KI-Richtlinie für Unternehmen: Muster-Gliederung und Einführung

Eine KI-Richtlinie ist ein internes Regelwerk. Sie legt fest, welche KI-Werkzeuge im Unternehmen freigegeben sind, welche Daten hineindürfen, wer Ergebnisse prüft und wer im Zweifel entscheidet. Vorgeschrieben ist sie von keinem Gesetz — sie ist das Instrument, mit dem Sie bestehende Pflichten aus KI-Verordnung, Datenschutz und Geheimnisschutz im Alltag umsetzen und belegen.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Maßgeblich sind die genannten Vorschriften in ihrer geltenden Fassung und ihre Auslegung durch die zuständigen Behörden und Gerichte. Für Ihren Einzelfall wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt. Stand: 4. September 2026.

1. Was eine KI-Richtlinie ist — und was sie rechtlich nicht ist

Eine KI-Richtlinie ist eine Arbeitsanweisung. Sie bündelt an einer Stelle, was Beschäftigte im Umgang mit KI wissen müssen: welche Werkzeuge erlaubt sind, welche Daten hineindürfen, wer prüft und wer entscheidet. Rechtlich ist sie kein eigener Pflichtgegenstand, sondern die betriebliche Umsetzung von Pflichten, die anderswo stehen.

Diese Unterscheidung ist wichtiger, als sie klingt, weil die Suchergebnisse zu diesem Thema sie durchgängig verwischen. Der KI-Überblick von Google formuliert bei der Suche nach „KI-Richtlinie" als ersten Nutzen: „Rechtssicherheit: Sie schützen Ihr Unternehmen vor teuren Bußgeldern und Haftungsrisiken." Das ist so nicht haltbar. Kein Artikel der KI-Verordnung verlangt ein internes KI-Regelwerk, und es existiert kein Bußgeldtatbestand für dessen Fehlen.

Auch der zweite Halbsatz, der oft folgt, hält der Prüfung nicht stand. Artikel 4 der KI-Verordnung, die sogenannte KI-Kompetenzpflicht, taucht im Bußgeldkatalog des Artikels 99 Absatz 4 nicht auf: Dort stehen die Artikel 16, 22, 23, 24, 25 Absätze 2 und 4, 26, 31, 33, 34 und 50 — Artikel 4 nicht. Auch das deutsche Durchführungsgesetz nennt ihn in seinem Ordnungswidrigkeitenkatalog nicht (Quelle: § 15 KI-MIG). Warum die verbreitete Gegenbehauptung trotzdem so hartnäckig ist, ordnen wir im Beitrag zur KI-Kompetenzpflicht nach Artikel 4 ein.

Der Nutzen der Richtlinie liegt woanders, und er ist handfest. Sie beendet die Einzelfallentscheidung. Ohne Regel entscheidet jede Person am Schreibtisch selbst, ob ein Angebot in ein KI-Werkzeug kopiert werden darf — und niemand kann später sagen, was das Haus eigentlich wollte. Laut einer repräsentativen Befragung des Bitkom unter 604 Unternehmen ab 20 Beschäftigten hatten im Oktober 2025 erst 23 Prozent solche Regeln aufgestellt, nach 15 Prozent im Vorjahr; weitere 31 Prozent hatten es fest vor.

2. Welche Pflichten die Richtlinie tatsächlich bedient

Die Richtlinie ist ein Sammelbehälter. Sie bedient mehrere Vorschriften auf einmal, die alle unabhängig voneinander gelten und keine von ihnen ein Dokument verlangt. Wenn Sie wissen, welcher Abschnitt auf welche Norm einzahlt, schreiben Sie zielgerichteter — und Sie erkennen, welche Abschnitte für Ihr Haus entbehrlich sind.

