Vibe Coding Richtlinie.
KI-Eigenbau prüfen und freigeben.

Was ist eine Vibe Coding Richtlinie?

Eine Vibe Coding Richtlinie regelt, wie Beschäftigte mit KI-Werkzeugen eigene Anwendungen bauen dürfen. Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und welche Anwendungen ohne Prüfung starten. Kern ist eine Grenze: intern und lesend darf der Fachbereich selbst bauen, bei Zugriff von außen, Rollen oder Schreibzugriff prüft die IT oder ein Fachanbieter übernimmt. Dazu kommen ein Freigabeweg, eine Liste aller Eigenbauten und eine Schulung nach Art. 4 KI-Verordnung.

Brauchen wir eine eigene Richtlinie oder reicht die KI-Richtlinie?

Eine allgemeine KI-Richtlinie regelt meist die Nutzung von Chatbots und Assistenten. Selbst gebaute Anwendungen bringen weitere Fragen mit: Wer betreibt sie, wer prüft Rechte und Schlüssel, wann ist der Eigenbau zu Ende? Sie brauchen kein zweites Dokument. Ergänzen Sie Ihre KI-Richtlinie um einen Abschnitt zum Eigenbau mit dem Freigabe-Check und der Liste der Eigenbauten. Nach Bitkom hatten 2025 erst 23 % der Unternehmen überhaupt Regeln für KI-Werkzeuge. Das hält die Regeln an einer Stelle.

Welche Anwendungen darf der Fachbereich ohne Prüfung bauen?

Ohne Prüfung eignen sich Anwendungen, die intern bleiben, Daten nur lesen und deren Ausfall niemanden außerhalb des Teams trifft. Typisch sind ein Dashboard aus dem Data Lake, ein Klickdummy für eine Anforderung oder ein Assistent, der Texte umformuliert. Voraussetzung bleibt ein freigegebenes Werkzeug mit Unternehmenskonto. Sobald personenbezogene Daten oder Geschäftsgeheimnisse im Spiel sind, steht die Ampel auf Gelb und ein Entwickler sowie der Datenschutz schauen kurz drauf. Die Ampel im Freigabe-Check zeigt das in wenigen Minuten.

Wann muss der Betriebsrat zustimmen?

Der Betriebsrat bestimmt nach § 87 Abs. 1 Nr. 6 BetrVG mit, wenn eine technische Einrichtung Verhalten oder Leistung von Beschäftigten überwachen soll. Ein selbst gebautes Dashboard mit Kennzahlen je Person, Auswertungen von Bearbeitungszeiten oder ein Agent, der Tickets je Mitarbeiter zählt, fallen schnell darunter. Klären Sie das vor dem Start. Praktisch ist eine Rahmenvereinbarung für KI-Werkzeuge, die den Freigabe-Check einschließt, damit nicht jede neue Anwendung einzeln verhandelt werden muss.

Was verlangt die KI-Verordnung von Unternehmen, die KI-Werkzeuge nutzen?

Art. 4 KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen für die KI-Kompetenz ihres Personals zu ergreifen. Ein Unternehmen, das Lovable, Cursor oder Copilot einsetzt, ist Betreiber. Die Bundesnetzagentur empfiehlt, Bedarf zu ermitteln, Maßnahmen zu gestalten und Art, Umfang und Teilnehmende zu dokumentieren. Ein bestimmtes Format oder eine Zertifizierung schreibt die Verordnung nicht vor. Eine kurze Einweisung vor der ersten Anwendung erfüllt den Zweck, wenn Sie sie festhalten. Eine Liste mit Datum genügt.

Brauchen wir für Lovable oder Cursor einen Auftragsverarbeitungsvertrag?

Ja, sobald personenbezogene Daten über das Werkzeug laufen. Dann verarbeitet der Anbieter Daten in Ihrem Auftrag, und Art. 28 DSGVO verlangt einen Vertrag. Viele Anbieter bieten ihn erst in Team- oder Business-Tarifen an. Prüfen Sie außerdem, wo die Daten liegen und ob Ihre Eingaben zum Training genutzt werden. Werkzeuge ohne Vertrag gehören nicht auf die Liste der freigegebenen Werkzeuge, auch wenn sie im Einzelfall günstiger sind. Fragen Sie den Vertrag vor dem ersten Einsatz an.

