KI-Richtlinie für Unternehmen: kostenlose Vorlage und die 10 Bausteine, die nicht fehlen dürfen
Eine KI-Richtlinie legt fest, wie Ihre Beschäftigten ChatGPT, Microsoft Copilot und andere KI-Werkzeuge bei der Arbeit nutzen dürfen. Das klingt nach Bürokratie. In der Praxis ist es eher das Gegenteil: Wer klare Regeln hat, muss nicht bei jeder Frage die Geschäftsführung, den Datenschutz oder die IT anrufen.
Hier finden Sie eine kostenlose Vorlage zum Herunterladen, die zehn Bausteine einer guten KI-Richtlinie mit Formulierungsbeispielen, eine Datenampel für den Alltag und Antworten auf die Fragen, die Betriebsrat und Geschäftsführung ganz sicher stellen werden.
Das Wichtigste in Kürze
- Ein Gesetz, das ausdrücklich eine KI-Richtlinie verlangt, gibt es nicht. Sie ist aber der einfachste Weg, Pflichten aus KI-Verordnung, DSGVO und Geschäftsgeheimnisgesetz zu erfüllen und nachzuweisen.
- Im Kern beantwortet sie drei Fragen: Welche Tools sind erlaubt? Welche Daten dürfen hinein? Wer prüft die Ergebnisse?
- Zwei bis vier Seiten reichen. Lange juristische Texte liest niemand.
- Ein Totalverbot treibt die Leute zu privaten Konten. Besser ist eine klare Positivliste.
- Gibt es einen Betriebsrat, binden Sie ihn früh ein. Bei vielen KI-Tools hat er ein Mitbestimmungsrecht.
Stand: Oktober 2026. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Lassen Sie Ihre fertige Richtlinie im Zweifel rechtlich prüfen.
Was ist eine KI-Richtlinie?
Eine KI-Richtlinie, auch KI-Nutzungsrichtlinie oder KI-Policy genannt, ist eine interne Anweisung des Arbeitgebers. Sie legt fest, welche KI-Anwendungen im Unternehmen genutzt werden dürfen, welche Daten dabei tabu sind und wer für die Ergebnisse geradesteht. Sie richtet sich an alle Beschäftigten und wird meist durch eine kurze Schulung und eine unterschriebene Kenntnisnahme ergänzt.
Oft wird sie mit anderen Dokumenten verwechselt. Die Unterschiede auf einen Blick:
| Dokument | Wer legt es fest? | Wofür? |
|---|---|---|
| KI-Richtlinie | Arbeitgeber, kraft Weisungsrecht | Alltagsregeln für alle: Tools, Daten, Prüfung, Zuständigkeiten |
| Betriebsvereinbarung KI | Arbeitgeber und Betriebsrat gemeinsam | Mitbestimmungspflichtige Punkte, etwa die Auswertung von Nutzungsdaten |
| KI-Leitlinien oder Ethik-Grundsätze | Geschäftsführung | Haltung und Werte, meist ohne konkrete Regeln für den Alltag |
| Datenschutzrichtlinie | Arbeitgeber mit dem Datenschutzbeauftragten | Umgang mit personenbezogenen Daten ganz allgemein |
In kleineren Unternehmen genügt oft eine einzige KI-Richtlinie. Größere Unternehmen mit Betriebsrat kombinieren meist eine Richtlinie für den Alltag mit einer Betriebsvereinbarung.
Ist eine KI-Richtlinie Pflicht?
Ein Gesetz, das wörtlich eine KI-Richtlinie verlangt, gibt es nicht. Trotzdem kommen die meisten Unternehmen kaum an einer vorbei, weil gleich mehrere Pflichten auf sie zulaufen:
| Rechtsgrundlage | Was sie verlangt | Was die KI-Richtlinie dazu beiträgt |
|---|---|---|
| KI-Verordnung, Artikel 4 | Unternehmen, die KI einsetzen, müssen Maßnahmen zur Förderung der KI-Kompetenz ergreifen | Klare Regeln sind eine solche Maßnahme und lassen sich gut dokumentieren |
| KI-Verordnung, Artikel 50 | Chatbots müssen als KI erkennbar sein, Deepfakes gekennzeichnet werden | Die Richtlinie legt fest, wer darauf achtet |
| DSGVO, Artikel 32 Abs. 4 | Beschäftigte dürfen personenbezogene Daten nur auf Anweisung verarbeiten | Die Datenampel ist genau diese Anweisung |
| Geschäftsgeheimnisgesetz, § 2 | Geheimnisse sind nur geschützt, wenn angemessene Schutzmaßnahmen bestehen | Das Verbot, Geheimnisse in offene KI-Tools zu kopieren, gehört heute dazu |
Hinzu kommt die Haftung. Kopiert jemand vertrauliche Kundendaten in einen frei verfügbaren Chatbot und es entsteht ein Schaden, wird als Erstes gefragt, ob das Unternehmen klare Regeln hatte. Wie der Nachweis zur KI-Kompetenz insgesamt aussieht, lesen Sie in unserem Beitrag zur KI-Schulungspflicht.
