Die interne KI-Richtlinie: neun Bestandteile, die hineingehören

Die meisten KI-Richtlinien scheitern nicht daran, dass sie juristisch unsauber wären. Sie scheitern daran, dass niemand sie liest. Hier steht, was hineingehört — und wie Sie sie so schreiben, dass sie im Betrieb tatsächlich wirkt.

Was eine Richtlinie leisten muss

Drei Dinge gleichzeitig: Sie muss Mitarbeitende handlungsfähig machen, das Unternehmen rechtlich absichern und für Außenstehende nachvollziehbar sein. Die meisten Entwürfe erfüllen Punkt zwei und drei und scheitern an Punkt eins.

Faustregel: Wenn eine neue Kollegin die Richtlinie in zehn Minuten liest und danach weiß, was sie darf, ist sie gut. Wenn sie fünfzehn Seiten Juristendeutsch vorfindet, wird sie sie nicht lesen — und dann haben Sie ein Dokument, aber keine gelebte Regel.

Die neun Bestandteile

1. Geltungsbereich — für wen und für welche Werkzeuge
2. Freigegebene Werkzeuge — abschließende Liste oder Verweis auf das KI-Inventar
3. Verbotene Dateneingaben — personenbezogene Daten, Geschäftsgeheimnisse, Daten Dritter unter Vertraulichkeit
4. Prüfpflicht — menschliche Kontrolle vor jeder Außenwirkung
5. Kennzeichnungsregel — wann und wie KI-Inhalte gekennzeichnet werden (Art. 50)
6. Freigabeprozess — wie ein neues Werkzeug beantragt und genehmigt wird, mit zugesagter Frist
7. Verantwortlichkeiten — wer entscheidet, wer ist Ansprechperson
8. Vorgehen bei Vorfällen — was tun, wenn doch etwas Sensibles eingegeben wurde
9. Folgen bei Verstößen — arbeitsrechtlicher Rahmen, verhältnismäßig formuliert

Drei Techniken, die den Unterschied machen

• Konkret statt abstrakt. Nicht „sensible Daten vermeiden“, sondern „keine Kundennamen, keine Preiskalkulationen, keine Bewerbungsunterlagen“. Nennen Sie drei Beispiele aus Ihrem eigenen Betrieb — das ist der Unterschied zwischen gelesen und abgeheftet.
• Positiv formulieren, wo es geht. „Für Textentwürfe nutzen Sie ChatGPT Team“ wirkt besser als eine reine Verbotsliste.
• Beispiele statt Definitionen. Ein falsches und ein richtiges Beispiel nebeneinander erklären mehr als ein Absatz Theorie.

Mitbestimmung: der Betriebsrat

Existiert ein Betriebsrat, ist er in aller Regel zu beteiligen — insbesondere bei Regelungen zum Ordnungsverhalten (§ 87 Abs. 1 Nr. 1 BetrVG) und bei Systemen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind (Nr. 6). Letzteres ist bei KI-Werkzeugen schneller erfüllt, als man denkt: Es genügt die objektive Eignung, eine Absicht ist nicht erforderlich.

Praktischer Rat: Beteiligen Sie den Betriebsrat früh und freiwillig, auch wo Sie nicht müssten. Eine gemeinsam entwickelte Richtlinie wird getragen; eine übergestülpte wird umgangen. Bei größeren Einführungen ist eine Betriebsvereinbarung der sauberere Weg.

Die ersten dreißig Tage

Eine Richtlinie, die per Mail verteilt wird, ist tot. Was funktioniert:

• Tag 1: kurze Ankündigung durch die Geschäftsführung — Rückendeckung von oben ist entscheidend
• Woche 1: zwanzigminütige Vorstellung im Team, anhand der Beispiele aus der Richtlinie
• Woche 2: Kenntnisnahme einholen und protokollieren
• Woche 3 bis 4: offener Kanal für Fragen — die ersten echten Fälle klären das Verständnis mehr als jedes Dokument

Versionierung: die eigentliche Prüferfrage

Jede Änderung bekommt eine Versionsnummer und ein Datum, jede Fassung wird archiviert statt überschrieben, und jede relevante Änderung wird mitgeteilt — mit protokollierter Kenntnisnahme.

Denn ein Prüfer fragt nicht: „Haben Sie eine Richtlinie?“ Er fragt: „Woher weiß ich, dass Ihre Leute die aktuelle Fassung kennen?“ Das ist die Frage, an der die meisten scheitern.

Wann Sie die Richtlinie anfassen müssen

• Neues Werkzeug freigegeben oder gesperrt
• Rechtsänderung mit Auswirkung auf Ihre Pflichten
• Nach einem Vorfall — die Regel, die gefehlt hat, wird ergänzt
• Mindestens einmal jährlich zur Durchsicht, auch wenn sich nichts geändert hat

Häufige Fragen