KI-Richtlinie (Unternehmen)

Eine KI-Richtlinie ist eine interne Anweisung, die festlegt, welche KI-Werkzeuge im Betrieb erlaubt sind, welche Daten hineindürfen und wer im Zweifel entscheidet. Eine gesetzliche Pflicht, ein solches Dokument zu führen, gibt es nicht – wer aber die KI-Kompetenzpflicht erfüllen und im Schadensfall etwas vorlegen will, kommt kaum daran vorbei.

Hintergrund ist Art. 4 EU AI Act: Seit dem 2. Februar 2025 müssen Anbieter und Betreiber ein ausreichendes Kompetenzniveau ihres Personals sicherstellen. Im Zuge des sogenannten Digital Omnibus verschiebt sich dieser Standard voraussichtlich von „sicherstellen“ zu „unterstützen“ – solange das Verfahren nicht endgültig abgeschlossen ist, gilt die ursprüngliche, strengere Fassung unverändert weiter. Anders als diese Kompetenzpflicht selbst ist die Richtlinie das Dokument, mit dem ihr sie im Alltag konkret umsetzt und belegt.

Kern jeder Richtlinie ist eine Positivliste freigegebener Werkzeuge, ergänzt um eine einfache Datenklassifizierung – etwa öffentlich, intern, vertraulich und personenbezogen. Für einen kleinen Betrieb reichen zwei bis drei Seiten; längere Dokumente werden erfahrungsgemäß nicht gelesen und ändern deshalb nichts am tatsächlichen Verhalten im Alltag.

Weil viele KI-Tools grundsätzlich Leistungs- oder Verhaltenskontrolle ermöglichen, ist ihr Einsatz häufig mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 BetrVG. Dann braucht es zusätzlich zur Richtlinie eine Betriebsvereinbarung mit dem Betriebsrat, die Details wie Tool-Whitelist und Monitoring verbindlich regelt.

Eine klare KI-Richtlinie schafft Rechtssicherheit im Alltag: Mitarbeitende erhalten eindeutige Vorgaben, welche Tools sie wie nutzen dürfen, was Unsicherheit reduziert und uneinheitliches Verhalten zwischen Abteilungen verhindert.

Sie schützt zugleich Geschäftsgeheimnisse, weil sensible interne Daten nicht ungeprüft in öffentliche KI-Modelle eingegeben werden. Ohne eine solche Positivliste landet erfahrungsgemäß jedes Tool, das jemand privat nutzt, unkontrolliert im Betrieb – die Richtlinie bremst diesen Wildwuchs, der sonst als Schatten-KI unbemerkt Risiken schafft.

Der größte Aufwand liegt selten im Schreiben, sondern im Abstimmen: Wer entscheidet über die Tool-Liste, wer prüft Datenschutzfragen, wer bindet den Betriebsrat ein? Nach unserer Erfahrung reichen für einen kleinen Betrieb ein bis zwei halbtägige Workshop-Termine, um die zwei bis drei Seiten inhaltlich zu erarbeiten.

Was eine anschließende juristische Prüfung kostet, hängt stark vom Einzelfall ab – vom Stundensatz der Kanzlei, vom Umfang der Richtlinie und davon, ob parallel eine Betriebsvereinbarung verhandelt wird. Eine seriöse Zahl vorab zu nennen wäre unehrlich; belastbarer ist, die Prüfung nach Fertigstellung des Entwurfs konkret bei eurer Kanzlei anzufragen. Bei AI READY unterstützen wir das Erarbeiten der Inhalte im Workshop; die finale juristische Prüfung bleibt bewusst bei eurer Kanzlei.

Ein Maschinenbaubetrieb mit 60 Mitarbeitenden stellt fest, dass Vertrieb und Konstruktion bereits unterschiedliche KI-Tools nutzen – vom öffentlichen Chatbot bis zur firmeneigenen Kopiloten-Lizenz. Die Geschäftsführung lässt in einem halbtägigen Workshop mit IT, Datenschutzbeauftragtem und Betriebsrat eine zweiseitige Richtlinie erarbeiten: eine Whitelist freigegebener Tools, eine Datenampel (öffentlich/intern/vertraulich/personenbezogen) und eine Meldestelle für Zweifelsfälle. Weil das Vertriebstool theoretisch Leistungsdaten protokollieren könnte, unterschreibt der Betriebsrat zusätzlich eine kurze Betriebsvereinbarung. Nach vier Wochen ist die Richtlinie Teil der Einarbeitung neuer Mitarbeitender.