Braucht mein Unternehmen eine KI-Richtlinie – und was muss darin stehen?

Quellenart: Allgemeine Methodik für inhabergeführte KMU, gestützt auf die öffentlich dokumentierte KI-Verordnung der EU (AI Act, insbesondere Artikel 4). Dies ist ein Praxisleitfaden, keine Rechtsberatung.

Direkte Antwort

Sobald in Ihrem Betrieb Werkzeuge wie ChatGPT, Microsoft Copilot oder ein KI-gestütztes Analyseprogramm im Arbeitsalltag genutzt werden, brauchen Sie klare Regeln dafür – und die halten Sie am besten schriftlich fest. Seit dem 2. Februar 2025 verlangt der EU AI Act (Artikel 4), dass Unternehmen dafür sorgen, dass ihre Mitarbeitenden KI kompetent einsetzen können. Eine schriftliche KI-Richtlinie ist der einfachste Weg, das nachvollziehbar zu belegen. Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten tabu bleiben, wer die Ergebnisse prüft und wie Ihr Team eingewiesen wird. Für einen kleinen, inhabergeführten Betrieb reichen dafür ein bis zwei Seiten – es ist ein Organisationsdokument, kein juristisches Gutachten.

Für wen gilt das – und für wen nicht?

Dieser Leitfaden richtet sich an inhabergeführte kleine und mittlere Unternehmen in der Region Starnberg, München und Fürstenfeldbruck, die KI-Werkzeuge bereits nutzen oder das in den nächsten Monaten vorhaben: Handwerksbetriebe, Kanzleien, Agenturen, Praxen, Händler, Dienstleister.

Nicht gemeint ist dieser Beitrag als Rechtsberatung. Er ersetzt weder eine anwaltliche Prüfung noch die Einschätzung Ihres Datenschutzbeauftragten, wenn es um heikle Fälle geht. Wer KI in besonders sensiblen Bereichen einsetzt – etwa bei der Bewerberauswahl, der Bonitätsbewertung oder medizinischen Entscheidungen – fällt unter deutlich strengere Anforderungen und sollte fachlichen Rat einholen. Und wenn in Ihrem Betrieb bislang niemand KI nutzt, ist eine Richtlinie kein Muss, aber eine sinnvolle Vorbereitung.

Warum reicht der gesunde Menschenverstand nicht mehr?

Bis vor Kurzem war der Umgang mit KI reine Vertrauenssache. Das hat sich verschoben. Seit Februar 2025 gilt die sogenannte KI-Kompetenzpflicht: Wer KI-Systeme im Unternehmen einsetzt, muss sicherstellen, dass die damit befassten Mitarbeitenden über ausreichendes Grundwissen verfügen. Der AI Act schreibt dafür keinen festen Lehrplan, kein Zertifikat und keine eigene KI-Beauftragte vor – verlangt aber, dass Sie sich aktiv darum kümmern und das dokumentieren. Seit dem 2. August 2026 greifen weitere Teile der Verordnung, und die zuständigen Marktüberwachungsbehörden nehmen ihre Arbeit auf. Im Streit- oder Prüfungsfall zählt, was Sie schwarz auf weiß vorweisen können. Eine kurze Richtlinie plus ein dokumentierter Einweisungstermin sind genau dieser Nachweis.

Wie der AI Act insgesamt für kleine Betriebe einzuordnen ist, haben wir in einem eigenen Beitrag ausführlicher beschrieben: Was bedeutet der EU AI Act für mein kleines Unternehmen?

Was gehört in eine KI-Richtlinie?

Eine brauchbare Richtlinie beantwortet sechs Fragen – nicht mehr. Bearbeiten Sie sie der Reihe nach:

1. Wofür gilt die Richtlinie?

Ein Satz zum Zweck und zur Reichweite: Für wen gilt sie (alle Beschäftigten, die KI dienstlich nutzen) und wofür (der verantwortungsvolle Einsatz von KI-Werkzeugen im Arbeitsalltag).

2. Welche Werkzeuge sind freigegeben?

Benennen Sie konkret, welche Tools erlaubt sind – am besten mit der jeweiligen Version oder dem Konto, das Sie geschäftlich nutzen. Alles, was nicht auf der Liste steht, ist erst nach Rücksprache erlaubt. Das verhindert, dass jeder still für sich ein anderes Programm ausprobiert.

3. Welche Daten sind tabu?

Personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten und alles, was unter Schweigepflicht fällt, gehören nicht in ein nicht freigegebenes KI-Werkzeug. Welche Angaben im Einzelnen kritisch sind, haben wir hier aufgeschlüsselt: Welche Daten darf ich in ChatGPT eingeben – und welche besser nicht?

4. Wer prüft das Ergebnis?

KI liefert Entwürfe, keine Endergebnisse. Legen Sie fest, dass ein Mensch jedes Resultat vor der Weitergabe gegenliest – und wer das im Zweifel ist.

5. Wann kennzeichnen Sie KI-Inhalte?

Klären Sie, in welchen Fällen KI-erzeugte Texte oder Bilder gekennzeichnet werden – intern nach Bedarf, bei extern veröffentlichten Inhalten großzügiger.

