Eine Vorlage für eine KI-Richtlinie für Beschäftigte

Wie sollten Sie diese Vorlage verwenden?

Kopieren Sie die folgenden Klauseln in Ihr eigenes Dokument, ersetzen Sie alle Platzhalter in eckigen Klammern und besprechen Sie jede Klausel mit der Person, die für den jeweiligen Arbeitsablauf verantwortlich ist. Übernehmen Sie den Text nicht als Unternehmensrichtlinie, ohne die tatsächlich verwendeten Tools, Informationen und geltenden Verpflichtungen zu prüfen. Der Text verzichtet bewusst darauf, eine pauschale Erlaubnis zum Hochladen von Geschäftsdaten zu unterstellen.

Prüfen Sie anhand einer vertrauten Aufgabe, ob Mitarbeitende das fertige Dokument anwenden können. Können sie beispielsweise erkennen, welches Konto für den Entwurf einer E-Mail auf Grundlage öffentlich zugänglicher Fakten freigegeben ist und wen sie fragen müssen, bevor sie einen Kundenbericht weitergeben? Wenn das unklar bleibt, verbessern Sie die Richtlinie, bevor Sie die Mitarbeitenden bitten, ihre Kenntnisnahme zu bestätigen.

Diese Vorlage bietet allgemeine Informationen und keine Rechtsberatung. Datenschutz-, Arbeitsrechts- und Branchenvorschriften unterscheiden sich je nach Land. Lassen Sie die von Ihnen übernommene Fassung von einer qualifizierten Fachperson prüfen.

Was gehört in die Klauseln zu Zweck, Geltungsbereich und Zuständigkeiten?

Die ersten drei Abschnitte erläutern, warum die Richtlinie existiert, für wen sie gilt und wer bei Unklarheiten entscheidet. Halten Sie sie kurz; sie dienen der Orientierung, nicht der rechtlichen Wirkung.

Klausel 1, Zweck: "[Unternehmen] nutzt KI-Tools, um Beschäftigte beim Entwerfen, Zusammenfassen, Recherchieren und Analysieren zu unterstützen. Diese Richtlinie erläutert, welche Tools zugelassen sind, welche Informationen damit verwendet werden dürfen, wie Ergebnisse geprüft werden und an wen Sie sich bei Fragen wenden können. Sie ergänzt unsere Richtlinien zu [Informationssicherheit / Datenschutz / Vertraulichkeit], ersetzt sie jedoch nicht."

Klausel 2, Geltungsbereich: "Diese Richtlinie gilt für alle Beschäftigten, Auftragnehmer und [Freiberufler / Praktikanten], die für [Unternehmen] arbeiten, auf allen Geräten. Sie umfasst auch KI-Funktionen in bereits genutzter Software, etwa [Bürosoftware, Gestaltungssoftware, CRM]."

Klausel 3, Zuständigkeit: "[Name, Funktion] ist für diese Richtlinie und das Verzeichnis zugelassener Tools verantwortlich. [Name der Vertretung] übernimmt bei Abwesenheit. Fragen richten Sie an [E-Mail-Adresse oder Kanal]. [Name, Funktion] genehmigt alle Arbeitsabläufe, die personenbezogene Daten betreffen."

Wie füllen Sie die Klauseln zu Tools und Informationen aus?

Die größten Risiken liegen bei den Klauseln 4 und 5, daher müssen sie besonders konkret sein. Klausel 4 benennt die genauen Konten; Klausel 5 legt fest, welche Informationskategorien in das jeweilige Konto eingegeben werden dürfen.

Klausel 4, zugelassene Tools: "Verwenden Sie ausschließlich die im Verzeichnis zugelassener Tools aufgeführten Tools und melden Sie sich mit Ihrem Konto von [Unternehmen] an. Private Konten, kostenlose Tarife und Browser-Erweiterungen, die nicht im Verzeichnis stehen, dürfen nicht für Arbeiten für [Unternehmen] oder Kunden verwendet werden. Um ein neues Tool zu beantragen, senden Sie eine E-Mail an [verantwortliche Person] und nennen Sie das Tool, den Tarif, die Aufgabe und die dafür benötigten Informationen."

Klausel 5, Informationen: "Sie dürfen öffentliche Informationen und [interne Informationen] in zugelassenen Tools verwenden. Sie dürfen keine [vertraulichen Kundenunterlagen / Preisinformationen / unveröffentlichten Finanzdaten / Quellcodes / Zugangsdaten] eingeben, sofern das Verzeichnis dieses Tool nicht für diese Aufgabe freigibt. Geben Sie keine personenbezogenen Daten zu Beschäftigten, Bewerbern oder Kunden ein, sofern [Name] den konkreten Arbeitsablauf nicht genehmigt hat. Allein das Entfernen von Namen macht die Weitergabe von Informationen noch nicht sicher."

