KI-Richtlinie für Unternehmen: kostenloses Muster mit Erläuterungen

Eine KI-Richtlinie ist ein internes Regelwerk Ihres Unternehmens. Kein allgemeines Gesetz verlangt ein Dokument mit dem Namen „KI-Richtlinie“. Die Richtlinie legt fest, welche KI-Tools Ihr Team nutzen darf, welche Daten hineindürfen und wer die Ergebnisse prüft. Die KI-Verordnung (AI Act) ist etwas anderes: ein EU-Gesetz für Anbieter und Betreiber von KI-Systemen. Schriftliche Regeln sind aber ein praktischer Weg, Pflichten aus der KI-Verordnung und der DSGVO zu erfüllen und Geschäftsgeheimnisse zu schützen. Unten finden Sie ein Muster zum Übernehmen. Dieser Ratgeber ist keine Rechtsberatung.

Kurz zusammengefasst

• Eine KI-Richtlinie ist eine interne Regel. Die KI-Verordnung (EU) 2024/1689 ist EU-Recht und gilt unmittelbar.
• Keine Pflicht dem Namen nach: Kein allgemeines Gesetz schreibt eine KI-Richtlinie vor (Stand: Oktober 2026).
• Artikel 4 KI-Verordnung verlangt Maßnahmen für die KI-Kompetenz des Personals. Er gilt seit dem 2. Februar 2025, in geänderter Fassung seit dem 27. Juli 2026.
• DSGVO: Unternehmen müssen die Einhaltung des Datenschutzes nachweisen können (Art. 5 Abs. 2, Art. 24). Die Datenschutzkonferenz empfiehlt seit Mai 2024 dokumentierte interne Regeln für KI.
• Geschäftsgeheimnisse schützt das Gesetz nur bei angemessenen Geheimhaltungsmaßnahmen (§ 2 Nr. 1 b GeschGehG).
• Betriebsrat: Seit Juni 2021 nennt das Betriebsverfassungsgesetz KI ausdrücklich. Bei Tools, die objektiv zur Überwachung geeignet sind, hat er ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Auch die Verhaltensregeln einer KI-Richtlinie können mitbestimmungspflichtig sein (§ 87 Abs. 1 Nr. 1 BetrVG).

KI-Richtlinie und KI-Verordnung: der Unterschied

Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer für persönliche, nicht berufliche Zwecke (Art. 3 Nr. 4). Nutzt Ihr Team ChatGPT oder Microsoft Copilot im Beruf, ist Ihr Unternehmen also Betreiber.

Ist eine KI-Richtlinie Pflicht?

Nein, nicht als Dokument mit diesem Namen. Für einzelne Branchen können weitere Vorgaben gelten. Mehrere allgemeine Gesetze verlangen aber Maßnahmen oder setzen sie für einen Schutz voraus. Eine schriftliche Richtlinie deckt diese Maßnahmen gut ab:

Wo es angemessen ist, verlangt Art. 24 Abs. 2 DSGVO „Datenschutzvorkehrungen“. Die englische Fassung sagt „data protection policies“, also Richtlinien.

Was die Datenschutzaufsicht empfiehlt: Die Datenschutzkonferenz (DSK) der Aufsichtsbehörden von Bund und Ländern hat am 6. Mai 2024 eine Orientierungshilfe zu KI veröffentlicht. Sie ist eine Empfehlung, kein Gesetz. Die DSK rät zu klaren, dokumentierten Weisungen: ob, wann und wofür welche KI-Anwendungen erlaubt sind. Beispiele für erlaubte und verbotene Einsätze empfiehlt sie ausdrücklich (Rn. 36). Als Form nennt sie eine Handlungsanweisung oder eine Betriebsvereinbarung (Rn. 37).

Muster-KI-Richtlinie zum Übernehmen

Das Muster passt für ein kleines oder mittleres Unternehmen, das generative KI nutzt, etwa Textassistenten oder Bildgeneratoren. Kopieren Sie den Text in Ihr Dokument. Ersetzen Sie die Angaben in eckigen Klammern. Die Erläuterungen gehören nicht in die Richtlinie.

