Warum dein Team gerade jetzt eine KI-Richtlinie braucht

Die im EU-KI-Gesetz festgelegte Verpflichtung zur KI-Kompetenz (Artikel 4) gilt seit dem 2. Februar 2025 für jede Organisation, die KI einsetzt – unabhängig von ihrer Größe. Nationale Marktüberwachungsbehörden, darunter die deutsche Bundesnetzagentur, werden ab dem 2. August 2026 mit der Durchsetzung dieser Vorschriften beginnen. Dennoch haben die meisten kleinen und mittleren Unternehmen noch immer nichts schriftlich festgehalten.

Die Kluft zwischen Verpflichtung und Umsetzung ist groß. Laut dem „2025 Cost of a Data Breach Report“ von IBM verfügen 63 % der Organisationen über keine KI-Governance-Richtlinie (HubWise Tech). Bei KMUs ohne eigene Rechts- oder Compliance-Teams dürfte diese Zahl sogar noch höher liegen.

Die gute Nachricht: Eine kurze, praktische Richtlinie von zwei bis drei Seiten, die auf einer einfachen Tabelle basiert, reicht aus, um deine DSGVO-Verpflichtungen zu erfüllen, Risiken durch „Shadow AI“ zu vermeiden und sensible Unternehmensdaten zu schützen. Dieser Leitfaden führt dich Schritt für Schritt durch die Erstellung einer solchen Richtlinie.

Was du brauchst, bevor du loslegst

Besorge dir drei Dinge, bevor du auch nur ein Wort der Richtlinie schreibst:

• Eine Liste der KI-Tools, die deine Mitarbeiter bereits nutzen – sowohl offiziell als auch inoffiziell. Dazu gehören Browser-Erweiterungen, Konten mit kostenlosem Basiszugang und mobile Apps.
• Ein grundlegendes Verständnis dafür, welche Unternehmensdaten gemäß DSGVO als personenbezogene Daten gelten: Namen, E-Mail-Adressen, Kundendaten, Mitarbeiterakten und alles, was eine lebende Person identifizieren kann.
• Einen namentlich benannten Verantwortlichen (IT-Leiter, Personalmanager oder Gründer), der die Richtlinie pflegt, durchsetzt und überprüft.

Schritt 1: Überprüfe deine aktuelle Nutzung von KI-Tools

Finde zunächst heraus, was in deinem Team tatsächlich vor sich geht. Befrage alle Abteilungen, stelle direkte Fragen und überprüfe die Gerätebestände. Das Ziel ist die Erfassung, nicht die Einschränkung.

Du suchst nach jedem KI-Tool, das aktiv genutzt wird: ChatGPT, Copilot, Bildgeneratoren, Transkriptionsdienste, browserbasierte Zusammenfassungs-Tools und alles, wofür sich Mitarbeiter mit einer privaten E-Mail-Adresse angemeldet haben. Mehr als 80 % der Beschäftigten nutzen nicht genehmigte KI-Tools bei ihrer Arbeit, während weniger als 20 % angeben, sich ausschließlich auf vom Unternehmen genehmigte Optionen zu verlassen (Cybersecurity Dive). Wenn dein Team typisch ist, wird die Liste länger ausfallen als erwartet.

Diese Bestandsaufnahme liefert dir das Ausgangsmaterial für dein Verzeichnis der zugelassenen Tools und deckt auf, wo „Schatten-KI“ bereits Risiken verursacht.

Schritt 2: Lege deine Liste der zugelassenen Tools, Datenregeln und verbotenen Verwendungszwecke fest

Ordne jedes Tool aus deinem Audit einer von drei Kategorien zu: zugelassen, bedingt zugelassen oder verboten. Lege für jedes zugelassene Tool genau fest, welche Daten Mitarbeiter eingeben dürfen.

Die Kernregel sollte klar und einprägsam sein: Füge niemals personenbezogene Daten von Kunden oder Mitarbeitern, Geschäftsgeheimnisse oder vertrauliche Informationen in ein öffentliches KI-Tool ein. Der Grund im Hinblick auf die DSGVO ist eindeutig: Die Eingabe personenbezogener Daten in ein Tool ohne Datenverarbeitungsvereinbarung, ohne gültige Rechtsgrundlage oder ohne Garantien, dass die Daten innerhalb der EU bleiben, kann eine unrechtmäßige Verarbeitung darstellen.

