Was ist eine Richtlinie zur zulässigen Nutzung von KI?
Eine Richtlinie zur zulässigen KI-Nutzung, häufig als AI AUP abgekürzt, legt fest, welches konkrete Verhalten von allen erwartet wird, die KI-Werkzeuge für das Unternehmen nutzen. Sie ist enger gefasst als eine umfassende KI-Richtlinie. Sie erklärt nicht, wer Anbieter genehmigt oder wie das Verzeichnis überprüft wird. Sie sagt Beschäftigten beim Öffnen eines Werkzeugs, was sie tun dürfen und was nicht.
Viele Unternehmen haben bereits eine IT-Nutzungsrichtlinie für E-Mails, Geräte und das Internet. Eine KI-Nutzungsrichtlinie kann als neuer Abschnitt in dieses Dokument aufgenommen werden oder auf einer separaten Seite darauf verweisen. Entscheidend ist, dass sie konkrete Aufgaben und Beispiele statt abstrakter Vorgaben nennt. „Nutzen Sie KI verantwortungsvoll“ hilft niemandem bei einer Entscheidung; „Fügen Sie keine Kundenverträge in irgendein KI-Tool ein“ schon.
Diese Seite bietet allgemeine Informationen und keine Rechtsberatung. Lassen Sie die von Ihnen übernommene Fassung von einer qualifizierten Fachperson prüfen, insbesondere wenn Sie personenbezogene Daten verarbeiten oder gegenüber Kunden zur Vertraulichkeit verpflichtet sind.
Wie entscheiden Sie, welche KI-Anwendungen Sie erlauben?
Ordnen Sie Anwendungen anhand der verwendeten Informationen und der Folgen eines Fehlers in drei Stufen ein: erlaubt, mit Genehmigung erlaubt und nicht erlaubt. Eine Anwendung ist nicht riskant, weil KI beteiligt ist, sondern wegen der eingegebenen Informationen und des Verwendungszwecks der Ergebnisse. Dasselbe Tool kann zum Überarbeiten eines öffentlichen Blogbeitrags geeignet und zum Zusammenfassen einer Disziplinarakte unzulässig sein.
Leiten Sie die Stufen aus einer Liste tatsächlicher Aufgaben ab. Bitten Sie jede Teamleitung um fünf Tätigkeiten, für die Beschäftigte KI bereits nutzen oder nutzen möchten. Ordnen Sie jede Tätigkeit einer Stufe zu. So gibt es von Anfang an konkrete Beispiele für die Stufen.
| Tarifstufe | Typische Beispiele | Was die Mitarbeitenden tun |
|---|---|---|
| Erlaubt | Den eigenen Entwurf umformulieren, einen öffentlich zugänglichen Artikel zusammenfassen, Ideen für Überschriften sammeln, eine Tabellenformel erklären | Verwenden Sie ein freigegebenes Konto und prüfen Sie die Ausgabe |
| Mit Genehmigung erlaubt | Kundenunterlagen zusammenfassen, Kundenantworten anhand des Ticketverlaufs entwerfen, interne Vertriebsdaten analysieren | Nur nutzen, wenn der Arbeitsablauf im Verzeichnis steht, andernfalls zuerst die verantwortliche Person fragen |
| Nicht erlaubt | Eingabe von Passwörtern oder Schlüsseln, Eingabe personenbezogener Daten von Mitarbeitenden oder Bewerbenden ohne freigegebenen Arbeitsablauf, Einstellungs- oder Vergütungsentscheidungen mit KI, Erzeugung von Bildern realer Personen | Tun Sie es nicht; fragen Sie nach, wenn Sie eine Ausnahme für nötig halten |
Wie sehen gute Klauseln zur zulässigen Nutzung aus?
Gute Klauseln benennen das Tool, die Aufgabe und die Informationen und geben an, was stattdessen zu tun ist. Nachfolgend finden Sie Beispielklauseln für das fiktive Softwareunternehmen Northgate Apps mit 40 Beschäftigten, das einen Unternehmensarbeitsbereich eines Chatassistenten sowie die KI-Funktionen seiner Codeplattform und seines Bürosoftwarepakets nutzt.
Jede Klausel ist kurz genug, um sie sich zu merken, und konkret genug, um danach zu handeln. Beachten Sie: Keine davon sagt „Seien Sie vorsichtig“; jede benennt ein Verhalten.
Kundenkonten
"Nutzen Sie KI ausschließlich über die im Verzeichnis aufgeführten Northgate-Firmenkonten. Nutzen Sie für keinerlei Northgate-Arbeit private Konten, kostenlose Tarife oder nicht freigegebene Browser-Erweiterungen, auch nicht für kurze Fragen."