1. Zweck und Geltungsbereich

Diese Richtlinie regelt, wie wir bei [Firma] KI-Tools nutzen. Sie soll Risiken für Daten, Kunden und das Unternehmen begrenzen. Sie gilt für alle Beschäftigten, Auszubildenden und Personen, die in unserem Auftrag arbeiten, zum Beispiel Freelancer. Sie gilt für jede dienstliche Nutzung.

Erläuterung: Artikel 4 KI-Verordnung nennt neben dem Personal auch andere Personen, die in Ihrem Auftrag KI nutzen.

2. Begriffe

• KI-Tool: Software, die mit KI Texte, Bilder, Audio, Code oder Auswertungen erzeugt, auch als Funktion in vorhandener Software.
• Freigegebenes Tool: ein KI-Tool, das im Tool-Register steht.
• Eingabe: alles, was Sie in ein KI-Tool eingeben oder hochladen.
• Ausgabe: das Ergebnis eines KI-Tools.

3. Erlaubte und verbotene Tools

Wir nutzen dienstlich nur freigegebene Tools, mit Firmenkonto und auf Firmengeräten. Private Konten sind für dienstliche Aufgaben nicht erlaubt. Neue Tools beantragen Sie bei [KI-Ansprechperson]. Vor der Freigabe prüfen wir:

1. Zweck und Nutzen
2. Datenschutz: Verarbeitet der Anbieter personenbezogene Daten in unserem Auftrag, gilt Artikel 28 DSGVO. Grundlage ist in der Regel ein Vertrag nach Artikel 28 DSGVO.
3. Speicherort und Einstellungen: kein Training mit unseren Eingaben
4. Kosten und Lizenz
5. Beteiligung des Betriebsrats, falls vorhanden

Verboten sind:

• KI-Systeme, die Emotionen von Beschäftigten ableiten, außer aus medizinischen Gründen oder Sicherheitsgründen
• Entscheidungen über Einstellung, Beförderung oder Kündigung allein durch ein KI-Tool
• [weitere Verbote Ihres Betriebs]

Das Tool-Register führen wir als Tabelle:

Erläuterung: Firmenkonten, Firmengeräte und abgeschaltetes Training empfiehlt die DSK (Rn. 41 bis 43). Emotionserkennung am Arbeitsplatz ist nach Art. 5 Abs. 1 Buchstabe f KI-Verordnung seit dem 2. Februar 2025 verboten. Für Entscheidungen mit Rechtswirkung fordert die DSK einen Menschen mit echtem Entscheidungsspielraum (Rn. 12).

4. Datenklassen: Was darf in welches Tool?

Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO geben Sie nur nach Prüfung durch [Datenschutz] ein. Im Zweifel gilt die strengere Klasse.

Erläuterung: Namen und Adressen zu löschen reicht oft nicht. Laut DSK kann sich der Personenbezug aus dem Zusammenhang ergeben (Rn. 49). Die Regel zu Geschäftsgeheimnissen kann Teil Ihrer angemessenen Geheimhaltungsmaßnahmen nach § 2 Nr. 1 b GeschGehG sein.

5. Prüfung der Ergebnisse

KI-Tools können falsche Ergebnisse liefern, die überzeugend klingen. Deshalb gilt:

• Prüfen Sie jede Ausgabe vor der Nutzung auf Richtigkeit und Vollständigkeit.
• Prüfen Sie Fakten, Zahlen, Zitate und Quellen an der Originalquelle.
• Sie bleiben für Ihre Arbeitsergebnisse verantwortlich, auch mit KI-Hilfe.
• Prüfen Sie Texte und Bilder vor der Veröffentlichung auf Rechte Dritter, etwa Marken oder erkennbare Personen.