Schatten-KI: Das Problem ist längst da
Wie groß der Bedarf ist, zeigt eine Bitkom-Befragung von 604 Unternehmen aus dem Sommer 2025. Gut vier von zehn Unternehmen gehen davon aus, dass ihre Beschäftigten KI über private Konten nutzen. Regeln für den KI-Einsatz hatten zu diesem Zeitpunkt erst 23 Prozent. Die Lücke dazwischen nennt man Schatten-KI. Eine KI-Richtlinie schließt sie, ohne den Leuten die nützlichen Werkzeuge wegzunehmen.
Die 10 Bausteine einer guten KI-Richtlinie
Jede KI-Richtlinie sieht ein bisschen anders aus. Diese zehn Bausteine sollten aber in keiner fehlen. Zu jedem finden Sie eine Formulierung, die Sie übernehmen und anpassen können. Alle zehn stehen vollständig in unserer Vorlage.
1. Ziel und Geltungsbereich
Legen Sie fest, für wen die Richtlinie gilt und welche Tools gemeint sind. Denken Sie an Auszubildende, Praktikanten und freie Mitarbeitende, die mit Ihren Daten arbeiten. Und an die KI, die sich in bereits genutzter Software versteckt, etwa in Office, im CRM oder im Grafikprogramm.
Diese Richtlinie gilt für alle Beschäftigten der [Firma] sowie für externe Personen, die in unserem Auftrag mit Unternehmensdaten arbeiten. Sie umfasst alle Anwendungen künstlicher Intelligenz, auch KI-Funktionen in bereits genutzter Software.
2. Freigegebene Tools als Positivliste
Nennen Sie die erlaubten Tools beim Namen, mit Kontoart und Zweck. Neue KI-Werkzeuge erscheinen fast wöchentlich, eine Verbotsliste wäre ständig veraltet. Eine Positivliste plus ein einfacher Weg zur Freigabe neuer Tools funktioniert deutlich besser.
Dienstlich genutzt werden dürfen nur die in Anlage 1 aufgeführten KI-Anwendungen, und zwar nur über die vom Unternehmen bereitgestellten Konten. Private Konten sind für dienstliche Zwecke nicht erlaubt. Neue Anwendungen können bei [Ansprechperson] zur Prüfung vorgeschlagen werden.
3. Die Datenampel
Das Herzstück jeder KI-Richtlinie. Sie ordnet Daten in Stufen ein und legt fest, welche Stufe in welches Tool darf. Wie das konkret aussieht, zeigt der Abschnitt Datenampel weiter unten.
Vor jeder Eingabe ordnen die Beschäftigten die Daten einer Stufe der Datenampel zu (Anlage 2). Daten der Stufe Rot dürfen nur in Anwendungen eingegeben werden, die in Anlage 1 ausdrücklich dafür freigegeben sind. Im Zweifel gilt die strengere Stufe.
4. Datenschutz
Personenbezogene Daten gehören nur in Tools, für die ein Vertrag zur Auftragsverarbeitung besteht und bei denen Ihre Eingaben nicht zum Training der KI verwendet werden. Beteiligen Sie Ihren Datenschutzbeauftragten an jeder Freigabe. Eine gute Grundlage für die Prüfung ist die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz.
Personenbezogene Daten dürfen nur in Anwendungen verarbeitet werden, die dafür freigegeben sind, für die ein Vertrag zur Auftragsverarbeitung besteht und bei denen Eingaben nicht zum Training verwendet werden. Pseudonymisierte Daten wie „Kunde A“ gelten weiter als personenbezogen, solange sich die Person ermitteln lässt.