Zwei Dinge fallen an dieser Tabelle auf. Erstens stammt die Hälfte der Anker nicht aus der KI-Verordnung, sondern aus Datenschutz-, Geheimnisschutz- und Betriebsverfassungsrecht — Rechtsgebiete, die es lange vor KI gab. Zweitens verlangt keine dieser Vorschriften ein bestimmtes Dokument. Die Europäische Kommission stellt zu Artikel 4 ausdrücklich klar, dass weder ein Zertifikat noch eine bestimmte Governance-Struktur nötig ist: „There is no need for a certificate" und „no specific governance structure is mandated" (Quelle: Europäische Kommission, AI Literacy Q&A).

Sie brauchen also weder einen KI-Beauftragten noch ein Gremium. Was Sie brauchen, ist eine nachvollziehbare Entscheidung und die Fähigkeit, sie zu belegen. Die Bundesnetzagentur formuliert das als Empfehlung: Organisationen sollten ihre Maßnahmen gut dokumentieren, um jederzeit nachweisen zu können, dass sie die Anforderungen des Artikels 4 erfüllen. Genau das leistet eine Richtlinie mit Versionsstand und dokumentierter Einweisung.

Eine benannte Person für KI ist keine Pflicht, kann eine Richtlinie aber am Leben halten. Sie nimmt Freigabeanträge an, pflegt das KI-Register und spricht früh mit Datenschutz und Betriebsrat. Entscheidend ist ein schriftliches Mandat, das festhält, wer vorbereitet und wer entscheidet. Welche Aufgaben die Rolle umfasst, wer sie im Mittelstand übernimmt und was ein Zertifikat belegt, lesen Sie im Beitrag KI-Beauftragter: Pflicht, Kür oder Zertifikats-Marketing?

3. Die Muster-Gliederung im Überblick

Zwölf Abschnitte decken die Fragen ab, die im Betrieb tatsächlich auftauchen. Die Reihenfolge folgt dem Weg einer Aufgabe durch das Haus: erst wer und womit, dann welche Daten, dann wie geprüft und offengelegt wird, zuletzt Nachweis und Pflege. Der Umfang je Abschnitt ist sehr unterschiedlich, und das ist beabsichtigt.

Ein Hinweis zum Umfang, bevor Sie anfangen zu schreiben: Die Abschnitte 3 und 5 — Werkzeugliste und Datenklassen — veralten am schnellsten und werden am häufigsten gelesen. Legen Sie beide als Anhang an, den eine benannte Funktion ohne neue Beschlussrunde ändern darf. Das Hauptdokument bleibt dann über Jahre stabil. Diese Zweiteilung ist der einzige strukturelle Kniff, den wir in jedem Projekt empfehlen.

4. Abschnitt 1 bis 4: Zweck, Rollen und Werkzeuge

Die ersten vier Abschnitte klären, für wen die Regeln gelten, wer sie durchsetzt und welche Werkzeuge überhaupt zur Debatte stehen. Sie sind kurz, aber sie entscheiden darüber, ob der Rest greift. Zu jedem Abschnitt steht hier, was hineingehört, welche Entscheidung Sie treffen müssen und woran es in der Praxis am häufigsten scheitert.

Zur Freigabeliste noch ein Wort, weil hier die meisten Entwürfe eine falsche Abzweigung nehmen. Eine Verbotsliste zählt auf, was untersagt ist — und ist am Tag der Veröffentlichung unvollständig, weil laufend neue Werkzeuge erscheinen und bestehende Software neue KI-Funktionen bekommt. Eine Freigabeliste dreht die Logik um: Was nicht daraufsteht, ist nicht freigegeben, und der Weg auf die Liste ist beschrieben. Welche Werkzeuge für welchen Zweck überhaupt infrage kommen, haben wir in unserer Übersicht zu KI-Tools für Unternehmen zusammengestellt.

