So erstellen Sie eine KI-Richtlinie für ein kleines Unternehmen

Was ist eine KI-Richtlinie?

Eine KI-Richtlinie ist ein kurzes Unternehmensdokument, das Beschäftigten erklärt, welche KI-Werkzeuge sie für welche Aufgaben und mit welchen Informationen nutzen dürfen und was geschehen muss, bevor ein KI-gestütztes Ergebnis verwendet wird. In kleinen Unternehmen umfasst sie meist wenige Seiten. Verantwortlich ist üblicherweise ein Gründer, die operative Leitung oder die Person, die sich bereits um Daten und Verträge kümmert.

Der Begriff umfasst mehrere Dokumente, die häufig miteinander vermischt werden. Eine Richtlinie zur zulässigen Nutzung legt die Regeln fest, die Beschäftigte im Alltag befolgen. Eine Richtlinie zu generativer KI behandelt Tools, die Texte, Bilder oder Code erzeugen, und die Risiken generierter Inhalte. Ein Governance-Rahmen bildet die Steuerungsebene hinter beiden: Wer gibt ein Tool frei, wer führt das Verzeichnis, wie oft werden Entscheidungen überprüft? Die meisten Unternehmen mit weniger als 200 Beschäftigten können alle drei in einem Dokument zusammenfassen, sofern jeder Teil klar gekennzeichnet ist.

Dieser Leitfaden behandelt die Entscheidungen, die jede Richtlinie zu künstlicher Intelligenz erfordert, mit Beispielklauseln für ein fiktives Unternehmen. Er bietet allgemeine Informationen, keine Rechtsberatung. Die Gesetze zu Datenschutz, Beschäftigung und Verbraucherschutz unterscheiden sich je nach Land und Branche. Lassen Sie die von Ihnen übernommene Fassung deshalb von einer qualifizierten Fachperson prüfen.

Was sollte eine KI-Richtlinie für ein kleines Unternehmen leisten?

Eine nützliche Richtlinie hilft dabei, über das richtige Vorgehen zu entscheiden, bevor Informationen in ein Werkzeug eingegeben oder dessen Ergebnisse verwendet werden. Sie sollte freigegebene Dienste, geeignete Aufgaben, Grenzen für die Informationsverwendung, Zuständigkeiten für die Prüfung und einen Eskalationsweg festlegen. Eine Liste von Warnungen ohne diese praktischen Festlegungen lässt Beschäftigte im Ungewissen. Wer raten muss, nutzt die Werkzeuge entweder gar nicht mehr oder im Verborgenen.

Beginnen Sie mit den tatsächlichen Arbeitsabläufen. Für einen Einladungsentwurf auf Grundlage öffentlich zugänglicher Fakten sind andere Kontrollen nötig als für eine Zusammenfassung vertraulicher Kundenunterlagen. Halten Sie für jeden Arbeitsablauf den Zweck, das Ausgangsmaterial, die vorgesehene Leserschaft und die Folgen eines Fehlers fest. Dieser Kontext ist ein besserer Ausgangspunkt, als jede KI-Nutzung gleich zu behandeln.

Ein guter Test ist, ob neue Beschäftigte nach dem Lesen drei Fragen beantworten können: Welches Konto nutze ich, was darf ich niemals eingeben und an wen wende ich mich bei Fragen? Wenn das Dokument diese Fragen nicht beantwortet, erfüllt es seinen Zweck noch nicht – so gründlich es auch wirken mag.

Sind kleine Unternehmen gesetzlich zu einer KI-Richtlinie verpflichtet?

In den meisten Ländern gibt es kein allgemeines Gesetz, das jedem kleinen Unternehmen ein Dokument mit der Bezeichnung KI-Richtlinie vorschreibt. Bestehende Pflichten gelten aber weiterhin für die KI-Nutzung durch Beschäftigte. Datenschutzrecht, Vertraulichkeitsklauseln in Kundenverträgen, Arbeitsrecht und Werbevorschriften gelten auch dann, wenn ein Tool den Entwurf erstellt hat. Eine Richtlinie zeigt Beschäftigten auf praktische Weise, wie diese bestehenden Pflichten für ihre KI-Nutzung gelten.

