KI-Richtlinien
Eine KI-Richtlinie, die im Alltag trägt
Mitarbeitende wollen wissen: Was darf ich nutzen, wofür, und was nicht? Eine gute KI-Richtlinie beantwortet das kurz, mit Beispielen und mit einer Alternative für alles, was sie ausschließt. Diese Seite zeigt, was hineingehört, was Technik absichern kann und wie eine Richtlinie entsteht.
Grundsatz
Eine gute KI-Richtlinie verbietet nicht zuerst. Sie sagt, was geht, womit und wer hilft – und schließt erst dann aus, was nicht geht.
Inhalt
Acht Bausteine einer KI-Nutzungsrichtlinie
Nicht jede Richtlinie braucht alle acht gleich ausführlich. Aber zu jedem sollte sie eine Antwort haben – sonst entsteht die Antwort im Alltag von selbst.
Freigegebene Werkzeuge
Welche KI-Werkzeuge und Konten für betriebliche Aufgaben genutzt werden – und wie neue Werkzeuge freigegeben werden.
- Liste der freigegebenen Werkzeuge mit Zweck
- Weg, ein neues Werkzeug vorzuschlagen
- Wer über Freigaben entscheidet
Erlaubte und ausgeschlossene Datenkategorien
Welche Arten von Informationen in welches Werkzeug dürfen – mit Beispielen aus dem eigenen Alltag statt abstrakter Klassen.
- öffentliche und interne Informationen
- vertrauliche Unterlagen, Geschäftsgeheimnisse
- ausdrücklich ausgeschlossene Daten
Personenbezogene und vertrauliche Daten
Besondere Regeln für Kunden- und Beschäftigtendaten und für besonders schützenswerte Daten wie Gesundheitsangaben – abgestimmt mit den Datenschutzverantwortlichen.
- so wenig personenbezogene Daten wie nötig
- Rollen statt Namen, wo es reicht
- besondere Kategorien nur nach ausdrücklicher Regelung
Menschliche Prüfung und Verantwortung
KI-Ergebnisse sind Entwürfe. Wer sie weitergibt oder auf ihrer Grundlage handelt, prüft sie und bleibt verantwortlich. Entscheidungen über Menschen trifft nicht die KI.
- Fakten und Zahlen gegen die Quelle prüfen
- keine ausschließlich automatisierten Entscheidungen über Personen
- Freigabe vor Veröffentlichung oder Versand
Rollen und Berechtigungen
Wer darf was: nutzen, Assistenten erstellen und teilen, Integrationen anbinden, verwalten. Die Plattform bildet das über Rollen und Gruppen ab.
- Nutzende, Key User, Administration
- wer Assistenten teilen darf
- Vertretungen
Umgang mit KI-Ergebnissen
Wann KI-Inhalte gekennzeichnet werden, wie mit Quellen umzugehen ist und was bei Bildern, Texten nach außen und Code gilt.
- Kennzeichnung, wo nötig oder vereinbart
- Quellen nachvollziehen
- Urheber- und Nutzungsrechte beachten
Dokumentation und Eskalation
Wohin man sich wendet, wenn etwas unklar ist oder schiefgeht – und was dokumentiert wird, etwa Freigaben und Schulungen.
- eine Ansprechperson, ein Meldeweg
- Umgang mit versehentlich eingegebenen Daten
- Stand der Richtlinie und nächster Prüftermin
Schatten-KI und private Konten
Ob und wofür private oder kostenlose Konten genutzt werden dürfen – und welche freigegebene Alternative es gibt.
- klare Regel mit Begründung
- Übergangsfrist, falls private Konten verbreitet sind
- Alternative, die die Aufgabe gut löst
Beispiel-Check
Beispielrichtlinie: Darf das in dieses Werkzeug?
So kann eine Richtlinie typische Fälle einordnen – eine Beispielrichtlinie, kein Gesetz. Ändern Sie die Merkmale oder wählen Sie ein Beispiel; die Begründung zeigt, welche Regel greift. Prüfpunkte im Detail stehen unter KI und Datenschutz.
Nach der Beispielrichtlinie
Vorgesehen
Mit freigegebenem Werkzeug und für diesen Zweck spricht nichts dagegen. Das Ergebnis bleibt zu prüfen.
- Alle Bedingungen des Modells sind erfüllt.
Beispielrichtlinie, vereinfachtes Lernmodell. Die Regeln zeigen eine typische Richtlinienlogik; es gilt die strengste zutreffende Einordnung. Ihre eigene Richtlinie kann anders oder strenger sein. Das Modell trifft keine rechtliche Zulässigkeitsentscheidung und ersetzt weder Datenschutzbeauftragte noch Rechtsberatung – ENTDECKE.digital bietet keine Rechtsberatung an.