Code
"Sie dürfen den freigegebenen Programmierassistenten für Northgate-Code-Repositories nutzen. Fügen Sie keine Kundendaten, Produktionsprotokolle mit personenbezogenen Daten oder Geheimnisse wie API-Schlüssel in KI-Tools ein. Generierter Code wird vor dem Zusammenführen wie jeder andere Code geprüft."
Kunden
"Beschäftigte im Kundendienst dürfen den freigegebenen Assistenten für Antwortentwürfe nutzen. Entfernen Sie zuvor Kontonummern und Zahlungsdaten. Jede Antwort wird vor dem Versand von einem Menschen gelesen und überarbeitet."
Aussagen
"Veröffentlichen Sie keine von einem KI-Tool erzeugten Statistiken, Vergleichswerte oder Kundenergebnisse, ohne die Originalquelle geöffnet und geprüft zu haben."
Personalentscheidungen
"Nutzen Sie KI nicht, um Bewerber oder Beschäftigte einzustufen, vorzusortieren oder zu bewerten. Sie dürfen damit den Wortlaut einer selbst verfassten Stellenanzeige überarbeiten."
Berichterstattung
"Wenn Sie etwas eingegeben haben, das Sie nicht hätten eingeben dürfen, informieren Sie noch am selben Tag die Betriebsleitung. Eine frühzeitige Meldung gilt als richtiges Handeln."
Die Eingabe welcher Informationen sollte eine Richtlinie zur zulässigen KI-Nutzung einschränken?
Beschränken Sie die Nutzung von Informationen nach Schutzklassen, statt jeden Dokumenttyp einzeln aufzulisten, und legen Sie für jede Klasse fest, in welchen Konten sie verwendet werden darf. Übliche Klassen sind öffentlich, intern, vertraulich oder kundenbezogen, personenbezogene Daten sowie Geheimnisse wie Passwörter und Schlüssel. Für Geheimnisse lässt sich die Regel am einfachsten formulieren: niemals, in keinem Werkzeug.
Die Hinweise des britischen nationalen Zentrums für Cybersicherheit zu großen Sprachmodellen stellen grundsätzlich klar, dass eine Anfrage für die Organisation sichtbar ist, die das Modell bereitstellt. Sie empfehlen, keine sensiblen Informationen in Anfragen an öffentlich zugängliche Modelle aufzunehmen. Für einen geschäftlichen Arbeitsbereich können andere Vertragsbedingungen gelten. Halten Sie deshalb fest, was Ihr Tarif vorsieht. Die Dokumentation von Microsoft besagt beispielsweise, dass Copilot Chat bei der Nutzung durch Organisationen unter den Datenschutz-Nachtrag fällt und dass Eingaben und Antworten nicht zum Training von Basismodellen verwendet werden. Zugleich weist sie darauf hin, dass sich die Kontrollmöglichkeiten je nach Abonnement unterscheiden. Ihre Richtlinie zur zulässigen Nutzung kann dann festlegen, welche Datenklassen in diesem Arbeitsbereich zulässig sind und welche nirgendwo eingegeben werden dürfen.
Für britische Unternehmen, die personenbezogene Daten verarbeiten, ist der Leitfaden des ICO zu KI und Datenschutz die offizielle Referenz. Auf den Seiten steht derzeit, dass der Leitfaden nach dem Data (Use and Access) Act überarbeitet wird. Prüfen Sie daher den aktuellen Stand, bevor Sie sich auf einen bestimmten Punkt verlassen.
Möchten Sie sehen, wie das mit einer bestimmten Rolle zusammenhängt?
Geplante Testphase für Teams entdecken ↗Was sollten Mitarbeitende prüfen, bevor sie KI-Ergebnisse verwenden?
Mitarbeitende sollten jede Tatsachenbehauptung, Zahl, jedes Zitat und jeden Quellenverweis prüfen, bevor sie ein Ergebnis weitergeben, und alles entfernen, was sich nicht auf eine Quelle zurückführen lässt. Das NIST-Profil für generative KI beschreibt Konfabulation als die Erzeugung von selbstsicher formulierten, aber fehlerhaften oder falschen Inhalten; eine flüssig formulierte Antwort ist kein Beleg. Die Richtlinie zur akzeptablen Nutzung sollte festlegen, dass die Person, die das Ergebnis verwendet, dafür verantwortlich ist.
Ein durchgearbeitetes Beispiel: Ein Marketingmitarbeiter von Northgate bittet den Assistenten um einen kurzen Absatz darüber, warum kleine Teams Projektmanagement-Tools einführen. Der Entwurf enthält die Aussage, dass die Mehrheit der kleinen Unternehmen im letzten Jahr das Tool gewechselt hat, mit Angabe einer Quelle. Der Marketingmitarbeiter kann diese Zahl in der genannten Quelle nicht finden. Gemäß der AUP-Klausel zu Behauptungen wird die Aussage entfernt und der Absatz neu formuliert. Er beschreibt nun ohne Zahlenangabe die Gründe, die Kunden in den eigenen Supportanfragen von Northgate nennen.
