In den meisten Unternehmen wird KI bereits genutzt – nur nicht geregelt. Mitarbeitende greifen auf eigene Faust zu ChatGPT, Übersetzern und Bildgeneratoren, oft mit privaten Konten und ohne zu wissen, welche Daten dabei das Haus verlassen. Dieses Phänomen heißt Schatten-KI, und es ist 2026 eines der größten ungesteuerten Risiken in Betrieben. Die Antwort darauf ist keine Verbotskultur, sondern eine klare, praxistaugliche KI-Nutzungsrichtlinie. Dieser Leitfaden zeigt, was hineingehört.
Warum ein Verbot der falsche Weg ist
Wer KI pauschal verbietet, erreicht meist das Gegenteil: Die Nutzung verschwindet nicht, sie geht nur in den Untergrund. Mitarbeitende, die einen klaren Produktivitätsvorteil sehen, finden Wege – dann eben mit privaten Accounts und ohne jede Kontrolle. Eine gute Richtlinie kanalisiert die Nutzung stattdessen in sichere Bahnen: Sie erlaubt das Sinnvolle, verbietet das Riskante und gibt den Menschen Orientierung, statt sie ins Ungewisse zu schicken.
Bestandteil 1: Erlaubte und verbotene Tools
Den Kern bildet eine Liste freigegebener Werkzeuge. Stellen Sie geprüfte, geschäftstaugliche KI-Tools bereit – also Tarife mit Auftragsverarbeitungsvertrag und ohne Modelltraining auf den Eingaben. Definieren Sie:
- welche KI-Dienste freigegeben sind und für welche Aufgaben
- dass nur Firmen-Accounts, keine privaten Konten genutzt werden
- welche Tools ausdrücklich untersagt sind
- wie neue Tools beantragt und geprüft werden
Diese Liste muss leben: Der KI-Markt verändert sich schnell, also braucht es einen festen Verantwortlichen, der sie aktuell hält.
Bestandteil 2: Datenschutzregeln beim Prompten
Der heikelste Punkt ist, welche Daten überhaupt in ein KI-Tool gegeben werden dürfen. Die Richtlinie sollte unmissverständlich festhalten, dass keine personenbezogenen Kundendaten, keine Geschäftsgeheimnisse, kein Quellcode mit Sicherheitsrelevanz und keine sensiblen Personaldaten ungeschützt eingegeben werden. Praktisch hilft eine einfache Ampel-Regel: grün für unkritische, öffentliche Informationen; gelb für interne Inhalte, die anonymisiert werden müssen; rot für streng vertrauliche und personenbezogene Daten, die gar nicht hineingehören.
Bestandteil 3: Verantwortung für die Ergebnisse
Ein zentraler Grundsatz lautet: Die KI ist ein Werkzeug, die Verantwortung bleibt beim Menschen. Die Richtlinie sollte verankern, dass jede KI-Ausgabe vor Verwendung kritisch geprüft wird. KI-Systeme erfinden Fakten (Halluzinationen), übernehmen Verzerrungen aus Trainingsdaten und können fehlerhaften Code oder rechtlich problematische Texte liefern. Wer ein KI-Ergebnis ungeprüft weitergibt, haftet für die Folgen wie für jede andere eigene Arbeit. Besonders kritisch sind Rechtsauskünfte, medizinische Aussagen, Zahlen und alles, was nach außen kommuniziert wird.
Bestandteil 4: Urheberrecht und Kennzeichnung
Klären Sie, wie mit KI-generierten Inhalten umgegangen wird. Dazu gehört das Bewusstsein, dass KI-Ausgaben fremde geschützte Werke nachbilden können und dass rein maschinell erzeugte Werke urheberrechtlich heikel sind. Verweisen Sie außerdem auf die Kennzeichnungspflichten des EU AI Act: KI-generierte Bilder, Videos und bestimmte Texte müssen transparent gemacht werden, Chatbots als solche erkennbar sein.
Bestandteil 5: Schulung und KI-Kompetenz
Der AI Act verlangt seit Februar 2025 ein „ausreichendes Maß an KI-Kompetenz" beim Personal. Die Richtlinie sollte deshalb mit verpflichtenden Schulungen verknüpft sein, die Themen wie Halluzinationen, Datenschutz, Prompt-Hygiene und das Erkennen von Manipulationsversuchen abdecken. Dokumentieren Sie diese Schulungen – das ist zugleich Compliance-Nachweis und Risikovorsorge.
