KI-Richtlinie im Unternehmen: was hinein muss, mit Muster auf einer Seite

Ein typisches Bild aus der Praxis: Am Terminal neben der Fräse steht der Meister mit einer Reklamation auf Englisch. Er kopiert sie aufs Handy, in ein frei verfügbares Chatprogramm, und hat in zehn Sekunden die Übersetzung. Mit Kundennamen, Zeichnungsnummer und Preis. Niemand wollte dabei etwas falsch machen.

Eine KI-Richtlinie im Unternehmen schreibt kein Gesetz ausdrücklich vor. Vorgeschrieben ist aber vieles von dem, was sie regelt: Die europäische KI-Verordnung verlangt seit Februar 2025 Maßnahmen für die KI-Kompetenz der Leute, die mit KI arbeiten. Die DSGVO legt fest, wohin Kunden- und Mitarbeiterdaten dürfen. Und wo ein Betriebsrat besteht, bestimmt er mit, sobald ein Werkzeug Leistung oder Verhalten aufzeichnen kann. Eine kurze Richtlinie ist der einfachste Weg, das in eine Form zu bringen, die jeder im Betrieb versteht.

Für den Anfang reicht eine Seite. Kein Juristendeutsch, sondern Regeln, die der Meister seiner Schicht in fünf Minuten erklären kann.

Ist eine KI-Richtlinie im Unternehmen Pflicht?

Nein, nicht als eigenes Dokument. Weder die KI-Verordnung noch das Betriebsverfassungsgesetz oder die DSGVO schreiben ausdrücklich eine KI-Richtlinie vor. Pflicht sind die Dinge, die eine solche Richtlinie ordnet.

Am wichtigsten ist Artikel 4 der KI-Verordnung (EU) 2024/1689. Er gilt seit dem 2. Februar 2025 für jeden Betrieb, der KI beruflich nutzt. Die Verordnung nennt solche Betriebe „Betreiber“. Ursprünglich verlangte Artikel 4, die KI-Kompetenz des Personals nach besten Kräften sicherzustellen. Seit dem 27. Juli 2026 gilt eine abgeschwächte Fassung, eingeführt durch die Verordnung (EU) 2026/1744: Betriebe ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht garantieren. Mehrere verbreitete Muster und Ratgeber geben noch die alte Fassung wieder.

Einen eigenen Bußgeldrahmen für Artikel 4 nennt die Verordnung nicht. Artikel 99 zählt ihn bei den Geldbußen nicht auf. Wie Verstöße sonst durchgesetzt werden, regeln die Mitgliedstaaten. Wenn nach einem Datenabfluss oder einer falschen KI-Auskunft jemand fragt, was der Betrieb getan hat, hilft eine schriftliche Regel mit notierter Einweisung trotzdem.

Daneben gelten einige feste Grenzen. Seit Februar 2025 ist KI verboten, die am Arbeitsplatz Emotionen von Beschäftigten ableiten soll, außer aus medizinischen oder Sicherheitsgründen (Artikel 5). Seit dem 2. August 2026 muss offenlegen, wer mit KI Bilder, Töne oder Videos erzeugt, die echten Personen, Gegenständen, Orten oder Ereignissen so ähneln, dass man sie für echt halten würde (Artikel 50 Absatz 4, sogenannte Deepfakes). Das kann auch ein KI-Bild der eigenen Maschine im Prospekt betreffen. Für Texte gilt die Offenlegung nur in einem engen Fall: bei Texten, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, und auch dort nicht, wenn ein Mensch sie geprüft hat und redaktionell dafür geradesteht. Die strengen Pflichten für Hochrisiko-KI greifen erst ab dem 2. Dezember 2027. Darunter fällt auch KI, die Bewerbungen sortiert oder die Leistung von Beschäftigten bewertet.

Warum braucht ein Betrieb trotzdem eine KI-Richtlinie?

Weil KI in der Mehrheit der Betriebe schon genutzt wird, ob es Regeln gibt oder nicht. Laut Bitkom setzen 57 Prozent der Unternehmen ab 20 Beschäftigten KI ein (Befragung 2026). Jedes vierte Unternehmen bietet seinen Leuten aber keinerlei Schulung dazu an.

Ohne Regel entscheidet jeder selbst, was er in ein Chatfenster kopiert. Oft mit privatem Konto, auf dem eigenen Handy, ohne Vertrag zwischen Betrieb und Anbieter. Für personenbezogene Daten verlangt die DSGVO aber genau so einen Vertrag, wenn ein Anbieter sie im Auftrag verarbeitet (Artikel 28).

