KI-Richtlinie für Unternehmen: kostenlose Vorlage
Eine praktische Struktur für eine KI-Nutzungsrichtlinie: freigegebene Tools, Umgang mit Daten und durchsetzbare Regeln statt totem Dokument.
von Elias Mahdavi · Veröffentlicht am · 9 Min.
Eine KI-Richtlinie für Unternehmen legt schriftlich fest, welche KI-Werkzeuge Mitarbeitende nutzen dürfen, welche Daten dabei tabu sind und wer neue Tools freigibt. Gesetzlich vorgeschrieben ist ein solches Dokument nicht im engeren Sinne, doch Artikel 4 des EU AI Act (Verordnung (EU) 2024/1689) zur KI-Kompetenz und die Dokumentationspflichten aus NIS2 machen es faktisch zum Standard für jedes Unternehmen mit nachweisbarer KI-Nutzung.
Das Wichtigste in Kürze
- Eine KI-Richtlinie ist rechtlich nicht zwingend, wird aber durch Artikel 4 EU AI Act und NIS2-Dokumentationspflichten praktisch unumgänglich.
- Die Vorlage in diesem Artikel deckt neun Kernbereiche ab, von freigegebenen Tools bis zum Sanktionsprozess bei Verstößen.
- Am häufigsten fehlen in der Praxis eine klare Positivliste freigegebener Tools und ein definierter Freigabeprozess für neue Werkzeuge.
- Eine Richtlinie ohne technische Durchsetzung bleibt ein totes Dokument – erst governter Zugriff macht sie überprüfbar.
- Deutsche Unternehmen mit Betriebsrat sollten die Richtlinie wegen möglicher Mitbestimmungsrechte frühzeitig abstimmen.
Inhaltsverzeichnis
Warum braucht Ihr Unternehmen eine schriftliche KI-Richtlinie?
Ohne schriftliche Richtlinie entscheidet jede Person im Unternehmen individuell, welche KI-Tools sie nutzt und welche Daten sie eingibt – ein direkter Nährboden für Schatten-KI. Eine dokumentierte Richtlinie macht diese Entscheidung nachvollziehbar und überprüfbar, statt sie dem Zufall zu überlassen.
Der regulatorische Druck dahinter ist real, auch wenn er nicht als direkte „Richtlinienpflicht“ formuliert ist. Artikel 4 des EU AI Act verlangt von Anbietern und Betreibern, ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherzustellen – eine Anforderung, die sich ohne dokumentierte Regeln kaum nachweisen lässt. Wer zusätzlich unter NIS2 fällt, muss laut der NIS2-Richtlinie ohnehin Risikomanagementmaßnahmen und Schulungen dokumentieren; sobald KI-Werkzeuge Teil der Informationssysteme sind, gehört eine KI-Richtlinie faktisch dazu.
Auch die BfDI wies in einer Handreichung vom Dezember 2025 auf „erhebliche Unsicherheiten“ beim Einsatz von Sprachmodellen hin, insbesondere bei personenbezogenen Daten, die in Prompts eingegeben werden. Eine Richtlinie, die genau diese Grauzone – welche Daten dürfen überhaupt in ein Prompt-Fenster – konkret beantwortet, ist der direkteste Weg, dieser Unsicherheit im eigenen Unternehmen zu begegnen.
Die Vorlage: KI-Nutzungsrichtlinie zum Anpassen
Die folgende Struktur deckt die neun Bereiche ab, die eine KI-Nutzungsrichtlinie in der Praxis tragen. Übernehmen Sie die Abschnitte direkt und ersetzen Sie die eckigen Klammern durch unternehmensspezifische Inhalte.
Die folgende Übersicht zeigt vorab, welchen Zweck jeder der neun Abschnitte erfüllt, bevor die einzelnen Textbausteine im Detail folgen:
| Abschnitt | Zweck | Beispiel-Inhalt |
|---|---|---|
| 1. Geltungsbereich und Zweck | Legt fest, für wen die Richtlinie gilt | Mitarbeitende, Auszubildende, externe Mitarbeitende |
| 2. Begriffsbestimmungen | Vermeidet spätere Auslegungsstreitigkeiten | Definition von KI-System, etwa Chatbots, Schreibassistenten, Bildgenerierung |
| 3. Freigegebene Werkzeuge (Positivliste) | Schafft Klarheit statt reiner Verbotskultur | Uneingeschränkt freigegeben / mit Auflagen / nicht freigegeben |
| 4. Umgang mit Daten | Verknüpft Datenklassifizierung mit Souveränitätsstufe | Öffentlich, intern, vertraulich, streng vertraulich |
| 5. Kennzeichnung KI-generierter Inhalte | Schafft Transparenz nach außen | Prüf- und Kennzeichnungspflicht vor Veröffentlichung |
| 6. Freigabeprozess für neue Werkzeuge | Verhindert Schatten-KI durch einen klaren Weg zur Freigabe | Antragsweg, Bearbeitungsfrist, zuständige Rolle |
| 7. Schulung und KI-Kompetenz | Erfüllt Artikel 4 EU AI Act nachweisbar | Einführungsschulung plus mindestens jährliche Auffrischung |
| 8. Kontrolle und Sanktionen | Macht Verstöße erkennbar und Konsequenzen vorhersehbar | Protokollierung, abgestufte arbeitsrechtliche Folgen |
| 9. Geltungsdauer und Aktualisierung | Hält die Richtlinie inhaltlich aktuell | Jährliche Überprüfung, anlassbezogene Anpassung |
1. Geltungsbereich und Zweck
„Diese Richtlinie gilt für alle Mitarbeitenden, Auszubildenden und externen Mitarbeitenden von [Unternehmensname], die im Rahmen ihrer Tätigkeit KI-Systeme nutzen. Sie legt fest, welche Werkzeuge freigegeben sind, wie mit Daten umzugehen ist und wer bei Fragen Ansprechpartner ist.“
2. Begriffsbestimmungen
Definieren Sie knapp, was als „KI-System“ im Sinne der Richtlinie zählt – etwa Chatbots, Schreibassistenten, Bild- und Codegenerierung – damit später keine Auslegungsstreitigkeiten entstehen.
