KI-Strategie & Einführung
Eine gute KI-Richtlinie passt auf wenige Seiten und beantwortet trotzdem die wichtigsten Fragen. Diese fünf Bausteine gehören hinein – und so oft sollten Sie sie prüfen.
Eine KI-Richtlinie legt schriftlich fest, wie, wann und wofür Mitarbeitende KI in Ihrem Unternehmen einsetzen dürfen – und wo die Grenze verläuft. Sie ist der erste und wichtigste Schritt gegen Schatten-KI im Unternehmen und sollte keinesfalls übersprungen werden. Fünf Bausteine gehören in jede Richtlinie: Ziele, erlaubte Anwendungsfelder, klare Grenzen, freigegebene Tools und ein Freigabeprozess für neue Anwendungsfälle. Dieser Beitrag zeigt, was konkret hineingehört, wie oft Sie die Richtlinie überarbeiten sollten und wo die Grenze zur Betriebsvereinbarung verläuft.
In vielen Unternehmen gibt es keine schriftliche Regelung, nur eine vage Erwartungshaltung: „Bitte vorsichtig sein." Genau diese Unklarheit ist einer der Haupttreiber von Schatten-KI. Wo Vorgaben fehlen, suchen sich Mitarbeitende eigene Wege – nicht aus böser Absicht, sondern weil niemand ihnen gesagt hat, was erlaubt ist. Eine Richtlinie schafft Transparenz und Sicherheit, für die Organisation genauso wie für die Beschäftigten. Sie reduziert Unsicherheit im Umgang mit einer Technologie, die sich schneller entwickelt als jede andere zuvor.
Ziele. Warum setzen Sie KI überhaupt ein? Ohne eine klare Antwort bleibt jede Regelung beliebig – und verliert bei der ersten kritischen Nachfrage an Rückhalt.
Anwendungsfelder. Für welche Aufgaben ist KI ausdrücklich erlaubt: Textentwürfe, Recherche, Code, Übersetzungen? Konkrete Beispiele helfen mehr als abstrakte Formulierungen.
Grenzen. Welche Daten sind tabu – Personendaten, Geschäftsgeheimnisse, Kundendaten? Welche Entscheidungen darf KI vorbereiten, aber niemals allein treffen? Hier liegt der Kern jeder Richtlinie, und hier passieren die teuersten Fehler, wenn er fehlt.
Erlaubte Tools. Eine Liste freigegebener Tools, idealerweise mit zentraler Anmeldung (SSO) statt privatem Login. Ohne diese Liste bleibt jede Nutzung Auslegungssache.
Freigabeprozess. Wie kommt ein neues Tool oder ein neuer Anwendungsfall in die Richtlinie? Wer entscheidet, und in welchem Zeitrahmen? Ohne diesen Prozess veraltet die Richtlinie in dem Moment, in dem Sie sie unterschreiben.
Mindestens jährlich. Der KI-Markt entwickelt sich schnell – neue Tools, neue Modelle, neue Rechtsprechung. Eine Richtlinie, die zwei Jahre unangetastet in der Schublade liegt, ist keine Leitplanke mehr, sondern ein Alibi. Legen Sie einen festen Prüftermin fest, etwa im Rahmen der Jahresplanung, und dokumentieren Sie jede Änderung mit Datum.
Die beiden Dokumente werden häufig verwechselt, erfüllen aber unterschiedliche Funktionen. Die KI-Richtlinie ist ein inhaltliches Rahmendokument der Geschäftsführung: Sie beschreibt Ziele, Anwendungsfelder und Grenzen. Die Betriebsvereinbarung ist ein rechtlich bindendes, mitbestimmungspflichtiges Dokument zwischen Arbeitgeber und Betriebsrat oder Personalrat: Sie regelt konkret, welche Tools eingesetzt werden dürfen und welche Konsequenzen Verstöße haben. Beide gehören zusammen, ersetzen sich aber nicht gegenseitig. Die genaue Abgrenzung und was in die Vereinbarung gehört, lesen Sie im Beitrag Betriebsvereinbarung KI.