Für Zeichnungen, Kalkulationen und Kundenpreise kommt ein zweiter Grund dazu. Als Geschäftsgeheimnis schützt das Gesetz nur, was der Betrieb mit angemessenen Maßnahmen geheim hält (§ 2 GeschGehG). Eine klare Regel, was nicht in fremde Werkzeuge gehört, kann ein Baustein dafür sein.

Der dritte Grund steht in keinem Gesetz. Wer nicht weiß, was erlaubt ist, lässt KI entweder ganz weg, obwohl sie ihm Arbeit abnehmen würde. Oder er nutzt sie, ohne dass es jemand weiß. Mit beidem ist dem Betrieb nicht gedient.

Eine KI-Richtlinie, die der Meister seiner Schicht nicht in fünf Minuten erklären kann, gilt im Büro. In der Halle gilt sie nicht.

Einordnung von TENOR Digital

Was gehört in eine KI-Richtlinie?

In eine KI-Richtlinie gehören sechs Dinge: welche Werkzeuge erlaubt sind, welche Daten nicht hinein dürfen, wer Ergebnisse prüft, was gekennzeichnet wird, wie die Leute eingewiesen werden und wer bei Fragen und Fehlern ansprechbar ist. Alles andere kann warten.

• Erlaubte Werkzeuge. Eine kurze Liste mit Namen, genutzt nur mit Firmenzugang, zum Beispiel Microsoft 365 Copilot oder ein Firmenkonto bei ChatGPT. Was nicht draufsteht, wird erst geprüft und dann genutzt.
• Daten, die nicht hineingehören. Personaldaten, Gesundheitsdaten und Passwörter nie. Kundendaten, Zeichnungen und Preise nur nach den Regeln der Ampel weiter unten.
• Prüfung durch einen Menschen. KI liefert Vorschläge, keine Entscheidungen. Wer ein Ergebnis weitergibt, steht dafür gerade, als hätte er es selbst geschrieben.
• Kennzeichnung. Mit KI erzeugte Bilder, Töne und Videos, die echt wirken, werden nach außen als solche erkennbar gemacht.
• Einweisung. Wer KI nutzt, bekommt vorher eine kurze Einweisung: was das Werkzeug kann, wo es danebenliegt, was nicht hineingehört. Wer teilgenommen hat, wird notiert.
• Ein Ansprechpartner. Ein Name, keine Abteilung. Zu ihm geht jede Frage, jeder Wunsch nach einem neuen Werkzeug und jeder Fehler, auch wenn doch einmal etwas Vertrauliches im falschen Fenster gelandet ist.

Wer mehr regeln will, etwa das Urheberrecht bei Texten und Bildern für die Website oder eigene KI-Anwendungen im Betrieb, ergänzt das später. Für den Anfang zählt, dass die sechs Punkte gelten, nicht dass alles drinsteht.

Welche Daten dürfen in ChatGPT, Copilot und Co.?

In KI-Werkzeuge dürfen Daten ohne Bezug zu Personen, Kunden oder Preisen jederzeit. Alles mit Kundenbezug gehört nur in ein freigegebenes Firmenwerkzeug, und Personaldaten gehören gar nicht hinein. Für den Meister am Terminal reicht eine einfache Ampel:

• Grün, ohne Rückfrage: eine Störungsmeldung oder Wartungsanleitung ohne Kundenbezug übersetzen, eine Arbeitsanweisung in einfachere Sätze bringen, sich eine Formel für die Excel-Liste erklären lassen, eine Unterweisung gliedern.
• Gelb, nur im freigegebenen Firmenwerkzeug: Reklamationen, Angebote, Lieferantenmails, Prüfberichte, also alles mit Kundennamen, Zeichnungsnummer oder Preis. Zeichnungen und Programme von Kunden nur, wenn der Vertrag oder die Geheimhaltungsvereinbarung mit dem Kunden das zulässt. Sonst gelten sie als rot.
• Rot, nie: Personaldaten, Krankmeldungen, Beurteilungen von Kollegen und Zugangsdaten. Dazu kein Werkzeug, das Gefühle von Beschäftigten am Arbeitsplatz erkennen soll. Das ist seit Februar 2025 verboten, Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen.

