet, die sich im Alltag tatsächlich stellen.

Warum eine schriftliche Regel hilft

Die Datenschutzkonferenz, der Zusammenschluss der Datenschutzaufsichtsbehörden von Bund und Ländern, hat dazu 2024 eine Orientierungshilfe veröffentlicht. Darin heißt es, dass ohne klare Regelungen das Risiko besteht, dass Beschäftigte KI-Anwendungen eigenmächtig und unkontrolliert nutzen. Die Behörden gehen davon aus, dass das in vielen Unternehmen bereits Realität ist. Sie empfehlen deshalb, klare interne Weisungen zu erteilen und zu dokumentieren: ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen.

Hinzu kommt die EU-KI-Verordnung. Nach Artikel 4 in der seit dem 27. Juli 2026 geltenden Fassung ergreifen Unternehmen, die KI-Systeme einsetzen, Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Eine Richtlinie allein ist noch keine Schulung. Sie gibt einer Schulung aber den Inhalt, an dem sich alle orientieren können.

Sieben Punkte, die auf eine Seite gehören

Eine Richtlinie, die jede Person im Team in fünf Minuten lesen kann, wird eher befolgt als ein Dokument mit zwanzig Seiten. Diese sieben Punkte decken das Wesentliche ab:

• Für wen sie gilt. Alle Beschäftigten, die mit KI arbeiten. Sinnvoll ist auch ein Satz zu Personen, die im Auftrag des Unternehmens tätig sind, etwa freie Mitarbeitende oder Dienstleister.
• Welche Werkzeuge freigegeben sind. Namentlich, mit dem Hinweis, dass dienstliche Inhalte nur in diese Werkzeuge gehören. Die Datenschutzkonferenz empfiehlt, dass der Arbeitgeber Geräte und Konten bereitstellt, damit Beschäftigte nicht mit privaten Konten arbeiten.
• Wofür sie genutzt werden dürfen. Mit konkreten Beispielen für erlaubte und für nicht vorgesehene Einsatzfälle. Genau diese Beispiele hebt die Datenschutzkonferenz als hilfreich hervor.
• Welche Daten hineindürfen. Eine einfache Einteilung in das, was unbedenklich ist, was nur in freigegebene Werkzeuge darf und was draußen bleibt. Besondere Vorsicht gilt für Gesundheitsdaten und andere besonders geschützte Angaben.
• Wie Ergebnisse geprüft werden. KI-Werkzeuge erzeugen Texte, die flüssig klingen und trotzdem falsch sein können. Ergebnisse werden vor der Weitergabe geprüft. Entscheidungen über Menschen, etwa bei Bewerbungen, trifft ein Mensch mit echtem Entscheidungsspielraum.
• Was nach außen geht. Wer Texte, Bilder oder Ton für die Öffentlichkeit freigibt und wann ein Hinweis auf KI nötig ist.
• Wer ansprechbar ist. Eine Person, die Fragen beantwortet, Rückmeldungen sammelt und die Richtlinie aktuell hält.

Wie die Einteilung der Daten im Einzelnen aussehen kann, zeigt der Beitrag Welche Daten dürfen Mitarbeiter in ChatGPT eingeben? mit einer Übersicht in drei Farben.

Die Prüfung der Ergebnisse gehört hinein

Viele Richtlinien regeln ausführlich, was in ein KI-Werkzeug hineindarf, und sagen wenig darüber, was mit dem Ergebnis geschieht. Dabei liegt hier ein großer Teil des Alltags. Die Datenschutzkonferenz weist darauf hin, dass Anbieter großer Sprachmodelle selbst klarstellen, dass die erzeugten Texte keinen Anspruch auf Richtigkeit haben. Ergebnisse mit Personenbezug müssen deshalb kritisch hinterfragt werden, bevor sie weiterverwendet werden. Die Behörden nennen außerdem die Prüfung auf Diskriminierung: Auch wenn ein einzelnes Ergebnis unauffällig wirkt, kann eine Empfehlung bestimmte Gruppen benachteiligen.

Für Entscheidungen mit Rechtswirkung für eine Person gilt nach Artikel 22 der Datenschutz-Grundverordnung, dass sie grundsätzlich von Menschen getroffen werden. Die Orientierungshilfe stellt klar, dass eine bloß formelle Beteiligung eines Menschen nicht ausreicht. Wer einen KI-Vorschlag übernimmt, braucht einen tatsächlichen Entscheidungsspielraum. Für die Richtlinie heißt das: Ein Satz, dass KI-Ergebnisse vor der Verwendung geprüft werden und Entscheidungen über Menschen bei Menschen bleiben, gehört auf jede Seite.

Wer an der Richtlinie beteiligt sein sollte

Die Geschäftsführung gibt die Richtlinie in Kraft. Die Datenschutzkonferenz empfiehlt, betriebliche Datenschutzbeauftragte stets einzubinden, wenn Entscheidungen über KI-Anwendungen vorbereitet oder getroffen werden. Wo es einen Betriebsrat gibt, ist seine Beteiligung ebenfalls zu prüfen. Das Betriebsverfassungsgesetz nennt in § 90 den Einsatz von Künstlicher Intelligenz ausdrücklich bei der Planung von Arbeitsverfahren und Arbeitsabläufen, über die der Betriebsrat zu unterrichten ist. Die Datenschutzkonferenz hält zudem fest, dass sich neben einer Handlungsanweisung auch eine Betriebsvereinbarung anbietet.

Hilfreich ist außerdem, Beschäftigte aus den Abteilungen zu fragen, die KI bereits nutzen. Sie wissen, welche Fälle im Alltag auftauchen, und liefern die Beispiele, die eine Richtlinie verständlich machen.

Von der Seite in den Alltag

Eine Richtlinie wirkt erst, wenn alle sie kennen und verstehen. Die Datenschutzkonferenz empfiehlt, Beschäftigte durch Schulungen, Leitfäden und Gespräche dafür zu sensibilisieren, ob und wie sie KI-Anwendungen nutzen sollen und dürfen. In Schulungen mit Teams zeigt sich regelmäßig, dass die Regeln erst dann sitzen, wenn sie an eigenen Aufgaben ausprobiert werden. Welche Inhalte eine Schulung dafür abdecken sollte, steht im Beitrag KI-Schulung für Mitarbeiter: Welche Inhalte gehören hinein?

Zwei Dinge erleichtern die Pflege. Erstens ein Datum und eine Versionsangabe auf der Seite, damit klar ist, welcher Stand gilt. Zweitens ein fester Anlass zur Überprüfung, etwa wenn ein neues Werkzeug eingeführt wird oder sich ein vorhandenes deutlich ändert. Die Datenschutzkonferenz erwartet ausdrücklich, dass Unternehmen rechtliche und technische Entwicklungen verfolgen. Wenn Sie die Richtlinie und die Schulung dazu festhalten, sind beide zugleich Teil Ihrer Dokumentation zur KI-Kompetenz, wie im Beitrag KI-Kompetenz nachweisen: Was gehört in die Dokumentation? beschrieben.

Häufige Fragen

Dieser Beitrag ordnet ein und gibt den Stand vom 28. Oktober 2026 wieder. Er ersetzt keine rechtliche Beratung im Einzelfall.