KI-Richtlinien im Unternehmen: So geht's richtig

Gut ein Drittel der deutschen Unternehmen setzt KI inzwischen ein, fast jedes zweite plant oder diskutiert den Einsatz. Das hat der Digitalverband Bitkom im September 2025 in einer repräsentativen Befragung von 604 Unternehmen ermittelt (36 und 47 Prozent). Feste Regeln für die KI-Nutzung, also eine KI-Richtlinie im Unternehmen, hatten laut einer zweiten Bitkom-Auswertung vom Oktober 2025 nur 23 Prozent der Betriebe.

Zwischen Nutzung und Regeln liegt also eine Lücke, und in ihr arbeiten die Mitarbeitenden jeden Tag. Sie nutzen ChatGPT, Copilot oder Gemini, oft auch mit Kundendaten, internen Projektunterlagen oder Personalinformationen. Meist steckt keine böse Absicht dahinter. Solange es keine Spielregeln gibt, bleibt die Verantwortung für die Folgen bei der Geschäftsführung.

Warum jedes Unternehmen heute eine KI-Richtlinie braucht

Eine KI-Richtlinie braucht jedes Unternehmen, in dem Mitarbeitende KI-Tools nutzen, denn genutzt wird ohnehin, mit oder ohne Erlaubnis. Laut dem Work Trend Index 2024 von Microsoft und LinkedIn setzen 75 Prozent der Wissensarbeitenden KI bei der Arbeit ein, und 78 Prozent dieser Nutzer bringen eigene KI-Tools mit. In Deutschland berichten laut Bitkom (Oktober 2025) 8 Prozent der Unternehmen von verbreiteter privater KI-Nutzung im Job, weitere 17 Prozent von Einzelfällen. Die Branche nennt das Schatten-KI, weil es an der IT und an allen Regeln vorbeiläuft.

Der bekannteste Fall stammt von Samsung. Laut Berichten koreanischer Medien gaben Beschäftigte der Halbleitersparte 2023 vertraulichen Quellcode und interne Messdaten in ChatGPT ein, um Fehler im Code zu finden und Besprechungsprotokolle zu erstellen. Samsung verbot daraufhin im Mai 2023 vorübergehend generative KI-Tools wie ChatGPT. Die Regel kam also erst nach dem Vorfall.

Mittelständische Unternehmen haben meist keine eigene IT-Rechtsabteilung und kein Compliance-Team, unterliegen aber derselben DSGVO. Sie erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 DSGVO). Wie oft sensible Daten in KI-Tools landen, hat der Sicherheitsanbieter Cyberhaven im Februar 2026 ausgewertet: Bei seinen Kunden enthielten 39,7 Prozent aller KI-Interaktionen sensible Daten, ob als Prompt, kopierter Text oder Datei-Upload.

Dazu kommt der EU AI Act, der seit 1. August 2024 in Kraft ist. Die Verbote nach Artikel 5 und die Pflicht zur KI-Kompetenz nach Artikel 4 gelten seit 2. Februar 2025, der größte Teil der übrigen Regeln seit 2. August 2026. Die Pflichten für Hochrisiko-Systeme, etwa in der Personalauswahl oder der Kreditwürdigkeitsprüfung, greifen nach dem Digital Omnibus ab 2. Dezember 2027 (Anhang III) beziehungsweise ab 2. August 2028 (Anhang I). Wer solche Systeme betreibt, muss dann Dokumentations-, Transparenz- und Aufsichtspflichten nachweisen.

Die Bußgelder regelt Artikel 99 der KI-Verordnung. Für verbotene KI-Praktiken nach Artikel 5 sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich, für Verstöße gegen weitere Pflichten, etwa die von Betreibern oder die Transparenzpflichten, bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.

