KI-Nutzungsrichtlinie fürs Unternehmen schreiben

Warum dein Unternehmen eine KI-Richtlinie braucht

In fast jedem Unternehmen wird längst mit KI gearbeitet – nur oft ohne dass die Geschäftsleitung das offiziell erlaubt oder überhaupt weiss. Mitarbeitende kopieren Texte in ChatGPT, lassen sich Code von Copilot schreiben oder fassen Protokolle mit einem Gratis-Tool zusammen, weil es schneller geht als von Hand. Genau das nennt man Schatten-KI (Shadow AI): KI-Nutzung ausserhalb jeder Kontrolle, ohne Datenschutz-Check, ohne Wissen, welches Tool welche Daten wohin schickt.

Eine KI-Nutzungsrichtlinie (im Englischen “AI Acceptable Use Policy” oder “AI Policy”) macht diese Grauzone sichtbar und regelt sie verbindlich. Sie beantwortet für jede Mitarbeiterin und jeden Mitarbeiter drei einfache Fragen: Welche Tools darf ich nutzen? Was darf ich reingeben? An wen wende ich mich, wenn ich unsicher bin?

Ohne Richtlinie passiert im Ernstfall Folgendes: Ein Mitarbeitender kopiert einen Kundenvertrag mit Namen und Summen in ein Gratis-Chatfenster, um eine Zusammenfassung zu bekommen – und niemand hat je gesagt, dass das nicht geht. Rechtlich trägt dann meist das Unternehmen die Verantwortung, nicht die einzelne Person. Eine gute Policy schützt also nicht nur Daten, sondern auch die Mitarbeitenden, die sonst raten müssen, was erlaubt ist.

Was rein muss: die sieben Bausteine

Eine brauchbare KI-Richtlinie braucht keine 40 Seiten Juristendeutsch. Für ein KMU reichen meist zwei bis vier Seiten, wenn sie diese sieben Punkte klar beantwortet:

1. Geltungsbereich – für wen gilt das (Festangestellte, Aushilfen, Freelancer, externe Dienstleister)?
2. Erlaubte und verbotene Tools – konkrete Namen, keine vagen Formulierungen
3. Datenklassen – was darf überhaupt in ein KI-Tool eingegeben werden?
4. Freigabeprozess – wie kommt ein neues Tool auf die erlaubte Liste?
5. Schulung – wie wird KI-Kompetenz vermittelt und dokumentiert?
6. Verantwortlichkeiten – wer entscheidet, wer kontrolliert, wer meldet Vorfälle?
7. Kennzeichnung und Faktencheck – wann muss KI-generierter Inhalt als solcher markiert werden, und wer prüft ihn gegen?

Die folgenden Abschnitte gehen jeden Punkt einzeln durch.

Erlaubte und verbotene Tools

Der grösste Fehler ist eine Richtlinie, die nur sagt “KI-Nutzung ist mit Vorsicht zu geniessen”. Das hilft niemandem. Besser: eine geführte Liste, die laufend gepflegt wird.

Datenklassen: was darf überhaupt rein?

Das Herzstück jeder Richtlinie ist eine einfache Klassifizierung, die jede Mitarbeiterin ohne Jurastudium anwenden kann. Ein bewährtes Ampel-Modell:

Eine einfache Faustregel für alle, die sich die Tabelle nicht merken wollen: Würde ich das auch einem Praktikanten am ersten Tag zeigen? Nein? Dann gehört es auch nicht in ein KI-Tool ohne DPA.

Freigabeprozess: wie kommt ein neues Tool auf die Liste?

Ohne klaren Prozess landet jede Tool-Anfrage entweder auf dem Schreibtisch der IT-Leitung als Sonderfall oder – häufiger – gar nirgends, und die Person nutzt das Tool einfach ungefragt. Ein schlanker, dreistufiger Prozess reicht für die meisten KMU:

Mitarbeitende:r möchte neues KI-Tool nutzen
│
├─ Schritt 1: Kurzantrag stellen
│  (Tool-Name, Zweck, welche Datenklasse würde eingegeben)
│
├─ Schritt 2: Prüfung durch IT/Datenschutzverantwortliche:n
│  ├─ Gibt es einen Auftragsbearbeitungsvertrag (DPA)?
│  ├─ Wo werden Daten verarbeitet/gespeichert?
│  ├─ Wird mit Eingaben trainiert? (siehe Anbieter-Einstellungen)
│  └─ Passt das Tool zur höchsten benötigten Datenklasse?
│
└─ Schritt 3: Entscheid + Eintrag in Tool-Register
   ├─ Freigegeben → Tool + erlaubte Datenklasse in die Liste
   ├─ Freigegeben mit Auflagen → z. B. nur Datenklasse 🟢/🟡
   └─ Abgelehnt → Begründung dokumentieren, Alternative vorschlagen

Das Tool-Register selbst kann eine simple Tabelle in SharePoint, Confluence oder sogar Excel sein – Hauptsache, sie ist für alle einsehbar und wird aktuell gehalten. Ein Minimalbeispiel:

{
  "tool": "Claude Enterprise",
  "anbieter": "Anthropic",
  "status": "freigegeben",
  "erlaubte_datenklassen": ["oeffentlich", "intern", "vertraulich"],
  "dpa_vorhanden": true,
  "training_mit_eingaben": false,
  "geprueft_am": "2026-06-15",
  "verantwortlich": "IT-Leitung"
}

