KI Richtlinie Unternehmen Vorlage?

In vielen mittelständischen Unternehmen herrscht eine sogenannte Schatten-KI vor: Mitarbeiter nutzen frei zugängliche Web-Tools, um E-Mails vorzuformulieren, Programmcodes zu bereinigen oder Tabellen zusammenzufassen. Wenn hierfür Kundendaten, interne Kalkulationen oder Personalakten hochgeladen werden, drohen empfindliche Verstöße gegen die Datenschutz-Grundverordnung und vertragliche Geheimhaltungspflichten.

Ein generelles Verbot von KI führt in der Praxis fast nie zum Ziel, sondern drängt die Nutzung lediglich in den unbemerkten Raum. Eine klar formulierte Richtlinie schützt die Geschäftsführung vor Haftungsrisiken nach außen und gibt den Angestellten gleichzeitig Sicherheit bei der täglichen Arbeit.

Eine praxistaugliche Vorlage darf kein juristisches Pamphlet mit 40 Seiten sein, das niemand liest. Sie muss in fünf bis sechs verständlichen Abschnitten den Alltag der Belegschaft erfassen und sofort umsetzbare Vorgaben liefern.

Das Dokument gliedert sich klassisch in den Geltungsbereich, die Liste der offiziell freigegebenen Werkzeuge, konkrete Datenschutz- und Geheimhaltungsregeln, das Prinzip der menschlichen Endkontrolle sowie Regelungen zu Urheberrecht und Transparenz.

Der Kern jeder KI-Richtlinie betrifft den Umgang mit personenbezogenen Daten. Werden Namen, E-Mail-Adressen, Telefonnummern oder Diagnosen in frei zugängliche Sprachmodelle eingegeben, liegt ohne Auftragsverarbeitungsvertrag und Serverstandort in der EU meist ein unzulässiger Datentransfer in Drittstaaten vor.

Zudem verwenden viele Plattformen die Eingaben ihrer Nutzer standardmäßig zur Weiterschulung künftiger Modellgenerationen. Die Richtlinie muss unmissverständlich festlegen, dass firmenbezogene Kalkulationen, sensible Quellcodes und Kundendaten nur in geschützten Instanzen verarbeitet werden dürfen, die vertraglich kein Datentraining mit Kundendaten betreiben.

Sprachmodelle erzeugen statistisch plausible Texte, besitzen jedoch kein Verständnis für physikalische, juristische oder kaufmännische Richtigkeit. Halluzinationen – also frei erfundene Paragrafen, falsche Rechenergebnisse oder erfundene Daten – sind eine systemimmanente Eigenschaft dieser Technik.

In der zivilrechtlichen Praxis haftet regelmäßig das agierende Unternehmen gegenüber Dritten, da KI-Anbieter die Gewährleistung für generierte Inhalte typischerweise ausschließen. Aus diesem Grund muss die Richtlinie das Prinzip des Human-in-the-Loop verankern: Jeder Text, jedes Angebot und jede E-Mail, die das Unternehmen verlässt, muss zwingend von einem qualifizierten Mitarbeiter geprüft und freigegeben worden sein.

Eine Richtlinie für Standard-Chatbots reicht nicht mehr aus, sobald Unternehmen autonome Systeme einsetzen. Während ein klassischer KI-Assistent lediglich auf Zuruf des Nutzers reagiert und Formulierungshilfen liefert, greift ein digitaler Mitarbeiter direkt auf Schnittstellen, Warenwirtschaftssysteme oder Postfächer zu. Mehr über den grundlegenden Aufbau und das Zusammenspiel dieser Systeme erfahren Sie unter /ki-mitarbeiter.

Für autonome KI-Mitarbeiter müssen in der Richtlinie erweiterte Zugriffsrechte, Freigabeschwellen und Not-Aus-Mechanismen definiert werden. Der KI-Mitarbeiter arbeitet selbstständig innerhalb definierter Prozessgrenzen, übergibt komplexe Sonderfälle oder Prüffragen ab einer bestimmten Schadenshöhe jedoch automatisch an die zuständige Fachkraft.

In Betrieben mit Betriebsrat unterliegt die Einführung von Software, die zur Leistungs- oder Verhaltenskontrolle der Beschäftigten geeignet ist, der Mitbestimmung nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz. Da KI-Systeme Eingaben, Nutzungszeiten und Arbeitsergebnisse protokollieren können, sollte der Betriebsrat frühzeitig einbezogen werden.

Eine Betriebsvereinbarung zur KI-Nutzung stützt sich inhaltlich direkt auf die Punkte der KI-Richtlinie. Um Akzeptanz zu schaffen, muss den Beschäftigten verdeutlicht werden, dass die Richtlinie sie vor Fehlern schützt und die KI als Entlastung für Routineaufgaben dient, statt sie zu überwachen.