Im Vereinigten Königreich veröffentlicht das ICO einen Leitfaden zu KI und Datenschutz sowie eine Sammlung von Hilfsmitteln zur Risikobewertung für Organisationen. Auf beiden Seiten steht derzeit, dass der Leitfaden nach dem Gesetz über Datennutzung und Datenzugang überarbeitet wird. Prüfen Sie deshalb den aktuellen Stand, bevor Sie sich auf einzelne Angaben verlassen. In der EU gilt Artikel 4 des EU AI Act zur KI-Kompetenz seit 2 February 2025 für Anbieter und Betreiber von KI-Systemen. Die Fragen und Antworten der Europäischen Kommission zur KI-Kompetenz stellen klar, dass es keinen einheitlichen Ansatz für alle gibt, keine Zertifikate erforderlich sind und eine interne Dokumentation der Schulungen ausreicht. Als Beispiel werden Beschäftigte genannt, die einen Chatassistenten für Werbetexte oder Übersetzungen nutzen und über spezifische Risiken wie Halluzinationen informiert werden sollten.

Wenn Sie in die EU verkaufen, dort Personal beschäftigen oder personenbezogene Daten von in der EU ansässigen Personen verarbeiten, lassen Sie sich dazu beraten, welche Vorschriften für Sie gelten. Für diesen Leitfaden geht es um einen enger gefassten Punkt: Eine schriftliche Richtlinie in Verbindung mit praktischen Schulungen ist ein sinnvoller Weg, um nachzuweisen, dass Beschäftigte über die Risiken und den Umgang damit informiert wurden.

Wer muss die Verantwortung für die Entscheidungen übernehmen?

Benennen Sie eine für die Richtlinie verantwortliche Person sowie die Personen, die Tools und sensible Arbeitsabläufe genehmigen dürfen. In einem Unternehmen mit 12 Beschäftigten kann die Gründerin oder der Gründer für alles zuständig sein. In einem Unternehmen mit 80 Beschäftigten könnte die Betriebsleitung für Tools zuständig sein, die für den Datenschutz verantwortliche Person für personenbezogene Daten und die Abteilungsleitungen für die Ergebnisprüfung in ihrem Bereich. Beschäftigte brauchen eine zentrale Anlaufstelle für Fragen, die die Richtlinie nicht abdeckt.

Die Materialien zur Funktion „Steuern“ im Praxisleitfaden zum NIST-Rahmenwerk für das KI-Risikomanagement behandeln klar definierte Rollen und Verantwortlichkeiten, Schulungen zu KI-Risiken für Beschäftigte und Kommunikationswege. Die hier verwendete Struktur ist eine praktische Anpassung für ein kleines Team. Diese Überschriften zu verwenden, macht eine Richtlinie weder rechtskonform noch zu einer von NIST empfohlenen Richtlinie.

Nennen Sie in der Richtlinie die verantwortliche Person und eine Vertretung mit Namen, nicht nur mit einer Stellenbezeichnung. In kleinen Unternehmen ändern sich Stellenbezeichnungen schneller als Dokumente. Ein Eskalationsweg, der auf eine unbesetzte Rolle verweist, ist keiner.

Wie sollten Sie freigegebene Tools dokumentieren?

Dokumentieren Sie den genauen Dienst, den Tarif und die erlaubte Nutzung, denn ein Markenname allein verdeckt wichtige Unterschiede. Ein persönliches Privatkundenkonto, ein geschäftlicher Unternehmensarbeitsbereich und eine API-Integration desselben Produkts können unterschiedliche Bedingungen für Speicherung, Modelltraining und Administrationsrechte haben. Halten Sie die relevanten Einstellungen und Bedingungen fest, statt davon auszugehen, dass eine Aussage für jede Version gilt.

Fragen Sie getrennt nach Modelltraining, Aufbewahrung, Zugriff, Verarbeitungsorten und Löschung. Die Aussage, dass Daten nicht für das Training verwendet werden, bedeutet weder, dass nichts gespeichert wird, noch, dass Sie ein Kundendokument hochladen dürfen. Ein Beispiel dafür, wie Anbieter dies beschreiben: Laut der Dokumentation von Microsoft für Copilot Chat in Organisationen fallen Eingaben und Antworten unter die Datenschutzvereinbarung und werden nicht zum Training von Basismodellen verwendet. Die konkreten Kontrollmöglichkeiten hängen dabei vom gebuchten Tarif ab. Genau solche tarifbezogenen Aussagen sollten Sie dokumentieren, zusammen mit dem Datum Ihrer Prüfung.