Bestandteil 6: Konsequenzen und Ansprechpartner
Eine Richtlinie ohne Verbindlichkeit ist wirkungslos. Benennen Sie einen klaren Ansprechpartner für KI-Fragen, definieren Sie, was bei Verstößen passiert, und schaffen Sie einen einfachen Weg, Vorfälle oder Unsicherheiten zu melden. Wichtig ist die Balance: streng genug, um ernst genommen zu werden, aber so zugänglich, dass Mitarbeitende sich trauen, im Zweifel zu fragen.
Branchenspezifische Besonderheiten beachten
Eine gute Richtlinie ist kein Standardtext von der Stange, sondern auf die Branche zugeschnitten. In einer Kanzlei oder Steuerberatung wiegt die Verschwiegenheitspflicht schwer – hier sind Mandantendaten in öffentlichen KI-Tools praktisch tabu. Im Gesundheitswesen verschärfen Patientendaten als besondere Kategorie nach Artikel 9 DSGVO die Lage zusätzlich. In der Softwareentwicklung steht die Frage im Raum, ob proprietärer Quellcode in KI-Assistenten gegeben werden darf und welche Lizenzfolgen KI-generierter Code hat. Und im Personalwesen lauert die Hochrisiko-Einstufung des AI Act, sobald KI Bewerbungen vorsortiert oder bewertet. Übersetzen Sie diese branchentypischen Risiken in konkrete Do's und Don'ts, statt es bei allgemeinen Floskeln zu belassen.
Hilfreich ist außerdem, die Richtlinie mit Positivbeispielen zu illustrieren: ein, zwei Musterfälle, wie eine Aufgabe datenschutzkonform mit KI gelöst wird, wirken im Alltag stärker als reine Verbotslisten. Mitarbeitende, die ein gutes Beispiel vor Augen haben, übertragen es leichter auf eigene Situationen.
Eine pragmatische Startstruktur
Eine schlanke KI-Richtlinie für ein KMU passt auf wenige Seiten und enthält:
- Zweck und Geltungsbereich
- Liste freigegebener und verbotener Tools
- Datenklassifizierung (Ampel-Regel) für Eingaben
- Prüf- und Verantwortungspflicht für Ergebnisse
- Regeln zu Urheberrecht und Kennzeichnung
- Schulungsverpflichtung und Ansprechpartner
- Konsequenzen bei Verstößen
Bevor Sie ein neues KI-Tool unternehmensweit freigeben, lohnt eine nüchterne Wirtschaftlichkeitsrechnung – etwa mit dem KI-Zeitersparnis-ROI-Rechner und dem LLM-API-Kosten-Rechner. Weitere Helfer finden Sie im Webtools-Bereich, vertiefende Beiträge zu Datenschutz und KI in den News.
Häufige Fragen
Brauchen auch kleine Unternehmen eine KI-Richtlinie?
Ja. Schatten-KI entsteht unabhängig von der Größe, und die KI-Kompetenzpflicht des AI Act gilt für alle. Schon eine kurze, klar formulierte Richtlinie verhindert die größten Risiken und gibt dem Team Sicherheit.
Wie verhindere ich Schatten-KI am wirksamsten?
Indem Sie attraktive, freigegebene Alternativen bereitstellen. Wer ein gutes, sicheres Firmen-Tool an die Hand bekommt, hat keinen Grund mehr, heimlich ein privates Konto zu nutzen. Verbote allein wirken kaum, gute Angebote dagegen schon.
Wer sollte die Richtlinie erstellen?
Idealerweise gemeinsam aus IT, Datenschutz, Recht und der Geschäftsführung – und mit Einbindung des Betriebsrats, sofern vorhanden, da KI-Nutzung mitbestimmungsrelevant sein kann. Wichtig ist, dass die Praxis der Fachabteilungen einfließt, damit die Regeln im Alltag tragen.
Hinweis: Dieser Leitfaden bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Stimmen Sie eine verbindliche Richtlinie mit den zuständigen Stellen in Ihrem Unternehmen ab.