KI-Richtlinie für Unternehmen: was hineingehört, mit Vorlage
Vorweg: vorgeschrieben ist sie nicht
Die KI-Verordnung verlangt keine schriftliche Richtlinie. Trotzdem ist sie das wirksamste einzelne Dokument, das Sie erstellen können. Sie beantwortet die halbe Kundenanfrage, sie ist der einzige realistische Weg gegen Schatten-KI, und sie belegt nach Art. 4 organisatorische Sorgfalt.
Warum eine Richtlinie, wenn sie nicht Pflicht ist
Drei Gründe, in der Reihenfolge ihrer praktischen Bedeutung.
Erstens: Sie schützt Ihre Daten. Der häufigste Vorfall in KMU ist nicht ein Bussgeld, sondern ein Mitarbeiter, der einen Kundenvertrag in ein kostenloses KI-Werkzeug kopiert. Ohne Regel ist das nicht verboten, und Sie erfahren es nie.
Zweitens: Sie beantwortet Fragen von aussen. In Lieferantenfragebögen steht regelmässig "Existiert eine interne Richtlinie zur KI-Nutzung?". Ein Ja mit Datum ist in dreissig Sekunden erledigt, ein Nein kostet Erklärung.
Drittens: Sie stützt Art. 4. Die Schulungspflicht verlangt, dass Mitarbeitende KI kompetent einsetzen. Eine Richtlinie ist der schriftliche Rahmen, in dem diese Kompetenz überhaupt greifen kann.
Was hineingehört
Zwei bis drei Seiten genügen. Länger liest niemand, und was niemand liest, wirkt auch nicht. Diese acht Abschnitte decken alles Wesentliche ab:
- Zweck und Geltungsbereich. Für wen gilt die Richtlinie? Auch für Freie, Praktikanten und Externe.
- Erlaubte Werkzeuge. Eine namentliche Liste. Alles, was nicht darauf steht, ist nicht freigegeben, bis es geprüft wurde.
- Verbotene Daten. Der wichtigste Abschnitt. Personendaten, Gesundheitsdaten, Vertragsinhalte, Preise, Quellcode, alles unter Geheimhaltung. Konkret werden, nicht "sensible Daten".
- Prüfpflicht für Ergebnisse. KI-Ausgaben werden vor Verwendung geprüft. Verantwortlich bleibt der Mensch, der sie verwendet.
- Kennzeichnung nach aussen. Wann KI-Inhalte offengelegt werden, abgestimmt auf Art. 50.
- Neue Werkzeuge. Wer entscheidet über die Freigabe, und in welcher Frist. Ohne einen einfachen Weg umgehen die Leute den Prozess.
- Zuständigkeit. Eine namentlich benannte Person und eine Vertretung.
- Meldeweg bei Zwischenfällen. Ausdrücklich sanktionsfrei, siehe unten.
Vorlage zum Übernehmen
Der folgende Text ist bewusst schlicht gehalten. Ersetzen Sie die Platzhalter in eckigen Klammern und streichen Sie, was nicht passt.
Richtlinie zur Nutzung von KI-Systemen bei [Firma]
Gültig ab [Datum]. Verantwortlich: [Name, Funktion]. Vertretung: [Name].
1. Geltungsbereich. Diese Richtlinie gilt für alle Mitarbeitenden, Auszubildenden, Praktikanten sowie für Freie und externe Dienstleister, die für [Firma] tätig sind.
2. Freigegebene Werkzeuge. Freigegeben sind ausschliesslich: [Liste]. Andere KI-Werkzeuge dürfen für dienstliche Zwecke nicht eingesetzt werden, auch nicht in kostenlosen Versionen und nicht über private Zugänge.
3. Nicht erlaubte Eingaben. In KI-Werkzeuge dürfen nicht eingegeben werden: Personendaten von Kunden, Bewerbern oder Mitarbeitenden, Gesundheitsdaten, Vertragsinhalte, Kalkulationen und Preise, Zugangsdaten, Quellcode aus Kundenprojekten sowie alle Informationen, die einer Geheimhaltungsvereinbarung unterliegen.
