Business Skills Academy: 48 Module für Ihre Mitarbeiterschulungen, sofort verfügbar als Add-On zum elearnio LMS.
Jetzt kostenlos lesen
Im Marketing entstehen die ersten Entwürfe mit ChatGPT, im Vertrieb fasst ein KI-Tool Gesprächsnotizen zusammen, und in der Personalabteilung fragt jemand, ob man Lebensläufe von einer KI vorsortieren lassen darf. Spätestens dann braucht es klare Regeln. Eine KI-Richtlinie im Unternehmen legt fest, welche KI-Tools Mitarbeitende wofür nutzen dürfen, welche Daten tabu sind, wer neue Tools freigibt und wie Sie die Schulung dazu nachweisen.
Dieser Leitfaden zeigt, was in eine KI-Nutzungsrichtlinie gehört, wie Sie sie in 6 Schritten erstellen, welche Rolle der Betriebsrat spielt und wie die Regeln tatsächlich bei allen Mitarbeitenden ankommen.
Eine KI-Richtlinie ist eine interne Leitlinie, die den Einsatz von künstlicher Intelligenz im Arbeitsalltag regelt. Häufig heißt sie auch KI-Policy oder KI-Nutzungsrichtlinie. Sie richtet sich an alle Mitarbeitenden und beantwortet die Fragen, die im Alltag auftauchen: Welches Tool darf ich nutzen? Was darf ich eingeben? Wen frage ich, wenn ich ein neues Tool ausprobieren möchte?
Die Richtlinie ist ein zentraler Baustein der KI-Governance, also der Zuständigkeiten, Regeln und Kontrollen, mit denen ein Unternehmen den KI-Einsatz steuert.
Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Mehrere Pflichten lassen sich ohne klare interne Regeln aber kaum erfüllen:
Hinzu kommt ein praktischer Grund: Ohne Regeln greifen Mitarbeitende zu privaten Accounts. Was dann mit Ihren Daten passiert, kontrolliert niemand mehr. Welche Risiken diese Schatten-KI birgt, beschreibt ein eigener Ratgeber.
Die Inhalte hängen davon ab, welche Tools Ihr Unternehmen nutzt und in welchen Bereichen. Die folgenden Bausteine decken die Punkte ab, die die DSK und der EU AI Act ansprechen.
| Baustein | Was Sie festlegen |
|---|---|
| Geltungsbereich | für wen die Richtlinie gilt, etwa auch für freie Mitarbeitende und Dienstleister:innen |
| Erlaubte Tools | welche KI-Anwendungen freigegeben sind und für welche Zwecke |
| Freigabeprozess | wie Mitarbeitende ein neues Tool beantragen und wer es prüft |
| Verantwortlichkeiten | wer Tools freigibt, wer den Datenschutz prüft und wer Fragen beantwortet |
| Umgang mit Daten | welche Daten niemand eingeben darf, etwa personenbezogene Daten oder Geschäftsgeheimnisse |
| Prüfung der Ergebnisse | dass Mitarbeitende KI-Ergebnisse vor der Weiterverwendung auf Richtigkeit prüfen |
| Accounts und Geräte | dass nur dienstliche Zugänge zum Einsatz kommen |
| Schulung und Nachweis | welche Schulungen Mitarbeitende absolvieren und wie Sie das dokumentieren |
Je konkreter die Beispiele, desto leichter fällt die Anwendung. Die DSK rät ausdrücklich dazu, erlaubte und untersagte Szenarien zu beschreiben. Ein Satz wie „Kund:innendaten dürfen nicht in ChatGPT eingegeben werden“ hilft im Alltag mehr als ein allgemeiner Verweis auf den Datenschutz.
Eine feste Vorlage schreibt weder die DSGVO noch der EU AI Act vor. Aus den Empfehlungen der DSK und den Pflichten aus Artikel 4 lassen sich aber 6 Schritte ableiten.