5. Abschnitt 5: Datenklassen — hier entscheidet sich alles

Der Datenklassen-Abschnitt ist der einzige, den Beschäftigte im Alltag wirklich aufschlagen. Alles andere lesen sie einmal; diesen Abschnitt konsultieren sie in dem Moment, in dem sie einen Text in ein Eingabefeld kopieren wollen. Deshalb entscheidet seine Formulierung darüber, ob die Richtlinie im Betrieb ankommt.

Der häufigste Fehler ist die Beschreibung in Rechtsbegriffen. Niemand fragt sich beim Kopieren, ob ein Dokument personenbezogene Daten im Sinne der Datenschutz-Grundverordnung enthält. Die Frage im Kopf lautet: Darf dieses Angebot da hinein? Also beschreiben Sie die Klassen mit den Dokumenten Ihres Hauses und geben Sie Beispiele, die Ihre Leute wiedererkennen.

Es gibt einen Grund, warum dieser Abschnitt über den Datenschutz hinaus wichtig ist, und er wird selten genannt. Ein Geschäftsgeheimnis ist nach § 2 Nummer 1 Geschäftsgeheimnisgesetz nur dann geschützt, wenn die Information „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist" (Quelle: § 2 GeschGehG). Wer nicht belegen kann, welche Schutzmaßnahmen er getroffen hat, steht bei einem Streit über abgeflossenes Wissen schlechter da. Eine dokumentierte Datenklassen-Regel ist eine solche Maßnahme. Diese Einordnung ist unsere Auslegung des Normwortlauts; zur KI-Nutzung selbst ist uns dazu keine Rechtsprechung bekannt.

Für Klasse C brauchen Sie eine Zusatzentscheidung, die nicht in die Richtlinie gehört, aber vorher fallen muss: Welche Vertragslage verlangen Sie vom Anbieter? Welche Konstellationen im Umgang mit Sprachmodellen datenschutzrechtlich tragfähig sind, ordnen wir im Beitrag zu ChatGPT und Datenschutz im Unternehmen ein.

6. Abschnitt 6 bis 9: Freigabe, Kennzeichnung, Prüfung, Schulung

Die mittleren vier Abschnitte regeln, was mit dem Ergebnis passiert. Sie sind der Teil, den Beschäftigte als Einschränkung empfinden — und deshalb der Teil, bei dem Sie am genauesten zwischen dem unterscheiden müssen, was wirklich eine zweite Person braucht, und dem, was ohne Zwischenstopp laufen darf.

Beim Abschnitt zur Kennzeichnung lohnt eine saubere Trennung zwischen Pflicht und Hausregel. Artikel 50 der KI-Verordnung gilt seit dem 2. August 2026 und verteilt die Pflichten auf zwei Rollen: Anbieter sorgen für den Hinweis auf die KI-Interaktion und die maschinenlesbare Markierung, Betreiber legen Deepfakes offen und kennzeichnen bestimmte veröffentlichte KI-Texte. Was davon Ihr Haus als Betreiber trifft und was ausdrücklich nicht darunterfällt, steht ausführlich im Beitrag zur KI-Kennzeichnungspflicht. In die Richtlinie gehört daraus nur der Teil, den Ihre Leute anwenden müssen: wann ein Hinweis gesetzt wird, wie er lautet und wer im Zweifel entscheidet.

Beim Abschnitt zur Freigabe wiederum entscheidet die Frage, ob ein Werkzeug nur antwortet oder auch handelt. Assistenten mit Zugriff auf E-Mail, Kalender oder Warenwirtschaft lösen Aktionen aus, und dann ist die Bestätigung vor der Ausführung der einzige verlässliche Halt. Warum das so ist und welche drei Schutzprinzipien in der Praxis tragen, beschreiben wir im Beitrag zu Prompt Injection und Schatten-KI.

7. Abschnitt 10 bis 12: Protokoll, Verstöße, Überprüfung

Die letzten drei Abschnitte sind kurz und werden trotzdem gern weggelassen. Sie beantworten die Fragen, die im Ernstfall gestellt werden: Was wissen wir über die Nutzung? Was tun wir, wenn etwas schiefgeht? Und wer sorgt dafür, dass das Papier nicht veraltet?

