KI-Richtlinie Muster 2026: Vorlage für 50-Mitarbeiter-Unternehmen

Eine schriftliche KI-Richtlinie ist kein Verwaltungsballast, aber auch keine gesetzliche Pflicht. Seit dem 2. Februar 2025 verpflichtet Artikel 4 der KI-Verordnung dazu, die Entwicklung der KI-Kompetenz der Beschäftigten zu unterstützen, ohne für Einzelne ein bestimmtes Kompetenzniveau zu garantieren. Eine dokumentierte Richtlinie ist nicht vorgeschrieben, hilft aber im Schadensfall. Gleichzeitig fordern BAG-Rechtsprechung, DSGVO und der Haftungsschutz deiner Geschäftsleitung ein klares Regelwerk. Dieser Artikel zeigt dir die zwölf Kapitel, die deine KI-Richtlinie für einen 50-MA-Mittelständler enthalten muss, jeweils mit konkretem Formulierungsvorschlag.

Warum eine KI-Richtlinie jetzt unverzichtbar ist

Drei Treiber erzwingen eine formelle Richtlinie. Erstens die KI-VO: Artikel 4 verlangt, die KI-Kompetenz zu unterstützen, Artikel 50 verlangt eine Kennzeichnungspflicht bei bestimmten KI-Outputs. Ab August 2026 kommen Pflichten für Hochrisiko-KI hinzu (Artikel 6ff), wobei der Digital-Omnibus-Trilog am 28. April 2026 eine Verschiebung auf 2027 diskutiert. Zweitens die Mitbestimmung: Das BAG hat wiederholt klargestellt, dass der Einsatz von KI am Arbeitsplatz mitbestimmungspflichtig ist, sobald Leistungs- oder Verhaltenskontrolle möglich ist (Paragraph 87 Absatz 1 Nummer 6 BetrVG). Drittens die Haftung: Geschäftsführer können persönlich haften, wenn aus unbedarftem KI-Einsatz ein Schaden entsteht und keine organisatorische Vorsorge dokumentiert ist.

Ohne Richtlinie bedeutet: Jeder Mitarbeiter darf alles, keiner haftet, niemand weiß es besser. Das ist nicht nur rechtlich riskant, sondern auch operativ. In den kommenden Kapiteln findest du die Struktur einer praktikablen Richtlinie, die du mit deinen Verantwortlichen anpasst.

Kapitel 1: Zweck und Geltungsbereich

Dieser Paragraph regelt, worum es geht und für wen. Konkret: "Diese Richtlinie regelt den Einsatz künstlicher Intelligenz in der Musterfirma GmbH. Sie gilt für alle Beschäftigten, freien Mitarbeiter, Praktikanten und Dienstleister, die im Rahmen ihrer Tätigkeit KI-Systeme einsetzen oder deren Outputs verwenden." Definiere auch, was KI im Sinne dieser Richtlinie ist: generative KI wie ChatGPT, Claude, Gemini; eingebettete KI wie Microsoft Copilot; branchenspezifische KI-Module in Fachsoftware; KI-gestützte Entscheidungssysteme (HR, Kredit, Risikobewertung).

Kapitel 2: Rollen und Verantwortliche

Klare Zuständigkeiten sind der halbe Schutz. Folgende Rollen sollten benannt werden:

Kapitel 3: Erlaubte Tools (Whitelist)

Hier führst du konkret auf, welche KI-Systeme im Unternehmen genutzt werden dürfen. Ohne Whitelist wächst Schatten-KI und macht dich haftbar. Beispielstruktur: "Für dienstliche Zwecke sind ausschließlich folgende KI-Tools zulässig: Microsoft Copilot im Rahmen des Microsoft 365 Business Enterprise Plans, Claude Team über den Firmenaccount, DeepL Pro, Grammarly Business. Die Nutzung weiterer KI-Tools bedarf der vorherigen schriftlichen Freigabe durch die IT-Leitung und den Datenschutzbeauftragten."

Wichtig: Jedes Tool auf der Whitelist braucht einen dokumentierten Freigabe-Prozess: DSGVO-Prüfung, Auftragsverarbeitungsvertrag, Risiko-Klassifikation nach KI-VO, Incident-Response-Ansprechpartner.

