KI-Richtlinie im Unternehmen: Muster und Pflichten

Warum Regeln jetzt fehlen

Nur 23 Prozent der Unternehmen hatten 2025 Regeln für den Einsatz von KI-Programmen aufgestellt, ein Jahr zuvor 15 Prozent. Weitere 31 Prozent hatten es fest vor. Zugleich ist die private Nutzung im Job in 8 Prozent der Unternehmen weit verbreitet, in 17 Prozent gibt es Einzelfälle. Einen Zugang zu KI stellen 26 Prozent ihren Beschäftigten selbst bereit (Bitkom, Presseinformation vom 21.10.2025, 604 Unternehmen ab 20 Beschäftigten, befragt im Sommer 2025).

Die Datenschutzkonferenz geht davon aus, dass Beschäftigte KI in vielen Unternehmen eigenmächtig und unkontrolliert nutzen, und rät deshalb zu klaren, dokumentierten Weisungen (Orientierungshilfe KI und Datenschutz, Nr. 2.2).

Was die KI-Verordnung verlangt

Wer ein KI-System beruflich in eigener Verantwortung verwendet, ist nach der KI-Verordnung Betreiber (Art. 3 Nr. 4 KI-Verordnung). Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, und berücksichtigen dabei Kenntnisse, Erfahrung, Ausbildung und den Einsatz. Ein bestimmtes Niveau an KI-Kompetenz müssen sie für niemanden garantieren (Art. 4 KI-Verordnung, konsolidierte Fassung mit Stand 27. Juli 2026, geändert durch die Verordnung (EU) 2026/1744). Art. 4 gilt seit dem 2. Februar 2025 (Art. 113 KI-Verordnung).

Eine Pflicht zu einer schriftlichen Richtlinie steht in Art. 4 nicht. Eine Richtlinie mit kurzer Einweisung ist aber eine naheliegende Maßnahme, und die Datenschutzkonferenz empfiehlt, Beschäftigte durch Schulungen, Leitfäden und Gespräche zu sensibilisieren (Nr. 2.7).

Zur Kennzeichnung: Wer mit KI Bild-, Ton- oder Videoinhalte erzeugt, die wirklichen Personen, Orten oder Ereignissen ähneln und fälschlich als echt erscheinen würden, muss offenlegen, dass sie künstlich erzeugt oder manipuliert sind (Art. 50 Abs. 4 KI-Verordnung, Begriff Deepfake in Art. 3 Nr. 60). Bei offensichtlich künstlerischen oder fiktionalen Werken genügt ein Hinweis, der das Werk nicht stört. Art. 50 gilt seit dem 2. August 2026 (Art. 113 KI-Verordnung).

Was in die Richtlinie gehört

Erlaubte Programme und wofür, mit Beispielen für erlaubte und verbotene Einsätze (Datenschutzkonferenz Nr. 2.2), etwa Übersetzungen, Zusammenfassungen oder erste Entwürfe
nur Geräte und Konten des Betriebs, keine privaten (Datenschutzkonferenz Nr. 2.4)
was nie in frei zugängliche Programme gehört
jedes Ergebnis prüft ein Mensch, bevor es verwendet wird (Datenschutzkonferenz Nr. 3.3)
was gekennzeichnet wird, mindestens Bilder, Ton und Videos, die echt wirken (Art. 50 Abs. 4 KI-Verordnung); Bitkom nennt auch eine Kennzeichnungspflicht für KI-Inhalte als möglichen Teil der Richtlinie
Urheberrecht und Geschäftsgeheimnisse beachten (Bitkom)
wer Ansprechpartner bei Fragen ist und wer neue Programme freigibt
kurze Einweisung für alle, die KI nutzen (Art. 4 KI-Verordnung)
regelmäßig prüfen, ob die Regeln noch passen (Datenschutzkonferenz Nr. 2.8)

Was nie hineingehört

Geschäftsgeheimnisse: Preise, Angebote, Zeichnungen, Rezepturen
Personaldaten: Gehälter, Krankmeldungen, Beurteilungen
Daten von Kunden, etwa Namen, Adressen oder Aufträge

Personenbezogene Daten brauchen in jeder KI eine Rechtsgrundlage, und die Betroffenen sind zu informieren. Namen und Anschriften zu entfernen reicht oft nicht, weil sich der Bezug aus dem Zusammenhang ergeben kann (Datenschutzkonferenz Nr. 3.1). Gesundheitsdaten zählen zu den besonders geschützten Daten (Art. 9 Abs. 1 DS-GVO, nach Datenschutzkonferenz Nr. 3.2).

