Richtlinie zur akzeptablen Nutzung von KI in Unternehmen: Vorlage und Checkliste bis 2026
Warum Sie jetzt eine Richtlinie zur akzeptablen Nutzung von KI benötigen
Eine Richtlinie zur akzeptablen Nutzung von KI (AI Acceptable Use Policy, AUP) ist das grundlegende Governance-Dokument, das festlegt, was Mitarbeiter im Umgang mit KI-Tools am Arbeitsplatz tun dürfen und was nicht. Sie ist nicht optional – sie entscheidet über kontrolliertes Risiko und unkontrollierte Gefährdung.
Folgendes passiert ohne sie:
- Haftung für fehlerhafte Ergebnisse: Wenn ein KI-System eine falsche Vertragsklausel, einen diskriminierenden Einstellungsvorschlag oder eine irreführende Kundenantwort generiert, liegt die Frage der Verantwortung ausschließlich bei Ihrem Unternehmen, wenn keine Dokumentation über Überprüfungsanforderungen oder Nutzungsgrenzen existiert.
- Datenleck durch nicht genehmigte Tools: Studien schätzen, dass 40–60 % der Unternehmensmitarbeiter nicht genehmigte KI-Tools für ihre Arbeitsaufgaben nutzen. Ohne eine Nutzungsrichtlinie gibt es kein dokumentiertes Verbot – und somit auch keine Grundlage für disziplinarische Maßnahmen im Falle eines Verstoßes.
- Regulatorisches Risiko bei Audits: Gemäß dem EU-KI-Gesetz (gültig ab 2026) müssen Organisationen, die KI in bestimmten Hochrisikobereichen einsetzen, eine entsprechende Dokumentation führen. Eine Richtlinie zur akzeptablen Nutzung von KI (AUP) ist ein zentraler Bestandteil dieser Dokumentation. Organisationen ohne eine solche Richtlinie sehen sich Compliance-Lücken gegenüber, die in behördlichen Verfahren zunehmend schwerer zu beheben sind.
- Inkonsistentes Mitarbeiterverhalten: Ohne eine einheitliche Richtlinie interpretieren verschiedene Teams den Einsatz von KI unterschiedlich. Der Vertrieb nutzt KI, um E-Mails mit Kundendaten zu erstellen. Die Personalabteilung verwendet KI, um Lebensläufe zu prüfen. Die Rechtsabteilung nutzt KI, um Verträge zusammenzufassen. Keiner dieser Anwendungsfälle wurde auf seine Angemessenheit hin überprüft, und keiner folgt einheitlichen Standards.
Was eine Richtlinie zur akzeptablen Nutzung von KI-Systemen abdecken muss: 8 Pflichtabschnitte
Eine umfassende Richtlinie zur akzeptablen Nutzung von KI in Unternehmen deckt acht Bereiche ab. Jeder Abschnitt wird im Folgenden beschrieben, gefolgt von einer praktischen Vorlage.
Vorlage für eine Richtlinie zur akzeptablen Nutzung von KI
Abschnitt 1: Anwendungsbereich und Geltungsbereich
Definieren Sie, für wen die Richtlinie gilt und welche KI-Systeme sie regelt. Unklarheiten bezüglich des Geltungsbereichs sind der häufigste Grund dafür, dass Richtlinien keinen Rechtsschutz bieten.
Diese Richtlinie gilt für alle Mitarbeitenden, Auftragnehmer, Berater und Zeitarbeiter („Nutzer“), die über Systeme, Netzwerke oder Daten von [Name der Organisation] auf KI-Tools zugreifen – unabhängig davon, ob sie vor Ort oder remote arbeiten. Sie umfasst alle KI-gestützten Software-Tools, insbesondere KI-Schreibassistenten, dialogbasierte KI-Systeme, KI-gestützte Analysetools, Code-Generierungstools, Bildgenerierungstools und in bestehende Softwareplattformen integrierte KI-Funktionen (z. B. KI-Funktionen in Microsoft 365, Salesforce oder ähnlichen Plattformen). Diese Richtlinie tritt am [Datum] in Kraft und ersetzt alle vorherigen Richtlinien zur Nutzung von KI-Tools durch Mitarbeitende.
