Eine KI-Richtlinie ist der Punkt, an dem die meisten Betriebe hängenbleiben. Nicht weil sie das Thema nicht ernst nehmen, sondern weil die erste Frage schon schwer ist: Setzt man sich selbst hin, nimmt man ein Muster aus dem Netz, oder gibt man es aus der Hand? Alle drei Wege funktionieren — aber für sehr unterschiedliche Betriebe.
Was mir in Gesprächen immer wieder begegnet: KI läuft längst im Haus. Jemand aus dem Vertrieb schreibt Angebote mit ChatGPT, das Marketing macht Bilder, jemand im Support lässt sich Antworten vorformulieren. Nur festgelegt hat das nie jemand. Die Richtlinie ist das Dokument, das aus diesem gewachsenen Zustand einen entschiedenen macht.
Warum 2026 fast jeder Betrieb eine KI-Richtlinie braucht
Die Zahlen sind eindeutig: Laut einer repräsentativen Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten setzen 41 Prozent KI bereits ein — im Vorjahr waren es 17 Prozent. Weitere 48 Prozent planen den Einsatz oder diskutieren darüber. Die Nutzung hat sich also binnen eines Jahres mehr als verdoppelt.
Was in dieser Geschwindigkeit fast nie mitwächst, sind die Regeln dafür. Zwischen “wir benutzen das” und “wir steuern das” liegt in den meisten Betrieben, die ich sehe, eine Lücke von etlichen Monaten.
Genau in dieser Lücke entstehen die Probleme, die später teuer werden: Kundendaten, die in einem öffentlichen Tool landen und dort nicht mehr einzufangen sind. Ein KI-Text mit einer erfundenen Zahl, den niemand gegengelesen hat, bevor er beim Kunden lag. Ein Mitarbeiter, der ein Tool nutzt, von dem die Geschäftsführung nichts weiß. Eine Richtlinie verhindert das nicht automatisch — aber sie macht aus einer Grauzone eine klare Zuständigkeit.
Dazu kommt die rechtliche Seite. Seit dem 2. August 2026 gelten die Transparenzpflichten der EU-KI-Verordnung, unabhängig von der Betriebsgröße. Wer einen Chatbot betreibt oder KI-Inhalte veröffentlicht, muss das offenlegen — die Details habe ich in der KI-Kennzeichnungspflicht aufgeschrieben. Deine Richtlinie ist der Ort, an dem du festhältst, wer das im Haus umsetzt.
Was in einer KI-Richtlinie stehen muss
Bevor du dich für einen Weg entscheidest, solltest du wissen, was das Dokument abdecken muss. Nur so kannst du beurteilen, ob eine Vorlage für dich reicht:
- Erlaubte und verbotene Tools. Eine namentliche Positivliste. “Gesunder Menschenverstand” ist keine Regel, sondern eine Hoffnung.
- Datenklassen. Was darf rein, was nie? Personenbezogene Daten, Angebotskalkulationen, Verträge, Gesundheitsdaten — das gehört einzeln benannt.
- Kennzeichnung. Wann wird ein KI-Ergebnis als solches markiert, intern wie nach außen?
- Vier-Augen-Prinzip. Wer prüft KI-Ergebnisse, bevor sie das Haus verlassen? Das ist der wichtigste Punkt der ganzen Richtlinie.
- Zuständigkeit. Eine benannte Person, die Tools freigibt und bei Zweifelsfällen entscheidet.
- Kompetenz und Schulung. Wer KI einsetzt, muss sie einschätzen können; die Nachweispflicht dazu ist ein eigenes Thema.
- Meldeweg für Fehler. Was passiert, wenn doch etwas Vertrauliches im Tool gelandet ist? Ohne sanktionsfreien Meldeweg erfährst du davon nie.
- Überprüfungsintervall. Ein Datum, an dem das Dokument neu angesehen wird. Der Markt dreht sich zu schnell für “einmal und fertig”.
Acht Punkte, mehr braucht es für den Anfang nicht. Eine Richtlinie, die auf zwei Seiten passt und gelesen wird, ist jedem 30-Seiten-Werk überlegen, das im Ordner verstaubt.