5. Urheberrecht und Geschäftsgeheimnisse
Zwei Richtungen sind wichtig. Hinein: Fremde Texte, Bilder oder Studien dürfen nur hochgeladen werden, wenn Sie die Rechte dazu haben. Heraus: KI-Ergebnisse können geschützten Werken oder Marken ähneln, und rein KI-erzeugte Inhalte sind in Deutschland in der Regel nicht urheberrechtlich geschützt. Für Logos, Slogans und Kampagnen ist das wichtig.
Geschäftsgeheimnisse wie Kalkulationen, Angebote, Strategiepapiere, Vertragsentwürfe und Quellcode dürfen nur in Anwendungen eingegeben werden, die für die Stufe Rot freigegeben sind. Bilder, Logos und Slogans aus KI-Anwendungen werden vor der Veröffentlichung auf Ähnlichkeit mit fremden Werken und Marken geprüft.
6. Menschliche Prüfung und Verantwortung
Der wichtigste Satz der ganzen Richtlinie: KI liefert Entwürfe. Bevor etwas das Haus verlässt, prüft und gibt ein Mensch frei. Die Verantwortung trägt, wer das Ergebnis verwendet, ganz gleich, ob eine KI beteiligt war.
Ergebnisse von KI-Anwendungen sind vor ihrer Verwendung inhaltlich zu prüfen, vor allem Zahlen, Namen, Daten, Zitate, Quellen und rechtliche Aussagen. Die Verantwortung für ein Arbeitsergebnis trägt die Person, die es verwendet.
7. Kennzeichnung und Transparenz
Seit August 2026 gelten die Transparenzpflichten der KI-Verordnung. Chatbots, die mit Kunden sprechen, müssen als KI erkennbar sein. Täuschend echte KI-Bilder, Videos oder Tonaufnahmen von realen Personen, Orten oder Ereignissen (Deepfakes) müssen gekennzeichnet werden. Das gilt auch für KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, es sei denn, ein Mensch hat sie redaktionell geprüft und verantwortet.
KI-Systeme, die direkt mit Kunden kommunizieren, sind als KI erkennbar zu machen. Mit KI erzeugte oder veränderte Bilder, Videos und Tonaufnahmen, die echte Personen, Orte oder Ereignisse täuschend echt darstellen, kennzeichnen wir als KI-erzeugt.
8. Tabus und zustimmungspflichtige Einsätze
Manche KI-Anwendungen sind seit Februar 2025 verboten, zum Beispiel die Erkennung von Emotionen bei Beschäftigten am Arbeitsplatz. Andere gelten als Hochrisiko-KI, darunter KI für die Auswahl von Bewerbungen, für Beförderungen oder für die Bewertung von Leistung. Für sie gelten ab Dezember 2027 strenge Pflichten. Solche Einsätze gehören nur mit ausdrücklicher Freigabe in Ihr Unternehmen.
Ohne vorherige schriftliche Zustimmung von [Geschäftsführung] dürfen KI-Anwendungen nicht eingesetzt werden, um Bewerbungen zu bewerten, Entscheidungen über Beförderung, Versetzung oder Kündigung vorzubereiten oder die Leistung und das Verhalten von Beschäftigten zu überwachen.
9. Schulung und KI-Kompetenz
Regeln wirken nur, wenn die Leute sie kennen und verstehen. Legen Sie fest, wer welche Schulung bekommt und wie oft aufgefrischt wird. Die Dokumentation ist gleichzeitig Ihr Nachweis nach Artikel 4 der KI-Verordnung.
Alle Beschäftigten, die KI-Anwendungen nutzen, nehmen vor der ersten Nutzung an einer Grundlagenschulung teil. Schulungen werden mit Datum, Inhalten und Teilnehmenden dokumentiert und mindestens jährlich aufgefrischt.
10. Zuständigkeit, Meldewege und Überprüfung
Benennen Sie eine Ansprechperson für alle KI-Fragen. Regeln Sie, was passiert, wenn doch einmal Kundendaten im falschen Tool landen: sofort melden, gemeinsam Schaden begrenzen. Wer Fehler offen meldet, sollte das ohne Angst tun können. Und legen Sie fest, wann die Richtlinie überprüft wird.
Ansprechperson für alle Fragen zu KI ist [Name, Funktion]. Fehler und Vorfälle, etwa die versehentliche Eingabe vertraulicher Daten, sind unverzüglich dort zu melden. Die Richtlinie wird mindestens jährlich und bei neuen Anwendungen oder gesetzlichen Änderungen überprüft.
