KI-Richtlinie für Unternehmen.
Vorlage in 10 Punkten, mit Check.

Was ist eine KI-Richtlinie?

Eine KI-Richtlinie ist eine interne Regel, die festlegt, wie Beschäftigte KI im Dienst nutzen dürfen. Sie nennt die erlaubten Werkzeuge, die Daten, die nie in einen Prompt gehören, und den Weg, auf dem neue Werkzeuge freigegeben werden. Dazu kommen Prüfpflicht, Kennzeichnung, Schulung, Verantwortliche und Folgen bei Verstößen. Sie gilt für Chat-Assistenten wie ChatGPT oder Copilot ebenso wie für KI-Funktionen in ERP, CRM oder HR-Software. Eine gute KI-Richtlinie passt auf zwei Seiten und lässt sich in einer Einweisung erklären.

Ist eine KI-Richtlinie Pflicht?

Kein Gesetz schreibt eine KI-Richtlinie als Dokument vor. Art. 4 KI-Verordnung verpflichtet Unternehmen, die KI nutzen, aber seit dem 02.02.2025 zu Maßnahmen für die KI-Kompetenz ihres Personals. Dazu kommen Pflichten aus der DSGVO, etwa Verträge nach Art. 28, und die Rechte des Betriebsrats nach § 87 und § 90 BetrVG. Eine Richtlinie bündelt diese Pflichten an einer Stelle und dient als Nachweis. Bitkom empfiehlt Arbeitgebern ausdrücklich, Regeln für die Nutzung von KI in Unternehmensrichtlinien festzulegen.

Was verlangt die KI-Kompetenz-Pflicht nach Art. 4?

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen in ihrem Auftrag zu unterstützen. Betreiber ist jedes Unternehmen, das KI beruflich in eigener Verantwortung nutzt. Ein bestimmtes Format, eine Prüfung oder ein Zertifikat schreibt die Verordnung nicht vor. Seit der Änderung durch die Verordnung (EU) 2026/1744 muss auch kein bestimmtes Niveau je Person garantiert werden. Die Maßnahmen richten sich nach Vorkenntnissen, Rolle und Einsatz. Die Bundesnetzagentur empfiehlt, sie zu dokumentieren.

Drohen Bußgelder, wenn wir nicht schulen?

Für Art. 4 nennt die KI-Verordnung keinen eigenen Bußgeldrahmen. Die Kataloge in Art. 99 Abs. 3 bis 5 betreffen unter anderem verbotene Praktiken, Betreiberpflichten bei Hochrisiko-KI und Transparenz, nicht die KI-Kompetenz. Sanktionen für andere Verstöße regeln die Mitgliedstaaten nach Art. 99 Abs. 1. Die EU-Kommission weist darauf hin, dass Behörden verhältnismäßig vorgehen und eine Sanktion wahrscheinlicher wird, wenn ein Vorfall auf fehlende Schulung zurückgeht. Die Bundesnetzagentur sieht fehlende KI-Kompetenz zudem als mögliche Verletzung der Sorgfaltspflicht.

Hat der Digital-Omnibus die Schulungspflicht abgeschafft?

Nein. Die EU-Kommission hatte am 19.11.2025 Änderungen an der KI-Verordnung vorgeschlagen. Beschlossen wurden sie als Verordnung (EU) 2026/1744 vom 08.07.2026, in Kraft seit dem 27.07.2026. Art. 4 bleibt eine Pflicht für Anbieter und Betreiber: Sie ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Neu ist, dass kein bestimmtes Kompetenzniveau je Person garantiert werden muss. Kommission und Mitgliedstaaten sollen Unternehmen, besonders KMU, dabei unterstützen. Die Einweisung bleibt also Teil jeder KI-Richtlinie.

Was gehört in eine KI-Richtlinie?

Zehn Punkte decken das Nötige ab: Geltungsbereich, erlaubte Werkzeuge, eine Daten-Ampel, Grenzen für Entscheidungen über Menschen, die Prüfpflicht für Ergebnisse, die Kennzeichnung, der Freigabeweg für neue Werkzeuge, die Schulung, Verantwortliche mit Meldeweg sowie Verstöße und Überprüfung. Jeder Punkt braucht nur zwei oder drei Sätze. Wichtiger als Vollständigkeit im Wortlaut sind konkrete Beispiele aus dem eigenen Haus, etwa welche Preisliste rot ist. Prüfen Sie Ihre Fassung mit dem Vollständigkeits-Check, bevor Sie schulen. Wie Sie interne Dokumente mit Rechten und Quellenangabe anbinden, beschreibt der Ratgeber KI für Unternehmenswissen.

Wie weisen wir die KI-Schulung nach?