Abschnitt 2: Zugelassene und verbotene KI-Tools
Es sollte eine klare Liste zugelassener Tools und ein ausdrückliches Verbot nicht zugelassener Tools erstellt werden. Eine Richtlinie, die lediglich die „verantwortungsvolle Nutzung von KI“ fordert, ohne zu spezifizieren, was zugelassen ist und was nicht, bietet keine sinnvolle Steuerung.
Zugelassene KI-Tools: Folgende KI-Tools sind für die geschäftliche Nutzung zugelassen: [Liste der zugelassenen Tools mit ihren zugelassenen Anwendungsfällen, z. B. „Worqlo — zugelassen für CRM-Abfragen, Pipeline-Analysen und den internen Wissensabruf.“ Die IT-Abteilung pflegt die aktuelle Liste der zugelassenen Tools unter [interner Link]. Die zugelassenen Tools haben die IT-Sicherheitsprüfung durchlaufen und unterliegen den Datenklassifizierungsregeln in Abschnitt 3.
Verbotene KI-Tools: Die Verwendung von KI-Tools, die nicht auf der Liste der zugelassenen Tools stehen, zur Verarbeitung von Geschäftsdaten von [Name der Organisation] ist untersagt. Dies umfasst auch KI-Tools für Endverbraucher (einschließlich kostenloser und privater KI-Dienste), die nicht von der IT-Abteilung geprüft wurden. Nutzer, die KI-Tools identifizieren, die für ihre Arbeit von Nutzen wären, sollten über [IT-Antragsverfahren] einen Antrag zur Bewertung stellen.
Abschnitt 3: Regeln zur Datenklassifizierung
Definieren Sie, welche Datenkategorien von KI-Tools verarbeitet werden dürfen und welche nicht. Dieser Abschnitt trägt am unmittelbarsten zur Vermeidung von Verstößen gegen gesetzliche Bestimmungen und Datenschutzverletzungen bei.
[Name der Organisation] klassifiziert Daten in vier Stufen. Pro Stufe gelten Regeln für die Nutzung von KI-Tools:
| Datenklassifizierung | Beispiele | KI-Verarbeitungsregel |
|---|---|---|
| Öffentliche | Marketingmaterialien, veröffentlichte Berichte, Pressemitteilungen | Zulässig mit zugelassenen KI-Tools |
| Intern | Allgemeine Geschäftskommunikation, Projektpläne, nicht sensible Betriebsdaten | Zulässig mit zugelassenen KI-Tools; nicht zulässig mit nicht zugelassenen Tools |
| Vertraulich | Kundenverträge, Finanzprognosen, Lieferantenvereinbarungen, nicht-öffentliche Geschäftsstrategien | Zulässig nur mit zugelassenen, unternehmensweit lizenzierten KI-Tools und entsprechenden Datenverarbeitungsvereinbarungen. |
| Eingeschränkt | PII, PHI, Zahlungskartendaten, Geschäftsgeheimnisse, rechtlich geschützte Kommunikation, regulierte Finanzdaten | Die Verarbeitung mit KI ist untersagt, es sei denn, sie wurde im Einzelfall durch eine IT-Sicherheitsprüfung ausdrücklich genehmigt. |
Abschnitt 4: Anforderungen an die menschliche Überprüfung
Legen Sie fest, welche KI-generierten Ergebnisse vor jeglicher Bearbeitung einer menschlichen Überprüfung bedürfen. Dieser Abschnitt definiert die Anforderungen Ihres Unternehmens an die menschliche Beteiligung und schützt vor Haftungsansprüchen für automatisierte Entscheidungen.