Erläuterung: Laut DSK müssen Ergebnisse mit Personenbezug vor der Weiterverarbeitung geprüft werden (Rn. 64 und 65). Zum Urheberrecht: Das Gesetz schützt nur „persönliche geistige Schöpfungen“ (§ 2 Abs. 2 UrhG). Ob ein KI-Ergebnis Schutz genießt, klärt dieser Ratgeber nicht.

6. Kennzeichnung

Wir kennzeichnen KI-Inhalte nach diesen Regeln:

• Bilder, Videos und Audios, die mit KI erzeugt oder verändert wurden und fälschlich echt wirken können (Deepfakes), kennzeichnen wir immer.
• Veröffentlichte KI-Texte, die über Themen von öffentlichem Interesse informieren, kennzeichnen wir. Ausnahme: Eine fachkundige Person hat den Text inhaltlich geprüft, mit Faktencheck, und [Firma] trägt die redaktionelle Verantwortung. Eine Rechtschreibprüfung genügt nicht.
• Unsere Chatbots, Sprachassistenten und KI-Agenten sagen spätestens beim ersten Kontakt, dass sie eine KI sind, außer das ist offensichtlich.

Erläuterung: Die ersten beiden Regeln beruhen auf den Pflichten für Betreiber in Art. 50 Abs. 4 KI-Verordnung. Die dritte Regel beruht auf Art. 50 Abs. 1. Diese Pflicht trifft den Anbieter. Das ist Ihr Unternehmen, wenn es den Bot entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt. Alle drei Pflichten gelten seit dem 2. August 2026. Details erklärt der Ratgeber KI-Kennzeichnungspflicht.

7. Schulung und KI-Kompetenz

Jede Person erhält vor der ersten Nutzung eine Einweisung in diese Richtlinie und in die freigegebenen Tools. Die Einweisung behandelt mindestens: Funktionsweise und Grenzen der Tools, falsche Ergebnisse, Datenklassen und Datenschutz. Wir halten fest, wer wann welche Maßnahme genutzt hat. Eine Auffrischung gibt es [jährlich] und bei neuen Tools.

Erläuterung: Artikel 4 verlangt Maßnahmen für die KI-Kompetenz, aber kein Zertifikat. Laut FAQ der EU-Kommission sollen auch Teams, die ChatGPT etwa für Werbetexte nutzen, über Risiken wie Halluzinationen informiert werden. Mehr im Ratgeber KI-Schulungspflicht nach dem AI Act.

8. Verantwortlichkeiten

• Geschäftsführung: beschließt die Richtlinie und gibt Tools frei.
• KI-Ansprechperson ([Name]): führt das Tool-Register, prüft Anträge, beantwortet Fragen.
• Datenschutzbeauftragte Person, falls benannt: berät bei Tools mit personenbezogenen Daten.
• Führungskräfte: sorgen dafür, dass ihr Team die Regeln kennt.

Erläuterung: Für Artikel 4 ist laut FAQ der EU-Kommission keine bestimmte Governance-Struktur nötig, also auch kein KI-Beauftragter. Eine feste Ansprechperson hilft trotzdem. Mehr dazu im Ratgeber KI-Beauftragter. Die DSK rät, Datenschutzbeauftragte bei Entscheidungen über KI stets einzubinden (Rn. 31).

9. Verstöße und Meldewege

Melden Sie Fehler, mögliche Datenpannen und Verstöße sofort an [KI-Ansprechperson]. Betrifft der Fall personenbezogene Daten, informieren Sie auch [Datenschutz]. Eine schnelle Meldung begrenzt den Schaden. Verstöße gegen diese Richtlinie können arbeitsrechtliche Folgen haben.

Erläuterung: Eine Datenpanne kann eine Meldepflicht an die Datenschutzaufsicht mit kurzer Frist auslösen (Art. 33 DSGVO).

10. Überprüfung

[KI-Ansprechperson] prüft diese Richtlinie und das Tool-Register mindestens alle [12] Monate. Sie prüft auch bei neuen Tools, neuen Gesetzen oder nach einem Vorfall. Version [1.0], gültig ab [Datum], beschlossen von [Geschäftsführung].