Zum Abschnitt über Verstöße eine bewusste Einschränkung: Wir formulieren dort keine arbeitsrechtlichen Folgen. Welche Reaktion im Einzelfall zulässig und verhältnismäßig ist, hängt von Arbeitsvertrag, Betriebsvereinbarung und Sachverhalt ab — das gehört in die Abstimmung mit Ihrer Personalabteilung und einer arbeitsrechtlichen Beratung, nicht in eine Mustergliederung. Was in die Richtlinie gehört, ist der Meldeweg, und der wirkt nur, wenn er niedrigschwellig ist.

8. Mitbestimmung: wo der Betriebsrat mitredet

Wo ein Betriebsrat besteht, ist die Beteiligung kein Höflichkeitsakt, sondern Voraussetzung. Eine KI-Richtlinie regelt das Verhalten im Betrieb und damit einen Gegenstand aus § 87 Absatz 1 Nummer 1 Betriebsverfassungsgesetz. Kommen Werkzeuge hinzu, die Verhalten oder Leistung auswerten können, greift zusätzlich Nummer 6. Beide Tatbestände gelten, „soweit eine gesetzliche oder tarifliche Regelung nicht besteht".

Weniger bekannt ist, dass das Betriebsverfassungsgesetz seit 2021 drei Vorschriften enthält, die künstliche Intelligenz ausdrücklich benennen. Sie sind für die Projektplanung wichtiger als die allgemeinen Mitbestimmungstatbestände, weil sie den Zeitpunkt der Beteiligung nach vorn ziehen:

• § 90 Absatz 1 Nummer 3: Der Arbeitgeber unterrichtet den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz" — also bevor entschieden ist, nicht danach.
• § 80 Absatz 3 Satz 2: Muss der Betriebsrat die Einführung oder Anwendung von künstlicher Intelligenz beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich. Über die Erforderlichkeit muss also nicht mehr gestritten werden.
• § 95 Absatz 2a: Die Regeln für Auswahlrichtlinien gelten auch dann, wenn bei deren Aufstellung künstliche Intelligenz zum Einsatz kommt.

Für die Praxis folgt daraus eine einfache Reihenfolge. Sprechen Sie den Betriebsrat an, solange Werkzeugauswahl und Datenklassen noch offen sind. Wer erst mit dem fertigen Entwurf kommt, verhandelt über eine Entscheidung, die faktisch schon gefallen ist — und verliert Wochen. In der Sache ist das Gremium meist schnell überzeugt, weil eine klare Regel auch die Beschäftigten schützt: Sie wissen dann, was erlaubt ist, statt es zu riskieren.

Ein zweiter Punkt, der Streit erspart: Trennen Sie die Richtlinie von der Betriebsvereinbarung. In die Richtlinie gehört, was Beschäftigte tun sollen. In die Betriebsvereinbarung gehört, was mit ihren Daten geschieht — Protokollierung, Auswertung, Aufbewahrungsdauer und der Ausschluss von Leistungskontrolle. Zwei Dokumente sind hier einfacher zu pflegen als eines.

9. Die Einführung in sechs Schritten

Der Reihenfolge liegt eine Erfahrung aus unseren Projekten zugrunde: Wer mit dem Schreiben anfängt, schreibt an der Realität vorbei. Wer mit der Bestandsaufnahme anfängt, weiß am Ende genau, was drinstehen muss — und hat nebenbei die Argumente für den freigegebenen Zugang.