Eine interne Liste reicht. Die EU-Kommission sagt ausdrücklich, dass kein Zertifikat nötig ist und interne Aufzeichnungen genügen. Die Bundesnetzagentur empfiehlt, Art, inhaltlichen und zeitlichen Umfang der Maßnahme sowie die Teilnehmenden festzuhalten. Praktisch sind sieben Felder: Name und Rolle, genutzte KI-Systeme, Art, Inhalt, Umfang und Datum, Bestätigung und geplante Auffrischung. Führen Sie den Nachweis dort, wo auch Arbeitsschutz- oder Datenschutzschulungen dokumentiert sind, damit er bei Personalwechseln oder einer Nachfrage der Aufsicht nicht verloren geht.

Muss der Betriebsrat der KI-Richtlinie zustimmen?

Das hängt vom Inhalt ab. Über die Planung von Arbeitsverfahren einschließlich des Einsatzes von KI muss der Arbeitgeber den Betriebsrat rechtzeitig unterrichten, § 90 Abs. 1 Nr. 3 BetrVG. Können Werkzeuge Verhalten oder Leistung überwachen, etwa über Nutzungsprotokolle je Person, bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mit. Muss er KI beurteilen, gilt ein Sachverständiger als erforderlich, § 80 Abs. 3. Praktisch ist eine Rahmenvereinbarung, die den Freigabeweg für neue Werkzeuge gleich mitregelt.

Dürfen Mitarbeitende ChatGPT mit privatem Konto nutzen?

Für dienstliche Inhalte sollten sie es nicht. Bei privaten Konten fehlt meist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, und Sie wissen nicht, ob Eingaben zum Training genutzt werden. Nach Bitkom nutzen Beschäftigte in 25 % der Unternehmen private KI-Zugänge, weit verbreitet oder in Einzelfällen. Ein Verbot allein hilft wenig. Stellen Sie ein Firmenkonto bereit und verbieten Sie private Konten erst ab diesem Tag. Welche Tarife es gibt, zeigt unser KI-Assistenten-Vergleich.

Müssen KI-generierte Texte gekennzeichnet werden?

Nicht jeder. Art. 50 Abs. 4 KI-Verordnung verlangt seit dem 02.08.2026, dass Betreiber Deepfakes offenlegen, also täuschend echte Bilder, Videos oder Töne. KI-Texte sind zu kennzeichnen, wenn sie die Allgemeinheit über Themen von allgemeinem Interesse informieren und niemand sie redaktionell prüft und verantwortet. Chatbots müssen sich nach Art. 50 Abs. 1 als KI zu erkennen geben, das stellt der Anbieter sicher. Für interne Texte gibt es keine gesetzliche Pflicht, eine eigene Regel in der Richtlinie schafft aber Klarheit.

Brauchen wir einen KI-Beauftragten?

Gesetzlich nicht. Die EU-Kommission und die Bundesnetzagentur stellen klar, dass die KI-Verordnung für Art. 4 weder einen KI-Beauftragten noch ein eigenes Gremium vorschreibt. Praktisch braucht die Richtlinie trotzdem eine Person, die die Werkzeugliste pflegt, Fragen beantwortet und Meldungen sammelt. Im Mittelstand übernimmt das oft jemand aus IT, Datenschutz oder Informationssicherheit, mit Vertretung. Schreiben Sie Name und Postfach in die Richtlinie, damit Beschäftigte bei Fragen und Fehlern sofort wissen, an wen sie sich wenden.

Gilt die KI-Richtlinie auch für KI-Funktionen in ERP oder CRM?

Ja. Wer KI in eigener Verantwortung beruflich nutzt, ist nach Art. 3 Nr. 4 KI-Verordnung Betreiber, auch wenn die KI-Funktion Teil einer gekauften Software ist. Viele Anbieter schalten KI per Update frei, etwa Textvorschläge, Zusammenfassungen oder Agenten. Nehmen Sie deshalb neu eingeschaltete KI-Funktionen in den Freigabeweg auf und erfassen Sie, in welcher Software sie laufen und wer sie verantwortet. Fragen Sie den Anbieter, welche Daten die Funktion nutzt. Welche KI-Funktionen ERP-Systeme heute mitbringen, zeigt unser Ratgeber KI im ERP.

Was unterscheidet die KI-Richtlinie von der Vibe Coding Richtlinie?

Die KI-Richtlinie gilt für alle Beschäftigten und regelt die Nutzung von KI: Chat-Assistenten, Übersetzer und KI-Funktionen in Fachsoftware. Die Vibe Coding Richtlinie ist eine Ergänzung für Teams, die mit KI selbst Anwendungen bauen, etwa Dashboards oder kleine Portale. Sie bringt einen Freigabe-Check mit zwölf Fragen und eine Liste aller Eigenbauten mit. Sie brauchen kein zweites Regelwerk, sondern einen zusätzlichen Abschnitt. Beginnen Sie mit der KI-Richtlinie und ergänzen Sie den Eigenbau, sobald die ersten Teams bauen.