KI-Richtlinie: Diese sieben Punkte gehören hinein

Eine KI-Richtlinie legt fest, welche Tools erlaubt sind, welche Daten hinein dürfen, wer neue Tools freigibt und wie Ergebnisse geprüft werden. Zwei bis vier Seiten reichen, Tool-Listen gehören in den Anhang.

Die Richtlinie ist ein Baustein Ihrer KI-Governance. Dazu gehört auch, wer Regeln pflegt, neue Anwendungen prüft und das Team bei Fragen unterstützt. Responsible AI heißt hier: KI verantwortungsvoll einsetzen und Ergebnisse nachvollziehbar prüfen.

1. Freigegebene Tools

Eine Liste der erlaubten Werkzeuge mit Einsatzzweck. Alles, was nicht auf der Liste steht, braucht eine Freigabe. Für Dienste, die personenbezogene Daten verarbeiten, ist ein Auftragsverarbeitungsvertrag nötig (Art. 28 DSGVO).

2. Datenklassen

Drei Stufen genügen meist: öffentlich, intern, vertraulich. Personenbezogene Daten, Gesundheitsdaten (Art. 9 DSGVO), Kalkulationen und Konstruktionsdaten gehören nicht in frei verfügbare Tools. Wer Geschäftsgeheimnisse in öffentliche KI lädt, kann den gesetzlichen Schutz gefährden (§ 2 GeschGehG).

3. Freigabeprozess

Wer entscheidet über neue Tools, in welcher Frist, nach welchen Kriterien? Eine benannte Ansprechperson verhindert Schatten-KI besser als jedes Verbot.

4. Prüfpflicht für Ergebnisse

KI-Ausgaben werden geprüft, bevor sie das Haus verlassen. Sprachmodelle erfinden überzeugend klingende Fakten, Normen und Quellen.

5. Kennzeichnung

Seit 2. August 2026 müssen realistisch wirkende KI-Bilder, -Videos und -Stimmen als künstlich erzeugt gekennzeichnet werden, und Kunden müssen erkennen können, wenn sie mit einem Chatbot sprechen (Art. 50 KI-VO).

6. Verbotene Anwendungen

Einige Praktiken sind seit Februar 2025 verboten, zum Beispiel die Emotionserkennung von Beschäftigten am Arbeitsplatz (Art. 5 Abs. 1 lit. f KI-VO). Entscheidungen über Menschen trifft ein Mensch (Art. 22 DSGVO).

7. Meldeweg

Wer merkt, dass sensible Daten in ein Tool gelangt sind, meldet es sofort intern. Das Unternehmen hat 72 Stunden für die Meldung an die Aufsicht (Art. 33 DSGVO). Ein Meldeweg ohne Schuldzuweisung sorgt dafür, dass gemeldet wird.

Zitiervorschlag: Hinzer, G. (2026): KI-Richtlinie – Diese sieben Punkte gehören hinein. gregorhinzer.com/wissen/ki-richtlinie-inhalte/, Stand 30.09.2026.

Keine Rechtsberatung. Bei Betriebsrat oder Hochrisiko-Anwendungen empfiehlt sich die Abstimmung mit Ihrer Rechtsberatung.