Deine Mitarbeiter nutzen längst ChatGPT – brauchst du eine KI-Richtlinie?

Kurze Antwort vorweg: Ja, sehr wahrscheinlich brauchst du eine – aber nicht so, wie du vielleicht befürchtest. Eine KI-Richtlinie ist kein dickes Regelwerk und kein Misstrauensvotum gegen dein Team. Sie ist eine Handvoll klarer Sätze, die allen im Betrieb Orientierung geben: Womit dürfen wir arbeiten, welche Daten haben in einem KI-Tool nichts verloren, und wen frage ich, wenn ich unsicher bin. Der eigentliche Grund, warum das Thema drängt, sitzt schon in deinem Büro – denn deine Leute nutzen KI längst. Die einzige offene Frage ist, ob mit oder ohne Absprache.

Schatten-KI: Dein Team ist längst dabei

Fachleute nennen es „Schatten-KI“: Beschäftigte tippen ihre Aufgaben in ChatGPT, Gemini oder Copilot – über den privaten Zugang, am Firmenrechner, ohne dass die Geschäftsführung davon weiß. Laut einer Bitkom-Befragung aus dem Herbst 2025 rechnen rund vier von zehn Unternehmen damit, dass ihre Beschäftigten generative KI über private Accounts im Job einsetzen. Andere Erhebungen kommen für Deutschland sogar auf eine deutliche Mehrheit. Gleichzeitig hat nur eine kleine Minderheit der Betriebe überhaupt Regeln dafür aufgestellt.

Das ist erst einmal keine böse Absicht, im Gegenteil. Deine Mitarbeiterin lässt sich das Angebot vorformulieren, weil sie damit zwanzig Minuten spart. Dein Monteur lässt sich einen Kundenbrief in verständliches Deutsch bringen. Das sind gute Instinkte, und sie zeigen dir, dass in deinem Betrieb echter Bedarf steckt. Das Problem ist nicht, dass deine Leute KI nutzen – sondern dass niemand gesagt hat, was dabei erlaubt ist und was nicht.

Warum ein Verbot der falsche Reflex ist

Die erste Idee vieler Chefs ist ein Machtwort: „KI ist bei uns verboten.“ Das ist nachvollziehbar – aber es funktioniert nicht. Ein Verbot macht die Nutzung nicht rückgängig, es schiebt sie nur endgültig in den Schatten. Wer KI heimlich am Feierabend über das eigene Handy nutzt, fragt garantiert nicht mehr nach, bevor er die Kundenliste hineinkopiert. Du verlierst so genau die Kontrolle, die du eigentlich haben willst.

Der bessere Weg ist, die Nutzung in geordnete Bahnen zu lenken. Nicht „ob“, sondern „wie“. Eine gute Richtlinie sagt nicht ständig Nein. Sie sagt: Diese Werkzeuge sind bei uns freigegeben, so gehst du mit ihnen um, und hier ist die klare Grenze. Damit machst du aus einem unkontrollierten Risiko einen produktiven und überschaubaren Vorgang – und dein Team weiß, woran es ist.

Was in eine KI-Richtlinie für den Mittelstand gehört

Verscheuch den Gedanken an ein zwanzigseitiges Dokument. Für die meisten kleinen und mittleren Betriebe reichen zwei, drei Seiten in verständlicher Sprache. Wichtig sind vor allem diese Punkte:

• Welche Tools freigegeben sind. Eine kurze Liste der Werkzeuge, die ihr nutzen dürft – idealerweise in einer Geschäftsversion, bei der die Eingaben nicht zum Training des Anbieters verwendet werden.
• Welche Daten niemals hineingehören. Personenbezogene Kundendaten, Personalakten, Gesundheitsdaten, Passwörter, komplette Verträge oder echte Geschäftsgeheimnisse haben in einem öffentlichen KI-Chat nichts zu suchen.
• Wie mit den Ergebnissen umgegangen wird. Eine KI-Antwort ist ein Entwurf, kein fertiges Ergebnis. Es bleibt bei einem Menschen, der prüft, bevor etwas an den Kunden geht.
• Wer Ansprechpartner ist. Eine Person im Betrieb, die man fragen kann, wenn ein neues Tool auftaucht oder etwas unklar ist.

Mehr braucht es am Anfang nicht. Eine Richtlinie, die niemand liest, weil sie zu lang und zu juristisch ist, hilft dir kein bisschen. Eine Seite, die jeder versteht und im Zweifel auch befolgt, ist deutlich mehr wert.