Erläuterung: Nach Art. 24 Abs. 1 DSGVO werden Schutzmaßnahmen bei Bedarf überprüft und aktualisiert. Die DSK empfiehlt dafür eine feste Routine (Rn. 47).

KI-Governance in 7 Schritten

KI-Governance heißt: Ihr Unternehmen steuert mit Regeln, Rollen und Kontrollen, wie es KI einsetzt. Die Richtlinie ist ein Teil davon. Diese Schritte sind ein Vorschlag, keine gesetzliche Liste:

1. Verantwortung festlegen: Benennen Sie eine KI-Ansprechperson. Klären Sie, wer Tools freigibt.
2. Bestand aufnehmen: Erfassen Sie alle KI-Tools, auch KI-Funktionen in vorhandener Software. Daraus entsteht das Tool-Register.
3. Risiko einordnen: Ist die Nutzung verboten (Art. 5 KI-Verordnung)? Ist das System hochriskant, etwa bei Bewerberauswahl oder Leistungsbewertung (Anhang III Nr. 4)? Dann gelten ab dem 2. Dezember 2027 weitere Betreiberpflichten. Braucht es eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO)? Laut DSK ist das bei KI vielfach der Fall (Rn. 39).
4. Regeln beschließen: Passen Sie das Muster an und setzen Sie es in Kraft.
5. Betriebsrat beteiligen: früh, vor der Einführung.
6. Schulen und festhalten: Weisen Sie alle Nutzer ein. Dokumentieren Sie die Maßnahmen.
7. Regelmäßig prüfen: mindestens jährlich und bei jedem neuen Tool.

KI-Richtlinie und Betriebsrat

Betriebsräte werden in Betrieben mit in der Regel mindestens fünf ständigen wahlberechtigten Arbeitnehmern gewählt (§ 1 Abs. 1 BetrVG). Gibt es einen Betriebsrat, hat er beim Thema KI mehrere Rechte. Seit dem Betriebsrätemodernisierungsgesetz vom Juni 2021 nennt das BetrVG KI ausdrücklich.

Zum Wort „bestimmt“ in Nr. 6: Laut Bundesarbeitsgericht reicht es, dass eine Einrichtung objektiv zur Überwachung geeignet ist. Auf die Absicht des Arbeitgebers kommt es nicht an (Beschluss vom 16.07.2024, 1 ABR 16/23, Rn. 25). Einigen sich Arbeitgeber und Betriebsrat in einer Angelegenheit nach § 87 Abs. 1 nicht, entscheidet die Einigungsstelle (§ 87 Abs. 2).

Auch die KI-Verordnung verlangt Information: Vor der Nutzung eines Hochrisiko-KI-Systems am Arbeitsplatz informieren Arbeitgeber die Arbeitnehmervertreter und die betroffenen Beschäftigten (Art. 26 Abs. 7). Für Systeme nach Anhang III gilt das ab dem 2. Dezember 2027.

Hinweis zur Betriebsvereinbarung: Eine Betriebsvereinbarung wird schriftlich niedergelegt und von beiden Seiten unterzeichnet. In elektronischer Form signieren beide Seiten dasselbe Dokument elektronisch (§ 77 Abs. 2 BetrVG). Sie gilt unmittelbar und zwingend (§ 77 Abs. 4). Eine Möglichkeit ist eine Rahmenvereinbarung: Sie regelt Grundsätze und das Verfahren für neue Tools. Das Tool-Register steht in einer Anlage.

Wann externe Hilfe sinnvoll ist

Externe Hilfe lohnt sich etwa, wenn Sie KI in der Personalarbeit einsetzen oder eine Betriebsvereinbarung verhandeln. Beraterinnen und Berater mit diesem Schwerpunkt finden Sie unter KI-Governance und AI Act, nach Bundesland unter KI-Beratung nach Region. Für die Einweisung Ihres Teams gibt es die Übersicht KI-Schulung für Unternehmen. Welche Datenschutzfragen Sie vor dem Einsatz eines KI-Tools klären, zeigt der Ratgeber KI und Datenschutz. Rechtliche Einzelfragen klären Sie mit einer Anwältin oder einem Anwalt.