Legen Sie für jede Freigabe eine verantwortliche Person und einen Prüftermin fest, damit die Liste angepasst werden kann, wenn sich der Dienst oder der Arbeitsablauf ändert. Der Leitfaden zum Governance-Rahmen zeigt ein Registerformat, das auf eine Seite passt.

Was dürfen Mitarbeitende in ein KI-Tool einfügen?

Es gibt keine allgemeingültige Antwort, die unabhängig vom Tool, den Daten und den Verpflichtungen des Unternehmens gilt. Deshalb muss die Richtlinie eine Antwort für Ihren Kontext geben. Teilen Sie Informationen zunächst in einige klar verständliche Kategorien ein: öffentlich, intern, vertrauliche Geschäfts- oder Kundenunterlagen sowie personenbezogene Informationen. Legen Sie dann für jedes freigegebene Tool fest, welche Kategorien zulässig sind. Allein das Entfernen eines Namens macht ein Dokument weder anonym noch für das Hochladen freigegeben.

Die Hinweise des britischen nationalen Zentrums für Cybersicherheit zu großen Sprachmodellen sind im Grundsatz eindeutig: Eine Anfrage ist für die Organisation sichtbar, die das Modell bereitstellt. Es empfiehlt, keine sensiblen Informationen in Anfragen an öffentlich zugängliche Modelle aufzunehmen und vor sensiblen Fragen die Nutzungsbedingungen und die Datenschutzerklärung zu lesen. Ihre Richtlinie kann daraus konkrete Anweisungen für die von Ihnen freigegebenen Konten ableiten.

Geben Sie Beschäftigten für jeden freigegebenen Arbeitsablauf konkrete Beispiele für zulässige und eingeschränkt zulässige Inhalte. Verwenden Sie in Schulungen fiktive oder ausdrücklich freigegebene Daten mit geringem Risiko. Bei Unklarheiten sollten Beschäftigte die Arbeit unterbrechen und sich an die benannte verantwortliche Person wenden, statt während einer Aufgabe spontan eine Datenschutzentscheidung zu treffen.

Was sollte geschehen, bevor ein Ergebnis verwendet wird?

Jedes KI-gestützte Ergebnis muss passend zu seinem Verwendungszweck geprüft werden. Die Richtlinie sollte festlegen, wer dafür zuständig ist. Bei einem E-Mail-Entwurf kann es genügen, ihn anhand der bereitgestellten Fakten durchzulesen. Eine Erklärung mit Zahlen erfordert eine unabhängige Nachrechnung. Eine Aussage zu Recht, Gesundheit, Geld oder Sicherheit muss von einer qualifizierten Person geprüft werden. Die Richtlinie sollte bestehende Freigaben beibehalten, statt den Eindruck zu erwecken, dass sie durch KI-Unterstützung überflüssig werden.

Bitten Sie Beschäftigte, den erzeugten Entwurf getrennt von der zur Verwendung freigegebenen Fassung aufzubewahren. Dokumentieren Sie bei wichtigen Arbeiten die Prüfung so weit, dass nachvollziehbar ist, welche Quelle verwendet wurde, was geändert wurde und wer die endgültige Entscheidung getroffen hat. Eine flüssig formulierte Antwort oder die eigene Versicherung eines Modells, sie sei korrekt, ist keine unabhängige Überprüfung.

Legen Sie ausdrücklich fest, welche Entscheidungen bei Menschen bleiben. Eine typische Beispielklausel: KI-Werkzeuge dürfen beim Entwerfen oder Zusammenfassen helfen. Sie dürfen jedoch nicht Grundlage einer Entscheidung über Einstellung, Vergütung, Leistung, Kreditvergabe oder eine Kundenbeschwerde sein, ohne dass eine benannte Person die zugrunde liegenden Informationen prüft.

Wie sieht eine fertige Richtlinie für ein Team mit realistischer Größe aus?

Hier ist ein ausgearbeitetes Beispiel für eine fiktive Marketingagentur mit 25 Mitarbeitenden, Harbour Lane Studio. Die Beschäftigten nutzen einen geschäftlichen Arbeitsbereich eines Chat-Assistenten sowie die KI-Funktionen ihrer Bürosoftware. Einige hatten auch private Konten. Der Gründer ist für die Richtlinie verantwortlich, und die Leitung der Kundenbetreuung gibt alles frei, was Kundenmaterial betrifft.