Schritt 6 hat einen doppelten Nutzen, der oft übersehen wird. Die gemeinsame Durchsprache ist zugleich die Maßnahme, die Artikel 4 der KI-Verordnung meint. Die Europäische Kommission nennt als Mindestinhalte ein allgemeines Verständnis von KI, die Klärung der eigenen Rolle als Anbieter oder Betreiber, die Risiken des konkret eingesetzten Systems und darauf aufbauende Maßnahmen. Genau diese vier Punkte gehen Sie durch, wenn Sie die Richtlinie erklären. Wie ein solcher Termin aufgebaut sein kann, zeigen wir in unserer KI-Schulung für Unternehmen.

10. Muster nehmen oder selbst schreiben?

Nehmen Sie ein Muster. Es gibt gute und kostenlose, und der Aufwand liegt ohnehin nicht im Formulieren, sondern in den Entscheidungen: Welche Werkzeuge geben Sie frei, wo verläuft die Grenze bei Kundendaten, wer gibt frei? Diese Fragen beantwortet keine Vorlage für Sie.

Zwei kostenfreie Quellen sind einen Blick wert. Die Gesellschaft für Datenschutz und Datensicherheit stellt eine Musterrichtlinie zum Einsatz künstlicher Intelligenz bereit (Stand 30. Mai 2025). Die IHK Schwaben bietet ein Muster mit Einführungsschritten. Beide weisen selbst darauf hin, dass sie an das jeweilige Unternehmen angepasst werden müssen und keine Rechtsberatung ersetzen — die GDD schreibt ausdrücklich, ihr Muster erhebe „keinen Anspruch auf Vollständigkeit".

Was Sie sich sparen können, ist ein kostenpflichtiger Richtlinien-Generator. Er nimmt Ihnen das Schreiben ab, aber nicht die Entscheidungen — und ohne die Entscheidungen entsteht ein Dokument, das juristisch sauber klingt und im Betrieb nicht angewendet wird. Wir haben mehr Richtlinien gesehen, die an fehlender Anwendung scheitern, als an fehlenden Formulierungen.

Bleiben Sie beim Zuschneiden bei einem Grundsatz: Streichen Sie jeden Abschnitt, der für Ihr Haus keine Frage beantwortet, die dort tatsächlich gestellt wird. Ein Betrieb mit fünfzehn Beschäftigten und einem freigegebenen Werkzeug braucht keinen dreiseitigen Rollenabschnitt. Ein Dokument, das kürzer ist als das Muster, ist fast immer besser als eines, das länger ist.

11. Woran KI-Richtlinien im Alltag scheitern

Die Muster im Netz sind selten das Problem. Das Problem entsteht danach, und es entsteht erstaunlich gleichförmig. Diese Muster begegnen uns in Projekten am häufigsten:

• Die Richtlinie verbietet, ohne eine Alternative anzubieten. Solange kein freigegebener Zugang bereitsteht, verschiebt sie die Nutzung nur dorthin, wo niemand sie sieht.
• Sie ist zu lang. Ein zwölfseitiges Dokument wird abgelegt, nicht gelesen — und im Zweifelsfall auch nicht aufgeschlagen.
• Die Werkzeugliste steht im Hauptdokument und ist nach einem Quartal veraltet. Damit verliert das gesamte Papier seine Glaubwürdigkeit.
• Die Datenklassen sind in Rechtsbegriffen formuliert. Beschäftigte können sie auf ihr konkretes Dokument nicht anwenden.
• Es gibt eine Prüfpflicht, aber keine eingeplante Zeit dafür. Unter Termindruck entfällt dann zuerst die Prüfung.
• Niemand ist zuständig. Ohne benannte Funktion und ohne Termin wird das Dokument nie wieder angefasst.

Umgekehrt lässt sich ziemlich genau sagen, was funktioniert. Die Richtlinien, die im Betrieb ankommen, haben vier Eigenschaften gemeinsam:

• Eine Seite für alle, der Rest im Anhang. Was jede Person wissen muss, passt auf ein Blatt.
• Beispiele aus dem eigenen Haus statt abstrakter Kategorien. „Kundennamen ersetzen Sie durch [Kunde]" wirkt besser als ein Absatz über Personenbezug.
• Ein erreichbarer Ansprechpartner mit Namen und Weg. Die meisten Zweifelsfälle klären sich in zwei Minuten.
• Ein sichtbarer Versionsstand und ein Termin für die nächste Überprüfung, beide auf der ersten Seite.