Jede Freigabe im Verzeichnis muss den Dienst und Tarif, die erlaubte Aufgabe, die zulässigen Informationen, die prüfende Person und einen Prüftermin enthalten. Fragen Sie Anbieter gesondert nach dem Training mit Ihren Daten, der Aufbewahrung, dem Administratorzugriff und der Löschung. Halten Sie fest, was die aktuellen Bedingungen dazu sagen, einschließlich des Datums Ihrer Prüfung. Eine Zusage, Daten nicht zum Training zu verwenden, bedeutet nicht, dass sie nicht gespeichert werden.

Was sollten die Klauseln zur Prüfung von KI-Ergebnissen und zu Personalentscheidungen festlegen?

Klausel 6 verpflichtet die Person, die ein Ergebnis verwendet, dieses zu prüfen; Klausel 7 belässt Entscheidungen über Menschen bei Menschen. Beide sollten mit Ihren bestehenden Freigaberegelungen übereinstimmen und diese nicht ersetzen.

Klausel 6, Ergebnisprüfung: "Sie sind für alle KI-gestützten Arbeitsergebnisse verantwortlich, die Sie verwenden oder versenden. Prüfen Sie vor der Verwendung Fakten, Zahlen, Zitate und Quellenangaben anhand des Ausgangsmaterials oder einer benannten Quelle. Entfernen Sie alle Statistiken, Ergebnisse, Empfehlungen oder Quellenangaben, deren Ursprung Sie nicht nachvollziehen können. Arbeiten, die normalerweise von [Rechtsabteilung / Finanzabteilung / einer Führungskraft] geprüft werden, werden weiterhin dort geprüft."

Klausel 7, Entscheidungen über Menschen: "KI-Tools dürfen nicht als Grundlage für Entscheidungen über Einstellungen, Vergütung, Leistung, Disziplinarmaßnahmen, Kreditvergabe oder Kundenbeschwerden verwendet werden. Sie dürfen beim Entwerfen oder Ordnen von Unterlagen helfen, aber eine namentlich benannte Person muss die zugrunde liegenden Informationen prüfen und die Entscheidung treffen."

Wenn Ihr Team große Mengen gleichartiger Aufgaben bearbeitet, etwa Antworten auf Supportanfragen, ergänzen Sie einen Satz zu Stichprobenkontrollen: Wer prüft Stichproben KI-gestützter Antworten, wie oft geschieht das und was passiert, wenn sich ein Fehlermuster zeigt?

Wie funktionieren die Klauseln zu Offenlegung, Berichterstattung und Überprüfung?

Die letzten drei Abschnitte erläutern, wann andere über den KI-Einsatz informiert werden müssen, was bei Problemen zu tun ist und wie die Richtlinie aktuell gehalten wird.

Klausel 8, Offenlegung: "Informieren Sie die prüfende Person, wenn ein Entwurf zu wesentlichen Teilen mit KI erstellt wurde. Beachten Sie Kundenverträge sowie alle Plattform- oder Veröffentlichungsregeln für KI-generierte Inhalte. [Optional: An Kunden gerichtete, KI-generierte Bilder oder Texte werden mit [Wortlaut] gekennzeichnet.]"

Klausel 9, Meldung: "Wenn möglicherweise zugriffsbeschränkte Informationen in ein nicht zugelassenes Tool eingegeben wurden oder ein KI-gestütztes Ergebnis ein Problem verursacht oder beinahe verursacht hat, informieren Sie [verantwortliche Person] noch am selben Tag. Nennen Sie dabei das Tool, das Konto und die weitergegebenen Informationen. Befolgen Sie gegebenenfalls [bestehendes Verfahren für Vorfälle]. Eine umgehende Meldung wird nicht als Fehlverhalten gewertet."

Klausel 10, Überprüfung: "[Verantwortliche Person] überprüft diese Richtlinie und das Verzeichnis mindestens alle [sechs / zwölf] Monate sowie bei jeder Änderung eines Tools, Tarifs, Vertrags oder Arbeitsablaufs. Version [Nummer], genehmigt von [Name] am [Datum]."

Welche Platzhalter erfordern konkrete Entscheidungen?

Jeder Platzhalter in Klammern steht für eine noch offene Entscheidung, nicht für einen sicheren Standardwert. Kennzeichnen Sie unbekannte Angaben deshalb zur Prüfung, statt sie mit einer plausibel klingenden Regel zu füllen. Das Unternehmen muss die für die Richtlinie verantwortliche Person, freigegebene Dienste und Tarife, erlaubte Aufgaben, Informationen mit Nutzungsbeschränkungen, Prüfzuständigkeiten, den Meldeweg und den Prüftermin angeben.

Dokumentieren Sie, warum ein Tool für eine bestimmte Aufgabe freigegeben ist. Einstellungen zum Modelltraining, Speicherung, Zugriffskontrollen und vertragliche Erlaubnis sind getrennte Fragen. Ein Tool kann für eine Nutzung geeignet sein, während eine andere eine zusätzliche Freigabe erfordert. Halten Sie diesen Unterschied im Verzeichnis sichtbar fest.