Was eine KI-Policy regeln muss: Mindestinhalte im Überblick

Eine KI-Policy muss zehn Fragen verbindlich beantworten, vom Geltungsbereich bis zum Überprüfungsrhythmus. Ein 40-seitiges Rechtsdokument braucht es dafür nicht. Diese zehn Mindestinhalte sollte jede KI-Richtlinie für Mitarbeiter abdecken:

Geltungsbereich: Für wen gilt die Policy? Alle Mitarbeitenden, bestimmte Abteilungen, externe Dienstleister?
Erlaubte Anwendungsfälle: Was darf aktiv genutzt werden, etwa für interne Textentwürfe, Recherche oder Code-Unterstützung?
Verbotene Anwendungsfälle: Was ist ausdrücklich untersagt, zum Beispiel die Eingabe von Personaldaten, Kundenlisten oder Finanzdaten in nicht freigegebene Tools?
Datenschutz-Regeln: Welche Datenkategorien dürfen in welche Tools? Mit welchen Anbietern besteht ein Auftragsverarbeitungsvertrag nach DSGVO?
Qualitätssicherung: KI-Ergebnisse sind Entwürfe. Wer prüft sie, bevor etwas nach außen geht?
Transparenzpflicht: Muss KI-generierter Content intern oder extern gekennzeichnet werden?
Zuständigkeiten: Wer genehmigt neue Tools? Wer beantwortet Fragen?
Verstöße und Konsequenzen: Was passiert bei Nichteinhaltung?
Schulung: Wie werden Mitarbeitende eingeführt?
Review-Zyklus: Tools und Regulierung ändern sich schnell. Planen Sie mindestens eine Überprüfung pro Jahr ein.

Für kleinere Betriebe reicht zum Start eine schlanke Policy mit zwei Seiten. Sie schafft einen verbindlichen Stand, den Sie mit jeder neuen Frage überarbeiten. Wer auf die perfekte Fassung wartet, lässt die Mitarbeitenden so lange ohne Antwort.

Erlaubt, verboten, geduldet: Klare Kategorien für den Alltag

Im Alltag funktioniert ein Ampelmodell mit drei Zonen am besten, weil jede Mitarbeiterin ihren Fall in Sekunden selbst einordnen kann. So wird der Leitfaden für den KI-Einsatz im Mittelstand handhabbar:

Grüne Zone, frei nutzbar: Interne Textentwürfe, Brainstorming, Code-Review, Zusammenfassungen interner Dokumente ohne personenbezogene Daten. Eine Sondergenehmigung ist nicht nötig, die zuständige Person prüft das Ergebnis selbst.

Gelbe Zone, nur mit Prüfung: Kundenkommunikation, externe Angebote, Pressemitteilungen. KI darf genutzt werden, aber eine verantwortliche Person gibt das Ergebnis frei. Eine interne Kennzeichnung ist zu empfehlen.

Rote Zone, verboten: Personaldaten, Bewerbungsunterlagen, Kundenlisten, Finanzdaten oder vertraulicher Quellcode haben in nicht genehmigten externen KI-Systemen nichts zu suchen. Ausnahmen gibt es hier keine.

Juristisch deckt das Modell nicht jeden Sonderfall ab. Dafür verstehen es alle beim ersten Lesen, und es lässt sich in einer Teamrunde erklären.

Ein Beispiel: Ein Vertriebsmitarbeiter kopiert eine Kundenliste mit Namen, Umsätzen und Gesprächsnotizen in ChatGPT, um einen Quartalsbericht zu erstellen. Ohne Regeln ist offen, ob das zulässig ist und wer dafür geradesteht. Mit dem Ampelmodell liegt der Fall in der roten Zone, weil personenbezogene Kundendaten ohne Vertragsgrundlage an einen externen Anbieter gehen.

Die Datenschutzbedingungen der KI-Tools unterscheiden sich erheblich. In der kostenlosen ChatGPT-Version können Eingaben zum Training verwendet werden, für die OpenAI-API oder Microsoft Copilot mit Unternehmenslizenz gelten andere Verträge. Mitarbeitende sehen diesen Unterschied nicht auf den ersten Blick. Deshalb nennt die KI-Policy die zugelassenen Tools beim Namen.