Beispielklausel, freigegebene Tools: "Verwenden Sie ausschließlich den geschäftlichen Arbeitsbereich von Harbour Lane in [Assistent] und die KI-Funktionen unserer Bürosoftware, angemeldet mit Ihrem Unternehmenskonto. Verwenden Sie für geschäftliche Aufgaben oder Kundenaufträge keine privaten Konten."

Beispielklausel, Informationen: "Sie dürfen öffentliche und interne Informationen in freigegebenen Tools verwenden. Geben Sie keine Kundenakten, kundenspezifischen Preise oder als vertraulich gekennzeichneten Inhalte ein, es sei denn, die Leitung der Kundenbetreuung hat den betreffenden Kunden und die Aufgabe im Verzeichnis freigegeben. Geben Sie niemals personenbezogene Daten von Bewerbern, Beschäftigten oder Kunden ein."

Beispielklausel, Prüfung: "Bevor KI-gestützte Arbeit an einen Kunden geht, prüft die für den Kunden verantwortliche Person jede Tatsachenbehauptung anhand des Briefings oder einer benannten Quelle und entfernt alle Statistiken, Ergebnisse oder Empfehlungen, die sich nicht belegen lassen. Für KI-gestützte Arbeit gelten dieselben Maßstäbe wie für jeden anderen Entwurf."

Beispielklausel, Eskalation: "Wenn Sie unsicher sind, unterbrechen Sie die Arbeit und fragen Sie [Name der Gründungsperson] oder bei deren Abwesenheit [Name der Vertretung]. Wenn Sie vermuten, dass Informationen mit eingeschränktem Zugriff in das falsche Tool gelangt sind, melden Sie dies noch am selben Tag. Eine zeitnahe Meldung hat für Sie keine Nachteile."

Harbour Lane testete die Richtlinie anschließend an einer realen Aufgabe – einer Kampagnenzusammenfassung auf Grundlage eines Kundenbriefings –, bevor jemand gebeten wurde, sie zu unterschreiben. Der Test zeigte eine Lücke: Niemand wusste, ob der Markenleitfaden eines Kunden als vertraulich galt. Der Gründer ergänzte einen Eintrag im Verzeichnis, statt die Entscheidung den einzelnen Kundenverantwortlichen zu überlassen.

Wie sollte die Richtlinie mit Unsicherheit und Fehlern umgehen?

Die Richtlinie sollte einen klaren Meldeweg für eine versehentliche Offenlegung, eine nicht belegte Ausgabe oder einen Arbeitsablauf vorgeben, der nicht mehr seiner Genehmigung entspricht. Beschäftigte sollten solche Fälle ohne Angst vor Nachteilen melden können. Sie müssen wissen, was sie unterbrechen sollen, an wen sie sich wenden und welche Nachweise sie für die zuständige Person aufbewahren müssen. Erfinden Sie kein allgemeines Verfahren für Vorfälle, das Ihrem bestehenden Verfahren für Daten- oder Sicherheitsprobleme widerspricht; verweisen Sie darauf.

Führen Sie vor der Einführung der Richtlinie eine kurze Übung anhand eines Szenarios durch: Jemand hat ein zugriffsbeschränktes Dokument in ein nicht freigegebenes privates Konto eingefügt. Findet die betroffene Person den Meldeweg? Weiß die zuständige Person, welcher Dienst und welches Konto verwendet wurden und welche Löschmöglichkeiten der Anbieter bietet? Nutzen Sie die erkannten Lücken, um das konkrete Verfahren gemeinsam mit den zuständigen Prüfpersonen zu verbessern.

Wie stellen Sie sicher, dass sich die Vorgaben tatsächlich befolgen lassen?

Eine unterschriebene Empfangsbestätigung zeigt, dass jemand die Richtlinie erhalten hat; sie zeigt nicht, dass die Person sie anwenden kann. Grenzen werden verständlich, wenn man sie an einer realistischen Aufgabe übt: entscheiden, was nicht in eine KI-Anweisung gehört, eine generierte Behauptung anhand ihrer Quelle prüfen und die eigene Änderung erklären. Genau das beschreiben auch die Fragen und Antworten der Europäischen Kommission, wenn es darum geht, Beschäftigte über die spezifischen Risiken ihrer Arbeit zu informieren.