Schulung: KI-Kompetenz nachweisbar machen

Artikel 4 des EU AI Act verlangt kein Zertifikat und keine Mindeststundenzahl – aber er verlangt, dass Unternehmen zeigen können, dass sie sich um die KI-Kompetenz ihrer Belegschaft gekümmert haben. Für ein KMU reicht dafür oft ein kompaktes Format:

• Onboarding-Modul (30–60 Minuten) für alle neuen Mitarbeitenden: Was ist KI, was kann sie nicht, welche Tools sind bei uns freigegeben, was gehört in welche Datenklasse
• Jährliches Auffrisch-Update (15–20 Minuten), vor allem wenn sich Tool-Liste oder Gesetzeslage geändert hat
• Rollenspezifische Vertiefung für Personen, die KI intensiver nutzen – etwa Marketing (Bildgenerierung, Urheberrecht), IT (Code-Assistenten, Sicherheitslücken) oder HR (Bewerbungs-Screening, Diskriminierungsrisiko)
• Dokumentation: Teilnahmeliste, Datum, Inhalt – reicht meist schon als Nachweis

Verantwortlichkeiten klar zuweisen

Eine Richtlinie ohne Namen bei den Zuständigkeiten bleibt Papier. Auch im Kleinbetrieb lohnt sich eine kurze RACI-ähnliche Zuordnung:

Kennzeichnung und Faktencheck

Zwei Punkte werden in vielen Richtlinien vergessen, gehören aber zwingend rein:

• Kennzeichnungspflicht: Wann muss offengelegt werden, dass ein Text, Bild oder Video mit KI erstellt wurde? Für Marketing-Material, Kundenkommunikation und öffentliche Auftritte empfiehlt sich eine klare Regel statt Einzelfallentscheidung.
• Faktencheck-Pflicht: KI-Ausgaben können überzeugend klingen und trotzdem falsch sein (siehe Warum KI halluziniert). Bei allem, was nach aussen geht – Angebote, Verträge, fachliche Aussagen – muss ein Mensch die Fakten gegenprüfen, bevor es verschickt wird.

Vorlage: Grundgerüst zum Copy-Paste

Für den ersten Entwurf reicht dieses Grundgerüst, das du an dein Unternehmen anpasst:

KI-NUTZUNGSRICHTLINIE – [Firmenname]
Gültig ab: [Datum]  |  Version: [x.x]  |  Verantwortlich: [Name/Rolle]

1. Geltungsbereich
   Gilt für: Festangestellte, Aushilfen, Praktikant:innen, Freelancer,
   externe Dienstleister mit Zugriff auf Firmensysteme.

2. Erlaubte Tools (Stand: [Datum])
   - [Tool 1] – freigegeben für Datenklassen: öffentlich, intern, vertraulich
   - [Tool 2] – freigegeben für Datenklassen: öffentlich, intern
   - Private Gratis-Konten – nur für Datenklasse "öffentlich"

3. Datenklassen (siehe Tabelle im Anhang)
   Grundsatz: Im Zweifel eine Klasse strenger einstufen, nicht lockerer.

4. Freigabeprozess für neue Tools
   Anfrage an: [Name/Rolle] via [Kanal, z. B. Ticketsystem]
   Antwortzeit: innert [X] Werktagen

5. Schulung
   Onboarding: [Format, Dauer]
   Auffrischung: [Intervall]
   Dokumentation via: [Ablageort]

6. Verantwortlichkeiten
   siehe Tabelle "Verantwortlichkeiten"

7. Kennzeichnung und Faktencheck
   KI-generierte Inhalte für [Kanäle] werden gekennzeichnet durch: [wie]
   Freigabe vor Versand/Veröffentlichung durch: [Rolle]

8. Verstösse
   Meldung an: [Name/Rolle]
   Vorgehen bei Verstoss: [z. B. Gespräch, Eskalationsstufen]

9. Review
   Diese Richtlinie wird überprüft: [Intervall, z. B. jährlich
   oder bei wesentlichen Tool-/Rechtsänderungen]

Checkliste vor der Verabschiedung

1. Alle sieben Bausteine sind ausgefüllt, nicht nur als Überschrift stehen gelassen
2. Tool-Liste ist mit echten Produktnamen gefüllt, nicht mit “diverse KI-Tools”
3. Datenklassen-Tabelle ist an eigene Beispiele aus dem Betrieb angepasst
4. Freigabeprozess nennt eine konkrete Person/Rolle und eine Antwortfrist
5. Schulungsformat und -intervall sind festgelegt, nicht nur “wird noch organisiert”
6. Verantwortlichkeiten sind mit Namen oder Rollen hinterlegt
7. Richtlinie wurde von der Geschäftsleitung verabschiedet und allen Mitarbeitenden kommuniziert (nicht nur ins Intranet gestellt)
8. Ein Review-Datum steht fest – KI-Tools und Gesetzeslage ändern sich schnell

Verwandte Vertiefung im Wiki: Shadow AI und Governance für den Umgang mit unkontrollierter KI-Nutzung, EU AI Act für Schweizer Unternehmen für die rechtlichen Details, KI im KMU einführen für den grösseren Einführungsprozess und DSGVO/nDSG in der IT-Praxis für die Datenschutz-Grundlagen dahinter.

Weiterlernen

• EU AI Act: Artikel 4 – KI-Kompetenz im Original-Wortlaut
• GDD-Musterrichtlinie: Betriebliche Richtlinie zum Einsatz Künstlicher Intelligenz
• IHK: Muster-KI-Richtlinie als Word-Vorlage
• WKO: KI-Guidelines für KMU (PDF)
• DNV: ISO/IEC 42001 – Zertifizierung für KI-Managementsysteme
• EDÖB: Informationen zum revidierten Datenschutzgesetz