Nicht die IT-Abteilung allein, und auch nicht ausschließlich das Management. Die Erarbeitung sollte vorrangig durch Personen mit fachlicher und disziplinarischer Verantwortung erfolgen – Menschen, die die Arbeitsprozesse kennen und gleichzeitig Entscheidungen tragen können. Eine entsprechende Zielvereinbarung für diese Personen ist zu empfehlen und in vielen Organisationen bereits gängige Praxis. Sinnvoll ist außerdem, Betriebsrat oder Personalrat von Anfang an einzubinden, statt die Richtlinie fertig vorzulegen.
Wenn Sie eine Vorlage als Startpunkt für Ihre eigene Richtlinie möchten, statt bei null zu beginnen: Sprechen Sie uns über www.stefanai.de an.
Eine Richtlinie, die niemand kennt, wirkt nicht. Kommunizieren Sie sie aktiv, machen Sie sie leicht auffindbar, und erklären Sie sie in der nächsten Schulung – nicht nur per Rundmail, die im Postfach verschwindet.
Drei Muster sehe ich in Workshops immer wieder. Erstens: Die Richtlinie wird zu abstrakt formuliert – „KI ist verantwortungsvoll einzusetzen" hilft niemandem, der um 16 Uhr eine Kundenmail formulieren will und nicht weiß, ob der Kundenname in den Prompt darf. Konkrete Beispiele schlagen jede Grundsatzformulierung.
Zweitens: Die Richtlinie entsteht ohne Beteiligung der Menschen, die sie später befolgen sollen. Was am grünen Tisch der Geschäftsführung entsteht, passt selten zum Alltag im Vertrieb oder in der Buchhaltung. Ein kurzer Praxis-Check mit zwei, drei Teams vor der finalen Fassung spart später viel Ärger.
Drittens: Die Richtlinie wird einmal verabschiedet und dann nie wieder angefasst. Genau das führt zurück zu Schatten-KI – sobald ein neues Tool auf dem Markt ist, das die Richtlinie nicht kennt, entscheidet jeder für sich.
Ist eine KI-Richtlinie gesetzlich vorgeschrieben? Nicht als eigenständiges Dokument. Der EU AI Act verlangt in Art. 4 aber ausreichende KI-Kompetenz bei allen, die KI beruflich nutzen – eine Richtlinie ist der praktikabelste Weg, diese Pflicht organisatorisch zu erfüllen und nachzuweisen.
Muss der Betriebsrat der KI-Richtlinie zustimmen? Der Richtlinie selbst nicht zwingend, da sie ein Dokument der Geschäftsführung ist. Sobald KI-Tools aber geeignet sind, Verhalten oder Leistung von Mitarbeitenden zu überwachen, greift die Mitbestimmung – dann brauchen Sie zusätzlich eine Betriebsvereinbarung.
Reicht eine KI-Richtlinie ohne Betriebsvereinbarung? In der Praxis selten. Die Richtlinie setzt den inhaltlichen Rahmen, die Betriebsvereinbarung macht ihn verbindlich und regelt Konsequenzen bei Verstößen. Ohne sie fehlt der zweite, rechtlich tragfähige Baustein.
Wie lang sollte eine KI-Richtlinie sein? Kürzer, als die meisten erwarten. Zwei bis vier Seiten reichen für die fünf Bausteine meist aus. Eine Richtlinie, die niemand liest, weil sie zu lang ist, schützt niemanden.
Was passiert, wenn Mitarbeitende gegen die Richtlinie verstoßen? Das regelt nicht die Richtlinie selbst, sondern die Betriebsvereinbarung. Sie definiert die Eskalationsstufen, von Hinweis bis zu arbeitsrechtlichen Konsequenzen.
"Ich schicke regelmäßig kostenlose Updates zum Thema KI, Sicherheit und Anwendungen."
Wählen Sie direkt einen freien Slot in meinem Kalender.
Schreiben Sie mir Ihr Anliegen — ich melde mich zeitnah.
