KI-Richtlinie für Mitarbeitende – Muster zum Kopieren

Kurz gesagt

Eine KI-Richtlinie legt schriftlich fest, welche KI-Werkzeuge dein Team wofür nutzen darf, welche Daten hineindürfen und wer Ergebnisse prüft, bevor sie das Unternehmen verlassen. DSGVO und KI-Verordnung schreiben sie nicht ausdrücklich vor, die Datenschutzaufsichtsbehörden empfehlen aber klare, dokumentierte Regeln, und die KI-Verordnung verlangt Maßnahmen zur KI-Kompetenz deines Teams. Das Muster auf dieser Seite ersetzt du an den Platzhaltern in eckigen Klammern, passt es an deinen Betrieb an und besprichst es mit dem Team. Gibt es einen Betriebsrat, beziehst du ihn früh ein.

Veröffentlicht am · Aktualisiert am · Quellen geprüft am

Überblick, keine Rechtsberatung. Stand der Rechtslage: November 2026.

Herausgegeben von GRETUS®, Anbieter eines KI-Assistenten für Unternehmen. Wo wir GRETUS nennen, steht es so da.

Warum dein Team eine KI-Richtlinie braucht

Eine KI-Richtlinie beantwortet für alle im Team dieselben Fragen: Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein, wer prüft Ergebnisse, und an wen wende ich mich bei Zweifeln? Ohne solche Regeln nutzen Beschäftigte KI nach Einschätzung der Datenschutzkonferenz (DSK), dem Gremium der deutschen Datenschutzaufsichtsbehörden, vielerorts eigenmächtig und unkontrolliert. Die DSK empfiehlt deshalb, klar und dokumentiert festzulegen, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen, am besten mit Beispielen für erlaubte und untersagte Einsätze (Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Mai 2024, Abschnitt 2.2).

Dazu kommt die KI-Verordnung der EU: Unternehmen, die KI-Systeme beruflich nutzen, ergreifen nach Art. 4 Maßnahmen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Kompetenzniveau schreibt das Gesetz seit dem KI-Omnibus nicht mehr vor. Eine kurze Richtlinie mit Einweisung erfüllt diese Pflicht nicht automatisch, ist aber ein naheliegender erster Schritt. Was die KI-Verordnung sonst verlangt, steht im Ratgeber EU AI Act für Unternehmen.

Was Schatten-KI ist und was private Konten damit zu tun haben

Schatten-KI heißt, dass Beschäftigte KI-Werkzeuge ohne Wissen oder Erlaubnis des Unternehmens nutzen, meist im Browser und mit einem privaten Konto. Das passiert selten aus böser Absicht, sondern weil die Werkzeuge helfen und niemand gesagt hat, was gilt. Die Folgen sind trotzdem real:

  • Kein Vertrag: Mit dem Anbieter eines privaten Kontos hat dein Unternehmen keinen Auftragsverarbeitungsvertrag. Gelangen personenbezogene Daten von Kunden hinein, fehlt die Grundlage nach der DSGVO.
  • Training: In privaten Tarifen verwenden manche Anbieter Eingaben standardmäßig zum Training ihrer Modelle, siehe ChatGPT im Unternehmen.
  • Kein Überblick: Du weißt nicht, welche Daten wo liegen, und kannst bei einer Anfrage nach Auskunft oder Löschung nicht vollständig antworten.

Die DSK empfiehlt, dass Arbeitgeber für die berufliche Nutzung Geräte und Konten bereitstellen und Beschäftigte nicht mit privaten Konten arbeiten müssen, weil sonst Profile der einzelnen Beschäftigten entstehen können. Als datenschutzfreundliche Voreinstellung nennt sie, Training und Eingabe-Historie bei betrieblichen Konten von Anfang an so einzustellen, dass keine Eingaben zum Training verarbeitet werden und keine Historie über die Sitzung hinaus gespeichert wird (Orientierungshilfe, Abschnitte 2.4 und 2.5). Ein Verbot allein hilft wenig: Wer ein gutes erlaubtes Werkzeug hat, braucht kein privates.