Ein durchgearbeiteter Fall: Ein fiktives Buchhaltungsbüro mit 18 Beschäftigten bearbeitete zuerst Klausel 5 und stellte fest, dass es sie nicht beantworten konnte, weil die Auftragsvereinbarungen mit den Kunden keine Angaben zu KI enthielten. Statt zu raten, kennzeichnete der Inhaber Kundenmaterial bis zu einer Prüfung als nicht zulässig, gab die Nutzung öffentlicher und interner Informationen sofort frei und vereinbarte ein Gespräch mit seinem Berater über die Anpassung der Auftragsvereinbarungen.

Was sollten Sie bei der Prüfung kontrollieren?

Eine prüfende Person sollte sicherstellen, dass die Richtlinie zu den bestehenden Abläufen für Informationssicherheit, Datenschutz, Personalangelegenheiten und Veröffentlichungen passt und diese nicht stillschweigend außer Kraft setzt. Ein kurzes KI-Dokument sollte keine Regel lockern, die bereits vertrauliche Daten oder folgenreiche Entscheidungen regelt. Wer die Prüfung übernehmen sollte, hängt von der Organisation, dem Arbeitsablauf und der Rechtsordnung ab.

Die Materialien zur Funktion „Steuern“ im Praxisleitfaden zum NIST-Rahmenwerk für das KI-Risikomanagement behandeln Rollen, Verantwortlichkeiten, Schulungen und Risiken durch Drittanbieter. Diese Vorlage ist unsere praktische Anpassung für kleine Teams. Die Leitlinien des ICO zu KI und Datenschutz sind eine offizielle britische Quelle für Fragen zu personenbezogenen Daten. Auf den entsprechenden Seiten steht derzeit, dass sie nach dem Gesetz zur Datennutzung und zum Datenzugang überarbeitet werden. Prüfen Sie deshalb die aktuelle Onlinefassung. Die Vorlage ist weder ein Nachweis der Rechtskonformität noch eine Erklärung, dass Ihr Unternehmen die Maßnahmen umgesetzt hat.

Wie stellen Sie dem Team die Richtlinie vor?

Führen Sie das Thema anhand von Beispielen aus Ihrer eigenen Arbeit ein, nicht mit einem Leseauftrag. Gehen Sie ein zulässiges Beispiel, ein eingeschränkt zulässiges Beispiel und einen unklaren Fall durch. Bitten Sie die Teilnehmenden, den Unterschied zu erklären und herauszufinden, an wen sie sich bei Unklarheiten wenden müssen. Geben Sie ihnen Zeit für Fragen zu den Tools und Konten, die sie tatsächlich nutzen. Eine bloße Bestätigung zeigt noch nicht, dass jemand eine Grenze in der Praxis einhalten kann.

Gehen Sie die Richtlinie nach der ersten Übungseinheit erneut durch. Ergänzen Sie Beispiele, die eine Entscheidung erleichtert haben, und korrigieren Sie Anweisungen, die nicht zum Arbeitsablauf passten. Halten Sie eine Versionsnummer und eine verantwortliche Person fest, damit Mitarbeitende wissen, wo sie die aktuellen Regeln finden.

Wenn Sie strukturiert üben möchten: Tosheo.ai wird entwickelt, um für jede Rolle kurze Lektionen anzubieten, die mit einer praktischen Aufgabe in einem echten KI-Werkzeug enden und anhand transparenter Bewertungskriterien benotet werden. Tosheo.ai verfasst oder genehmigt Ihre Richtlinie nicht.

Wann ist eine allgemeine Vorlage der falsche Ausgangspunkt?

Eine allgemeine Vorlage ist der falsche Ausgangspunkt, wenn Sie KI in ein Produkt einbauen, das Sie verkaufen, besondere Kategorien personenbezogener Daten verarbeiten, in einem reglementierten Beruf tätig sind oder Verträge haben, die bereits Bedingungen zur KI-Nutzung festlegen. Gehen Sie mit qualifizierter Beratung von diesen Verpflichtungen aus und nutzen Sie diese Struktur nur als Themencheckliste.

Es ist auch dann der falsche Ansatz, wenn niemand die Verantwortung übernimmt. Eine Vorlage, die einmal ausgefüllt und nie überprüft wird, wird zu einer Regelliste für Werkzeuge, die das Team längst nicht mehr nutzt. Benennen Sie die verantwortliche Person, bevor Sie Klausel 4 ausfüllen.

Quellen und Geltungsbereich

NIST KI-RMF-Praxisleitfaden: Governance, geprüft am 16. Oktober 2026 ↗

ICO, Leitfaden zu KI und Datenschutz (wird überarbeitet), geprüft am 16 October 2026 ↗

ICO, Instrumentarium zu KI- und Datenschutzrisiken (wird überarbeitet), geprüft am 16 Oktober 2026 ↗