KI-Richtlinie fürs Unternehmen: Regeln, die im Alltag helfen

Erst den Geltungsbereich festlegen

Beschreibe, für wen die Regeln gelten und welche Arbeitsmittel sie erfassen. Dazu gehören eigenständige Assistenten, neue KI-Funktionen in bestehender Software und eigene Automatisierungen. Eine verständliche Regel benennt außerdem, wer bei Zweifeln entscheidet.

Lege den Zweck der Richtlinie offen: zum Beispiel erlaubte Entwurfsarbeit, Schutz vertraulicher Informationen und nachvollziehbare Ausgabeprüfung. Das Dokument selbst ist kein Nachweis, dass jeder mögliche Einsatz zulässig ist. Datenschutz, Sicherheit, Verträge und gegebenenfalls Beschäftigtenbeteiligung gehören in die konkrete Prüfung.

Ein Inventar beschreibt Aufgaben statt nur Marken

Beginne mit tatsächlich verwendeten Konten, Funktionen und Datenwegen. Der Guide Shadow AI erkennen hilft, auch bisher ungeklärte Anwendungen aufzunehmen. Gib Mitarbeitenden einen einfachen Weg, eine neue Aufgabe vorzuschlagen, ohne dafür vertrauliche Inhalte im Antrag kopieren zu müssen.

„Offen“ und „bezahlt“ sind keine Freigabekriterien

Ein kostenpflichtiges Privatkonto kann anderen Regeln folgen als ein Organisationszugang. Ein lokal installiertes Modell kann über eine Oberfläche zusätzliche Dienste erreichen. Benenne deshalb die konkrete Kombination statt pauschal eine ganze Marke freizugeben.

Auch die Lizenz einer herunterladbaren Datei gehört in die Prüfung. Der Guide Open-Source-KI richtig einordnen trennt offene Gewichte, Code, Dateninformation und Nutzungsbedingungen. Eine technische Eigenschaft beantwortet nicht automatisch eine betriebliche oder rechtliche Frage.

Regeln anhand von Beispielen erklären

Der Europäische Datenschutzausschuss erläutert Zweckbindung, Rechtsgrundlage, Datensparsamkeit, Aufbewahrung und Sicherheit als eigenständige Grundsätze. Übersetze diese Punkte in die tatsächlichen Tätigkeiten deines Teams. „Keine sensiblen Daten“ ist ohne verständliche Beispiele oft zu ungenau. Die Checkliste zum KI-Datenschutz hilft bei der Prüfung des konkreten Produkts und Datenwegs, bevor du dafür eine interne Freigabe formulierst.

• Welche Informationen sind für die Aufgabe erforderlich – und welche bleiben draußen?
• Welche Konten und Verbindungen sind dafür freigegeben?
• Wer darf Ergebnisse sehen oder weitergeben?
• Wo werden Inhalte gespeichert und wie endet die Aufbewahrung?

Bei automatisierten Abläufen zeigt n8n und Datenschutz, warum auch Fehlerprotokolle, externe Knoten und Sicherungen berücksichtigt werden müssen.

Eine kurze Arbeitsvorlage zum Anpassen

Redaktionelles Muster: Die folgende Vorlage dient dazu, Entscheidungen vorzubereiten. Sie ist keine bereits freigegebene Betriebsvereinbarung und keine vollständige Rechtsprüfung. Fülle offene Felder mit den zuständigen Stellen aus.

1. Geltungsbereich und verantwortliche Stelle
2. Freigegebene Produkte, Konten und Aufgaben
3. Erlaubte Daten und konkrete Ausschlüsse
4. Prüfung von Fakten, Rechten und Außenwirkung
5. Freigaben vor externen Aktionen
6. Antrag für neue Funktionen oder Verbindungen
7. Meldeweg bei Fehlern oder möglichem Datenabfluss
8. Schulung, Versionsstand und nächste Überprüfung

Teste das Muster mit zwei erfundenen Alltagsfällen. Wenn Mitarbeitende ohne Rückfrage erkennen, welchen Weg sie wählen sollen und wann sie anhalten müssen, ist das ein nützliches Verständlichkeitskriterium.

Ausgabeprüfung, Meldeweg und Pflege verbindlich zuordnen

Bestimme für Veröffentlichungen oder wirksame Aktionen eine passende menschliche Kontrolle. Ein Entwurf, eine Quellenrecherche und eine automatisch verschickte Nachricht haben unterschiedliche Wirkungen. Die Richtlinie sollte diese Unterschiede sichtbar machen, statt überall dieselbe pauschale Warnung zu wiederholen.

Benenne einen Meldeweg, der bei Fehlversand, ungeklärten Uploads und unerwarteten Aktionen erreichbar ist. Dokumentiere Änderungen an Produkten, Konten und Verbindungen. Überprüfe die Regelung anlassbezogen und mit dem vorgesehenen Team. Aktuelle gesetzliche Pflichten müssen unabhängig vom Muster anhand der einschlägigen Originalquellen und des konkreten Einsatzes beurteilt werden.