So nutzt du das Muster

Das Muster unten ist eine Vorlage, kein fertiger Rechtstext. Es geht an einigen Stellen über gesetzliche Pflichten hinaus, damit dein Team klare Antworten hat. Streich, was bei dir nicht passt. Die Beispiele zu Gesetzen beziehen sich auf Deutschland, andere Länder in Europa haben eigene Regeln, etwa zur Mitbestimmung.

  1. Platzhalter ersetzen: Alles in eckigen Klammern, etwa [Firma] oder [Ansprechperson], durch eure Angaben ersetzen.
  2. Werkzeuge eintragen: Nur Werkzeuge nennen, für die ein Vertrag besteht und bei denen das Training mit euren Eingaben abgeschaltet ist.
  3. Ampel anpassen: Die Beispiele für Grün, Gelb und Rot an eure Daten anpassen, etwa an Patientendaten in einer Praxis oder an Mandantendaten in einer Kanzlei.
  4. Betriebsrat einbeziehen: Gibt es einen, sprich vor der Einführung mit ihm, siehe den Abschnitt zum Betriebsrat weiter unten.
  5. Bekannt machen: Die Richtlinie im Team besprechen, für alle ablegen und Fragen sammeln. Eine kurze Einweisung mit Beispielen wirkt mehr als ein Dokument im Ordner.

Wie du die Einführung insgesamt planst, mit Pilotbereich und Freigaben, beschreibt der Ratgeber KI im Team einführen.

Muster-Richtlinie, Teil 1: Werkzeuge und Daten

Richtlinie zur Nutzung von KI bei [Firma]

Muster, Stand: [Datum]. Gültig ab: [Datum]. Verantwortlich: [Name, Funktion].

1. Zweck und Geltungsbereich

KI-Werkzeuge helfen uns, schneller zu schreiben, zu recherchieren und zu planen. Diese Richtlinie legt fest, wie wir sie sicher nutzen. Sie gilt für alle Beschäftigten, Auszubildenden und freien Mitarbeitenden von [Firma], die im Auftrag von [Firma] mit KI-Werkzeugen arbeiten, auf Firmengeräten und auf eigenen Geräten.

2. Erlaubte KI-Werkzeuge

Für die Arbeit nutzen wir nur diese Werkzeuge, jeweils mit dem Konto, das [Firma] bereitstellt:

  • [Werkzeug 1], wofür: [zum Beispiel E-Mails und Angebote entwerfen]
  • [Werkzeug 2], wofür: [zum Beispiel Texte übersetzen]

Private Konten bei KI-Anbietern nutzen wir nicht für Firmendaten, auch nicht kostenpflichtige. Ein neues Werkzeug nutzen wir erst, wenn [Ansprechperson] es geprüft und in diese Liste aufgenommen hat. Erweiterungen für Browser oder Programme, die Inhalte an einen KI-Dienst schicken, zählen ebenfalls als Werkzeug.

3. Welche Daten in die KI dürfen

Auch in erlaubte Werkzeuge geben wir nur so viele Daten ein, wie für die Aufgabe nötig sind. Es gilt diese Ampel:

Stufe Beispiele Regel
Grün Öffentliche Informationen, eigene Texte ohne Personenbezug, allgemeine Fragen, Texte unserer Website in allen erlaubten Werkzeugen
Gelb Namen, E-Mail-Adressen und Anfragen von Kunden, Angebote, Preise, interne Unterlagen nur in [Werkzeuge mit Auftragsverarbeitungsvertrag], nur so viel wie nötig
Rot Passwörter und Zugangsdaten, Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO, Personalakten und Bewerbungen, Daten unter Berufsgeheimnis, vertrauliche Unterlagen von Kunden nicht eingeben; Ausnahmen nur schriftlich durch [Ansprechperson]

Namen zu entfernen reicht oft nicht, weil sich Personen aus dem Zusammenhang erkennen lassen. Im Zweifel gilt die strengere Stufe, und wir fragen [Ansprechperson].