Halten Sie fest, welche KI-Tools in welchen Abteilungen schon im Einsatz sind. Fragen Sie dabei auch nach Tools, die Mitarbeitende auf eigene Initiative nutzen. Diese Bestandsaufnahme zeigt, wo Regeln am dringendsten fehlen.
Legen Sie fest, wer die Richtlinie verantwortet und wer an ihr mitarbeitet. Laut DSK sollten Datenschutzbeauftragte stets eingebunden sein, wenn Entscheidungen über KI-Anwendungen anstehen. Sinnvoll ist ein kleines Team aus HR, Compliance, IT und Datenschutz.
Bestimmen Sie für jedes freigegebene Tool, wofür es genutzt werden darf und welche Daten tabu sind. Beschreiben Sie typische Fälle aus Ihrem Alltag als Beispiele. Legen Sie außerdem fest, dass Mitarbeitende KI-Ergebnisse vor der Weiterverwendung prüfen, weil KI-Systeme falsche oder diskriminierende Inhalte liefern können.
Gibt es einen Betriebsrat, beziehen Sie ihn früh ein. Die DSK empfiehlt, eine Betriebsvereinbarung zu erwägen, besonders wenn personenbezogene Daten verarbeitet werden. Prüfen Sie zudem mit Ihrer oder Ihrem Datenschutzbeauftragten, ob für ein Tool eine Datenschutz-Folgenabschätzung nötig ist. Laut DSK wird das beim KI-Einsatz vielfach der Fall sein.
Eine Richtlinie wirkt erst, wenn alle sie kennen und verstehen. Die DSK empfiehlt, Mitarbeitende durch Schulungen, Leitfäden und Gespräche zu sensibilisieren. Damit erfüllen Sie zugleich einen Teil der Schulungspflicht aus Artikel 4. Was diese Pflicht genau verlangt, erklärt der Ratgeber zur EU AI Act Schulungspflicht.
Neue Tools kommen hinzu, bestehende Anwendungen ändern sich, und auch die Rechtslage entwickelt sich weiter. Planen Sie deshalb einen festen Termin, an dem Sie die Richtlinie überprüfen, zum Beispiel einmal im Jahr und zusätzlich bei jedem neuen Tool.
Ob der Betriebsrat bei einer KI-Richtlinie mitbestimmen darf, hängt von der Ausgestaltung ab. Das Arbeitsgericht Hamburg hat im Januar 2024 entschieden, dass Vorgaben zur Nutzung von ChatGPT über private Accounts im Browser nicht mitbestimmungspflichtig sind (Az. 24 BVGa 1/24). Das Gericht wertete solche Vorgaben als Regeln zur Arbeitsweise. Zudem hatte das Unternehmen keinen Zugriff auf die Nutzungsdaten.
Anders kann es aussehen, wenn Ihr Unternehmen dienstliche Accounts bereitstellt oder ein KI-System selbst einführt. Dann kommt ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht, weil das System Daten über Mitarbeitende erfassen kann. Über geplante Arbeitsverfahren mit KI muss das Unternehmen den Betriebsrat außerdem nach § 90 BetrVG rechtzeitig unterrichten. Weil der Einzelfall entscheidet, lohnt sich hier eine rechtliche Prüfung.
Eine Richtlinie im Intranet liest kaum jemand von sich aus. Damit die Regeln im Alltag greifen, verbinden viele Unternehmen sie mit einer kurzen Schulung: eine Basisschulung zum Umgang mit KI für alle und ergänzende Inhalte zu den eigenen Tools und Regeln. Die EU-Kommission empfiehlt, solche Maßnahmen intern zu dokumentieren.
Genau an diesem Punkt entsteht oft der meiste Aufwand. Wer die Kenntnisnahme in einer Excel-Liste nachhält, muss neue Mitarbeitende händisch nachtragen und an offene Schulungen selbst erinnern. Bei jeder Änderung der Richtlinie beginnt die Runde von vorn. Ein Lernmanagementsystem mit Reporting für Pflichtunterweisungen weist Kurse automatisch zu, erinnert an offene Schulungen und dokumentiert Abschlüsse an einer Stelle.