Der Einsatz wird immer höher. Eine aktuelle Studie ergab, dass 27,4 % der Unternehmensdaten, die Mitarbeiter in KI-Tools eingeben, sensibel sind – ein Anstieg gegenüber 10,7 % im Vorjahr. Zu den wichtigsten Kategorien zählen Kundensupport-Informationen, Quellcode und F&E-Material (Worklytics).

Über die Datenvorschriften hinaus sind folgende Handlungen ausdrücklich verboten:

• Vollautomatisierte Entscheidungen über Personen (Einstellung, Entlassung, Leistungsbewertung) ohne menschliche Überprüfung
• Erstellung von Rechts- oder medizinischen Ratschlägen ohne qualifizierte Aufsicht
• Verwendung von KI-Ergebnissen in der externen Kommunikation, in Verträgen oder Berichten ohne menschliche Überprüfung

Verlang eine menschliche Überprüfung, bevor KI-generierte Ergebnisse für eine Entscheidung verwendet oder außerhalb des Unternehmens weitergegeben werden. Diese eine Regel deckt eine überraschend große Anzahl von Risikoszenarien ab.

Schritt 3: Erstelle die Richtlinie mithilfe der kostenlosen Vorlage

Deine KI-Richtlinie besteht aus einem kurzen Textdokument und einer Tabelle. Der Text behandelt verbotene Verwendungszwecke, die Regel zur menschlichen Überprüfung, die Transparenz gegenüber den Mitarbeitern hinsichtlich der KI-Nutzung sowie die Meldung von Vorfällen. In der Tabelle sind die operativen Details festgehalten.

Hier ist die Vorlage. Fülle pro Tool eine Zeile aus:

Halte die Sprache einfach. Zwei bis drei Seiten sind der ideale Umfang für kleine Teams. Ist der Text länger, wird er übersprungen. Ist er kürzer, gehen wichtige Vorschriften zur DSGVO und zum Einsatz von KI unter.

Schritt 4: Einführung über Onboarding und Gerätemanagement

Eine Richtlinie, die nur in einem gemeinsamen Ordner liegt, schützt niemanden. Verknüpfe sie mit deinem Onboarding-Prozess, damit jeder neue Mitarbeiter die KI-Regeln schon am ersten Tag liest und bestätigt. Füge sie neben deinen bestehenden Datenschutz- und Nutzungsvereinbarungen ein.

Dann geht ihr von der Dokumentation zur Durchsetzung über. Nutzt die Geräteverwaltung (MDM), um zu steuern, welche KI-Apps auf Unternehmensgeräten installiert werden dürfen. So wird eure Liste der zugelassenen Tools von einer Empfehlung zu einer technischen Kontrolle. Unternehmen, die eine IT-Management-Plattform wie deeploi nutzen, können das automatisieren: Neue Mitarbeiter erhalten vorkonfigurierte Geräte, auf denen genehmigte Tools bereits installiert und nicht genehmigte blockiert sind – noch bevor sie ihre erste E-Mail schreiben.

{{cta}}

Schritt 5: Vorfälle bearbeiten und Überprüfungen planen

Gib deinen Mitarbeitern einen klaren, vor Schuldzuweisungen freien Weg, wenn etwas schiefgeht. Zum Beispiel: „Wenn du versehentlich personenbezogene Daten in ein öffentliches Tool einfügst, melde dies sofort an [den Verantwortlichen für die Richtlinie].“ Durch eine schnelle Meldung kannst du beurteilen, ob innerhalb der 72-Stunden-Frist eine Meldung eines DSGVO-Verstoßes erforderlich ist.

Lege einen festen Überprüfungszyklus fest. Überprüfe alle sechs Monate die Tabelle mit den zugelassenen Tools, füge neue Tools hinzu, die Mitarbeiter angefordert haben, und entferne veraltete. Verbinde die Überprüfung mit kurzen, szenariobasierten Sensibilisierungsrunden: „Ein Kollege bittet dich, einen Vertrag mithilfe eines kostenlosen KI-Tools zusammenzufassen. Was machst du?“ Dieser praxisorientierte Schulungsstil unterstützt die Aufklärungspflicht gemäß Artikel 4 weitaus besser als abstrakte Compliance-Vorträge.

Wenn jemand das Unternehmen verlässt, bedeutet ein sicheres Offboarding im KI-Zeitalter, den Zugriff auf alle KI-Konten und API-Schlüssel zu widerrufen – nicht nur auf die üblichen SaaS-Lizenzen.