4. Prüfung der Ergebnisse. Ergebnisse von KI-Systemen sind vor jeder Verwendung auf sachliche Richtigkeit zu prüfen. Die Verantwortung für das Ergebnis trägt die Person, die es verwendet, nicht das Werkzeug.
5. Kennzeichnung. Inhalte, die überwiegend von KI erzeugt wurden und nach aussen gehen, werden gekennzeichnet, sofern eine Kennzeichnungspflicht besteht. Im Zweifel wird gekennzeichnet.
6. Neue Werkzeuge. Der Einsatz weiterer KI-Werkzeuge ist bei [Name] zu beantragen. Über die Freigabe wird innerhalb von [z. B. fünf] Arbeitstagen entschieden.
7. Meldung von Vorfällen. Wer versehentlich gegen diese Richtlinie verstossen hat, meldet dies [Name]. Eine Meldung hat keine arbeitsrechtlichen Folgen. Ziel ist die Begrenzung des Schadens, nicht die Sanktion.
8. Schulung. Alle Mitarbeitenden werden vor der ersten Nutzung und danach jährlich in der KI-Nutzung geschult. Die Teilnahme wird dokumentiert.
9. Überprüfung. Diese Richtlinie wird mindestens jährlich sowie bei wesentlichen Rechtsänderungen überprüft.
Einführen, ohne dass sie ignoriert wird
Eine Richtlinie, die im Intranet abgelegt und nie erwähnt wird, ist Papier. Vier Dinge machen den Unterschied:
- Amnestie zum Start. Fragen Sie einmal offen und ausdrücklich folgenlos, welche Werkzeuge bereits genutzt werden. Nur so bekommen Sie eine ehrliche Liste. Wer mit einer Drohung beginnt, bekommt Schweigen und behält seine Schatten-KI.
- Kurz halten. Zwei Seiten. Jede weitere Seite senkt die Lesequote.
- Bestätigung einholen. Eine kurze Kenntnisnahme pro Person, mit Datum. Das ist gleichzeitig ein Baustein Ihres Art.-4-Nachweises.
- Freigabeweg einfach halten. Wenn eine Freigabe drei Wochen dauert, wird sie umgangen. Fünf Tage sind machbar und werden akzeptiert.
Die drei häufigsten Fehler
Zu allgemein. "Sensible Daten dürfen nicht eingegeben werden" hilft niemandem, weil jeder etwas anderes darunter versteht. Nennen Sie Kategorien beim Namen.
Zu streng. Ein pauschales KI-Verbot wird umgangen, und zwar über private Konten, wo Sie nichts mehr sehen. Eine Erlaubnis mit klaren Grenzen führt zu weniger Risiko als ein Verbot.
Ohne Zuständigkeit. Eine Richtlinie ohne benannte Person hat keinen Adressaten für Fragen und keinen für Anfragen von aussen.
Häufige Fragen
Muss der Betriebsrat beteiligt werden? In Deutschland kann ein Mitbestimmungsrecht bestehen, insbesondere wenn Systeme zur Verhaltens- oder Leistungskontrolle geeignet sind. Klären Sie das früh, nicht nach der Einführung.
Reicht die Richtlinie als Schulungsnachweis? Nein. Sie ist der Rahmen, die Schulung ist die Massnahme. Beides gehört zusammen, siehe Art. 4.
Wie oft aktualisieren? Einmal jährlich und immer dann, wenn ein neues Werkzeug freigegeben wird. Die Liste in Abschnitt 2 veraltet am schnellsten.
Gilt das auch in der Schweiz? Ja, und dort kommt das revidierte DSG hinzu, sobald Personendaten betroffen sind.
Erst das Register, dann die Richtlinie
Abschnitt 2 der Richtlinie setzt voraus, dass Sie wissen, welche Werkzeuge im Haus sind. Die kostenlose Excel-Vorlage liefert genau diese Liste.
Zur kostenlosen VorlageDirekter Download, ohne Anmeldung.