Klare Regeln machen den KI-Einsatz schneller, das zeigt eine Feldstudie von Harvard Business School und Boston Consulting Group aus dem Jahr 2023 mit 758 BCG-Beratern. Bei Aufgaben, die die KI gut beherrscht, waren die Berater mit GPT-4 um 25,1 Prozent schneller und lieferten über 40 Prozent bessere Qualität. Bei einer Aufgabe außerhalb der Fähigkeiten der KI lagen sie dagegen um 19 Prozentpunkte seltener richtig als die Kontrollgruppe (Dell’Acqua u. a., 2023). Eine Richtlinie, die festhält, wofür KI taugt und wo geprüft werden muss, setzt genau an diesem Punkt an.

KI-Richtlinie einführen: Von der Policy zur gelebten Praxis

Eine KI-Richtlinie wirkt erst, wenn die Mitarbeitenden sie kennen, verstehen und im Zweifel nachschlagen. Ein Dokument, das ungelesen im Intranet liegt, bleibt eine Absichtserklärung. Ob KI-Compliance im Unternehmen gelebt wird, entscheidet die Einführung.

Die richtigen Personen einbinden. Geschäftsführung, Datenschutzbeauftragte und IT gehören an den Tisch. Gibt es einen Betriebsrat, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei technischen Einrichtungen, die Verhalten oder Leistung der Beschäftigten überwachen können. Wer ihn früh beteiligt, spart sich spätere Blockaden.

Kommunikation vor Kontrolle. Mitarbeitende fragen sich längst: "Darf ich das?" Die KI-Richtlinie beantwortet diese Frage, wenn sie aktiv vorgestellt wird. Eine kurze Infoveranstaltung und ein FAQ-Dokument kosten wenig Zeit und entscheiden mit darüber, ob die Regeln akzeptiert werden.

Schulung als Pflichtbestandteil. Wer versteht, warum eine Regel gilt, hält sich eher daran und nutzt die erlaubten Tools sicherer. Eine dokumentierte Schulung ist außerdem die Voraussetzung dafür, dass ein Verstoß später arbeitsrechtliche Folgen haben kann. Wie das aussieht, beschreibt die KI-Kompetenz-Schulung für Teams.

Review-Zyklen einplanen. KI-Modelle, Anbieter und Regulierung ändern sich schnell, und was heute gilt, kann in zwölf Monaten überholt sein. Legen Sie deshalb einen festen Review-Termin, eine verantwortliche Person und einen dokumentierten Ablauf fest.

Wer zuständig ist, regelt jedes Unternehmen anders. Manche benennen einen KI-Beauftragten, andere legen die Verantwortung in die IT-Leitung oder direkt in die Geschäftsführung. Es braucht aber eine Person, die entscheidet, wenn neue Tools auftauchen oder ein Grenzfall unklar ist. Für diese Rolle gibt es den KI-Workshop für Führungskräfte.

Wenn Sie zuerst wissen möchten, welche KI-Systeme in Ihrem Unternehmen schon laufen und wo Risiken liegen, ist ein KI-Audit von mindmelt der passende Einstieg.

Fazit: KI-Governance als Wettbewerbsvorteil nutzen

KI-Richtlinien im Unternehmen geben Mitarbeitenden eine klare Antwort auf die Frage, was sie mit KI dürfen, und schützen das Unternehmen vor Datenabflüssen und DSGVO-Bußgeldern. Sie sind außerdem ein Baustein für den EU AI Act, dessen Pflichten seit Februar 2025 stufenweise gelten. Die Größe des Unternehmens spielt dafür keine Rolle, die Entscheidung liegt bei der Führung. Eine erste, schlanke Fassung bringen die meisten Mittelständler in ein bis drei Arbeitstagen auf den Weg.

Klare Regeln brauchen Sie auch, wenn Ihre Marke mit synthetischen Sprechern arbeitet, etwa mit KI-Avataren in der Content-Produktion.

Sie wollen Ihre KI-Richtlinie nicht allein aufsetzen? Ich erarbeite sie mit Ihrem Team im Workshop: KI-Richtlinie erstellen lassen. Auf Wunsch folgt eine KI-Kompetenz-Schulung, die die neuen Regeln im Team verankert. Was Workshops kosten, steht auf der Seite Pakete und Preise.