KI-Ausgaben, die die folgenden Entscheidungen oder Kommunikationen beeinflussen, müssen vor der Verwendung oder Übermittlung von einer qualifizierten Person überprüft und verifiziert werden:
- Jegliche Kommunikation mit Kunden (E-Mails, Angebote, Supportanfragen)
- Rechtsdokumente, Verträge oder Vereinbarungen jeglicher Art
- Finanzanalysen, Prognosen oder Empfehlungen
- Einstellungs- oder Leistungsbeurteilungsentscheidungen
- Empfehlungen in Bezug auf Medizin, Gesundheit oder Sicherheit
- Meldungen an Aufsichtsbehörden oder Konformitätserklärungen
KI-Ergebnisse können ohne individuelle menschliche Überprüfung für interne Produktivitätsaufgaben genutzt werden, wobei die Ergebnisse vor der externen Verwendung von einem verantwortlichen Mitarbeiter in ihrer Gesamtheit geprüft werden. Beispiele hierfür sind: erste Entwürfe, Forschungszusammenfassungen und Datenanalysen als eine von mehreren Eingaben.
Abschnitt 5: Vertraulichkeitsverpflichtungen
Den Mitarbeitern ist es ausdrücklich untersagt, vertrauliche oder geschützte Informationen in KI-Systeme einzugeben, die diese Dritten zugänglich machen könnten.
Nutzer dürfen die folgenden Daten nicht in KI-Tools eingeben, unabhängig davon, ob diese genehmigt sind oder nicht, es sei denn, die IT- und Rechtsabteilung hat das Tool ausdrücklich für diese Datenkategorie autorisiert: Namen, Identifikationsnummern oder andere personenbezogene Daten von Kunden, Mitarbeitern oder Interessenten; vertrauliche Kunden- oder Partnerdaten; geschützte Geschäftspläne, Preismodelle oder Geschäftsgeheimnisse; Informationen, die dem Anwaltsgeheimnis unterliegen; nicht-öffentliche Finanzdaten. Diese Verpflichtung gilt unabhängig davon, ob das KI-Tool auf einem Firmengerät oder einem privaten Gerät während der Ausübung beruflicher Tätigkeiten verwendet wird.
Abschnitt 6: Meldung von Vorfällen
Es muss ein klarer Meldeweg für KI-Missbrauch, unerwartete KI-Ergebnisse oder vermutete Datenlecks durch KI-Tools geschaffen werden. Nicht gemeldete Vorfälle können weder untersucht noch behoben werden.
Nutzer müssen die folgenden Vorfälle innerhalb von 24 Stunden nach ihrer Entdeckung dem [IT-Sicherheits-/Datenschutzteam] melden: (1) Verdacht auf unbefugten Zugriff auf ein genehmigtes KI-Tool oder KI-bezogene Daten. (2) Übermittlung vertraulicher Daten an ein KI-Tool, ob absichtlich oder versehentlich. (3) KI-Ausgaben, die Daten enthalten, auf die das System nach Einschätzung des Nutzers keinen Zugriff haben sollte. (4) Nutzung eines nicht genehmigten KI-Tools, das Geschäftsdaten betraf. Meldungen sind an [E-Mail-Adresse/Portal] zu richten. Mitarbeiter, die Vorfälle in gutem Glauben melden, müssen keine disziplinarischen Maßnahmen befürchten.
Abschnitt 7: Schulungsanforderungen
Verlangen Sie, dass Mitarbeiter vor dem Zugriff auf genehmigte KI-Tools eine Schulung zu KI-Kompetenz und -Richtlinien absolvieren. Die Schulung ist sowohl eine gesetzliche Vorgabe als auch der effektivste Weg, unbeabsichtigte Verstöße zu verhindern.
Alle Nutzer müssen das Schulungsmodul „Akzeptable Nutzung von KI“ von [Name der Organisation] absolvieren, bevor sie auf ein genehmigtes KI-Tool zugreifen können. Das Schulungsmodul umfasst: Regeln zur Datenklassifizierung, verbotene Anwendungsfälle, Anforderungen an die menschliche Überprüfung und Verfahren zur Meldung von Vorfällen. Die Schulung muss jährlich und immer dann wiederholt werden, wenn diese Richtlinie wesentlich aktualisiert wird. Nutzern, die die erforderliche Schulung nicht absolviert haben, wird der Zugriff auf das KI-Tool bis zum Abschluss der Schulung gesperrt. Der Schulungsfortschritt wird im [LMS-System] erfasst. Führungskräfte sind dafür verantwortlich, dass ihre direkt unterstellten Mitarbeiter die Schulung innerhalb von 30 Tagen nach Inkrafttreten dieser Richtlinie absolvieren.