Die Datenampel: Was darf in welches KI-Tool?
Die Datenampel übersetzt Datenschutz und Geheimhaltung in eine Regel, die jeder in zwei Sekunden anwenden kann. Vor jeder Eingabe fragen sich Ihre Beschäftigten: Ist das grün, gelb oder rot?
Zwei Ergänzungen machen die Ampel alltagstauglich. Erstens: Im Zweifel gilt immer die strengere Farbe. Zweitens: Platzhalter helfen. Wer „Kunde A“ statt des echten Namens schreibt, senkt das Risiko deutlich. Anonym sind die Daten dadurch aber noch nicht, solange sich aus dem Rest des Textes erkennen lässt, um wen es geht.
Aus der Praxis: Schreiben Sie in Anlage 1 zu jedem freigegebenen Tool, bis zu welcher Farbe es genutzt werden darf. Dann ist die Frage „Darf ich das in Copilot eingeben?“ mit einem Blick beantwortet.
Mitbestimmung: Was der Betriebsrat mitreden darf
Gibt es in Ihrem Unternehmen einen Betriebsrat, sollten Sie ihn früh an den Tisch holen. Mehrere Vorschriften des Betriebsverfassungsgesetzes betreffen KI direkt:
- Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit, wenn technische Einrichtungen eingeführt werden, die dazu geeignet sind, Verhalten oder Leistung zu überwachen. Viele Business-Versionen von KI-Tools protokollieren die Nutzung, damit ist diese Schwelle meist erreicht.
- Nach § 90 Abs. 1 Nr. 3 BetrVG müssen Sie den Betriebsrat rechtzeitig unterrichten, wenn Sie Arbeitsabläufe mit KI planen.
- Nach § 80 Abs. 3 BetrVG darf der Betriebsrat bei KI-Themen einen Sachverständigen hinzuziehen. Die Kosten trägt der Arbeitgeber.
Eine viel zitierte Entscheidung stammt vom Arbeitsgericht Hamburg (Beschluss vom 16. Januar 2024, Az. 24 BVGa 1/24). Dort hatte der Arbeitgeber erlaubt, ChatGPT über private Konten im Browser zu nutzen, und dazu Regeln aufgestellt. Ein Mitbestimmungsrecht sah das Gericht nicht, weil der Arbeitgeber keine Nutzungsdaten erhielt und die Regeln das Arbeitsverhalten betrafen. Verallgemeinern sollten Sie das nicht. Es war ein Eilverfahren, und sobald Sie selbst Lizenzen mit Protokollierung bereitstellen, sieht die Lage anders aus.
Viele Unternehmen schließen deshalb eine Rahmen-Betriebsvereinbarung KI ab und regeln einzelne Tools in Anlagen. So muss nicht für jedes neue Werkzeug neu verhandelt werden.
In 6 Schritten zur eigenen KI-Richtlinie
Mit einer Vorlage ist eine erste Fassung schnell geschrieben. Wirklich gelebt wird eine Richtlinie aber nur, wenn sie zu Ihrem Alltag passt. Diese sechs Schritte haben sich bewährt:
- Bestandsaufnahme. Fragen Sie anonym, welche KI-Tools schon genutzt werden und wofür. Ehrliche Antworten bekommen Sie nur ohne Angst vor Konsequenzen.
- Beteiligte an einen Tisch. Geschäftsführung, IT, Datenschutz, gegebenenfalls Betriebsrat und eine Fachabteilung, die KI viel nutzt.
- Tools prüfen und freigeben. Vertrag zur Auftragsverarbeitung, Speicherort, Training mit Eingaben, Kosten. Das Ergebnis ist Ihre Positivliste.
- Richtlinie schreiben. Passen Sie die Vorlage an und ergänzen Sie Beispiele aus Ihrem Alltag. „Keine Angebote mit Kundennamen“ versteht jeder, „keine vertraulichen Daten“ jeder anders.
- Bekannt machen und schulen. Eine kurze Schulung, die unterschriebene Kenntnisnahme, die Ablage im Intranet.
- Regelmäßig überprüfen. Alle sechs bis zwölf Monate und bei jedem neuen Tool. Schreiben Sie das Datum der letzten Prüfung auf die erste Seite.