Kapitel 4: Verbote

Klartext, was niemand tun darf:

• Keine Nutzung privater KI-Accounts (z.B. privates ChatGPT-Konto) für Firmendaten.
• Keine Eingabe von personenbezogenen Daten, Betriebsgeheimnissen, Kundendaten oder sicherheitsrelevanten Informationen in KI-Tools ohne gültigen Auftragsverarbeitungsvertrag.
• Kein Einsatz von KI für Personalentscheidungen (Einstellung, Beförderung, Entlassung) ohne menschliche Letztentscheidung und schriftliche Dokumentation.
• Keine Veröffentlichung von KI-generierten Texten oder Bildern ohne interne Qualitätsprüfung.
• Keine Umgehung von Kennzeichnungspflichten nach Artikel 50 KI-VO (z.B. Chatbot, der sich als Mensch ausgibt).

Kapitel 5: Datenklassifikation

Bevor du KI einsetzt, müssen deine Mitarbeiter wissen, welche Daten wo landen dürfen. Einführung einer vierstufigen Klassifikation:

Kapitel 6: Prompt-Regeln

Praktische Anweisung für den Arbeitsalltag. Zum Beispiel:

1. Keine echten Namen, E-Mail-Adressen, Telefonnummern oder Kundennummern in Prompts. Platzhalter nutzen ("Kunde X", "Mitarbeiter Y").
2. Keine vertraulichen Vertragsinhalte in öffentliche KI-Tools. Bei interner Nutzung pseudonymisieren.
3. Keine Gesundheitsdaten, politische Meinungen, Gewerkschaftszugehörigkeit (besondere Kategorien nach Artikel 9 DSGVO).
4. Keine Sicherheitsdaten: Passwörter, API-Keys, Netzwerkkonfigurationen.
5. Bei Zweifeln: Vorgesetzten oder KI-Beauftragten fragen, bevor der Prompt abgeschickt wird.

Kapitel 7: Output-Verantwortung

Ein generierter Text ist kein Freibrief. Der Mensch prüft, der Mensch signiert. Formuliere: "Der Mitarbeiter, der einen KI-generierten Output freigibt (z.B. E-Mail an Kunden, Vertragstext, Social-Media-Post), ist für dessen inhaltliche Richtigkeit, rechtliche Zulässigkeit und Markenkonformität verantwortlich. Die Ausrede 'Die KI hat es so geschrieben' entlastet nicht."

Setze Qualitätsmechanismen: Vier-Augen-Prinzip bei Kundenkommunikation, Freigabe-Workflow für Publikationen, automatische Logs der Interaktionen.

Kapitel 8: Kennzeichnungspflicht Artikel 50 KI-VO

Drei Fälle, in denen du aktiv kennzeichnen musst:

• Chatbots: Nutzer müssen wissen, dass sie mit einer Maschine sprechen. Formulierung: "Ich bin ein KI-Assistent. Bei komplexen Anliegen leite ich dich an einen Menschen weiter."
• Deepfakes und KI-generierte Medien: Bilder, Videos, Audio-Aufnahmen, die Personen zeigen oder imitieren, müssen als KI-generiert gekennzeichnet sein, sofern sie nicht offensichtlich satirisch oder künstlerisch sind.
• Synthetische Inhalte: Texte, die durch KI erzeugt und im öffentlichen Interesse verbreitet werden (z.B. News-Artikel), sind kennzeichnungspflichtig, sofern sie nicht menschlich geprüft und redaktionell verantwortet wurden.

Kapitel 9: Schulung nach Artikel 4 KI-VO

Diese Pflicht gilt seit 2. Februar 2025 und betrifft alle, die KI einsetzen. Die Richtlinie konkretisiert:

1. Alle neuen Mitarbeiter erhalten binnen 30 Tagen nach Eintritt eine Grundschulung zur KI-Nutzung (2 Stunden, interaktiv).
2. Jährliche Auffrischung für alle Mitarbeiter (1 Stunde).
3. Rollenspezifische Vertiefung: Führungskräfte, HR-Verantwortliche, Einkauf, Marketing jeweils 2 Stunden pro Jahr.
4. Nachweisführung: Teilnehmerlisten, Lernkontrollen, Zertifikate fünf Jahre aufbewahren.
5. Bei neuen Tools oder Gesetzesänderungen: Sonderschulung innerhalb von 60 Tagen.

Kapitel 10: Incident-Handling

Was passiert, wenn etwas schief geht. Beispiele für meldepflichtige Vorfälle:

• Ein Mitarbeiter hat Kundendaten in ein nicht freigegebenes KI-Tool eingegeben.
• Eine KI hat eine fehlerhafte Empfehlung gegeben, die Schaden verursachen könnte.
• Ein Kunde beschwert sich über diskriminierende KI-Antwort.
• Ein Datenleck über ein KI-System wurde festgestellt.

