Warum braucht man Richtlinien?
Das Problem
Unkontrollierter Einsatz
Ohne klare Regeln nutzen Mitarbeiter KI-Tools auf eigene Faust – mit unterschiedlichen Diensten, Accounts und Sicherheitsstandards.
Risiko 1
Datenschutzverstöße
Firmendaten, Kundendaten und vertrauliche Informationen landen auf externen Servern – ohne dass die IT-Abteilung davon weiß.
Risiko 2
Qualitätsprobleme
KI-generierte Inhalte werden ungeprüft weiterverwendet – Fehler, Halluzinationen und falsche Fakten gelangen in offizielle Dokumente.
Ziel
Enablement statt Verbot
Eine gute Richtlinie ermöglicht den KI-Einsatz – sie verhindert ihn nicht, sondern macht ihn sicher und nachvollziehbar.
Richtlinien sind kein Bremsklotz – sie geben Mitarbeitern Sicherheit, was erlaubt ist.
Inhalte einer KI-Nutzungsrichtlinie
Eine vollständige Richtlinie regelt fünf Kernbereiche – von erlaubten Tools bis zur Verantwortlichkeit.
Punkt 1
Erlaubte Tools
Welche KI-Dienste dürfen offiziell genutzt werden? Freigabeliste pflegen und regelmäßig aktualisieren.
Punkt 2
Verbotene Eingaben
Welche Daten dürfen nicht in KI-Systeme eingegeben werden? Kundendaten, Passwörter, Vertragstexte und interne Finanzdaten.
Punkt 3
Ausgabenprüfung
KI-Ergebnisse müssen von Menschen geprüft werden – keine automatische Weiterverwendung ohne fachliche Kontrolle.
Punkt 4 + 5
Kennzeichnung + Haftung
KI-generierte Inhalte kennzeichnen. Verantwortlichkeit klar regeln – wer haftet für KI-gestützte Entscheidungen?
Punkt 1 und 2: Erlaubte Tools und verbotene Eingaben
Erlaubte Tools
Freigabeliste führen
Freigegeben (Beispiel):
– Microsoft Copilot (M365-Integration)
– ChatGPT Business (mit Datenschutzvereinbarung)
– Unternehmenseigene KI-Instanz
Nicht freigegeben:
– Private Accounts auf öffentlichen Diensten
– Unbekannte KI-Apps ohne Datenschutzprüfung
Die Liste muss regelmäßig überprüft und kommuniziert werden.
Verbotene Eingaben
Was nie in die KI darf
Immer ausgeschlossen:
– Personenbezogene Kundendaten (Name, Adresse, Kontakt)
– Zugangsdaten und Passwörter
– Interne Finanz- und Vertragsdaten
– Quellcode mit Authentifizierungslogik
– Gesundheitsdaten und besondere Kategorien (Art. 9 DSGVO)
Faustregel: Alles, was nicht in eine öffentliche E-Mail gehört, gehört auch nicht in eine externe KI.
Punkt 3–5: Prüfung, Kennzeichnung und Verantwortung
Punkt 3
Ausgabenprüfung
Jede KI-Ausgabe muss fachlich geprüft werden – insbesondere bei rechtlichen, medizinischen oder technischen Inhalten. Keine automatische Weiterleitung ohne Sichtkontrolle.
Punkt 4
Kennzeichnungspflicht
KI-generierte Inhalte müssen erkennbar sein: in Dokumenten, E-Mails oder Berichten. Beispiel: „[KI-generiert, geprüft am TT.MM.JJJJ]" – vermeidet Vertrauensprobleme und schafft Transparenz.
Punkt 5
Verantwortlichkeit
Die KI haftet nicht – der Mensch haftet. Klare Regelung: Wer eine KI-Ausgabe nutzt und weitergibt, übernimmt die Verantwortung für den Inhalt.
Zusammenspiel
Kontrolle im Prozess
Prüfung + Kennzeichnung + Verantwortung bilden die Qualitätssicherung: KI beschleunigt – Menschen verantworten das Ergebnis.
Freigabeprozess für neue KI-Tools
Bevor ein neues KI-Tool unternehmensweit eingeführt wird, durchläuft es einen strukturierten Prozess.
Schritt 1
Datenschutzfolgenabschätzung
Welche Daten werden verarbeitet? Wo werden sie gespeichert? Gibt es eine Auftragsverarbeitungsvereinbarung (AVV)?
Schritt 2
IT-Sicherheitsprüfung
IT-Sicherheitsbeauftragten und Datenschutzbeauftragten einbeziehen – bevor der erste Mitarbeiter das Tool testet.