Fünf typische Fehler
- Die Richtlinie ist zu lang und zu juristisch. Wer zwölf Seiten bekommt, liest keine.
- Sie verbietet alles. Dann wird KI trotzdem genutzt, nur heimlich und mit privaten Konten.
- Es fehlen Beispiele. Abstrakte Regeln legt jeder anders aus.
- Niemand ist zuständig. Fragen bleiben liegen, neue Tools werden ungeprüft genutzt.
- Sie wird nie aktualisiert. KI-Tools ändern sich schneller als jedes andere Werkzeug im Büro.
Muster-KI-Richtlinie: Was die Vorlage enthält
Unsere Vorlage ist für kleine und mittlere Unternehmen gedacht. Sie umfasst elf Paragrafen und drei Anlagen und lässt sich in etwa einer Stunde an Ihr Unternehmen anpassen. Alle Stellen, die Sie ergänzen müssen, sind gelb markiert.
| Teil | Inhalt |
|---|---|
| §§ 1 bis 10 | Die zehn Bausteine aus diesem Ratgeber als fertige Formulierungen |
| § 11 | Inkrafttreten mit Unterschriftsfeld |
| Anlage 1 | Tabelle der freigegebenen KI-Anwendungen mit erlaubter Datenstufe |
| Anlage 2 | Die Datenampel mit Beispielen |
| Anlage 3 | Kenntnisnahme zum Unterschreiben für Ihre Beschäftigten |
Die Vorlage ist kostenlos und ohne Anmeldung. Sie dürfen sie für Ihr Unternehmen frei verwenden und verändern.
Häufige Fragen zur KI-Richtlinie
Muss jedes Unternehmen eine KI-Richtlinie haben?
Gesetzlich vorgeschrieben ist sie nicht ausdrücklich. Sobald Beschäftigte KI-Tools nutzen, ist sie aber dringend zu empfehlen. Sie hilft dabei, die Pflichten aus KI-Verordnung, DSGVO und Geschäftsgeheimnisgesetz zu erfüllen, und ist zugleich Ihr Nachweis.
Wie lang sollte eine KI-Richtlinie sein?
Zwei bis vier Seiten plus Anlagen. Wichtiger als die Länge sind konkrete Beispiele und eine klare Liste der erlaubten Tools.
Muss der Betriebsrat einer KI-Richtlinie zustimmen?
Das hängt vom Inhalt ab. Reine Verhaltensregeln für die Arbeit sind nach Ansicht des Arbeitsgerichts Hamburg nicht mitbestimmungspflichtig. Stellt das Unternehmen aber KI-Tools bereit, die Nutzung oder Leistung auswerten können, hat der Betriebsrat ein Mitbestimmungsrecht. Binden Sie ihn deshalb früh ein.
Reicht eine KI-Richtlinie, um den AI Act zu erfüllen?
Nicht allein. Artikel 4 der KI-Verordnung verlangt Maßnahmen zur Förderung der KI-Kompetenz. Neben der Richtlinie gehören dazu Schulungen und deren Dokumentation. Mehr dazu im Beitrag zur KI-Schulungspflicht.
Darf ich ChatGPT im Unternehmen verbieten?
Ja, das Weisungsrecht erlaubt das. Sinnvoll ist es selten. Ein Verbot hält erfahrungsgemäß kaum jemanden ab, es verlagert die Nutzung nur auf private Konten, über die Sie keinerlei Kontrolle haben.
Wer sollte die KI-Richtlinie erstellen?
Verantwortlich ist die Geschäftsführung. Erarbeitet wird die Richtlinie am besten gemeinsam mit IT, Datenschutz, einer Fachabteilung und, falls vorhanden, dem Betriebsrat. Bei Unsicherheit lassen Sie die fertige Fassung anwaltlich prüfen.
Darf ich die Vorlage verwenden und anpassen?
Ja. Die Vorlage ist kostenlos und darf für Ihr Unternehmen frei verwendet und verändert werden. Eine Rechtsberatung ersetzt sie nicht.
Ihre KI-Richtlinie mit Profis erarbeiten
Im KI Recht und Compliance Kurs ordnen Sie an einem Tag EU AI Act, DSGVO, Urheberrecht und Haftung ein. Im Praxisteil entwickeln Sie Leitlinien für Ihr eigenes Unternehmen. Live online oder als Firmenschulung, in kleinen Gruppen.
Weiterlesen im SEMINARON Ratgeber