KI-Richtlinie für Unternehmen: Was hineingehört und wie sie im Alltag funktioniert

Ist eine KI-Richtlinie Pflicht?

Eine ausdrückliche gesetzliche Pflicht zu einer schriftlichen KI-Richtlinie besteht nicht. Mehrere Regelwerke setzen aber voraus, dass ein Unternehmen den KI-Einsatz organisiert, und dafür ist eine Richtlinie das naheliegende Mittel:

• AI Act: Nach Art. 4 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern. Klare Nutzungsregeln sind eine solche Maßnahme und geben jeder Schulung erst einen konkreten Inhalt.
• DSGVO: Wer personenbezogene Daten verarbeitet, muss die Einhaltung der Datenschutzgrundsätze nachweisen können und geeignete technische und organisatorische Maßnahmen treffen. Das gilt auch, wenn die Verarbeitung in einem KI-Tool stattfindet.
• Geschäftsgeheimnisgesetz: Als Geschäftsgeheimnis geschützt ist eine Information nur, wenn sie Gegenstand angemessener Geheimhaltungsmaßnahmen ist (§ 2 Nr. 1 lit. b GeschGehG). Wer nicht regelt, ob vertrauliche Unterlagen in externe KI-Tools eingegeben werden dürfen, riskiert diesen Schutz.

Hinzu kommt die allgemeine Sorgfaltspflicht der Geschäftsleitung. Geschäftsführer einer GmbH haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (§ 43 Abs. 1 GmbHG), Vorstände einer AG die eines ordentlichen und gewissenhaften Geschäftsleiters (§ 93 Abs. 1 AktG). Dazu gehört, das Unternehmen so zu organisieren, dass Rechtsverstöße möglichst vermieden werden. So hat es das LG München I im Fall Siemens/Neubürger formuliert (Urteil vom 10.12.2013, 5 HK O 1387/10). Wird im Unternehmen KI genutzt, gehören klare Regeln zu dieser Organisation. Verletzen Geschäftsleiter ihre Pflichten, haften sie der Gesellschaft für den Schaden (§ 43 Abs. 2 GmbHG, § 93 Abs. 2 AktG).

Muster-Gliederung einer KI-Richtlinie

Die folgende Gliederung hat sich als Grundgerüst bewährt. Nicht jedes Unternehmen braucht jeden Punkt in gleicher Tiefe. Ein Handwerksbetrieb mit drei KI-Tools kommt mit wenigen Seiten aus, ein Konzern mit eigener KI-Entwicklung nicht.

1. Zweck und Geltungsbereich. Für wen gilt die Richtlinie, für welche Tools, und gilt sie auch für private Geräte und private KI-Konten, die für berufliche Aufgaben genutzt werden?
2. Begriffe. Was gilt als KI-Tool, was als „freigegeben“, was als vertraulich? Eine kurze Einteilung der Daten in Klassen, etwa öffentlich, intern, vertraulich und personenbezogen, erleichtert alle weiteren Regeln.
3. Freigegebene Tools. Eine Liste der erlaubten Tools mit der jeweils zulässigen Version. Die Unternehmensfassung eines Tools ist oft anders zu bewerten als das kostenlose Konto. Die Liste gehört in einen Anhang, damit sie ohne Änderung der ganzen Richtlinie aktualisiert werden kann.
4. Datenregeln. Welche Datenklassen dürfen in welches Tool? Das Ampel-Prinzip unten macht das greifbar.
5. Geschäftsgeheimnisse und Quellcode. Was darf nie in externe Tools, und welche Ausnahmen gelten für Tools mit entsprechender Vertragslage?
6. Ergebnisprüfung und Verantwortung. KI-Ergebnisse werden vor der Verwendung geprüft. Verantwortlich bleibt der Mensch, der sie verwendet, nicht das Tool. Das umfasst fachliche Richtigkeit ebenso wie Rechte Dritter an Texten und Bildern.
7. Besondere Einsatzbereiche. Zusätzliche Regeln für Bereiche mit höherem Risiko, etwa Personalauswahl, Kundenkommunikation oder veröffentlichte Inhalte. Wann KI-Inhalte gekennzeichnet werden müssen, regelt der Transparenzprozess nach Art. 50 AI Act.
8. Freigabeprozess für neue Tools. Wer beantragt, wer prüft, wer entscheidet? Für die Prüfung eines konkreten Tools gibt es den KI-Tool-Freigabecheck.
9. Schulung. Wer wird wann und wie geschult, und wie wird das dokumentiert?
10. Zuständigkeiten, Meldewege und Aktualisierung. Ansprechpartner für Fragen, Meldung von Vorfällen, Folgen von Verstößen und ein fester Termin für die Überprüfung der Richtlinie.

Das Ampel-Prinzip

Beschäftigte lesen selten zehn Seiten Richtlinie, bevor sie ein Tool öffnen. Eine Ampel bringt die Datenregeln auf einen Blick. Die Beispiele sind typische Zuordnungen und müssen an die eigenen Tools und Verträge angepasst werden.