Modellregeln als Text
Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Vorgesehen → Vorgesehen – mit Auflagen → Vorher klären → Nicht vorgesehen).
- Nicht vorgesehen, wenn Welche Daten?: Interne Informationen ohne Personenbezug oder Personenbezogene Daten (Kunden, Beschäftigte) oder Vertrauliches (Verträge, Geschäftsgeheimnisse) oder Besondere Kategorien (z. B. Gesundheit) und Welches Werkzeug?: Privates oder kostenloses Konto – In privaten Konten ist nicht geregelt, was mit den Eingaben geschieht – betriebliche Daten gehören dort nicht hinein.
- Vorgesehen – mit Auflagen, wenn Welche Daten?: Öffentliche Informationen (Pressetext, Website) und Welches Werkzeug?: Privates oder kostenloses Konto – Öffentliche Inhalte sind unkritisch – aber das Konto ist nicht freigegeben. Eine Richtlinie kann private Konten ganz ausschließen; im Zweifel ein freigegebenes Werkzeug nutzen.
- Nicht vorgesehen, wenn Welche Daten?: Besondere Kategorien (z. B. Gesundheit) und Datenschutz für diesen Zweck: Noch nicht geklärt – Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) nur nach ausdrücklicher Klärung mit der Datenschutzberatung.
- Vorher klären, wenn Welche Daten?: Besondere Kategorien (z. B. Gesundheit) – Auch wenn ein Verfahren grundsätzlich geregelt ist: Bei besonderen Kategorien jeden neuen Zweck vorab abstimmen; dabei ist zu prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.
- Vorher klären, wenn Welche Daten?: Personenbezogene Daten (Kunden, Beschäftigte) und Datenschutz für diesen Zweck: Noch nicht geklärt – Für personenbezogene Daten müssen Zweck, Rechtsgrundlage und Werkzeug geklärt sein, bevor sie eingegeben werden.
- Vorgesehen – mit Auflagen, wenn Welche Daten?: Personenbezogene Daten (Kunden, Beschäftigte) und Datenschutz für diesen Zweck: Geklärt und in der Richtlinie geregelt – Nur so viele personenbezogene Daten eingeben, wie für die Aufgabe nötig sind – wo es reicht, Rollen statt Namen verwenden.
- Vorher klären, wenn Welche Daten?: Vertrauliches (Verträge, Geschäftsgeheimnisse) und Welches Werkzeug?: Externer Dienst mit Unternehmensvertrag, freigegeben – Vertrauliches verlässt hier das Unternehmen. Prüfen, ob Vertrag und Geheimhaltungsvereinbarungen mit Dritten das zulassen.
- Vorgesehen – mit Auflagen, wenn Welche Daten?: Vertrauliches (Verträge, Geschäftsgeheimnisse) und Welches Werkzeug?: KI im eigenen Microsoft-365-Mandanten, freigegeben – Microsoft 365 Copilot zeigt nur Inhalte, auf die die Person Zugriff hat, und berücksichtigt Vertraulichkeitsbezeichnungen. Voraussetzung sind aufgeräumte Berechtigungen.
- Vorher klären, wenn Wofür?: Grundlage für eine Entscheidung über Menschen – Entscheidungen, die Menschen gegenüber rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen, dürfen nach Art. 22 DSGVO grundsätzlich nicht ausschließlich automatisiert fallen. KI etwa in der Personalauswahl gilt nach der KI-Verordnung in der Regel als Hochrisiko-Anwendung – im Einzelfall vorab klären.
- Vorgesehen – mit Auflagen, wenn Wofür?: Ergebnis geht direkt an andere – KI-Ergebnisse vor der Weitergabe prüfen. Wer weitergibt, bleibt für den Inhalt verantwortlich.
Beispielrichtlinie, vereinfachtes Lernmodell. Die Regeln zeigen eine typische Richtlinienlogik; es gilt die strengste zutreffende Einordnung. Ihre eigene Richtlinie kann anders oder strenger sein. Das Modell trifft keine rechtliche Zulässigkeitsentscheidung und ersetzt weder Datenschutzbeauftragte noch Rechtsberatung – ENTDECKE.digital bietet keine Rechtsberatung an.
Technik und Regeln
Was Technik absichern kann – und was nicht
Eine Richtlinie wirkt verlässlicher, wenn die Technik sie stützt. Viele Regeln lassen sich in einer zentralen KI-Plattform oder in Microsoft 365 abbilden – aber nicht alle.
- Anmeldung und Konten: Single Sign-on mit dem Unternehmenskonto, automatische Sperre beim Austritt.
- Freigegebene Modelle und Funktionen: nur geprüfte Modelle, Integrationen und Aktionen freischalten.