In der Halle kommt eine Frage dazu, die im Büro keiner stellt: Auf welchem Gerät wird KI überhaupt genutzt? Wenn das einzige Gerät mit Chatprogramm das private Handy ist, bleibt jede Regel zu privaten Konten Theorie. Ein Tablet mit Firmenzugang in der Meisterstube ändert mehr als ein Verbot am Schwarzen Brett.

Ist eine KI-Richtlinie mitbestimmungspflichtig?

Wo ein Betriebsrat besteht, oft ja. Meist hängt es am Werkzeug: Kann das KI-Werkzeug Verhalten oder Leistung der Beschäftigten aufzeichnen, bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mit. Nach dem Bundesarbeitsgericht genügt dafür schon, dass das Werkzeug objektiv dazu geeignet ist. Eine Überwachungsabsicht braucht es nicht (BAG, 1 ABR 7/15).

Firmenzugänge können festhalten, wer was genutzt hat, und der Betrieb kann das einsehen. Dann liegt die Mitbestimmung nahe. Anders sah es das Arbeitsgericht Hamburg 2024 für Beschäftigte, die ChatGPT über private Konten auf eigene Kosten nutzen: Vorgaben zur Nutzung seien mitbestimmungsfreies Arbeitsverhalten, und was der Hersteller aufzeichne, sei keine Überwachung durch den Arbeitgeber (24 BVGa 1/24). Das war ein Eilverfahren in erster Instanz. Auf Firmenzugänge lässt es sich nicht ohne Weiteres übertragen.

Regelt die Richtlinie auch das Verhalten im Betrieb, etwa welche Geräte in der Halle erlaubt sind oder wie Fehler gemeldet werden, kann zusätzlich § 87 Abs. 1 Nr. 1 BetrVG greifen. Das ist die Mitbestimmung bei Fragen der Ordnung des Betriebs.

Unabhängig davon muss der Arbeitgeber den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren unterrichten, ausdrücklich auch beim Einsatz von Künstlicher Intelligenz (§ 90 BetrVG). Muss der Betriebsrat KI beurteilen, gilt ein Sachverständiger als erforderlich (§ 80 Abs. 3 BetrVG). Ab dem 2. Dezember 2027 kommt für Hochrisiko-KI am Arbeitsplatz eine Pflicht aus der KI-Verordnung dazu: Arbeitnehmervertreter und betroffene Beschäftigte sind vorher zu informieren (Artikel 26 Absatz 7).

Wer den Betriebsrat vom ersten Entwurf an dabeihat, kann am Ende eine Betriebsvereinbarung schließen, die beide Seiten unterschreiben. Wer die Richtlinie erst aushängt und danach fragt, fängt im Zweifel von vorn an. Ohne Betriebsrat gibt es keine Mitbestimmung. Die Schicht früh zu fragen, lohnt sich trotzdem, denn sie kennt die Stellen, an denen eine Regel im Alltag hakt.

Wer trägt die KI-Richtlinie im Betrieb?

Unterschrieben wird die KI-Richtlinie vom Geschäftsführer, gelebt wird sie vom Meister. Der Geschäftsführer entscheidet, welche Werkzeuge auf die Liste kommen. Einer aus dem Betrieb steht für den Alltag gerade: Er nimmt Fragen an, prüft neue Werkzeuge mit dem Datenschutzbeauftragten und hält die Liste aktuell. Das kann der IT-Verantwortliche sein, die Assistenz der Geschäftsführung oder ein Meister, der sich für das Thema interessiert.

Verbreitete Musterrichtlinien sehen Rollen wie einen KI-Compliance-Beauftragten oder eigene Freigabestellen vor. In einem Betrieb mit 80 Leuten gibt es diese Stellen meist nicht. Wer sie trotzdem abschreibt, hat am Ende eine Richtlinie, für die niemand zuständig ist. Besser ist ein Name, der wirklich ansprechbar ist, und ein fester Termin, etwa zweimal im Jahr, an dem Liste und Regeln angeschaut werden.

Wie sieht ein Muster für eine KI-Richtlinie auf einer Seite aus?