Muster-Richtlinie, Teil 2: Prüfen, Schulung, Zuständigkeit

4. Prüfen und Freigabe vor dem Versand

KI kann sich irren, Fakten erfinden oder eine Anfrage falsch verstehen. Deshalb gilt:

  • Was an Kunden, Lieferanten, Behörden oder die Öffentlichkeit geht, prüft ein Mensch vor dem Versand: Inhalt, Zahlen, Namen, Termine und Ton.
  • Wer einen KI-Entwurf verschickt, verantwortet ihn wie einen selbst geschriebenen Text.
  • KI-Werkzeuge, die selbst E-Mails senden, Termine anlegen oder Daten ändern können, stellen wir so ein, dass sie diese Aktionen zur Freigabe vorlegen. Ausnahmen legt [Ansprechperson] fest.

5. Kennzeichnung

  • Texte, die wir veröffentlichen, etwa auf der Website, im Newsletter oder in sozialen Netzwerken, prüft vor der Veröffentlichung eine verantwortliche Person.
  • Bilder, Ton oder Videos, die mit KI erzeugt oder verändert wurden und echte Personen, Orte oder Ereignisse täuschend echt zeigen, kennzeichnen wir als KI-erzeugt.
  • Ein Chatbot, mit dem Kunden direkt schreiben, gibt sich als KI zu erkennen.
  • [Optional: Weitere Kennzeichnung, etwa ein Hinweis unter Texten, die überwiegend mit KI erstellt wurden.]

6. Was die KI bei uns nicht entscheidet

KI-Werkzeuge treffen bei uns keine Entscheidungen über Menschen. Wir nutzen sie insbesondere nicht, um Bewerbungen zu sichten oder zu bewerten, die Leistung oder das Verhalten von Beschäftigten zu bewerten oder Gefühle von Menschen aus Stimme, Text oder Bild abzuleiten.

7. Schulung

Alle, die mit KI-Werkzeugen arbeiten, erhalten vor dem Start eine Einweisung in diese Richtlinie und in Möglichkeiten und Grenzen der Werkzeuge. Wir wiederholen sie, wenn sich Werkzeuge oder Regeln ändern. [Ansprechperson] hält fest, wer wann eingewiesen wurde.

8. Ansprechperson und Vorfälle

Fragen zu dieser Richtlinie beantwortet [Name, Kontakt]. Wer Daten der Stufe Rot versehentlich in ein KI-Werkzeug eingegeben hat oder einen Fehler in einem verschickten KI-Text bemerkt, meldet das sofort an [Ansprechperson]. Meldungen haben keine Nachteile, sie helfen uns, die Regeln zu verbessern.

9. Überprüfung

[Ansprechperson] überprüft diese Richtlinie mindestens einmal im Jahr und immer dann, wenn ein Werkzeug dazukommt, ein Anbieter seine Bedingungen ändert oder sich die Rechtslage ändert. Nächste Überprüfung: [Datum].

[Ort, Datum, Unterschrift der Geschäftsführung]

Betriebsrat und Weisungsrecht: wer die Regeln festlegt

Ohne Betriebsrat legst du die Richtlinie als Arbeitgeber fest: Nach § 106 GewO kannst du Inhalt, Ort und Zeit der Arbeit nach billigem Ermessen näher bestimmen, auch die Ordnung und das Verhalten im Betrieb, soweit Arbeitsvertrag, Betriebsvereinbarung, Tarifvertrag oder Gesetz nichts anderes regeln.

Gibt es einen Betriebsrat, hat er beim Thema KI mehrere Rechte:

  • Unterrichtung und Beratung: Über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz musst du ihn rechtzeitig unterrichten und die Auswirkungen auf die Beschäftigten so früh mit ihm beraten, dass seine Vorschläge noch in die Planung einfließen können (§ 90 BetrVG).
  • Mitbestimmung bei Überwachung: Mitbestimmen kann er bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Stellt das Unternehmen ein KI-Werkzeug mit eigenen Konten bereit, in dem sich nachvollziehen lässt, wer was wann gemacht hat, liegt das nahe.

Ob im Einzelfall ein Mitbestimmungsrecht besteht, ist umstritten und hängt vom Werkzeug ab. Sprich deshalb früh mit dem Betriebsrat. Die DSK nennt neben einer Weisung ausdrücklich auch eine Betriebsvereinbarung als Weg, einen klaren Rahmen für KI zu schaffen. Den Inhalt kann das Muster oben liefern.