- Berechtigungen: Microsoft 365 Copilot zeigt nur Inhalte, auf die die Person mindestens Lesezugriff hat, und berücksichtigt Vertraulichkeitsbezeichnungen (Microsoft Learn). Auch eigenständige Plattformen bieten teils solche Regeln – Langdock etwa eine Richtlinie für Sensitivity Labels.
- Teilen: wer Assistenten erstellen und mit wem teilen darf, über Rollen und Gruppen.
Was Technik nicht leisten kann: beurteilen, ob ein Entwurf stimmt, ob eine Kundenanfrage in ein Werkzeug gehört oder ob ein Ergebnis veröffentlicht werden sollte. Dafür braucht es Regeln, Schulung und Menschen, die Verantwortung übernehmen.
Schatten-KI
Private Konten ablösen statt nur verbieten
Wenn Mitarbeitende private oder kostenlose KI-Konten für die Arbeit nutzen, lohnt die Frage, welcher Bedarf dahintersteckt. Ein Verbot allein verschiebt die Nutzung ins Verborgene. Wirksamer ist ein freigegebenes Angebot, das die Aufgaben mindestens genauso gut löst – zusammen mit einer klaren Regel und einer Übergangsfrist.
Hilfreich ist, offen nachzufragen, wofür KI bisher genutzt wird. Die Antworten zeigen, welche Anwendungsfälle wirklich gebraucht werden – eine gute Grundlage für die Auswahl der Plattform.
Vorgehen
So entsteht eine Richtlinie
Bestand erheben
Welche Werkzeuge werden genutzt, wofür, mit welchen Daten?
Entwurf abstimmen
Mit IT, Datenschutz, Fachbereichen und – falls vorhanden – Betriebs- oder Personalrat.
Technik einrichten
Plattform, Anmeldung, Rollen und Einstellungen passend zur Richtlinie.
Bekannt machen und schulen
Kurz, mit Beispielen, mit Ansprechperson.
Regelmäßig prüfen
Fester Termin, an dem Werkzeuge, Regeln und Erfahrungen ausgewertet werden.
Weiterlesen
Die Richtlinie im Zusammenhang
Fünf Situationen durchspielen
Der Richtlinien-Explorer zeigt Datenweg, Fragen, Schutzmaßnahmen und Beteiligte.
KI und Datenschutz
Prüfpunkte vor der Einführung eines Werkzeugs.
Zentrale KI-Plattformen
Wie Plattformen Regeln technisch umsetzen.
KI-Schulungen
Damit die Richtlinie verstanden und gelebt wird.
Leistung
Wie wir unterstützen
Wir unterstützen technisch und organisatorisch. Die rechtliche Prüfung bleibt bei Ihren Datenschutzverantwortlichen bzw. Ihrer Rechtsberatung.
Richtlinie strukturieren
Bausteine, Beispiele aus Ihrem Alltag und offene Punkte für die Abstimmung zusammenstellen.
Technisch umsetzen
Plattform, Anmeldung, Rollen, freigegebene Modelle und Kennzeichnungen passend einrichten.
Bekannt machen
Schulungen und kurze Formate, damit alle die Regeln kennen und anwenden.
Häufige Fragen
Brauchen wir eine Richtlinie, wenn wir KI noch gar nicht offiziell nutzen?
Ja – gerade dann. Wird KI schon über private Konten genutzt, schafft eine kurze Richtlinie Klarheit, auch wenn sie zunächst vor allem sagt, was bis zur Einführung eines freigegebenen Werkzeugs gilt.
Gibt es eine Mustervorlage?
Wir arbeiten mit einer Struktur aus den acht Bausteinen und füllen sie mit Beispielen aus Ihrem Alltag. Eine juristisch geprüfte Vorlage stellen wir nicht bereit – die rechtliche Prüfung gehört zu Ihrer Rechts- bzw. Datenschutzberatung.
Muss der Betriebsrat beteiligt werden?
Das hängt vom Einzelfall ab. KI-Werkzeuge können Leistungs- oder Verhaltensdaten erfassen; dann kommen Mitbestimmungsrechte in Betracht. Klären Sie das bitte früh mit Ihrer Rechtsberatung – eine frühe Beteiligung erleichtert die Einführung in jedem Fall. Was das Betriebsverfassungsgesetz zu KI sagt: KI und Betriebsrat.
Wie oft sollte die Richtlinie überprüft werden?
Feste Termine helfen, etwa halbjährlich, und zusätzlich bei neuen Werkzeugen oder Funktionen. Werkzeuge und Rechtslage ändern sich schnell.
Sie möchten eine KI-Richtlinie aufsetzen?
Wir strukturieren Ihre Richtlinie und setzen sie technisch um – abgestimmt mit Ihren Datenschutzverantwortlichen. Telefon 07131-618726-0.