Ratgeber
KI-Richtlinie für Mitarbeitende: Vorlage zum Anpassen
Eine KI-Richtlinie legt fest, welche Werkzeuge Mitarbeitende nutzen dürfen und welche Daten dort nichts verloren haben. Unten steht eine vollständige Vorlage, die ihr an euer Unternehmen anpasst.
Kurz gesagt
Was gehört in eine KI-Richtlinie für Mitarbeitende? Mindestens: für wen sie gilt, welche KI-Werkzeuge freigegeben sind, welche Daten nicht eingegeben werden dürfen, dass jedes Ergebnis von einem Menschen geprüft wird, wann KI-Inhalte gekennzeichnet werden, wie mit Urheberrecht umzugehen ist, welche Schulung Pflicht ist, wer Ansprechpartner ist und was bei Verstößen gilt. Die Vorlage unten enthält alle diese Punkte und steht auch als Datei zum Herunterladen bereit.
Wozu eine KI-Richtlinie?
Ohne Regeln nutzen Mitarbeitende das, was sie privat kennen — mit privaten Konten und ohne Vertrag mit dem Anbieter. Kundendaten und interne Unterlagen landen so bei Dritten, ohne dass jemand davon weiß.
Eine Richtlinie schafft Klarheit, was erlaubt ist. Sie unterstützt die Rechenschaftspflicht nach der DSGVO, gehört zu den angemessenen Geheimhaltungsmaßnahmen, ohne die Informationen nach dem Geschäftsgeheimnisgesetz nicht geschützt sind, und ist ein Baustein der KI-Kompetenz nach Art. 4 AI Act.
So passt ihr die Vorlage an
- Alle Platzhalter in eckigen Klammern ersetzen, etwa [Unternehmen] und [Ansprechpartner]
- Die Liste der freigegebenen Werkzeuge als Anlage führen, damit sie sich ohne neue Richtlinie ändern lässt
- Mit Datenschutzbeauftragten, IT und — falls vorhanden — dem Betriebsrat abstimmen; oft wird die Richtlinie Teil einer Betriebsvereinbarung
- Bekannt machen und die Kenntnisnahme dokumentieren
- Mindestens einmal im Jahr und bei neuen Werkzeugen überprüfen
Die Vorlage
Vorlage ohne Gewähr — vor dem Einsatz an euer Unternehmen anpassen und rechtlich prüfen lassen.
Richtlinie zur Nutzung von KI-Werkzeugen bei [Unternehmen]
1. Geltungsbereich
Diese Richtlinie gilt für alle Beschäftigten, Auszubildenden, Praktikantinnen und Praktikanten von [Unternehmen] sowie für externe Personen, die in dessen Auftrag tätig sind (zusammen „Mitarbeitende“). Sie regelt die Nutzung von KI-Werkzeugen, insbesondere generativer KI wie Chat-Assistenten sowie Text-, Bild- und Code-Generatoren, für dienstliche Zwecke — unabhängig davon, ob dienstliche oder private Geräte verwendet werden.
2. Zugelassene Werkzeuge
Für dienstliche Zwecke dürfen ausschließlich KI-Werkzeuge genutzt werden, die [freigebende Stelle, z. B. IT und Datenschutz] freigegeben hat. Die aktuelle Liste steht in Anlage 1 bzw. unter [Ort, z. B. Intranet]. Die Nutzung erfolgt nur über dienstliche Konten. Private Konten und nicht freigegebene Werkzeuge sind für dienstliche Inhalte nicht erlaubt. Neue Werkzeuge können bei [Ansprechpartner] zur Prüfung beantragt werden.
3. Verbotene Eingaben
In KI-Werkzeuge, die dafür nicht ausdrücklich freigegeben sind, dürfen nicht eingegeben werden:
- personenbezogene Daten Dritter, etwa von Kundinnen und Kunden, Kolleginnen und Kollegen, Bewerbenden oder Patientinnen und Patienten
- besondere Kategorien personenbezogener Daten wie Gesundheitsdaten
- Geschäftsgeheimnisse sowie als vertraulich oder intern eingestufte Unterlagen
- Inhalte, die gegenüber Dritten vertraulich zu behandeln sind, etwa aufgrund einer Geheimhaltungsvereinbarung
- Zugangsdaten, Passwörter und Schlüssel
Im Zweifel gilt: nicht eingeben und vorher [Ansprechpartner] fragen.
4. Prüfpflicht und menschliche Kontrolle
KI-Ergebnisse können falsch, unvollständig oder veraltet sein. Mitarbeitende prüfen jedes Ergebnis auf Richtigkeit und Angemessenheit, bevor sie es verwenden oder weitergeben. Die Verantwortung für das Ergebnis bleibt bei der Person, die es verwendet. Entscheidungen über Personen, etwa zu Bewerbungen oder Leistungsbewertungen, werden nicht allein auf Grundlage von KI-Ergebnissen getroffen.
5. Kennzeichnung KI-generierter Inhalte
Inhalte, die wesentlich von einer KI erzeugt wurden und nach außen gehen, werden gekennzeichnet, wenn [Kriterien, z. B. Veröffentlichungen ohne redaktionelle Prüfung, Bilder, Audio und Video, die echt wirken]. Gesetzliche Kennzeichnungspflichten, insbesondere nach Art. 50 der KI-Verordnung, bleiben unberührt. Intern wird in Dokumenten vermerkt, wenn wesentliche Teile KI-generiert sind.