Besprechen Sie mit dem Team ein erlaubtes Beispiel, ein Beispiel mit Einschränkungen und einen unklaren Fall aus Ihrer eigenen Arbeit. Bitten Sie jede Person, den Unterschied zu erklären und herauszufinden, an wen sie sich im Zweifelsfall wenden muss. Gehen Sie anschließend die Richtlinie erneut durch und ergänzen Sie die Beispiele, die Entscheidungen erleichtert haben.

Tosheo.ai wird für diesen Übungsschritt konzipiert. Zum Start ist vorgesehen, dass eine Führungskraft die Rollen und die vom Team genutzten KI-Werkzeuge auswählt. Jede lernende Person absolviert eine kurze Einstufung. Die Lektionen enden mit einer praktischen Aufgabe in einem echten Werkzeug, die anhand eines einsehbaren Bewertungsrasters bewertet wird. Führungskräfte sollen die Kompetenzentwicklung und den Abschlussstatus sehen, nicht die vollständigen Chatprotokolle. Das Produkt erstellt Ihre Richtlinie nicht und setzt sie auch nicht durch; es soll Beschäftigten helfen, die darin geforderten Verhaltensweisen einzuüben.

Wie sorgen Sie dafür, dass die Richtlinie nützlich bleibt?

Überprüfen Sie die Richtlinie, sobald sich Tools, Tarife, Verträge oder Arbeitsabläufe ändern, und mindestens einmal jährlich zu einem festen Termin. Fragen Sie die Beschäftigten, welche Entscheidungen ihnen weiterhin schwerfallen. Eine Richtlinie, die niemand anwenden kann, braucht klarere Beispiele oder einen besseren Eskalationsweg, nicht ein weiteres Kontrollkästchen zur Bestätigung.

Halten Sie oben ein Versionsdatum und einen Änderungsvermerk fest, damit alle wissen, welche Regel aktuell gilt. Wenn ein Anbieter seine Bedingungen ändert oder ein Kunde eine KI-Klausel in einen Vertrag aufnimmt, aktualisieren Sie den Registereintrag und informieren Sie die betroffenen Personen, statt auf die jährliche Überprüfung zu warten.

Wann ist dieser Leitfaden nicht die richtige Lösung?

Dieser Ansatz richtet sich an Teams mit ungefähr 5 bis 200 Personen, die handelsübliche KI-Assistenten für die tägliche Wissensarbeit nutzen. Er reicht allein nicht aus, wenn Sie KI-Systeme entwickeln oder verkaufen, automatisierte Entscheidungen über Personen treffen, in einem stark regulierten Bereich wie dem Gesundheitswesen, der Finanzberatung oder Rechtsdienstleistungen arbeiten oder Kundenverträge mit besonderen KI-Bestimmungen haben. In diesen Fällen benötigen Sie vor der Fertigstellung der Richtlinie eine qualifizierte rechtliche und datenschutzrechtliche Prüfung und möglicherweise eine formelle Risikobewertung.

Es ersetzt auch kein Programm für Informationssicherheit. Wenn Ihr Unternehmen keine grundlegenden Regeln für Passwörter, Gerätesicherheit oder die Klassifizierung von Daten hat, schaffen Sie diese zuerst. Eine KI-Richtlinie ohne Grundlage trägt nicht.

Quellen und Geltungsbereich

NIST KI-RMF-Praxisleitfaden: Governance, geprüft am 16. Oktober 2026 ↗

ICO, Leitfaden zu KI und Datenschutz (wird überarbeitet), geprüft am 16 October 2026 ↗

ICO, Instrumentarium zu KI- und Datenschutzrisiken (wird überarbeitet), geprüft am 16 Oktober 2026 ↗

Europäische Kommission, KI-Kompetenz – Fragen und Antworten, zuletzt aktualisiert am 27 July 2026 ↗

NCSC, ChatGPT und große Sprachmodelle: Welche Risiken gibt es?, 14 March 2023 ↗

Microsoft Learn, Schutz von Unternehmensdaten in Microsoft Copilot und Copilot Chat, geprüft am 16 October 2026 ↗