Die drei Wege im Vergleich
| Selbst schreiben | Vorlage nutzen | Erstellen lassen | |
|---|---|---|---|
| Zeitaufwand intern | 3–6 Wochen nebenher | 1–2 Tage Anpassung | 2–4 Termine |
| Direkte Kosten | nur Arbeitszeit | kostenlos bis niedrig dreistellig | individuelles Angebot |
| Passgenauigkeit | hoch, wenn Fachwissen da ist | gering ohne Überarbeitung | hoch |
| Größtes Risiko | Aufwand wird unterschätzt | wird 1:1 übernommen | Auswahl des Partners |
| Passt für | Betriebe mit Recht/Compliance im Haus | einfacher KI-Einsatz, kleines Budget | gewachsene Tool-Landschaft |
Weg 1: Die KI-Richtlinie selbst schreiben
Der Vorteil liegt auf der Hand: Niemand kennt deinen Betrieb besser als du. Du weißt, welche Abteilung mit welchen Daten arbeitet und wo es heikel wird. Eine selbst geschriebene Richtlinie kann deshalb sehr genau sitzen — vorausgesetzt, jemand im Haus bringt beides mit, Prozesskenntnis und einen belastbaren Überblick über die rechtlichen Anforderungen.
Der Haken ist der Aufwand. Realistisch reden wir über drei bis sechs Wochen nebenher, in denen jemand recherchiert, formuliert, mit den Abteilungen abstimmt und wieder umschreibt. Das ist keine unlösbare Aufgabe, aber sie konkurriert mit dem Tagesgeschäft — und in dieser Konkurrenz verliert sie meistens. Der typische Ausgang ist nicht die schlechte Richtlinie, sondern die, die nach dem dritten Entwurf liegen bleibt.
Geeignet für: Betriebe mit eigener Rechts- oder Compliance-Funktion und jemandem, der die Zeit tatsächlich freigeräumt bekommt.
Weg 2: Eine KI-Richtlinie als Muster oder Vorlage nutzen
Der beliebteste Weg, weil er schnell und günstig aussieht. Und eine gute Vorlage ist auch tatsächlich etwas wert: Sie liefert dir die Struktur, erinnert dich an Punkte, die du sonst vergisst, und nimmt dir das leere Blatt. Für einen kleinen Betrieb mit überschaubarem KI-Einsatz kann eine sauber angepasste Vorlage vollkommen ausreichen.
Das entscheidende Wort ist angepasst. Eine Vorlage kennt deine Tools nicht, deine Branche nicht und deine Datenlage nicht. Wenn du sie eins zu eins übernimmst, bekommst du ein Dokument, das formal existiert und praktisch nichts regelt — es steht dann etwa ein Verbot von Tools drin, die bei dir längst produktiv laufen, während die Tools, die du wirklich nutzt, gar nicht vorkommen. Im Ernstfall ist das schlechter als keine Richtlinie, weil alle Beteiligten glauben, das Thema sei erledigt.
Wenn du diesen Weg gehst, plane die Anpassung fest ein: Tool-Liste ersetzen, Datenklassen an deine Realität anpassen, Zuständigkeiten mit echten Namen füllen, Meldeweg festlegen. Ein bis zwei Tage, dann hast du etwas Brauchbares.
Geeignet für: Kleine Betriebe mit einfachem KI-Einsatz und begrenztem Budget, die die Anpassung wirklich machen.
Weg 3: Die KI-Richtlinie erstellen lassen
Der dritte Weg lohnt sich vor allem dann, wenn deine Tool-Landschaft gewachsen ist und mehrere Systeme im Kundenkontakt stehen. Wer einen KI-Telefonassistenten laufen hat, Workflows automatisiert oder einen Web-Assistenten auf der Seite betreibt, hat Fälle abzudecken, die in keiner Standardvorlage vorkommen: Wer hört Gesprächsmitschnitte ab, wie lange werden sie aufbewahrt, was passiert bei einer Falschauskunft des Assistenten?
Der Ablauf ist in der Regel derselbe: Bestandsaufnahme der tatsächlich genutzten Tools, Risikoeinschätzung, Entwurf, eine Abstimmungsrunde mit den Betroffenen, Einführung im Team. Zwei bis vier Termine, dazwischen Arbeit auf meiner Seite. Was das kostet, hängt stark davon ab, wie viele Systeme im Spiel sind — deshalb nenne ich hier keine Hausnummer, sondern schaue mir das vorher an.
Geeignet für: Betriebe mit mehreren produktiven KI-Systemen, Kundenkontakt über KI oder besonderer Datensensibilität.
Der Fehler, der alle drei Wege ruiniert
Egal welchen Weg du wählst — wenn du ohne Bestandsaufnahme anfängst, schreibst du eine Richtlinie für einen Betrieb, den es nicht gibt. Fast überall ist der tatsächliche KI-Einsatz größer als der offiziell bekannte. Das ist Schatten-KI, und sie ist der Normalfall, nicht die Ausnahme.
Die Bestandsaufnahme ist unspektakulär: Frag im Team, welche Tools genutzt werden — ausdrücklich ohne Konsequenzen für die Nennung. Genau diese Zusage ist der Punkt, an dem es kippt. Wer eine Sanktion befürchtet, sagt nichts, und du regelst am eigentlichen Problem vorbei. Zwei Stunden ehrliche Abfrage sind mehr wert als zwei Wochen Formulierungsarbeit.