3. Freigegebene Werkzeuge (Positivliste)
Führen Sie drei Kategorien: „uneingeschränkt freigegeben“ (z. B. interne, governte Werkzeuge), „freigegeben mit Auflagen“ (z. B. nur ohne personenbezogene Daten) und „nicht freigegeben“. Eine reine Verbotsliste funktioniert in der Praxis selten, weil sie neue Tools nicht erfasst.
4. Umgang mit Daten
Legen Sie eine einfache Klassifizierung fest: öffentlich, intern, vertraulich, streng vertraulich. Definieren Sie für jede Stufe, ob und unter welchen Bedingungen (z. B. nur EU-souveränes oder On-Premise-Modell) eine Eingabe in ein KI-System zulässig ist. Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO – etwa Gesundheits- oder Gewerkschaftsdaten – gehören grundsätzlich in die höchste Vertraulichkeitsstufe.
5. Kennzeichnung KI-generierter Inhalte
„Inhalte, die wesentlich mit KI-Unterstützung erstellt wurden und extern kommuniziert werden, sind vor Veröffentlichung durch [Rolle/Abteilung] zu prüfen und bei Bedarf entsprechend zu kennzeichnen.“
6. Freigabeprozess für neue Werkzeuge
„Mitarbeitende, die ein neues KI-Werkzeug nutzen möchten, stellen einen begründeten Antrag bei [Rolle, z. B. IT-Sicherheit oder Compliance-Beauftragte/r]. Über die Freigabe wird innerhalb von [X Werktagen] entschieden.“
7. Schulung und KI-Kompetenz
„Alle Mitarbeitenden mit Zugriff auf freigegebene KI-Systeme durchlaufen eine Einführungsschulung sowie mindestens einmal jährlich eine Auffrischung, entsprechend den Anforderungen aus Artikel 4 EU AI Act.“
8. Kontrolle und Sanktionen
„Die Nutzung freigegebener KI-Systeme wird im Rahmen der gesetzlichen Vorgaben protokolliert. Verstöße gegen diese Richtlinie können arbeitsrechtliche Konsequenzen nach sich ziehen, abgestuft nach Schwere des Verstoßes.“
9. Geltungsdauer und Aktualisierung
„Diese Richtlinie wird mindestens einmal jährlich sowie anlassbezogen bei wesentlichen technischen oder regulatorischen Änderungen überprüft und bei Bedarf angepasst. Verantwortlich für die Aktualisierung ist [Rolle].“
Was in der Praxis am häufigsten fehlt
Selbst gut gemeinte KI-Richtlinien scheitern regelmäßig an denselben Lücken.
1. Eine echte Positivliste statt vager Formulierungen
„Nutzen Sie KI verantwortungsvoll“ ist keine Regel, sondern eine Absichtserklärung. Ohne konkrete Toolliste bleibt jede Entscheidung Auslegungssache der einzelnen Person.
2. Ein definierter Freigabeprozess
Viele Richtlinien beschreiben, was bereits freigegeben ist, aber nicht, wie ein neues Tool freigegeben wird – mit der Folge, dass Mitarbeitende neue Werkzeuge einfach ungefragt nutzen.
3. Eine Datenklassifizierung, die tatsächlich angewendet wird
Eine Klassifizierung, die nur im Dokument steht, aber nicht in den genutzten Tools technisch nachvollzogen wird, bleibt wirkungslos.
4. Zuständigkeit für Aktualisierung
Ohne benannte verantwortliche Person veraltet jede Richtlinie, sobald sich Tools oder Regulierung ändern – was angesichts der aktuellen Entwicklungsgeschwindigkeit bei KI-Regulierung schnell geschieht.
5. Verbindung zur Schulungspflicht
Eine Richtlinie, die Schulung nur erwähnt, statt sie mit konkreten Terminen und Verantwortlichkeiten zu verknüpfen, erfüllt die Anforderungen aus Artikel 4 EU AI Act in der Praxis kaum belastbar.