6. Urheberrecht und Rechte Dritter
Geschützte Werke Dritter werden nur eingegeben, wenn [Unternehmen] die dafür nötigen Rechte hat. Vor einer Veröffentlichung werden Ergebnisse darauf geprüft, ob sie geschützte Texte, Bilder, Marken oder Logos Dritter übernehmen. Rein KI-generierte Inhalte genießen nach deutschem Recht in der Regel keinen Urheberrechtsschutz.
7. Schulung
Vor der ersten Nutzung nehmen Mitarbeitende an der Schulung [Bezeichnung, Format] teil; eine Auffrischung erfolgt [jährlich] und bei neuen Werkzeugen. Die Teilnahme wird dokumentiert (Art. 4 KI-Verordnung).
8. Ansprechpartner
- Fragen zu Werkzeugen und Freigaben: [Name, Kontakt]
- Datenschutz: [Datenschutzbeauftragte/r, Kontakt]
- Vorfälle, etwa versehentlich eingegebene vertrauliche Daten: unverzüglich an [Kontakt]
9. Verstöße
Verstöße gegen diese Richtlinie können arbeitsrechtliche Folgen haben. Versehentliche Fehler sind sofort zu melden; eine rechtzeitige Meldung wird bei der Bewertung berücksichtigt.
10. Inkrafttreten und Überprüfung
Diese Richtlinie tritt am [Datum] in Kraft. Sie wird mindestens [jährlich] überprüft; Änderungen werden den Mitarbeitenden bekannt gegeben.
[Ort, Datum] — [Unterschrift Geschäftsführung] — [ggf. Unterschrift Betriebsrat]
Zum Herunterladen
Ohne Anmeldung und ohne E-Mail-Adresse: als PDF zum Ausdrucken und Abhaken, als Markdown zum Weiterbearbeiten in jedem Editor, in Word oder im Wiki.
Vorlage: KI-Richtlinie für Mitarbeitende
Zehn Abschnitte von Geltungsbereich bis Inkrafttreten, mit Platzhaltern wie [Unternehmen] zum Anpassen.
Häufige Fragen
Ist eine KI-Richtlinie im Unternehmen Pflicht?
Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Praktisch kommt man kaum ohne aus: Art. 4 AI Act verlangt KI-Kompetenz, die DSGVO verlangt Rechenschaft über die Verarbeitung, und Geschäftsgeheimnisse sind nur geschützt, wenn angemessene Geheimhaltungsmaßnahmen getroffen werden. Eine Richtlinie deckt alle drei ab.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Häufig ja. Regeln zum Verhalten im Betrieb (§ 87 Abs. 1 Nr. 1 BetrVG) und die Einführung technischer Einrichtungen, die zur Überwachung geeignet sind (§ 87 Abs. 1 Nr. 6 BetrVG), sind mitbestimmungspflichtig. Viele Unternehmen regeln die KI-Nutzung deshalb in einer Betriebsvereinbarung.
Dürfen Mitarbeitende ChatGPT mit privatem Konto für die Arbeit nutzen?
Nur wenn die Richtlinie es erlaubt — für dienstliche Inhalte ist davon abzuraten. Mit einem privaten Konto besteht kein Auftragsverarbeitungsvertrag zwischen Unternehmen und Anbieter, und eingegebene Daten können je nach Einstellung zum Training genutzt werden.
Wie oft sollte eine KI-Richtlinie aktualisiert werden?
Mindestens einmal im Jahr, außerdem bei neuen Werkzeugen, bei neuen Anwendungsfällen und bei Gesetzesänderungen. Die Liste der freigegebenen Werkzeuge gehört deshalb in eine Anlage, die sich ohne neue Richtlinie ändern lässt.
Was tun, wenn vertrauliche Daten versehentlich in ein KI-Tool eingegeben wurden?
Sofort der benannten Stelle melden. Sie prüft, ob personenbezogene Daten betroffen sind und eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nötig ist (Art. 33 DSGVO), und veranlasst, soweit möglich, die Löschung beim Anbieter.
Keine Rechtsberatung: Dieser Ratgeber gibt einen allgemeinen Überblick zum genannten Stand und ersetzt nicht die Prüfung des Einzelfalls durch eure Datenschutzbeauftragten oder eine Rechtsberatung.
KI einführen, ohne die Daten aus der Hand zu geben
Vryne beantwortet Fragen aus euren eigenen Dokumenten, belegt jede Aussage mit der Fundstelle und läuft mit Anwendung, Daten und Sprachmodellen in Deutschland. Der Einstieg ist kostenlos.
Weitere Ratgeber
DSGVO-konforme KI im Unternehmen einführen: Schritt für Schritt
Zehn Schritte von Zweck und Rechtsgrundlage über Anbieterauswahl, AVV, DSFA und Betriebsrat bis zum Rollout.
Lesen
EU AI Act: Pflicht zur KI-Kompetenz nach Art. 4 — was Unternehmen jetzt tun müssen
Was Art. 4 seit dem 2. Februar 2025 verlangt, wie ihr Schulung und Nachweis organisiert und wie Assistenzsysteme eingestuft werden.
Lesen