Schritt 3
Pilotphase
Ausgewählte Nutzer testen das Tool kontrolliert – Feedback sammeln, Risiken früh erkennen, Anpassungen vor dem Rollout.
Schritt 4–5
Schulung + Überprüfung
Alle Nutzer schulen bevor der Rollout startet. Danach: regelmäßige Überprüfung – KI-Landschaft und Risiken ändern sich schnell.
Was passiert ohne Richtlinien?
Reale Szenarien
Typische Vorfälle
Szenario 1: Mitarbeiter nutzt privaten ChatGPT-Account für Kundenprojekte – Kundendaten landen auf OpenAI-Servern ohne AVV.
Szenario 2: Vertrieb generiert Angebote mit KI – ungeprüfte Preise und Konditionen werden an Kunden geschickt.
Szenario 3: Entwickler gibt Quellcode mit API-Schlüsseln in die KI – Credentials werden Teil des Trainings oder Logs.
Konsequenzen
Drei Ebenen
Rechtlich: DSGVO-Bußgelder bis zu 4 % des weltweiten Jahresumsatzes. Aufsichtsbehörde muss bei Datenschutzverstößen informiert werden.
Finanziell: Falsch generierte Angebote, Vertragsklauseln oder Berechnungen können teuer werden.
Reputationell: Kunden und Partner verlieren das Vertrauen, wenn KI-Pannen bekannt werden.
Kein KI-Einsatz ohne Richtlinie – auch „wir fangen mal klein an" braucht Regeln.
Vorlage: Minimalrichtlinie für KMU
Auch eine kurze Richtlinie ist besser als keine. Diese fünf Punkte decken die wichtigsten Risiken ab.
KI-Nutzungsrichtlinie (Kurzfassung)
1. Erlaubte Dienste: Nur freigegebene KI-Tools verwenden (aktuelle Liste: [Intranet-Link]).
2. Keine vertraulichen Daten: Kundendaten, Passwörter und interne Finanzdaten nie in externe KI-Systeme eingeben.
3. Ausgaben prüfen: Jedes KI-Ergebnis vor der Verwendung fachlich prüfen – KI macht Fehler.
4. Kennzeichnen: KI-generierte Texte in Dokumenten und E-Mails als solche markieren.
5. Verantwortung: Wer KI-Ergebnisse weiterverwendet, haftet für den Inhalt.
- Diese Kurzrichtlinie als Einstieg – für kritische Bereiche detailliertere Regelungen ergänzen
- Einmal jährlich überprüfen und bei Bedarf aktualisieren
- Von Geschäftsführung unterzeichnet und aktiv kommuniziert
Schulung und Kommunikation
Warum Schulung?
Richtlinien allein reichen nicht
Eine Richtlinie, die niemand kennt, schützt niemanden. Mitarbeiter müssen wissen:
– Was ist erlaubt und was nicht?
– Warum gelten diese Regeln?
– Was tun bei Unsicherheit?
– Wo gibt es Hilfe und Ansprechpartner?
Ohne aktive Kommunikation werden Regeln ignoriert – nicht aus böser Absicht, sondern aus Unwissenheit.
Empfehlung
Drei Maßnahmen
Pflichtschulung: Alle Mitarbeiter einmalig zur KI-Nutzungsrichtlinie schulen – kurz, praktisch, mit Beispielen.
Intranet-Seite: Aktuelle Freigabeliste, FAQ und Ansprechpartner jederzeit abrufbar.
Regelmäßige Updates: Bei neuen Tools oder Vorfällen kurzfristig informieren – KI-Landschaft ändert sich schnell.
Zusammenfassung
- Ohne Richtlinien entstehen Datenschutzverstöße, Qualitätsprobleme und Haftungsrisiken unbemerkt
- Eine KI-Nutzungsrichtlinie regelt: erlaubte Tools, verbotene Eingaben, Prüfpflicht, Kennzeichnung und Verantwortlichkeit
- Neue KI-Tools durchlaufen einen Freigabeprozess: Datenschutz → IT-Sicherheit → Pilot → Schulung → Rollout
- Auch eine kurze Minimalrichtlinie schützt besser als keine Richtlinie
- Schulung und aktive Kommunikation sind genauso wichtig wie das Dokument selbst
- Richtlinien jährlich überprüfen – die KI-Landschaft entwickelt sich schnell weiter
KI im Unternehmen einzuführen ohne Richtlinien ist wie Autofahren ohne Verkehrsregeln – es geht eine Weile gut.