Abschnitt 8: Durchsetzung und disziplinarische Konsequenzen
Die Konsequenzen für Verstöße gegen die Richtlinien müssen klar und einheitlich dargelegt werden. Eine Richtlinie ohne Durchsetzungsmechanismus wird als Empfehlung betrachtet.
Verstöße gegen diese Richtlinie werden gemäß dem üblichen Disziplinarverfahren von [Name der Organisation] geahndet, wobei die Konsequenzen der Schwere des Verstoßes angemessen sind:
- Erster Verstoß (nicht schwerwiegend): Dokumentierte mündliche Verwarnung und obligatorische Nachschulung zur Einhaltung der Richtlinien
- Zweiter Verstoß oder erster schwerwiegender Verstoß: Schriftliche Verwarnung im Personalakt; vorübergehender oder dauerhafter Entzug des Zugangs zum KI-Tool
- Dritter Verstoß oder Verstoß im Zusammenhang mit regulierten Daten: Beendigung des Arbeitsverhältnisses oder Vertrags, mögliche Meldung an die Aufsichtsbehörden und gegebenenfalls zivil- oder strafrechtliche Anzeige.
Verstöße im Zusammenhang mit vertraulichen Daten (personenbezogene Daten, Gesundheitsdaten, Finanzdaten) können unabhängig von früheren Verstößen zur sofortigen Kündigung führen und gegebenenfalls Meldepflichten gemäß geltendem Recht auslösen.
Checkliste für die Implementierung: 12 Schritte vom Entwurf bis zur Einführung
- Weisen Sie einen Richtlinienverantwortlichen zu (typischerweise: CISO, DPO oder Leiter der IT-Sicherheit).
- Überprüfen Sie die aktuelle Nutzung von KI-Tools in allen Abteilungen, bevor Sie den Entwurf erstellen.
- Erstellen Sie die Liste der genehmigten Tools in Zusammenarbeit mit der IT-Abteilung, der Rechtsabteilung und den Abteilungsleitern.
- Richten Sie die Datenklassifizierungsebenen an Ihrem bestehenden Daten-Governance-Framework aus (oder erstellen Sie ein solches).
- Definition der Anforderungen an die menschliche Überprüfung unter Einbeziehung der Rechtsabteilung und der betroffenen Geschäftsbereiche
- Erstellen Sie den Leitfaden anhand der obigen Vorlage; leiten Sie ihn zur Prüfung an die Rechtsabteilung und den CISO weiter.
- Erstellen Sie ein Schulungsmodul, das die wichtigsten Punkte der Richtlinie abdeckt (Ziel: 20–30 Minuten).
- Implementieren Sie technische Kontrollen: Erstellen Sie eine Zulassungsliste für zugelassene Tools und konfigurieren Sie DLP-Regeln für eingeschränkte Daten.
- Die Richtlinie ist allen Mitarbeitern bekannt zu geben; die Umsetzung muss innerhalb von 30 Tagen erfolgen.
- Die Teilnahme an Schulungen und die Bestätigung der Richtlinien sind Voraussetzung für den Zugriff auf KI-Tools.
- Legen Sie einen vierteljährlichen Überprüfungsrhythmus mit dem Richtlinienverantwortlichen und den Stakeholdern fest.
- Es wird ein Mechanismus geschaffen, mit dem Mitarbeiter die Genehmigung neuer Tools beantragen können (reduziert Schatten-KI).
Häufige Fehler in der Politik, die es zu vermeiden gilt
Pauschalverbote, die ignoriert werden
Richtlinien, die jegliche KI-Nutzung ohne genehmigte Alternativen verbieten, setzen Mitarbeitende unter Druck, Umgehungslösungen zu finden. Werden KI-Tools für Endverbraucher untersagt, ohne eine unternehmensweit zugelassene Alternative anzubieten, ist mit einem Anstieg – statt einem Rückgang – der Schatten-KI-Nutzung zu rechnen. Die Richtlinie muss Mitarbeitenden die Möglichkeit geben, ihre Arbeit dennoch zu erledigen.