Ein Muster für eine einseitige KI-Richtlinie hat sieben kurze Regeln und passt auf ein Blatt, das in der Meisterstube und am Schwarzen Brett hängt. Der folgende Vorschlag ist eine Gliederung zum Anpassen, kein Rechtsrat:

1. Geltung. Diese Regel gilt für alle, die bei uns mit KI arbeiten, auch für Aushilfen und Auszubildende.
2. Werkzeuge. Wir nutzen KI nur mit Firmenzugang und nur diese Werkzeuge: [Liste]. Neue Werkzeuge gibt [Name] frei.
3. Daten. Grün darf rein, gelb nur ins Firmenwerkzeug, rot nie. Die Ampel hängt daneben.
4. Prüfen. Jedes KI-Ergebnis liest ein Mensch, bevor es den Betrieb verlässt oder eine Entscheidung trägt.
5. Kennzeichnen. Echt wirkende KI-Bilder, -Töne und -Videos gehen nur mit Hinweis nach außen.
6. Einweisung. Vor der ersten Nutzung und bei jedem neuen Werkzeug gibt es eine kurze Einweisung. Die Teilnahme wird notiert.
7. Fragen und Fehler. Gehen an [Name]. Wer einen Fehler früh meldet, hilft dem Betrieb.

Darunter stehen Datum und Unterschrift der Geschäftsführung. Wo es einen Betriebsrat gibt, kommt der Hinweis auf die Vereinbarung mit ihm dazu.

In welcher Reihenfolge führt man eine KI-Richtlinie ein?

Erst nachsehen, dann regeln, dann erklären. Wer die Richtlinie am Schreibtisch schreibt, bevor er weiß, was im Betrieb schon genutzt wird, regelt an der Wirklichkeit vorbei.

1. Nachfragen, was schon läuft. Offen und ohne Vorwurf: Wer nutzt welches Werkzeug wofür? Die Antworten zeigen, wo der Bedarf liegt.
2. Firmenzugänge schaffen. Für das, was gebraucht wird, ein Werkzeug mit Vertrag nach Artikel 28 DSGVO. Erst dann ist es fair, private Konten für betriebliche Daten auszuschließen.
3. Den Betriebsrat einbinden, wo es einen gibt, vom ersten Entwurf an.
4. Die eine Seite schreiben und vom Geschäftsführer unterschreiben lassen.
5. Einweisen, Schicht für Schicht. Eine halbe Stunde am echten Beispiel aus dem eigenen Betrieb, nicht am Werbevideo des Anbieters.
6. Nach drei Monaten nachsehen, ob die Regeln passen, und die Liste anpassen.

Die Richtlinie ordnet den Umgang mit KI. Welche Aufgabe KI im Betrieb übernehmen soll, beantwortet sie nicht. Wo KI zuerst entlastet und in welcher Reihenfolge man vorgeht, zeigt die Themenseite KI im Mittelstand: wo sie wirkt und was zuerst kommt.

Was braucht ein Betrieb also wirklich?

Ein Betrieb braucht keine lange KI-Richtlinie, sondern eine Seite, die in der Halle funktioniert, und einen Namen, der für sie geradesteht. Ausdrücklich vorgeschrieben ist das Dokument nicht, aber es ist der einfachste Weg, die Pflichten dahinter zu erfüllen. Erst Klarheit. Dann Struktur. Dann Wirkung.

TENOR Digital begleitet als Unternehmensberatung für den Mittelstand Betriebe von der ersten Bestandsaufnahme bis zum laufenden Werkzeug, aus einer Hand. Wer klären möchte, welche KI-Werkzeuge im eigenen Betrieb Sinn ergeben und welche Regeln dazugehören, findet bei der KI-Beratung für den Mittelstand den nächsten Schritt.

Die KI-Richtlinie ist ein Baustein einer größeren Entscheidung: welche Einsatzfelder zuerst kommen, was sie kosten dürfen und wer sie verantwortet. Wie daraus ein Fahrplan für den ganzen Betrieb wird, zeigt die KI-Strategieberatung für den Mittelstand.

Stand der Angaben: 05.10.2026. Quellen: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3, 4, 5, 26, 50, 99, 113 und Anhang III, in der Fassung der Änderungsverordnung (EU) 2026/1744 vom 08.07.2026 (EUR-Lex); Betriebsverfassungsgesetz §§ 77, 80, 87, 90 und Gesetz zum Schutz von Geschäftsgeheimnissen § 2 (gesetze-im-internet.de); DSGVO Art. 28 (EUR-Lex); BAG, Beschluss vom 13.12.2016, 1 ABR 7/15; ArbG Hamburg, Beschluss vom 16.01.2024, 24 BVGa 1/24; Bitkom, Presseinformation vom 14.09.2026. Der Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung im Einzelfall. Rechtslage und Fristen können sich ändern; maßgeblich ist der jeweils geltende Gesetzestext.

Häufige Fragen