Was gehört in eine KI-Nutzungsrichtlinie?

Warum braucht ein kleiner Betrieb überhaupt eine KI-Richtlinie?

Weil KI im Betrieb ohnehin genutzt wird, ob mit oder ohne Regeln. Laut einer Bitkom-Befragung aus dem Jahr 2025 gaben 8 % der Unternehmen an, dass Beschäftigte private KI-Werkzeuge weit verbreitet nutzen, weitere 17 % kannten Einzelfälle. Regeln hatten zu diesem Zeitpunkt aber nur 23 %. Inzwischen setzen nach Bitkom-Angaben 57 % der Unternehmen KI ein (Befragung 2026).

Ohne Regeln entscheidet jede Person selbst, welches Werkzeug sie nutzt und welche Daten sie eingibt. Genau dort entstehen die Risiken: Kundendaten in kostenlosen Konten, ungeprüfte Texte an Kunden, Werkzeuge, von denen die Geschäftsführung nichts weiß. Bitkom-Präsident Ralf Wintergerst bringt es auf den Punkt:

„Die Unternehmen sollten KI-Wildwuchs vermeiden und der Entwicklung einer Schatten-KI vorbeugen.“ Ralf Wintergerst, Bitkom-Präsident, Presseinformation vom 21. Oktober 2025

Eine Richtlinie ist dafür kein Verbotskatalog, sondern eine Erlaubnis mit Leitplanken: Sie sagt, was geht.

Welche fünf Bausteine gehören hinein?

Die Muster der IHK Schwaben und des Deutschen Steuerberaterverbands unterscheiden sich im Detail, decken aber dieselben Kernpunkte ab. Für kleine und mittlere Betriebe lassen sie sich auf fünf Bausteine verdichten:

Die Beispielregeln sind Formulierungsvorschläge, keine geprüften Musterklauseln.

Wie regelt man, welche Daten in welches Werkzeug dürfen?

Mit einer einfachen Ampel, die jede Person ohne Nachschlagen anwenden kann. Grün sind öffentliche Informationen wie Website-Texte oder allgemeine Fachfragen. Gelb sind interne Informationen ohne Personenbezug, etwa Abläufe oder Entwürfe. Rot sind Kunden- und Personaldaten, Gesundheitsangaben, Verträge, Preise und Zugangsdaten.

Die Richtlinie ordnet jeder Farbe die zulässigen Werkzeuge zu. Rote Daten dürfen nur in Werkzeuge, für die ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO besteht und die Eingaben nicht zum Training nutzen. Wie Sie das prüfen, beschreibt unser Beitrag Datenschutz und KI im Betrieb.

Ein Satz, der in keiner Richtlinie fehlen sollte: Namen und Kennungen lassen sich vor der Eingabe fast immer durch Platzhalter ersetzen. Für einen guten Antwortentwurf braucht die KI den Namen der Kundin nicht.

Was hat die Richtlinie mit der KI-Verordnung zu tun?

Artikel 4 der KI-Verordnung verlangt seit Februar 2025, dass Betriebe die KI-Kompetenz ihrer Beschäftigten fördern. Mit der Verordnung (EU) 2026/1744 wurde die Vorschrift zum 27. Juli 2026 neu gefasst: Betriebe müssen Maßnahmen ergreifen, um die Kompetenz zu unterstützen, ohne ein bestimmtes Niveau garantieren zu müssen. Ein Format schreibt die Verordnung nicht vor.

Eine Richtlinie mit Schulungsregel und Teilnahmenachweis ist hier ein naheliegender Baustein, weil sie zeigt, dass der Betrieb sich bemüht hat. Wer Werkzeuge auf der eigenen Website einsetzt, etwa einen Chatbot, sollte außerdem die Transparenzpflichten nach Artikel 50 im Blick haben, die seit dem 2. August 2026 gelten. Einen Überblick über alle Fristen gibt unser Beitrag KI-Verordnung für kleine Unternehmen.

Das ist eine allgemeine Einordnung; welche Pflichten im Einzelfall gelten, hängt vom konkreten Einsatz ab.

Wer muss beteiligt werden?

In kleinen Betrieben schreibt meist die Geschäftsführung die Richtlinie selbst, idealerweise mit der Person, die sich um IT kümmert, und mit der oder dem Datenschutzbeauftragten, falls es eine solche Funktion gibt. Die IHK Schwaben empfiehlt, Beschäftigte früh einzubinden und die Richtlinie danach an alle zu kommunizieren und regelmäßig zu überprüfen.

Gibt es einen Betriebsrat, ist er bei der Planung von KI-Anwendungen nach § 90 BetrVG rechtzeitig zu unterrichten und anzuhören. Können Werkzeuge Verhalten oder Leistung der Beschäftigten erfassen, kommt in der Regel ein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG hinzu. Wird KI für Auswahlrichtlinien bei Einstellungen oder Versetzungen genutzt, greift § 95 BetrVG. In der Praxis wird die Richtlinie in solchen Betrieben oft als Betriebsvereinbarung abgeschlossen.

Wie bringt man die Richtlinie in den Alltag?

Eine Richtlinie, die in einem Ordner liegt, ändert nichts. Bewährt hat sich ein kurzer Ablauf:

1. Vorstellen statt verschicken: 30 Minuten im Team, mit zwei, drei Beispielen aus dem eigenen Alltag.
2. Unterschreiben lassen: Der DStV sieht in seinem Muster eine Bestätigung durch alle Mitarbeitenden vor. Das schafft Verbindlichkeit und dient als Nachweis.
3. Werkzeugliste als Anhang: So bleibt der Haupttext stabil, wenn ein Werkzeug dazukommt.
4. Fehlerkultur: Wer versehentlich Daten in ein falsches Werkzeug eingibt, soll das melden können, ohne Angst vor Folgen. Nur so lässt sich der Schaden begrenzen.
5. Jährlich prüfen: Werkzeuge, Rechtslage und Erfahrungen ändern sich schnell.

Die Richtlinie wirkt besonders gut, wenn das offizielle Werkzeug besser ist als die private Lösung. Laut Bitkom stellten 2025 erst 26 % der Unternehmen ihren Beschäftigten generative KI zur Verfügung.

Praxisbeispiel: Ein Elektrobetrieb mit 18 Beschäftigten

Beispiel zur Veranschaulichung: Im Büro eines Elektrobetriebs nutzen drei Personen KI für Angebote und Kundenmails, teils mit privaten Konten. Die Geschäftsführerin schreibt an einem Nachmittag eine dreiseitige Richtlinie nach den fünf Bausteinen. Sie schließt einen Geschäftstarif mit Vertrag zur Auftragsverarbeitung ab, legt fest, dass Kundennamen und Preise nur dort eingegeben werden, und benennt den Büroleiter als Ansprechperson.

In einer Teambesprechung stellt sie die Regeln vor, alle unterschreiben, die privaten Konten werden für dienstliche Aufgaben nicht mehr genutzt. Nach drei Monaten ergänzt sie die Werkzeugliste um ein Transkriptionswerkzeug für Baustellenberichte. Gesamtaufwand: etwa ein Arbeitstag, verteilt auf zwei Wochen.