Quellen: Artikel 99 der KI-Verordnung, Europäische Kommission zur KI-Kompetenz und Bitkom-Presseinformation vom 21. Oktober 2025 (öffnen in neuem Tab). Stand: 4. September 2026, Angaben ohne Gewähr. Die vollständige Quellenliste finden Sie am Ende des Beitrags.

12. Fazit: ein Arbeitsdokument, kein Compliance-Nachweis

Die KI-Richtlinie ist kein Papier, das Sie gegen ein Bußgeld vorlegen. Es gibt keinen Tatbestand, für den sie das wäre. Sie ist das Dokument, das die Frage „Darf ich das?" ein für alle Mal beantwortet — und damit die Voraussetzung dafür, dass KI im Haus überhaupt produktiv genutzt wird statt heimlich.

Wenn Sie nur drei Abschnitte schaffen, nehmen Sie die Freigabeliste, die Datenklassen und den Ansprechpartner. Diese drei beantworten die überwiegende Mehrheit der Zweifelsfälle. Alles andere können Sie ergänzen, sobald Sie wissen, welche Fragen in Ihrem Haus tatsächlich offenbleiben.

Und planen Sie den Termin für die nächste Überprüfung gleich mit ein. Die Werkzeuglandschaft ändert sich schneller als jede Rechtslage; ein Dokument ohne Pflegetermin ist nach einem Jahr eher hinderlich als hilfreich.

Wenn Sie diesen Weg nicht allein gehen möchten: Wir sortieren mit Ihnen die Ausgangslage, legen die Datenklassen mit Ihren Fachbereichen fest und schreiben die Regeln so, dass Ihr Team sie versteht. Der Einstieg ist unsere Beratung zu KI-Governance und EU AI Act; welche Pflichten aus der Verordnung darüber hinaus auf Sie zukommen, ordnen wir im Beitrag zu den Pflichten aus dem EU AI Act ein.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechts- oder Datenschutzberatung. Die genannten Vorschriften, Fristen und Auslegungen entsprechen dem Stand vom 4. September 2026; sie können sich durch Rechtsänderungen, Rechtsprechung und die Praxis der Aufsichtsbehörden ändern. Die vorgeschlagene Gliederung und die Datenklassen sind ein Strukturvorschlag aus unserer Beratungspraxis, keine Rechtsnorm. Für Ihren konkreten Fall ziehen Sie bitte die verlinkten Originalquellen oder eine fachkundige Beratung heran.

Die nächste Stufe über der Richtlinie ist ein zertifizierbares Managementsystem nach ISO/IEC 42001. Sinnvoll wird dieser Schritt nicht durch das Gesetz, sondern durch Kunden: durch Lieferantenfragebögen, Ausschreibungen oder eine eigene Anbieterrolle bei KI-Produkten. Solange niemand einen Nachweis verlangt, ist die Richtlinie der wirtschaftlichere Weg. Wo die Grenze verläuft, haben wir im Beitrag zu ISO 42001 und der Frage, wann sich das KI-Managementsystem lohnt, mit einer Prüfreihe beschrieben.

13. Häufige Fragen zur KI-Richtlinie

Was ist eine KI-Richtlinie?

Eine KI-Richtlinie ist ein internes Regelwerk. Sie legt fest, welche KI-Werkzeuge im Unternehmen freigegeben sind, welche Daten hineindürfen, wer Ergebnisse prüft und wer bei Zweifeln entscheidet. Sie ist eine Anweisung des Arbeitgebers, kein Gesetz. Ihr Zweck ist Handlungssicherheit im Alltag, nicht juristische Vollständigkeit.