Meldeweg: Betroffener Mitarbeiter meldet unverzüglich an KI-Beauftragten. Der prüfen und eskaliert innerhalb von 24 Stunden an Geschäftsleitung, DPO und gegebenenfalls IT-Sicherheitsbeauftragten. Bei Datenschutzverletzung greift die 72-Stunden-Meldefrist nach DSGVO.

Kapitel 11: Mitbestimmung und Betriebsvereinbarung

Wenn ein Betriebsrat besteht, braucht die Richtlinie eine ergänzende Betriebsvereinbarung. Kernthemen:

• Welche KI-Tools werden eingesetzt?
• Zu welchem Zweck?
• Gibt es Leistungs- oder Verhaltenskontrolle?
• Welche Daten werden verarbeitet und wie lange gespeichert?
• Welche Rechte haben Beschäftigte (Einsicht, Widerspruch, Korrektur)?
• Wie läuft die Schulung ab?

Ohne Betriebsvereinbarung bei mitbestimmungspflichtigen Themen ist der Einsatz rechtlich angreifbar. Der Betriebsrat kann in solchen Fällen eine einstweilige Verfügung erwirken.

Kapitel 12: Review-Rhythmus

Eine Richtlinie, die einmal geschrieben und nie wieder angefasst wird, ist wertlos. Setze klare Zyklen:

• Jährliche Komplettüberprüfung durch KI-Beauftragten, DPO und IT-Leitung.
• Halbjährlich Überprüfung der Whitelist.
• Quartalsweise Lagebericht an die Geschäftsleitung.
• Ad-hoc bei: neuen gesetzlichen Anforderungen, kritischen Vorfällen, Einführung neuer Tools.

Wer muss die Richtlinie unterzeichnen?

Drei Unterschriften sind üblich: Geschäftsleitung (gibt die Richtlinie frei), Betriebsrat (bestätigt Mitbestimmung), Datenschutzbeauftragter (bestätigt DSGVO-Konformität). Alle Mitarbeiter bestätigen den Empfang und die Kenntnisnahme schriftlich oder elektronisch. Ohne Empfangsbestätigung ist der Nachweis der Unterweisung brüchig.

Rollout-Plan für einen 50-MA-Betrieb

1. Woche 1: Entwurf der Richtlinie durch KI-Beauftragten, DPO und externe Beratung.
2. Woche 2: Abstimmung mit Geschäftsleitung, IT, Betriebsrat.
3. Woche 3: Betriebsvereinbarung verhandeln, anwaltlicher Gegencheck.
4. Woche 4: Freigabe durch Geschäftsleitung, Kick-off-Event mit allen Mitarbeitern.
5. Monat 2: Schulungen durchführen, Empfangsbestätigungen einsammeln, erste Audits.
6. Monat 3: Feedback-Schleife, Anpassung, Einarbeitung in neue Arbeitsverträge.

Wichtiger Hinweis zum rechtlichen Gegencheck

Die hier skizzierte Struktur ist eine Orientierungshilfe, kein Download zum 1:1-Einsatz. Jedes Unternehmen hat besondere Risiken, Sektoren und Tariflagen. Vor der Inkraftsetzung empfehlen wir dringend einen Gegencheck durch eine Anwaltskanzlei mit Schwerpunkt Arbeits- und Datenschutzrecht. Kosten liegen illustrativ bei 1.500 bis 3.500 Euro, deutlich günstiger als ein falscher Satz im Abmahnfall.

Was du diese Woche tun solltest

1. Prüfe, ob es in deinem Unternehmen bereits einen schriftlichen KI-Rahmen gibt (inoffizielle Mails zählen nicht).
2. Benenne eine verantwortliche Person für KI-Compliance (in Teilzeit reicht initial).
3. Erstelle eine Inventur aller genutzten KI-Tools über einen anonymen Fragebogen an alle Abteilungen.
4. Plane einen Termin mit Betriebsrat, DPO und Geschäftsleitung zur Vorbereitung der Richtlinie.
5. Sichere ein Budget für externe Rechtsberatung.

Eine KI-Richtlinie ist kein Selbstzweck und kein formaler Papierstapel. Sie ist die Grundlage dafür, dass du KI produktiv und rechtssicher einsetzen kannst. Unternehmen ohne Richtlinie werden in den kommenden Monaten zunehmend unter Druck geraten, sei es durch Audits von Kunden, durch Anfragen der Aufsichtsbehörden oder durch interne Vorfälle. Wer jetzt loslegt, hat einen Vorsprung von Monaten.