Braucht die KI-Richtlinie den Betriebsrat?
Wenn du einen Betriebsrat hast: ja, in aller Regel. Sobald eine Richtlinie das Verhalten der Beschäftigten regelt oder KI-Systeme im Spiel sind, die Leistung oder Verhalten überwachen können, greifen Mitbestimmungsrechte. In der Praxis wird daraus dann eine KI-Betriebsvereinbarung statt einer einseitigen Richtlinie.
Das klingt nach Mehraufwand und ist am Ende meistens ein Vorteil. Eine mitbestimmte Vereinbarung wird im Haus deutlich besser akzeptiert als eine Regel, die von oben kommt — und Akzeptanz entscheidet darüber, ob sich später jemand daran hält. Wichtig ist nur, den Betriebsrat früh einzubeziehen und nicht erst den fertigen Entwurf vorzulegen.
In fünf Schritten zur KI-Richtlinie
- Bestandsaufnahme. Welche Tools laufen wirklich, in welcher Abteilung, mit welchen Daten? Sanktionsfrei abfragen.
- Risiken sortieren. Wo geht es um personenbezogene Daten, wo um Kundenkontakt, wo um Geld? Diese drei Bereiche zuerst.
- Entscheidung über den Weg. Anhand der Tabelle oben — ehrlich in Bezug auf die Zeit, die intern wirklich da ist.
- Entwurf und Abstimmung. Mit den Abteilungen, die es betrifft, und gegebenenfalls dem Betriebsrat.
- Einführen und terminieren. Kurze Vorstellung im Team, ein Ansprechpartner, ein Datum für die nächste Überprüfung.
Wenn du unsicher bist, wo dein Betrieb gerade steht: Ein Website- und KI-Audit legt offen, welche KI-Systeme bei dir nach außen sichtbar sind und wo Kennzeichnung oder Regelung fehlt. Das ist meistens der ehrlichste Startpunkt. Wenn du direkt über deine Situation sprechen willst, melde dich einfach — ich sage dir auch, wenn eine angepasste Vorlage für dich reicht.
Häufige Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie gesetzlich vorgeschrieben?
Ein Dokument mit diesem Namen verlangt kein Gesetz. Die Pflichten dahinter gibt es aber sehr wohl: Transparenz beim KI-Einsatz, Nachweis ausreichender KI-Kompetenz der Beschäftigten und die Vorgaben der DSGVO. Die Richtlinie ist das Mittel, mit dem du diese Pflichten organisierst und im Zweifel auch belegen kannst.
Reicht eine kostenlose KI-Richtlinie als Muster aus dem Internet?
Als Ausgangspunkt ja, als Endprodukt nein. Eine Vorlage liefert Struktur und erinnert an vergessene Punkte. Ohne Anpassung an deine tatsächlichen Tools, Datenklassen und Zuständigkeiten bleibt sie ein Papier ohne Wirkung. Rechne mit ein bis zwei Tagen Überarbeitung.
Wie lang sollte eine KI-Richtlinie sein?
So kurz, dass sie gelesen wird. Für die meisten kleinen und mittleren Betriebe reichen zwei bis vier Seiten. Entscheidend ist nicht der Umfang, sondern ob jeder im Team nach dem Lesen weiß, welches Tool er wofür benutzen darf und wen er bei Zweifeln fragt.
Wer ist im Unternehmen für die KI-Richtlinie verantwortlich?
Die Geschäftsführung trägt die Verantwortung und kann sie nicht delegieren. Die operative Zuständigkeit — Tools freigeben, Zweifelsfälle entscheiden, Überprüfung anstoßen — sollte aber namentlich bei einer Person liegen. Eine Richtlinie ohne benannten Ansprechpartner wird nicht angewendet.
Muss ich die KI-Richtlinie mit dem Betriebsrat abstimmen?
Wenn ein Betriebsrat besteht, in aller Regel ja. Richtlinien, die das Verhalten der Beschäftigten regeln oder Systeme betreffen, die Leistung und Verhalten überwachen können, sind mitbestimmungspflichtig. Üblich ist dann eine KI-Betriebsvereinbarung. Beziehe den Betriebsrat früh ein, nicht erst beim fertigen Entwurf.
Wie oft muss eine KI-Richtlinie aktualisiert werden?
Mindestens einmal jährlich, zusätzlich immer dann, wenn ein neues KI-Tool eingeführt wird oder sich die Rechtslage ändert. Setz das Überprüfungsdatum direkt ins Dokument — sonst passiert es erfahrungsgemäß nicht.