Ist eine KI-Richtlinie für Unternehmen Pflicht?

Nein. Keine Norm schreibt ein schriftliches KI-Regelwerk vor. Pflichten bestehen an anderer Stelle: Artikel 4 der KI-Verordnung zur KI-Kompetenz, Artikel 50 zur Transparenz, dazu Datenschutz und Geheimnisschutz. Die Richtlinie ist das Werkzeug, mit dem Sie diese Pflichten im Betrieb umsetzen und belegen. Stand: 4. September 2026.

Was muss in einer KI-Richtlinie stehen?

Zwölf Abschnitte decken die Praxis ab: Zweck, Geltungsbereich, Rollen, freigegebene Werkzeuge, verbotene Anwendungsfälle, Datenklassen, Freigabe und Vier-Augen-Prinzip, Kennzeichnung, Prüfpflicht bei Fehlern, Schulung und Nachweis, Protokollierung, Umgang mit Verstößen sowie ein fester Überprüfungszyklus. Den Kern bilden die Werkzeugliste und die Datenklassen.

Wie lang sollte eine KI-Richtlinie sein?

So kurz, dass sie gelesen wird. In unseren Projekten hat sich eine Struktur aus zwei Ebenen bewährt: eine Seite mit den Regeln für alle Beschäftigten und ein Anhang mit Werkzeugliste, Datenklassen und Zuständigkeiten, der sich ändern darf, ohne dass das Hauptdokument neu beschlossen wird.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?

Wo ein Betriebsrat besteht, sehr wahrscheinlich ja. Eine Richtlinie zum Verhalten im Betrieb berührt § 87 Absatz 1 Nummer 1 Betriebsverfassungsgesetz, Werkzeuge mit Auswertungsmöglichkeit zusätzlich Nummer 6. Über die Planung des KI-Einsatzes ist der Betriebsrat ohnehin nach § 90 Absatz 1 Nummer 3 zu unterrichten.

Gibt es kostenlose Muster für eine KI-Richtlinie?

Ja. Die Gesellschaft für Datenschutz und Datensicherheit stellt eine Musterrichtlinie bereit, die IHK Schwaben ein Muster mit Einführungsschritten. Beide sind kostenfrei und ein guter Startpunkt. Beide betonen selbst, dass sie an Ihr Unternehmen angepasst werden müssen und keine Rechtsberatung ersetzen. Stand: 4. September 2026.

Welche Daten dürfen Mitarbeiter nicht in KI-Tools eingeben?

Das entscheiden Sie je Werkzeug, nicht pauschal. Bewährt haben sich vier Datenklassen von offen bis gesperrt. Gesperrt gehören in der Regel Gesundheitsdaten, Bewerbungsunterlagen, Zugangsdaten und Verträge unter Verschwiegenheitsvereinbarung. Kundendaten und Geschäftsgeheimnisse gehören nur in Werkzeuge mit passendem Vertrag und geklärtem Speicherort, sonst vorher anonymisieren.

Wie oft muss eine KI-Richtlinie aktualisiert werden?

Fest terminiert einmal im Jahr, zusätzlich bei jedem Auslöser: ein neues Werkzeug, eine neue Funktion in einem bestehenden Werkzeug, ein Vorfall oder eine Rechtsänderung. Ohne festen Termin veraltet vor allem die Werkzeugliste, und dann verliert das ganze Dokument im Team seine Glaubwürdigkeit.

14. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen, die alle am 4. September 2026 geprüft wurden. Externe Quellen öffnen in einem neuen Tab.