Schwache Fassung: „Die meisten kleinen Teams haben im vergangenen Jahr ihre Projektmanagement-Tools gewechselt, so eine aktuelle Branchenumfrage.“ Überarbeitete Fassung: „Teams, die sich bei uns melden, nennen meist zwei Gründe für einen Wechsel: versäumte Übergaben und zu viele Tools.“ Die zweite Fassung ist weniger dramatisch und lässt sich vollständig belegen.
Sollten Beschäftigte eine Richtlinie zur zulässigen KI-Nutzung unterschreiben?
Eine Unterschrift oder Empfangsbestätigung ist sinnvoll, zeigt aber nur, dass jemand die Richtlinie erhalten hat. Ergänzen Sie sie um eine zehnminütige Besprechung von drei Fällen aus Ihrer eigenen Arbeit, einem pro Stufe. Bitten Sie jede Person, die Fälle einzuordnen und ihre Entscheidung zu begründen. So erhalten Sie einen Nachweis dafür, dass die Mitarbeitenden die Regeln anwenden können. Wenn etwas schiefgeht, ist das mehr wert als eine Unterschrift.
Die Fragen und Antworten der Europäischen Kommission zur KI-Kompetenz, die sich auf Artikel 4 des EU AI Act beziehen, besagen, dass keine Zertifikate erforderlich sind und eine interne Dokumentation von Schulungen oder anderen Maßnahmen genügt. Falls die EU-Vorschriften für Sie gelten, ist es sinnvoll, kurz festzuhalten, wer die angeleitete Einführung wann abgeschlossen hat. Lassen Sie sich dazu beraten, ob und wie die Verordnung für Ihr Unternehmen gilt.
Wie setzen Sie eine Richtlinie zur zulässigen KI-Nutzung ohne Überwachung durch?
Die meisten kleinen Unternehmen setzen eine Richtlinie zur zulässigen KI-Nutzung durch freigegebene Konten, sinnvolle Standardeinstellungen und eine Kultur durch, in der Fehler gemeldet werden – nicht durch die Überwachung jedes Prompts. Stellen Sie Mitarbeitenden ein freigegebenes Geschäftskonto bereit, damit der bequeme Weg auch der erlaubte ist. Aktivieren Sie die Verwaltungseinstellungen, die Ihr Tarif bietet. Sorgen Sie dafür, dass Fehler ohne Angst gemeldet werden können, und behandeln Sie wiederholte Regelverstöße in einem regulären Gespräch über die Arbeitsleistung.
Wenn Sie Nutzungsprotokolle prüfen, die in einem Unternehmenstarif verfügbar sind, halten Sie dies in der Richtlinie fest und prüfen Sie die geltenden arbeitsrechtlichen und datenschutzrechtlichen Vorgaben. Verdeckte Überwachung schadet meist der offenen Meldekultur, auf die die Richtlinie angewiesen ist.
Tosheo.ai verfolgt im geplanten Produktdesign denselben Ansatz: Führungskräfte sehen den Kompetenzfortschritt und den Abschlussstatus, niemals die unverarbeiteten Chatprotokolle der Lernenden.
Wann reicht eine Richtlinie zur zulässigen Nutzung nicht aus?
Eine Richtlinie zur zulässigen Nutzung regelt das Verhalten der Beschäftigten; sie legt nicht fest, welche Anbieter sicher sind, ob ein Arbeitsablauf eine Datenschutz-Folgenabschätzung erfordert oder wie KI in ein Produkt passt, das Sie verkaufen. Wenn Ihr Unternehmen KI-Funktionen entwickelt, Entscheidungen über Menschen automatisiert oder in einem reglementierten Beruf tätig ist, benötigen Sie zusätzlich übergreifende Steuerungs- und Kontrollstrukturen sowie eine fachliche Prüfung.
Es ist auch keine Schulung. Einer Regel wie "Prüfen Sie jede Behauptung" lässt sich leicht zustimmen. Sie unter Zeitdruck gut umzusetzen, ist schwierig. Um diese Gewohnheit zu entwickeln, brauchen Menschen Übung an realistischen Aufgaben. Genau dafür sind rollenbezogene Übungen da.
Quellen und Geltungsbereich
NCSC, ChatGPT und große Sprachmodelle: Welche Risiken gibt es?, 14 March 2023 ↗
ICO, Leitfaden zu KI und Datenschutz (wird überarbeitet), geprüft am 16 October 2026 ↗
NIST, Risikoprofil für generative KI (NIST KI 600-1), Juli 2024 ↗
Europäische Kommission, KI-Kompetenz – Fragen und Antworten, zuletzt aktualisiert am 27 July 2026 ↗