Keine Hinweise zur Datenklassifizierung
Mitarbeiter aufzufordern, KI „verantwortungsvoll zu nutzen“, ohne zu spezifizieren, welche Daten verarbeitet werden dürfen und welche nicht, ist keine Richtlinie, sondern lediglich eine Absichtserklärung. Datenklassifizierungsregeln bilden das operative Herzstück einer KI-Nutzungsrichtlinie. Ohne sie können Mitarbeiter keine gesetzeskonformen Entscheidungen treffen, selbst wenn sie es möchten.
Kein Meldeverfahren für Vorfälle
Viele Organisationen nehmen zwar Formulierungen zur Meldung von Vorfällen in ihre Nutzungsrichtlinien auf, schaffen aber keinen tatsächlichen Meldemechanismus – weder eine E-Mail-Adresse noch ein Ticketsystem oder einen benannten Ansprechpartner. Mitarbeiter, die Vorfälle nicht einfach melden können, tun dies nicht. Entwickeln Sie den Mechanismus, bevor die Richtlinie in Kraft tritt.
Keine Schulungsanforderungen
Eine zwar unterzeichnete, aber nicht verstandene Richtlinie bietet nur minimalen Schutz. Durch verpflichtende Schulungen – und die Beschränkung des Zugangs zu KI-Tools nach deren Abschluss – wird sichergestellt, dass die Mitarbeitenden die Regeln, die sie anerkennen, tatsächlich gelesen und verstanden haben. Zudem entsteht so ein dokumentierter Nachweis, der die Haftung des Arbeitgebers bei Verstößen reduziert.
Häufig gestellte Fragen
Was sollte eine Richtlinie zur akzeptablen Nutzung von KI in Unternehmen beinhalten?
Eine umfassende KI-Nutzungsrichtlinie für Unternehmen sollte acht Bereiche abdecken: Geltungsbereich und Anwendbarkeit, zugelassene und verbotene KI-Tools, Regeln zur Datenklassifizierung, Anforderungen an die menschliche Überprüfung, Vertraulichkeitsverpflichtungen, Meldung von Vorfällen, Schulungsanforderungen sowie Durchsetzung und disziplinarische Konsequenzen. Fehlt einer dieser Bereiche, entstehen Lücken, die sowohl die Effektivität der Unternehmensführung als auch den Rechtsschutz beeinträchtigen.
Ist eine Richtlinie zur akzeptablen Nutzung von KI in Unternehmen rechtlich erforderlich?
In den meisten Ländern ist eine Nutzungsrichtlinie für KI für private Arbeitgeber noch nicht gesetzlich vorgeschrieben. Die EU-KI-Richtlinie (gültig ab 2026) verpflichtet Organisationen, die bestimmte risikoreiche KI-Systeme einsetzen, jedoch zur Führung einer entsprechenden Dokumentation, zu der auch eine Nutzungsrichtlinie gehört. Viele Rechtsabteilungen in Unternehmen fordern mittlerweile eine interne Nutzungsrichtlinie, bevor sie Verträge mit KI-Anbietern genehmigen. Selbst wenn eine Nutzungsrichtlinie nicht gesetzlich vorgeschrieben ist, reduziert sie die Haftung des Arbeitgebers bei Missbrauch von KI-Tools durch Mitarbeiter.
Wie setze ich eine Richtlinie zur akzeptablen Nutzung von KI durch?
Die Durchsetzung der Richtlinien ist am effektivsten durch eine Kombination aus technischen Kontrollen und dokumentierten Konsequenzen. Zu den technischen Kontrollen gehören die Zulassung genehmigter KI-Tools durch die IT-Abteilung, die Sperrung nicht genehmigter KI-Tools für Endnutzer auf Netzwerkebene und die Implementierung von DLP-Regeln, die die Übermittlung sensibler Daten an externe KI-Dienste kennzeichnen. Dokumentierte Konsequenzen bedeuten, dass die Richtlinie klar festlegen muss, welche Disziplinarmaßnahmen bei einem Verstoß folgen – und dass die Personalabteilung diese konsequent anwenden muss.
Welche Datenklassifizierung sollte für KI-Tools gelten?