Häufige Fragen zur KI-Richtlinie

Ist eine KI-Richtlinie Pflicht?

Kein allgemeines Gesetz verlangt ein Dokument mit dem Namen KI-Richtlinie (Stand: Oktober 2026). Artikel 4 KI-Verordnung verlangt aber Maßnahmen für die KI-Kompetenz, und die DSGVO verlangt nachweisbare Schutzmaßnahmen. Eine schriftliche KI-Richtlinie ist ein praktischer Weg, beides abzudecken.

Was gehört in eine KI-Richtlinie für Unternehmen?

Mindestens Geltungsbereich, freigegebene und verbotene Tools, Datenklassen, Prüfung der Ergebnisse, Kennzeichnung, Schulung, Verantwortlichkeiten, Meldewege und ein Termin zur Überprüfung. Die Datenschutzkonferenz empfiehlt zusätzlich Beispiele für erlaubte und verbotene Einsätze. Dazu kommt ein Tool-Register als Anlage.

Wozu brauchen Unternehmen eine KI-Governance?

Mit einer KI-Governance weiß ein Unternehmen, welche KI-Tools es mit welchen Daten nutzt und wer darüber entscheidet. Das hilft, Pflichten aus KI-Verordnung, DSGVO und Betriebsverfassungsgesetz zu erfüllen und das Risiko von Datenabflüssen zu senken. Eine bestimmte Struktur, etwa einen KI-Beauftragten oder ein internes Governance-Gremium, schreibt Artikel 4 laut EU-Kommission nicht vor.

Für wen gilt die KI-Verordnung?

Die KI-Verordnung gilt unter anderem für Anbieter, Betreiber, Einführer und Händler von KI-Systemen (Art. 2 Abs. 1). Betreiber ist auch jedes Unternehmen, das KI-Tools in eigener Verantwortung beruflich nutzt. Für Betreiber ausgenommen ist die rein persönliche, nicht berufliche Nutzung.

Muss der Betriebsrat bei einer KI-Richtlinie mitbestimmen?

Das hängt von der Richtlinie und den Tools ab. Der Arbeitgeber muss den Betriebsrat rechtzeitig über geplanten KI-Einsatz unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG). Verhaltensregeln für Beschäftigte, wie sie eine KI-Richtlinie enthält, können die Ordnung des Betriebs betreffen. Dann hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 1 BetrVG). Mitbestimmung gilt auch bei Tools, die objektiv zur Überwachung von Verhalten oder Leistung geeignet sind (§ 87 Abs. 1 Nr. 6 BetrVG). Lassen Sie den Einzelfall prüfen.

Dürfen Beschäftigte ChatGPT mit einem privaten Konto nutzen?

Das legt der Arbeitgeber fest. Die Datenschutzkonferenz empfiehlt dafür Firmenkonten. Arbeitgeber sollen für die berufliche Nutzung Geräte und Konten bereitstellen. Mit privaten Konten können sonst Profile einzelner Beschäftigter entstehen. Das Muster in diesem Ratgeber erlaubt deshalb nur freigegebene Tools mit Firmenkonto.

Wie oft sollten wir die KI-Richtlinie überprüfen?

Kein Gesetz nennt einen festen Takt. Nach Art. 24 DSGVO werden Schutzmaßnahmen bei Bedarf überprüft und aktualisiert. Das Muster sieht eine Prüfung mindestens alle zwölf Monate vor und zusätzlich bei neuen Tools oder Gesetzen.

Hinweis: Dieser Ratgeber beschreibt den Rechtsstand vom 19.10.2026. Er ersetzt keine Rechtsberatung. Passen Sie das Muster an Ihren Betrieb an. Wir prüfen den Ratgeber spätestens am 19.01.2027 erneut.