KI-Richtlinie des Unternehmens

Hinweis zum Ausfüllen: Ersetzen Sie alle kursiven Platzhalter durch Ihre Angaben und streichen Sie nicht zutreffende Punkte. Lassen Sie die fertige Richtlinie von Geschäftsführung, Datenschutz und – falls vorhanden – Betriebsrat freigeben.

Unternehmen: [Name]
Verantwortliche Stelle (KI): [Funktion / Name]
Version: 1.0 · Gültig ab: [Datum] · Nächste Prüfung: [Datum]

1. Zweck und Ziel

Diese Richtlinie regelt den sicheren, rechtskonformen und verantwortungsvollen Einsatz von KI-Systemen im Unternehmen. Sie übersetzt die Anforderungen der EU-KI-Verordnung – insbesondere die KI-Kompetenz nach Art. 4 – sowie des Datenschutzrechts in konkrete Arbeitsregeln.

2. Geltungsbereich

Diese Richtlinie gilt für:

• alle Mitarbeitenden, Auszubildenden, Werkstudierenden und Führungskräfte
• externe Dienstleister und Freelancer, die im Auftrag des Unternehmens KI nutzen
• alle KI-Systeme: generative KI, KI-Funktionen in Fachsoftware und eigenentwickelte KI
• dienstliche und private Geräte, sofern damit Unternehmensdaten verarbeitet werden

3. Begriffe

• KI-System: Software, die aus Eingaben Ergebnisse wie Texte, Bilder, Code oder Entscheidungsvorschläge erzeugt.
• Generative KI: KI, die neue Inhalte erstellt (Text, Bild, Audio, Code), z. B. ChatGPT, Copilot, Gemini.
• Schatten-KI: nicht freigegebene KI-Tools, die ohne Genehmigung eingesetzt werden.
• Sensible Daten: personenbezogene Daten, Geschäftsgeheimnisse, Quellcode, Zugangsdaten, Vertrags- und Finanzdaten.

4. Grundprinzipien

1. Verantwortung bleibt beim Menschen – KI ist Hilfsmittel, nicht Entscheider.
2. Datenschutz zuerst – keine sensiblen Daten ohne ausdrückliche Freigabe.
3. Transparenz – KI-Einsatz wird offengelegt, wo er Menschen wesentlich betrifft.
4. Qualität und Fairness – Ergebnisse werden geprüft, Diskriminierung wird vermieden.

5. Freigegebene KI-Systeme

Erlaubt ist ausschließlich die Nutzung freigegebener Systeme:

• [Tool 1, z. B. Microsoft Copilot für Microsoft 365]
• [Tool 2, z. B. ChatGPT Enterprise]
• [Tool 3]

Neue Tools sind vor der Nutzung über [Kontakt / Prozess] zur Freigabe durch IT, Datenschutz und die verantwortliche KI-Stelle anzumelden.

6. Datenklassifizierung und erlaubte Nutzung

Datenklasse	Beispiele	Nutzung mit freigegebener KI
Öffentlich	Marketingtexte, veröffentlichte Inhalte	erlaubt
Intern	Entwürfe, Notizen ohne Personenbezug	erlaubt, mit Vorsicht
Vertraulich	Kundendaten, Verträge, Personaldaten	nur mit ausdrücklicher Freigabe
Geheim	Zugangsdaten, Geschäftsgeheimnisse, Quellcode	verboten

7. Verbotene Nutzung

Ohne ausdrückliche Freigabe ist untersagt:

• Eingabe personenbezogener oder vertraulicher Daten in KI-Tools
• vollautomatisierte Entscheidungen über Menschen (z. B. Bewerber, Kunden)
• ungeprüfte Übernahme von KI-Ergebnissen in externe Kommunikation
• Nutzung privater KI-Accounts für Unternehmensdaten
• Anwendungen, die unter die verbotenen Praktiken nach Art. 5 KI-VO fallen könnten

8. Prüfung und menschliche Kontrolle

Jede KI-Ausgabe wird vor Verwendung auf Fakten, Quellen, Tonalität, Bias und Datenschutz geprüft. Inhalte für Kunden, die Öffentlichkeit oder Entscheidungen werden zusätzlich durch eine fachlich qualifizierte Person freigegeben.

9. Transparenzpflichten

KI-Unterstützung ist offenzulegen, wenn Kunden, Bewerber, Mitarbeitende oder Geschäftspartner dadurch wesentlich betroffen sind. KI-generierte oder -bearbeitete Inhalte werden bei Bedarf gekennzeichnet.

10. Schulung und KI-Kompetenz (Art. 4 KI-VO)

Vor der produktiven Nutzung absolvieren Mitarbeitende eine KI-Grundschulung. Die Teilnahme wird dokumentiert; rollenspezifische Vertiefungen folgen nach Bedarf gemäß KI-Kompetenz-Matrix.

11. Rollen und Verantwortlichkeiten

Rolle	Verantwortung
Geschäftsführung	Governance, Budget, finale Verantwortung
Verantwortliche KI-Stelle	Tool-Freigaben, Richtlinie, Eskalation
IT / Security	technische Prüfung, Berechtigungen, Datenflüsse
Datenschutz	DSGVO-Prüfung, Auftragsverarbeitung
Fachbereiche	regelkonforme Nutzung, Prüfung der Ergebnisse

12. Verstöße und Eskalation

Unsichere oder unklare Anwendungsfälle werden vor der Nutzung an die verantwortliche Stelle gemeldet. Verstöße gegen diese Richtlinie können arbeitsrechtliche Maßnahmen nach sich ziehen.

13. Inkrafttreten und Überprüfung

Diese Richtlinie tritt am [Datum] in Kraft und wird mindestens jährlich sowie bei neuen Tools, Vorfällen oder Gesetzesänderungen überprüft.

---

Freigegeben durch: [Name, Funktion, Datum]