Wie das im Alltag konkret aussieht

Ein Beispiel aus einem Handwerksbetrieb: Der Chef gibt eine Geschäftsversion eines KI-Assistenten frei, mit der das Büro Angebote und Leistungsbeschreibungen schneller formuliert. Die Regel dazu passt in einen Satz – Textbausteine und Beschreibungen ja, echte Kundenadressen und Kalkulationspreise nein. Das Team spart Zeit, die sensiblen Daten bleiben im Angebotsprogramm.

Oder ein Betrieb im Handel: Die Mitarbeiterinnen dürfen Produkttexte und Beiträge für die sozialen Medien mit KI vorbereiten, aber keine Lieferantenkonditionen oder Umsatzzahlen eingeben. In einem Dienstleistungsbüro wiederum ist klar geregelt, dass Gesprächsnotizen anonymisiert werden, bevor sie in ein Tool zur Zusammenfassung wandern. In jedem Fall ist die Grenze nicht abstrakt, sondern an konkreten Beispielen festgemacht – an dem, womit deine Leute wirklich jeden Tag arbeiten. Genau das macht den Unterschied zwischen einer Regel, die gelebt wird, und einer, die in der Schublade verstaubt.

DSGVO-bewusst statt kompliziert

Beim Thema Datenschutz werden viele nervös, und das ist verständlich. Der pragmatische Kern ist aber überschaubar: Sobald personenbezogene Daten im Spiel sind, brauchst du eine DSGVO-bewusste Lösung – in der Regel eine Geschäfts- oder Team-Version, bei der die Daten vertraglich geschützt sind und möglichst in Europa verarbeitet werden, statt des kostenlosen Privat-Accounts. Für viele Alltagsaufgaben lässt sich das Thema ohnehin entschärfen, indem gar keine echten Personendaten eingegeben werden, sondern nur der Text, der wirklich verbessert werden soll.

Dazu kommt seit Anfang 2025 ein Punkt aus dem europäischen Regelwerk zu KI: Betriebe sind gehalten, dafür zu sorgen, dass Beschäftigte, die mit KI arbeiten, auch genug davon verstehen. Das ist kein Bürokratiemonster – aber ein guter Grund, das Thema einmal in Ruhe im Team zu besprechen, statt es weiter unausgesprochen laufen zu lassen.

Aus heimlicher Nutzung wird gemeinsames Wissen

Es gibt noch einen Grund, das Thema aktiv anzugehen, und der wird oft übersehen: Wenn deine Leute ohnehin schon mit KI experimentieren, sitzt in deinem Betrieb bereits jede Menge praktisches Wissen – es teilt nur niemand. Sobald die Nutzung offen besprochen wird, kannst du diese Erfahrung einsammeln. Die Kollegin, die den besten Weg gefunden hat, Angebote vorzuformulieren, zeigt ihn den anderen. Aus fünf Leuten, die heimlich jeder für sich herumprobieren, wird ein Team, das voneinander lernt. So wird aus einem Kontrollthema ganz nebenbei ein echter Produktivitätsgewinn – ohne dass du eine einzige neue Software anschaffen musst.

In drei Schritten anfangen

Du musst das nicht in einem großen Wurf lösen. Erstens: Sprich offen mit deinem Team und finde heraus, wer schon was nutzt – ohne Vorwurf, einfach als Bestandsaufnahme. Zweitens: Leg eine kleine Liste freigegebener Werkzeuge und eine klare Datengrenze fest. Drittens: Schreib beides auf eine Seite, mach es allen zugänglich und benenne einen Ansprechpartner. Fertig ist die erste Version. Verbessern kannst du sie immer noch, wenn ihr mehr Erfahrung gesammelt habt. Wichtiger als Perfektion ist, dass überhaupt eine gemeinsame Linie existiert.

Wenn du das nicht allein sortieren willst

Wenn du bei all dem nicht bei null anfangen möchtest, schauen wir gemeinsam drauf. In einem kostenlosen Kennenlerngespräch von 30 Minuten klären wir unverbindlich, wo dein Betrieb gerade steht und was der sinnvolle nächste Schritt ist. Wer schneller Klarheit will, für den ist die KI-Potenzialanalyse der richtige Einstieg: In 90 Minuten bekommst du für 250 € inkl. 19 % MwSt. drei konkrete Anwendungsfälle für deinen Betrieb, eine passende Tool-Empfehlung, eine DSGVO-bewusste Einschätzung und einen schriftlichen 30-Tage-Fahrplan. Als LIBUCO® begleite ich inhabergeführte Betriebe in der Region Starnberg, München und Fürstenfeldbruck – bodenständig, ohne Buzzwords und in einer Sprache, die im Betrieb ankommt.