6. Wie bauen Sie Kompetenz auf?

Halten Sie fest, wer welche Einweisung erhält und wann. Das kann eine kurze interne Schulung sein, eine feste Ansprechperson oder eine wiederkehrende Fragerunde. Genau das erfüllt die Kompetenzpflicht aus Artikel 4.

Eine KI-Richtlinie ist kein Rechtsdokument, sondern die schriftliche Antwort auf drei Fragen: Welche Werkzeuge sind erlaubt, welche Daten sind tabu, und wer prüft das Ergebnis?

Prüfen Sie sich selbst: Steht Ihr Betrieb schon?

Beantworten Sie diese Fragen ehrlich mit Ja oder Nein:

• Könnten Sie in einem Satz sagen, welche KI-Werkzeuge in Ihrem Betrieb erlaubt sind?
• Weiß jede Mitarbeiterin und jeder Mitarbeiter, welche Daten auf keinen Fall eingegeben werden dürfen?
• Gibt es eine Person, die im Zweifel entscheidet?
• Haben Sie einen einzigen dokumentierten Termin, an dem die KI-Nutzung erklärt wurde?
• Wüssten Sie im Prüfungsfall, wo Ihre Regeln stehen?

Jedes „Nein“ ist eine Lücke, die eine halbe Seite Text schließt.

Ein Beispiel, wie die Richtlinie im Alltag greift

Angenommen, eine Mitarbeiterin im Büro möchte ein Angebot schneller formulieren und kopiert dafür die komplette Kundenkorrespondenz samt Namen und Adressen in ein frei zugängliches KI-Werkzeug. Ohne Regel passiert das beiläufig – und niemand merkt es. Mit einer Richtlinie weiß sie: personenbezogene Daten bleiben draußen, das freigegebene Werkzeug ist ein anderes, und im Zweifel fragt sie kurz nach. Das Angebot entsteht trotzdem schneller, nur eben ohne dass sensible Daten das Haus verlassen. (Dies ist ein bewusst allgemein gehaltenes Beispiel zur Veranschaulichung, kein realer Einzelfall.)

Dass Regeln allein aber niemanden zur Nutzung bewegen, ist eine eigene Baustelle. Woran KI-Einführung im Team wirklich scheitert, lesen Sie hier: Warum nutzt mein Team die KI nicht – und was wirklich hilft.

Grenzen und typische Fehler

• Vorlage ungeprüft übernehmen. Eine Muster-Richtlinie aus dem Netz passt selten auf Ihren Betrieb. Regeln, die niemand versteht, befolgt niemand.
• Zu lang und zu juristisch. Ab der dritten Seite liest niemand mehr mit. Kurz und konkret schlägt vollständig und unverständlich.
• Keine verantwortliche Person. Ohne benannten Ansprechpartner setzt niemand die Regeln durch.
• Richtlinie mit Schulung verwechseln. Ein PDF im Ordner baut keine Kompetenz auf. Der AI Act meint das Können, nicht das Dokument.
• Werkzeuge nicht konkret benennen. „Nutzen Sie geeignete Tools“ ist keine Regel. Ohne Namen entsteht Wildwuchs.
• Kein Überprüfungsdatum. Der KI-Markt dreht sich schnell; eine Richtlinie ohne festen Wiedervorlagetermin ist in Monaten veraltet.
• Alles verbieten. Ein Totalverbot führt nur dazu, dass KI heimlich genutzt wird – das Gegenteil von Kontrolle.
• Sich in falscher Sicherheit wiegen. Eine Richtlinie ist ein Baustein, kein Freibrief. Bei sensiblen Anwendungen bleibt fachlicher Rat nötig.

Checkliste

• ☐ Zweck und Geltungsbereich in ein bis zwei Sätzen festgehalten
• ☐ Liste der freigegebenen KI-Werkzeuge erstellt
• ☐ Tabu-Daten klar benannt (personenbezogen, vertraulich, Zugangsdaten)
• ☐ Prüfregel festgelegt: Ein Mensch liest jedes Ergebnis gegen
• ☐ Kennzeichnung von KI-Inhalten geregelt (intern und extern)
• ☐ Verantwortliche Ansprechperson benannt
• ☐ Einen dokumentierten Einweisungs- oder Schulungstermin angesetzt
• ☐ Wiedervorlagedatum für die Überprüfung eingetragen
• ☐ Richtlinie allen Beschäftigten zugänglich gemacht
• ☐ Auf maximal zwei Seiten gehalten

Nächster Schritt

Wenn Sie unsicher sind, welche Werkzeuge für Ihren Betrieb überhaupt sinnvoll sind, welche Daten dabei kritisch werden und in welcher Reihenfolge Sie vorgehen, ist die KI-Potenzialanalyse der richtige Einstieg: 90 Minuten, 250 € inkl. 19 % MwSt. zum Festpreis. Sie erhalten drei konkrete Anwendungsfälle für Ihr Unternehmen, eine Tool-Empfehlung, eine DSGVO-bewusste Einordnung und einen schriftlichen 30-Tage-Fahrplan – die Grundlage, aus der sich Ihre eigene KI-Richtlinie fast von selbst ergibt. LIBUCO® begleitet inhabergeführte KMU in Starnberg, München und Fürstenfeldbruck dabei Schritt für Schritt.