Behebung häufiger Fehler

Mitarbeiter umgehen die genehmigte Liste, weil sie ihnen zu restriktiv erscheint. Die Lösung ist ein beschleunigtes Antragsverfahren. Wenn jemand ein neues Tool zur Prüfung einreichen und innerhalb einer Woche eine Ja-oder-Nein-Entscheidung erhält, ist es weitaus weniger wahrscheinlich, dass er sich mit einer privaten E-Mail-Adresse anmeldet und die IT komplett umgeht.

Die Richtlinie existiert, wird aber von niemandem durchgesetzt. Verknüpfe die Einhaltung der Richtlinien mit der Geräteverwaltung und Sicherheitskontrollen, damit Verstöße sichtbar werden und nicht nur theoretisch bleiben. Wenn eine nicht genehmigte App auf einem verwalteten Gerät auftaucht, sollte die IT das sofort erkennen.

Unklare Datenklassifizierung führt zu uneinheitlichem Verhalten. Gib konkrete Beispiele für jede Vertraulichkeitsstufe. „E-Mail-Adressen von Kunden“ ist aussagekräftiger als „personenbezogene Daten“. „Umsatzprognosen“ ist aussagekräftiger als „vertrauliche Informationen“. Wenn sich die Leute die Daten vorstellen können, treffen sie bessere Entscheidungen.

FAQ

Brauchen wir eine separate KI-Richtlinie, wenn wir bereits eine Datenschutzrichtlinie haben?

Ja. KI bringt Risiken mit sich, die eine allgemeine Datenschutzrichtlinie nicht abdeckt, beispielsweise wenn Mitarbeiter sensible Daten in Tools eingeben, die diese speichern oder zum Trainieren verwenden, sowie undurchsichtige Ergebnisse, die schwer zu überprüfen sind. Eine spezielle KI-Richtlinie regelt zugelassene Tools, die menschliche Aufsicht und verbotene Verwendungszwecke auf eine Weise, wie es eine allgemeine Datenschutzerklärung nicht kann.

Wie lang sollte eine KI-Richtlinie für ein kleines Team sein?

Zwei bis drei Seiten. Alles, was länger ist, wird nicht gelesen. Alles, was kürzer ist, lässt wichtige Regeln zum Umgang mit Daten, zu verbotenen Verwendungszwecken und zur Meldung von Vorfällen außer Acht. Die Registrierungstabelle übernimmt den Großteil der Arbeit.

Gilt das EU-KI-Gesetz auch für Unternehmen, die KI-Tools nur nutzen, aber nicht selbst entwickeln?

Ja. Das Gesetz bezeichnet sie als „Einsatzbetreiber“. Artikel 4 verpflichtet Einsatzbetreiber, Maßnahmen zu ergreifen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz bei den Mitarbeitern sicherzustellen, die KI-Systeme bedienen oder mit ihnen interagieren. Du musst keine Modelle entwickeln, um in den Geltungsbereich zu fallen.

Wir nutzen nur ChatGPT und Copilot. Haben wir umfangreiche Compliance-Verpflichtungen?

Die normale Nutzung von Assistenzprogrammen wird im Allgemeinen nicht als „risikoreiches“ KI-System eingestuft, daher gelten die strengsten Verpflichtungen in der Regel nicht. Deine praktischen Pflichten sind die Maßnahmen zur KI-Kompetenz gemäß Artikel 4 und deine bestehenden DSGVO-Verpflichtungen im Zusammenhang mit dem Umgang mit Daten. Eine kurze Richtlinie sowie die Registrierungstabelle decken beides ab.

Fazit

Eine schriftliche Richtlinie ist der Startpunkt, nicht das Ziel. Die Durchsetzung über Gerätemanagement, Onboarding-Workflows und regelmäßige Schulungen ist es, was Risiken tatsächlich reduziert und die Aufsichtsbehörden zufriedenstellt. Schau dir die Vorlage an, fülle die Tabelle aus und verknüpfe die Regeln mit deinem IT-Compliance-Setup.

Wenn die Aufrechterhaltung der Tool-Governance und die Anpassung der Durchsetzung an sich ändernde Vorschriften nach mehr klingen, als dein Team alleine bewältigen kann, kann ein Managed-IT-Partner wie deeploi den Prozess automatisieren – von der Gerätekonfiguration bis zur Durchsetzung genehmigter Apps –, sodass deine Richtlinie auch lange nach ihrer Erstellung noch wirksam bleibt.

{{cta}}