So hilft GRETUS dabei

GRETUS ist ein KI-Assistent für kleine und mittlere Unternehmen in Europa. Drei Punkte des Musters lassen sich damit direkt umsetzen:

  • Richtlinie im Team griffbereit: Leg die Richtlinie als Notiz oder Datei in die Wissensdatenbank und gib sie fürs Team frei. Dann findet GRETUS sie auch in den Gesprächen deiner Kollegen und beantwortet Fragen wie „Darf ich Bewerbungen in die KI geben?“ mit Angabe der Quelle.
  • Freigabe vor dem Versand: GRETUS legt Senden, Anlegen und Ändern standardmäßig zur Freigabe vor. Im Protokoll siehst du, was GRETUS und deine KI-Mitarbeiter wann getan haben und ob zugestimmt oder abgelehnt wurde.
  • Betriebliche Konten statt privater: Jede Person arbeitet mit einem eigenen Zugang im Konto der Firma. GRETUS selbst trainiert keine KI mit deinen Inhalten, Betrieb und Speicher liegen in einem Rechenzentrum in der EU. Mehr dazu unter Sicherheit.

Ausprobieren kannst du das in der Testphase.

Quellen

Stand: November 2026, alle Seiten abgerufen am 9. November 2026:

Häufige Fragen

Ist eine KI-Richtlinie für Unternehmen Pflicht?

Nein, ausdrücklich vorgeschrieben ist sie weder in der DSGVO noch in der KI-Verordnung. Die Datenschutzkonferenz empfiehlt aber, klar und dokumentiert zu regeln, ob und wofür Beschäftigte welche KI-Anwendungen nutzen dürfen. Außerdem verlangt Art. 4 der KI-Verordnung Maßnahmen zur KI-Kompetenz, und eine Richtlinie mit Einweisung ist dafür ein naheliegender Baustein.

Muss der Betriebsrat bei einer KI-Richtlinie mitbestimmen?

Das hängt vom Einzelfall ab. Ein Mitbestimmungsrecht kann sich vor allem aus § 87 Abs. 1 Nr. 6 BetrVG ergeben, wenn ein KI-Werkzeug Verhalten oder Leistung der Beschäftigten überwachen kann, und über den geplanten Einsatz von KI muss der Arbeitgeber den Betriebsrat rechtzeitig unterrichten (§ 90 BetrVG). Bezieh ihn deshalb früh ein, oft ist eine Betriebsvereinbarung der klarere Weg.

Was ist Schatten-KI?

Schatten-KI sind KI-Werkzeuge, die Beschäftigte ohne Wissen oder Erlaubnis des Unternehmens nutzen, oft mit privaten Konten. Dann landen Kunden- und Firmendaten bei Anbietern ohne Vertrag und unter Umständen im Training ihrer Modelle. Dagegen helfen erlaubte Werkzeuge mit betrieblichen Konten und klare Regeln, was hinein darf.

Müssen KI-Texte an Kunden gekennzeichnet werden?

Meist nicht. Eine E-Mail oder ein Angebot, das ein Mensch prüft und selbst verschickt, musst du nach dem Wortlaut von Art. 50 der KI-Verordnung nicht als KI-Text kennzeichnen. Offenlegen müssen Betreiber etwa Deepfakes und KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, wenn sie kein Mensch geprüft hat und niemand die redaktionelle Verantwortung trägt; deine Richtlinie darf strenger sein.

Wie oft sollte eine KI-Richtlinie überprüft werden?

Mindestens einmal im Jahr und zusätzlich immer dann, wenn ein neues Werkzeug dazukommt, ein Anbieter seine Bedingungen ändert oder sich die Rechtslage ändert. Trag das Datum der nächsten Überprüfung direkt in die Richtlinie ein.

Vom Lesen zum Ausprobieren.

Lass GRETUS mit deinem eigenen Postfach, Kalender und Firmenwissen für dich arbeiten.

7 Tage kostenlos testen · Demo anfragen