Für ein vom Betrieb freigegebenes Programm mit Vertrag nach Art. 28 Abs. 3 DS-GVO kann die Richtlinie andere Regeln festlegen. Das klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten.

Betriebsrat: unterrichten und mitbestimmen

Über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz ist der Betriebsrat rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG).
Er bestimmt mit bei technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG).
Muss er die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 BetrVG).

Die Datenschutzkonferenz nennt neben einer Weisung auch eine Betriebsvereinbarung als Weg (Nr. 2.2). Ob bei Ihrem Programm ein Mitbestimmungsrecht besteht, hängt vom Einzelfall ab, etwa davon, ob gespeichert wird, wer was eingegeben hat. Früh miteinander zu reden spart Zeit.

KI, die Bewerber auswählt oder Leistung und Verhalten von Beschäftigten beobachtet und bewertet, gilt als hochriskant (Anhang III Nr. 4 KI-Verordnung). Für sie gelten strengere Regeln ab dem 2. Dezember 2027 (Art. 113 KI-Verordnung), und vor dem Einsatz am Arbeitsplatz sind Arbeitnehmervertreter und Betroffene zu informieren (Art. 26 Abs. 7 KI-Verordnung).

So geht es mit Betriebscampus

Das Muster unten ist ein Anfang, keine Rechtsberatung. Passen Sie es mit Ihrer oder Ihrem Datenschutzbeauftragten und, falls vorhanden, dem Betriebsrat an.

Betriebscampus macht aus Ihrer Richtlinie ein kurzes Video mit Ihren eigenen Leuten, mit Untertiteln in den Sprachen Ihres Teams. Wer es gesehen und bestätigt hat, steht fest. So haben Sie die Einweisung für alle und einen Nachweis dazu.

Vorlage: KI-Richtlinie auf einer SeiteEine Seite zum Ausdrucken und Anpassen: erlaubte Programme, was nie hineingehört, Prüfen und Kennzeichnen, Ansprechpartner und Unterschrift. Muster ohne Gewähr, bitte an Ihren Betrieb anpassen.

PDF herunterladen

Häufige Fragen

Ist eine KI-Richtlinie im Unternehmen Pflicht?

Art. 4 KI-Verordnung schreibt keine schriftliche Richtlinie vor, verlangt aber Maßnahmen für die KI-Kompetenz des Personals. Die Datenschutzkonferenz empfiehlt klare, dokumentierte Weisungen.

Muss der Betriebsrat bei der KI-Richtlinie mitbestimmen?

Er ist über den Einsatz von KI rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG) und bestimmt mit, wenn ein Programm dazu bestimmt ist, Verhalten oder Leistung zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG).

Was muss in eine KI-Richtlinie?

Erlaubte Programme und Zwecke, was nie eingegeben wird, Konten des Betriebs, Prüfen der Ergebnisse, Kennzeichnung, Ansprechpartner und eine kurze Einweisung. Das Muster unten hat alles auf einer Seite.

Gibt es eine Kennzeichnungspflicht für KI-Inhalte?

Für Bilder, Ton und Videos, die echt wirken, aber von der KI stammen, ja: Sie sind als künstlich erzeugt offenzulegen (Art. 50 Abs. 4 KI-Verordnung). Für andere Inhalte kann die Richtlinie eine Kennzeichnung vorsehen.

Darf ich ChatGPT auf der Arbeit nutzen?

Das legt Ihr Arbeitgeber fest, am besten in einer KI-Richtlinie. Die Datenschutzkonferenz rät, dafür Konten des Betriebs zu nutzen, keine privaten.

KI-Richtlinie im Unternehmen: klare Regeln auf einer Seite