Betriebsrat einbinden

Wo ein Betriebsrat besteht, führt an ihm bei der Einführung von KI kaum ein Weg vorbei. Das Betriebsverfassungsgesetz nennt KI inzwischen ausdrücklich:

• Unterrichtung: Der Arbeitgeber muss den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz unterrichten und die Auswirkungen mit ihm beraten (§ 90 Abs. 1 Nr. 3, Abs. 2 BetrVG).
• Sachverständige: Muss der Betriebsrat die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 Satz 2 BetrVG). Die Kosten trägt in der Regel der Arbeitgeber.
• Auswahlrichtlinien: Richtlinien über die personelle Auswahl bleiben zustimmungspflichtig, auch wenn bei ihrer Aufstellung KI eingesetzt wird (§ 95 Abs. 2a BetrVG).
• Mitbestimmung: Technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, unterliegen der Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). Viele KI-Tools protokollieren Eingaben und Nutzung und können darunter fallen.

Für § 87 Abs. 1 Nr. 6 BetrVG kommt es nicht darauf an, ob der Arbeitgeber tatsächlich überwachen will. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt es, dass eine technische Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsinformationen über Beschäftigte zu erheben und aufzuzeichnen (BAG, Beschluss vom 13.12.2016, 1 ABR 7/15). Führt das Unternehmen ein KI-Tool mit eigenen Konten ein, in denen Eingaben und Nutzung einzelnen Beschäftigten zugeordnet werden können, liegt die Mitbestimmung deshalb nahe.

Anders hat das Arbeitsgericht Hamburg einen Fall entschieden, in dem der Arbeitgeber die Nutzung von ChatGPT über private Konten der Beschäftigten lediglich erlaubt hatte (Beschluss vom 16.1.2024, 24 BVGa 1/24). Das Tool war nicht auf Firmenrechnern installiert, der Arbeitgeber erhielt keine Nutzungsdaten, ein Mitbestimmungsrecht nach Nr. 6 bestand deshalb nicht. Auch § 87 Abs. 1 Nr. 1 BetrVG sah das Gericht nicht berührt: Regeln zur Nutzung von KI als Arbeitsmittel betreffen danach das mitbestimmungsfreie Arbeitsverhalten, nicht das Ordnungsverhalten. Die Entscheidung erging erstinstanzlich im Eilverfahren und lässt sich auf Unternehmens-Tools mit eigener Protokollierung nicht ohne Weiteres übertragen.

In der Praxis bewährt sich eine Rahmen-Betriebsvereinbarung zu KI, die Grundsätze regelt, und eine Anlage mit den freigegebenen Tools, die ohne neue Verhandlung über die ganze Vereinbarung ergänzt werden kann.

Typische Fehler

• Zu abstrakt. „KI ist verantwortungsvoll zu nutzen“ hilft niemandem, der vor der Frage steht, ob ein Kundenvertrag in ChatGPT darf.
• Pauschales Verbot. Wer alles verbietet, bekommt Schatten-KI: Beschäftigte nutzen private Konten, und niemand weiß davon.
• Keine Tool-Liste. Ohne Liste weiß niemand, was eigentlich freigegeben ist.
• Keine Zuständigkeit. Wenn unklar ist, wer ein neues Tool freigibt, wird es einfach benutzt.
• Nie aktualisiert. KI-Tools ändern Funktionen und Vertragsbedingungen laufend. Eine Richtlinie von vor zwei Jahren passt oft nicht mehr.

Praxistest: Hält die Richtlinie echten Fällen stand?

Viele KI-Richtlinien klingen gut, scheitern aber im Alltag. Deshalb sollte eine Richtlinie nicht nur juristisch korrekt sein, sondern mit echten Szenarien getestet werden. Beantwortet sie diese Fragen eindeutig?

• Darf der Vertrieb eine Kundenanfrage mit Namen und Bestellhistorie in ChatGPT zusammenfassen lassen?
• Darf die Personalabteilung Bewerbungen von einer KI vorsortieren lassen?
• Darf die Entwicklung Copilot im Quellcode eines Kundenprojekts nutzen?
• Darf das Marketing ein KI-generiertes Bild einer realen Person veröffentlichen?
• Darf die Geschäftsleitung einen KI-erstellten Bericht ungeprüft an den Aufsichtsrat weitergeben?

Wer bei einer dieser Fragen in der eigenen Richtlinie nachschlagen muss und keine Antwort findet, hat eine Lücke gefunden.

Richtlinie, Schulung und Tool-Freigabe gehören zusammen

Eine Richtlinie allein ändert kein Verhalten. Sie wirkt erst, wenn die Beschäftigten sie kennen und verstehen, also mit einer Schulung, und wenn neue Tools nach einem festen Verfahren geprüft werden, etwa mit dem KI-Tool-Freigabecheck. Umgekehrt bleibt eine Schulung ohne Richtlinie abstrakt, weil niemand weiß, was im eigenen Unternehmen gilt.