Wer sollte die Freigabe erteilen?

Bei Grün reicht der Fachbereich als Besitzer der Anwendung. Er füllt den Check aus und trägt die Anwendung in die Liste ein. Bei Gelb prüfen ein Entwickler und der Datenschutz, im Rechenbeispiel ein bis zwei Personentage. Bei Blau entscheidet die Geschäftsführung über Budget für Kauf oder Dienstleister. Wichtig ist eine feste Ansprechperson in der IT, die Anträge binnen weniger Tage beantwortet, sonst umgehen Teams den Weg. Eine Frist von fünf Arbeitstagen ist ein guter Richtwert.

Was gehört in die Liste der Eigenbauten?

Die Liste nennt für jede Anwendung Namen, Zweck, Besitzer mit Vertretung, Werkzeug, Datenquellen, Nutzerkreis, Ampelfarbe und Ablaufdatum. Bei personenbezogenen Daten kommt der Verweis auf den Eintrag im Verzeichnis nach Art. 30 DSGVO dazu. Halten Sie die Liste dort, wo auch ERP und CRM stehen, etwa in einer Übersicht der IT-Systemlandschaft. So sieht die IT, welche Eigenbauten auf führende Systeme zugreifen. Prüfen Sie die Liste einmal im Jahr und streichen Sie, was niemand mehr nutzt. Abgelaufene Freigaben fallen dabei sofort auf.

Wie verhindern wir Schatten-IT, ohne Teams auszubremsen?

Indem der offizielle Weg schneller ist als der inoffizielle. BSI und ANSSI empfehlen, genehmigte Werkzeuge bereitzustellen, statt nur zu verbieten. Stellen Sie ein oder zwei Werkzeuge mit Unternehmenskonto bereit, halten Sie den Antrag auf einer Seite und beantworten Sie Grün sofort. Laut Bitkom stellen erst 26 % der Unternehmen einen offiziellen Zugang zu generativer KI bereit. Wo er fehlt, greifen Beschäftigte zu privaten Konten. Ein Werkzeug mit Vertrag kostet weniger als ein Datenleck.

Was kostet die Einführung einer Vibe Coding Richtlinie?

Im Rechenbeispiel von Find-Your-Software kostet die Einführung mit Beratung rund 3.600 € für drei Beratertage: Workshop mit IT, Datenschutz und Fachbereich, Richtlinie und Werkzeugliste. Danach kostet der Freigabe-Check je Anwendung rund ein Viertel Personentag, die Prüfung bei Gelb ein bis zwei Personentage. Kleine und mittlere Unternehmen können für die Beratung einen BAFA-Zuschuss von 50 oder 80 % auf höchstens 3.500 € Beratungskosten beantragen, wenn sie förderfähig sind. Den Antrag stellen Sie vor der Vertragsunterschrift.

Dürfen Beschäftigte Geschäftsgeheimnisse in KI-Werkzeuge eingeben?

Nur in Werkzeuge, deren Tarif das Training mit Ihren Eingaben ausschließt und mit denen ein Vertrag besteht. Nach § 2 Nr. 1 GeschGehG schützt das Gesetz eine Information nur, wenn sie durch angemessene Geheimhaltungsmaßnahmen geschützt ist. Klare Regeln, welche Daten in welche Werkzeuge dürfen, gehören nach Einschätzung von Find-Your-Software dazu. Preise, Rezepturen und Konstruktionsdaten sollten im Zweifel durch Beispieldaten ersetzt werden. Halten Sie die Regel in der Richtlinie fest und schulen Sie sie bei der Einweisung, damit sie im Alltag ankommt.

Was tun mit Anwendungen, die schon ohne Freigabe laufen?

Erfassen statt abschalten. Bitten Sie die Teams, bestehende Eigenbauten binnen einer Frist zu melden, und gehen Sie jede Anwendung mit dem Freigabe-Check durch. Grüne Anwendungen bekommen nachträglich eine Freigabe, gelbe eine Prüfung, blaue einen Plan für Übergabe oder Ablösung. Wer meldet, sollte keine Nachteile haben, sonst bleibt der Bestand im Verborgenen. Beginnen Sie mit Anwendungen, die Daten in führende Systeme schreiben. Eine Meldefrist von vier Wochen ist ein praktikabler Richtwert.