• Artikel 4 der KI-Verordnung — KI-Kompetenz (AI Act Explorer, deutsche Fassung mit Änderungsmarkierung) — Wortlaut nach dem Digital Omnibus, Geltung ab 2. Februar 2025, die neu eingefügten Absätze 2 und 3 (Normtext-Fundstelle).
• Artikel 99 der KI-Verordnung — Sanktionen (AI Act Explorer) — der abschließende Bußgeldkatalog des Absatzes 4, in dem Artikel 4 nicht enthalten ist (Normtext-Fundstelle).
• § 15 KI-MIG — Bußgeldvorschriften zur Verordnung (EU) 2024/1689 — deutscher Ordnungswidrigkeitenkatalog: Artikel 21, 27, 45 und die Erläuterungspflicht nach Artikel 86; Artikel 4 steht dort nicht (Primärquelle).
• Bundesnetzagentur — KI-Kompetenz — zitiert Artikel 4 in der geänderten Fassung, Negativliste des nicht Vorgeschriebenen, Hinweis auf die Sorgfaltspflicht und die Empfehlung, Maßnahmen zu dokumentieren; erfasst sind auch Auftragnehmer und Dienstleister (zuständige Behörde).
• Europäische Kommission — AI Literacy: Questions & Answers — kein Zertifikat und keine bestimmte Governance-Struktur nötig, Mindestinhalte einer Kompetenzmaßnahme, Zuständigkeit der nationalen Marktüberwachungsbehörden, Fortbestand der Schulungspflicht aus Artikel 26 (offizielle Stelle).
• § 87 Betriebsverfassungsgesetz — Mitbestimmungsrechte — Gesetzesvorbehalt im Eingangshalbsatz, Nummer 1 zum Ordnungsverhalten, Nummer 6 zu technischen Überwachungseinrichtungen (Primärquelle).
• § 90 Betriebsverfassungsgesetz — Unterrichtungs- und Beratungsrechte — Absatz 1 Nummer 3: Unterrichtung über Arbeitsverfahren „einschließlich des Einsatzes von Künstlicher Intelligenz" (Primärquelle).
• § 80 Betriebsverfassungsgesetz — Allgemeine Aufgaben — Absatz 3 Satz 2: Hinzuziehung eines Sachverständigen gilt als erforderlich, wenn der Betriebsrat KI beurteilen muss (Primärquelle).
• § 95 Betriebsverfassungsgesetz — Auswahlrichtlinien — Absatz 2a zur Anwendung bei KI-Einsatz (Primärquelle).
• § 2 Geschäftsgeheimnisgesetz — Begriffsbestimmungen — Schutz nur bei „den Umständen nach angemessenen Geheimhaltungsmaßnahmen" (Primärquelle).
• Artikel 5 DSGVO — Grundsätze für die Verarbeitung personenbezogener Daten — Absatz 2 mit der Rechenschaftspflicht des Verantwortlichen (Normtext).
• Artikel 32 DSGVO — Sicherheit der Verarbeitung — angemessene technische und organisatorische Maßnahmen (Normtext).
• Bitkom — Beschäftigte nutzen vermehrt Schatten-KI — Presseinformation vom 21. Oktober 2025, repräsentative Befragung von 604 Unternehmen ab 20 Beschäftigten: Anteil der Unternehmen mit KI-Regeln und mit bereitgestelltem KI-Zugang (Verband).
• BSI — Generative KI-Modelle: Chancen und Risiken für Industrie und Behörden — Grundlage für die eigene Risikoanalyse beim Einsatz generativer KI (offizielle Stelle).
• GDD — Musterrichtlinie: Betriebliche Richtlinie zum Einsatz „Künstlicher Intelligenz" — kostenfreie Musterrichtlinie vom 30. Mai 2025 mit dem eigenen Hinweis, dass sie keinen Anspruch auf Vollständigkeit erhebt und keine rechtliche Beratung ersetzt (Fachverband).
• IHK Schwaben — Künstliche Intelligenz im Betrieb erfolgreich und sicher einsetzen — kostenfreies Muster einer KI-Richtlinie sowie Einführungsschritte von der Bedarfsanalyse bis zur Erstellung (Institution).