Was gehört in eine KI-Richtlinie für Mitarbeiter im Unternehmen?

Jede Richtlinie beginnt mit einer präzisen Abgrenzung, für wen die Regeln gelten und welche technischen Anwendungen überhaupt im Unternehmen zugelassen sind. Dabei sollte eindeutig zwischen frei zugänglichen Cloud-Diensten mit Standardkonten und professionell integrierter Unternehmenssoftware unterschieden werden.

Mitarbeiter greifen oft ohne böse Absicht auf private Konten zurück, wenn betriebliche Alternativen fehlen oder Freigabeprozesse zu lange dauern. Die Richtlinie muss daher eine Positivliste aller ausdrücklich genehmigten Anwendungen enthalten sowie den Prozess beschreiben, wie neue Werkzeuge geprüft und freigegeben werden.

An dieser Stelle empfiehlt sich auch die organisatorische Einordnung: Während temporär genutzte Assistenzprogramme auf Zuruf einzelne Textbausteine liefern, übernimmt ein fest integrierter KI-Mitarbeiter dauerhaft wiederkehrende Arbeitsabläufe in eigenen, abgesicherten Systemgrenzen. Wie sich solche Systeme strukturell in den Betrieb einfügen, beschreibt die Übersicht zu /ki-mitarbeiter.

Der Schutz von Kunden-, Mitarbeiter- und Finanzdaten bildet den Kern jeder betrieblichen Vorgabe. Standardmodelle im Internet nutzen eingegebene Daten häufig, um ihre eigenen Algorithmen weiterzuentwickeln, wodurch Geschäftsgeheimnisse unbemerkt in fremde Trainingsdatenbestände abfließen können.

Die Richtlinie muss unmissverständlich festlegen, welche Informationsklassen unter keinen Umständen in externe Prompts eingegeben werden dürfen. Dazu zählen insbesondere personenbezogene Daten nach der Datenschutz-Grundverordnung, vertrauliche Verträge, Konstruktionszeichnungen sowie interne Kennzahlen.

Statt pauschaler Verbote benötigt die Belegschaft einfache Handlungsanweisungen, wie Daten vor der Weiterverarbeitung wirksam anonymisiert oder pseudonymisiert werden können, falls ein freigegebenes System dies erfordert.

Künstliche Intelligenz liefert statistische Wahrscheinlichkeiten, keine garantierten Fakten. Daher muss in der Richtlinie das Prinzip der menschlichen Letztverantwortung fest verankert sein: Für jedes Arbeitsergebnis haftet fachlich die Person, die es verwendet oder freigibt.

Halluzinationen, Rechenfehler und veraltete Rechtslagen können in generierten Ausgaben vorkommen. Mitarbeiter dürfen Ergebnisse daher niemals ungeprüft in Angebote, Kundenverträge, Gutachten oder behördliche Schreiben übernehmen.

Die Richtlinie definiert konkrete Kontrollschritte für rechnerische Angaben, Zitate, Quellennachweise und rechtliche Einschätzungen. Ein Arbeitsergebnis gilt erst dann als fertiggestellt, wenn ein Mitarbeiter die inhaltliche Richtigkeit verifiziert hat.

Der rechtliche Status von KI-generierten Texten, Bildern und Quellcodes ist komplex. Nach deutschem Recht sind rein maschinell erstellte Werke in der Regel nicht urheberrechtlich geschützt, bergen jedoch das Risiko, Schutzrechte Dritter zu berühren, falls geschütztes Trainingsmaterial reproduziert wird.

Unternehmen müssen regeln, ob und wie Arbeitsergebnisse intern oder extern gekennzeichnet werden müssen. Während die interne Vorbereitung eines Berichtsentwurfs oft keine Kennzeichnung verlangt, sieht dies bei veröffentlichten Fachartikeln, Marketingunterlagen oder Softwarecode anders aus.

Zudem sollten Vorgaben für die Beschaffung von Bild- und Tonmaterial definiert werden, um das Risiko von Abmahnungen wegen Urheberrechts- oder Persönlichkeitsrechtsverletzungen im Vorfeld zu minimieren.

Sicherheitsvorfälle entstehen selten durch die Algorithmen selbst, sondern durch unsachgemäßen Umgang mit Zugangsdaten und Schnittstellen. Werden API-Schlüssel oder Passwörter unbedacht in gemeinsamen Code-Repositories oder Chatverläufen geteilt, drohen schwerwiegende Sicherheitslücken.

Die Richtlinie muss festlegen, dass Schnittstellen und Systemschlüssel ausschließlich über gesicherte Passwortmanager verwaltet werden. Die Verknüpfung von privaten Konten mit Unternehmenssystemen muss technisch und organisatorisch unterbunden werden.

Darüber hinaus müssen Beschäftigte für das Phänomen des Prompt-Injections sensibilisiert werden: Manipulierte Dokumente von Dritten können Sprachmodelle dazu bringen, unerwünschte Befehle auszuführen oder Daten preiszugeben.

Eine Richtlinie entfaltet nur dann Wirkung, wenn die Belegschaft sie versteht und im Alltag anwenden kann. Juristisch überladene Regelwerke mit Dutzenden Seiten führen in der Praxis dazu, dass Mitarbeiter sie ignorieren und unbemerkt weiterarbeiten wie bisher.

Im Idealfall umfasst die grundlegende Verhaltensrichtlinie für den Alltag nicht mehr als zwei bis drei Seiten, ergänzt durch praktische Leitfäden für einzelne Abteilungen. Gibt es im Unternehmen einen Betriebsrat, ist dieser bei der Einführung von Systemen, die zur Leistungs- oder Verhaltenskontrolle genutzt werden können, frühzeitig einzubinden.

Regelmäßige kurze Schulungseinheiten stellen sicher, dass neue Mitarbeiter die Richtlinie kennen und erfahrene Kräfte über Neuerungen, wie geänderte Datenschutzbestimmungen oder neue Werkzeuge, informiert bleiben.