Die meisten Frameworks zur Datenklassifizierung in Unternehmen verwenden vier Stufen: Öffentlich, Intern, Vertraulich und Eingeschränkt. Die Nutzungsregeln für KI erlauben in der Regel die Verarbeitung öffentlicher und interner Daten durch zugelassene KI-Tools, erfordern zusätzliche Kontrollen für vertrauliche Daten und verbieten die Verarbeitung eingeschränkter Daten (personenbezogene Daten, Gesundheitsdaten, Finanzdaten, Geschäftsgeheimnisse) durch KI-Systeme ohne explizite Sicherheitsprüfung und Genehmigung.
Wie gehe ich mit Schatten-KI um – also mit Mitarbeitern, die nicht genehmigte Tools verwenden?
Der effektivste Ansatz kombiniert drei Elemente: (1) Bereitstellung genehmigter und tatsächlich nützlicher Alternativen, damit Mitarbeitende keine Umwege benötigen. (2) Implementierung technischer Kontrollen, die die Nutzung nicht genehmigter Tools in Unternehmensnetzwerken und auf Unternehmensgeräten blockieren oder überwachen. (3) Klare Kommunikation der Gründe für die Richtlinie – Mitarbeitende, die das Datenrisiko verstehen, halten sich eher daran als solche, die die Richtlinie als IT-Bürokratie wahrnehmen.
Welche Strafen drohen bei Verstößen gegen die KI-Richtlinien?
Verstöße gegen die KI-Richtlinien unterliegen denselben Disziplinarmaßnahmen wie andere IT-Richtlinienverstöße. Typische abgestufte Konsequenzen sind: erster Verstoß – dokumentierte mündliche Verwarnung und verpflichtende Nachschulung, zweiter Verstoß – schriftliche Verwarnung mit Eintrag in der Personalakte, dritter Verstoß – Kündigung oder Entzug des Zugangs zu KI-Tools. Verstöße im Zusammenhang mit regulierten Daten können zur sofortigen Kündigung und zur Meldepflicht gegenüber den Aufsichtsbehörden führen.
Wie oft sollte eine Richtlinie zur akzeptablen Nutzung von KI überprüft werden?
Richtlinien zur zulässigen Nutzung von KI sollten mindestens jährlich überprüft werden – und häufiger, wenn wesentliche Änderungen eintreten, wie beispielsweise die Einführung eines neuen KI-Tools, geänderte regulatorische Anforderungen oder ein Vorfall mit KI-Missbrauch. Angesichts der rasanten Entwicklung im KI-Bereich legen viele Organisationen einen halbjährlichen Überprüfungszyklus fest.
Worin besteht der Unterschied zwischen einer KI-Nutzungsrichtlinie und einem KI-Governance-Rahmenwerk?
Eine Richtlinie zur akzeptablen Nutzung von KI (AUP) regelt das Verhalten der Mitarbeitenden – was mit KI-Tools erlaubt und was verboten ist. Ein umfassenderes KI-Governance-Framework deckt den Ansatz des Unternehmens bei der KI-Beschaffung, -Implementierung, Risikobewertung, Modellüberwachung und der Einhaltung gesetzlicher Bestimmungen ab. Die AUP ist eine Komponente eines Governance-Frameworks. Für die meisten mittelständischen Unternehmen ist es praktikabel, mit einer AUP zu beginnen und schrittweise ein umfassenderes Governance-Framework aufzubauen.
Müssen Auftragnehmer und Dritte die Richtlinien zur akzeptablen Nutzung von KI befolgen?
Ja – jeder Auftragnehmer oder Dritte, der auf Ihre Systeme zugreift, Ihre Daten verarbeitet oder Arbeiten ausführt, die Ihre Informationen einer KI-Verarbeitung zugänglich machen könnten, sollte durch Ihre Richtlinie zur akzeptablen Nutzung von KI (AI-AUP) oder eine gleichwertige Vertragsklausel abgedeckt sein. Nehmen Sie die Bestätigung der AI-AUP in die Einarbeitung von Auftragnehmern auf und ergänzen Sie Verträge und Leistungsbeschreibungen mit Dritten um Nutzungsbeschränkungen für KI.
Related articles