Nein, kein Gesetz verlangt ausdrücklich eine KI-Richtlinie. Unternehmen müssen aber die DSGVO einhalten und nach Artikel 4 des EU AI Act die KI-Kompetenz ihres Personals fördern. Die Datenschutzkonferenz empfiehlt, klare interne Weisungen zum KI-Einsatz zu erteilen und zu dokumentieren. Eine schriftliche Richtlinie ist dafür der einfachste Weg.
Es gibt keinen festen Unterschied. KI-Richtlinie, KI-Policy und KI-Nutzungsrichtlinie meinen in der Praxis meist dasselbe Dokument: interne Regeln dazu, welche KI-Tools Mitarbeitende wofür nutzen dürfen. Manche Unternehmen trennen eine übergeordnete KI-Policy mit Grundsätzen von einer konkreten Nutzungsrichtlinie für den Alltag.
Das hängt vom Einzelfall ab. Reine Vorgaben zur Nutzung frei verfügbarer Tools über private Accounts sind laut Arbeitsgericht Hamburg nicht mitbestimmungspflichtig. Stellt das Unternehmen dienstliche Accounts bereit oder führt es ein eigenes KI-System ein, kommt ein Mitbestimmungsrecht in Betracht. Den Betriebsrat früh einzubinden, ist in jedem Fall sinnvoll.
Die Datenschutzkonferenz empfiehlt, Einsatzzwecke festzulegen, Datenschutzbeauftragte und Beschäftigtenvertretung früh einzubinden, dienstliche Accounts bereitzustellen und Mitarbeitende zu schulen. Die EU-Kommission rät, Schulungsmaßnahmen intern zu dokumentieren. Hinzu kommt eine regelmäßige Überprüfung der Regeln. Eine KI-Richtlinie bündelt diese Punkte in einem Dokument, das alle Mitarbeitenden kennen.
Am einfachsten über eine kurze Schulung zur Richtlinie, deren Abschluss automatisch erfasst wird. Ein Lernmanagementsystem hält fest, wer die Schulung wann abgeschlossen hat, und erinnert an offene Kurse. So haben Sie die Daten für eine Prüfung schnell beisammen und pflegen keine Excel-Liste von Hand.
Ja, ein E-Learning ist ein gutes Format, wenn es die Regeln Ihres Unternehmens abbildet. Bewährt hat sich die Kombination aus einem fertigen Basiskurs zum Umgang mit KI und einem kurzen eigenen Modul zu Ihrer Richtlinie. Für Teams mit besonderen Anwendungen, etwa im Recruiting, ergänzen Sie vertiefende Inhalte.
Die KI-Richtlinie ist ein Baustein der KI-Compliance. Wie Datenschutz, EU AI Act und Schulungspflicht zusammenspielen, zeigt der Überblick KI-Compliance im Unternehmen.
Die beste Richtlinie hilft wenig, wenn sie im Intranet liegen bleibt. Mit dem Lernmanagementsystem elearnio weisen Sie die Schulung zu Ihrer KI-Richtlinie gezielt nach Abteilung oder Rolle zu und behalten in den Berichten im Blick, wer sie abgeschlossen hat. Ändert sich die Richtlinie, weisen Sie den aktualisierten Kurs erneut zu.
Für die Basisschulung enthält das zubuchbare Compliance Academy Add-On den Kurs „EU AI Act: Dos & Don’ts im Umgang mit KI“ und Kurse wie „Basiswissen DSGVO“, jeweils auf Deutsch und Englisch. Das Modul zu Ihrer eigenen Richtlinie erstellen Sie mit dem integrierten Autorentool.
Jetzt Mitarbeitende schulen und die Kurse der Compliance Academy im Überblick ansehen.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