6. Einbindung des Betriebsrats
Wird die Mitbestimmung übergangen, drohen nicht nur rechtliche Risiken, sondern auch geringere Akzeptanz der Richtlinie bei den Mitarbeitenden selbst.
7. Technische Durchsetzung statt reinem Papier
Die häufigste Lücke: Eine Richtlinie beschreibt Regeln, ohne dass eine Plattform diese Regeln tatsächlich technisch abbildet – dazu mehr im nächsten Abschnitt.
Wie setzen Sie die Richtlinie im Alltag durch?
Eine Richtlinie, die nur im Intranet liegt, verändert kaum jemandes tägliches Verhalten. Wirksam wird sie erst, wenn die Regeln aus dem Dokument sich in der tatsächlich genutzten Arbeitsumgebung wiederfinden.
Die DevKira-Plattform bildet genau diese Übersetzung ab: Die Positivliste aus Abschnitt 3 der Vorlage entspricht technisch den freigegebenen Modellen und Souveränitätsstufen im LLM-Gateway; der Freigabeprozess aus Abschnitt 6 entspricht den Egress Requests, über die neue Ziele beantragt und bei geringem Risiko automatisch freigegeben werden; die Protokollierung aus Abschnitt 8 läuft automatisch mit, statt manuell nachgehalten werden zu müssen. Damit wird aus einer Richtlinie, die Vertrauen voraussetzt, eine Umgebung, die Einhaltung technisch unterstützt.
Diese Richtlinie ist zudem kein Ersatz für eine umfassendere KI-Governance im Unternehmen – sie ist deren sichtbarster, am direktesten spürbarer Baustein. Governance-Prozesse wie Risikoklassifizierung und Freigabeworkflows brauchen die Richtlinie als Referenzdokument, auf das sie sich stützen können.
Der nächste Schritt
Beginnen Sie mit den drei Abschnitten, die in der Praxis am meisten bewirken: der Positivliste, dem Freigabeprozess und der Datenklassifizierung. Die übrigen Abschnitte lassen sich ergänzen, sobald diese drei stehen. In einem Gespräch mit DevKira zeigen wir, wie sich die Regeln aus dieser Vorlage direkt in einer governten Arbeitsumgebung abbilden lassen, statt als separates Dokument zu verstauben.
Häufige Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie gesetzlich vorgeschrieben?
Nicht als eigenständiges Dokument. Artikel 4 EU AI Act verlangt aber nachweisbare KI-Kompetenz der Mitarbeitenden, und NIS2-pflichtige Unternehmen müssen Risikomanagement und Schulungen dokumentieren. Eine schriftliche Richtlinie ist der praktikabelste Weg, beide Anforderungen konkret und nachweisbar umzusetzen, statt sich im Ernstfall auf mündliche Absprachen berufen zu müssen.
Wie lang sollte eine KI-Richtlinie sein?
Kürzer als die meisten Unternehmen erwarten: zwei bis vier Seiten reichen für die neun Kernbereiche aus dieser Vorlage. Eine Richtlinie, die niemand liest, weil sie zu lang und juristisch überladen formuliert ist, schützt das Unternehmen in der Praxis nicht besser als gar keine schriftliche Regelung.
Wer sollte eine KI-Richtlinie im Unternehmen freigeben?
Typischerweise zeichnen IT-Leitung und Geschäftsführung gemeinsam verantwortlich, mit Beteiligung von Datenschutz- und Compliance-Funktion sowie, wo vorhanden, dem Betriebsrat. Bei NIS2-pflichtigen Unternehmen sollte die Geschäftsleitung die Richtlinie zudem aktiv billigen und regelmäßig überprüfen, da Artikel 20 NIS2 sie ausdrücklich persönlich in die Aufsichtspflicht nimmt.
Muss die KI-Richtlinie mit dem Betriebsrat abgestimmt werden?
In Unternehmen mit Betriebsrat oft ja: Sobald KI-Systeme geeignet sind, Verhalten oder Leistung von Mitarbeitenden zu überwachen, greift regelmäßig das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz. Eine frühzeitige Einbindung vermeidet spätere Verzögerungen und schafft zugleich höhere Akzeptanz im Team.
Wie oft sollte die Richtlinie aktualisiert werden?
Mindestens einmal jährlich sowie zusätzlich, sobald sich Tools, Regulierung oder Risikolage wesentlich ändern. Angesichts der aktuellen Geschwindigkeit der KI-Regulierung – von neuen EU-AI-Act-Fristen bis zu neuen Modellen – ist eine Richtlinie, die seit über einem Jahr unverändert ist, meist bereits ein Warnsignal.
Was passiert, wenn Mitarbeitende gegen die Richtlinie verstoßen?
Das hängt von Schwere und Vorsatz ab und sollte in der Richtlinie selbst abgestuft geregelt sein – von einem klärenden Gespräch bis zu arbeitsrechtlichen Konsequenzen. Entscheidend ist in der Praxis vor allem, dass Verstöße überhaupt erkennbar sind, was ohne technische Protokollierung der tatsächlichen KI-Nutzung kaum zuverlässig gelingt.
