Die einseitige KI-Richtlinie für ein DACH-Unternehmen mit 5 bis 50 Personen

Wenn Mitarbeitende KI für Unternehmensarbeit nutzen, kann eine kurze Richtlinie einen brauchbaren Ausgangspunkt schaffen: freigegebene Tools und Antragsweg, Datenregeln, rollenbezogene KI-Kompetenz, menschliche Prüfung, anwendbare Transparenzpflichten, Vorfall-Eskalation und eine verantwortliche Person. Die kopierfertige Vorlage unten ist ein Ausgangspunkt für 5 bis 50 Personen in Österreich, Deutschland oder der Schweiz. Sie ist kein Compliance-Nachweis; risikoreichere Einsätze brauchen zusätzliche Kontrollen.

Dies ist ein praktischer Leitfaden, keine Rechtsberatung. Die regulatorischen Angaben wurden am 2. September 2026 geprüft. Klär die anwendbare Rolle, Verarbeitung, den Anwendungsfall, die Anbieterbedingungen und nationale Anforderungen mit qualifizierter Rechtsberatung.

Willst du das auf deine Tools angepasst und innerhalb einer Woche unterschriftsreif haben?

Kostenlose Beratung buchen

Warum ein kleines Unternehmen tatsächlich eine braucht

Nicht freigegebene Tools können konkrete Risiken für Vertraulichkeit, personenbezogene Daten, Sicherheit, geistiges Eigentum und Output-Qualität schaffen. Inventarisiere zuerst die tatsächliche Nutzung und biete dann einen freigegebenen Weg an. Eine einseitige Grundlage hilft nur, wenn Beschaffung, Zugriffsregeln, Schulung, Vorfallbehandlung und Prüfprozesse für höhere Risiken sie stützen.

Der geänderte Artikel 4 des EU AI Act verlangt von Anbietern und Betreibern Maßnahmen zur Förderung der KI-Kompetenz relevanter Mitarbeitender und anderer in ihrem Auftrag handelnder Personen. Zu berücksichtigen sind Wissen, Erfahrung, Ausbildung, Schulung, Kontext und betroffene Menschen. Ein bestimmtes Niveau für jede einzelne Person muss nicht garantiert werden. Die Pflicht gilt seit dem 2. Februar 2025; die Änderung trat am 27. Juli 2026 in Kraft. Eine Richtlinie kann das Programm unterstützen, erfüllt die Pflicht aber nicht allein.

Was in die Richtlinie gehört

Acht kurze Abschnitte, jeder mit seiner Daseinsberechtigung.

Abschnitt	Was er besagt
Geltungsbereich und Grundsätze	Wen und was sie abdeckt, plus ein paar klare Grundsätze: Ein Mensch bleibt verantwortlich, Daten schützen, transparent sein, vor dem Verlassen prüfen.
Freigegebene Tools	Eine namentliche Liste erlaubter Tools pro Anwendungsfall und ein einzeiliger Weg, ein neues zu beantragen. Genau das beseitigt Schatten-KI: ein Ja-Weg.
Umgang mit Daten	Was niemals in welche Tools gehört. Consumer- und Gratis-Tarife sind nichts für Unternehmensdaten; ein Business-Tarif mit unterzeichnetem DPA bzw. AVV ist der freigegebene Weg.
KI-Kompetenz	Eine kurze, dokumentierte Erwartung, dass Mitarbeitende eine grundlegende Schulung erhalten. Das ist dein Anknüpfungspunkt zu Artikel 4.
Output-Regeln	Verpflichtende menschliche Prüfung; kein ungeprüfter KI-Output im Kundenkontakt sowie in rechtlichen oder finanziellen Kontexten. Ein Vier-Augen-Prinzip für kritische Outputs.
Kennzeichnung	Sag Menschen, wenn sie mit einem Bot sprechen; kennzeichne KI-Inhalte, wo vorgeschrieben, mit der unten genannten Ausnahme bei menschlicher redaktioneller Kontrolle.
Eskalation und verantwortliche Person	Eine namentlich benannte verantwortliche Person und ein Ansprechpartner. Ohne Verantwortliche driften Richtlinie und Realität auseinander.
Überprüfungsrhythmus	Mindestens alle sechs Monate überprüfen. Tools und Recht bewegen sich schnell.

Der DACH-Datenschutzteil

DSGVO-Rollen folgen den tatsächlichen Zwecken und wesentlichen Mitteln der Verarbeitung, nicht dem Namen eines Tarifs. Verarbeitet ein Anbieter personenbezogene Daten im Auftrag des Unternehmens, sind Auftragsverarbeitungsbedingungen nach Artikel 28 erforderlich. Nutzt der Anbieter Daten für eigene Zwecke, kann er für diese Verarbeitung stattdessen Verantwortlicher sein. Consumer- und Business-Produkte unterscheiden sich je nach Anbieter, Tarif, Einstellungen, Region und Vertrag. Prüfe für den konkreten Dienst Aufbewahrung, Training, Unterauftragsverarbeiter, Übermittlungen, Sicherheit und Löschung. Das Schweizer revDSG kann zusätzlich gelten. Wie diese Regime ineinandergreifen, behandeln wir in wie DSGVO und AI Act für eine DACH-SaaS zusammenspielen.

Die kopierfertige einseitige Vorlage

Einfügen, die Klammern ausfüllen, Unzutreffendes löschen. Sie ist für ein Unternehmen mit 5 bis 50 Personen gebaut, nicht für einen Konzern.

KI-Nutzungsrichtlinie, [Firmenname]
Version [1.0] · Verantwortlich: [Name oder Rolle] · Zuletzt überprüft: [Datum] · Nächste Überprüfung: [+6 Monate]

1. Geltungsbereich und Grundsätze. Dies gilt für alle Mitarbeitenden und Auftragnehmer, die KI-Tools für Arbeiten von [Firma] nutzen. Unsere Grundsätze: Ein Mensch bleibt für jeden Output verantwortlich; wir schützen Kunden-, personenbezogene und vertrauliche Daten; wir sind transparent über den KI-Einsatz; wir prüfen, bevor wir uns verlassen.

2. Freigegebene Tools. Verwende nur: [zum Beispiel ChatGPT Team oder Enterprise, Microsoft 365 Copilot, Claude for Work]. Verwende keine privaten oder kostenlosen Accounts für Firmenarbeit. Um ein neues Tool zu beantragen, frag [Verantwortliche], bevor du es nutzt.

3. Datenregeln. Gib in kein nicht freigegebenes Tool ein: personenbezogene oder Kundendaten, vertrauliche oder vertragliche Informationen, Zugangsdaten oder Quellcode. Freigegebene Business-Tools mit unterzeichnetem DPA oder AVV und ohne Training mit unseren Daten dürfen Arbeitsdaten gemäß ihrem Tarif verarbeiten. Im Zweifel frag [Verantwortliche].

4. Schulung. Alle, die KI nutzen, absolvieren [kurzes Onboarding oder Link] und eine Auffrischung [jährlich]. Frag [Verantwortliche], wenn du unsicher bist, wie ein Tool funktioniert oder wo seine Grenzen liegen.

5. Output-Regeln. KI-Output ist ein Entwurf, niemals eine endgültige Antwort. Eine qualifizierte Person prüft jeden Output vor der Nutzung auf Richtigkeit und Kontext. Bei Inhalten im Kundenkontakt sowie in rechtlichen oder finanziellen Kontexten gilt das Vier-Augen-Prinzip. Sende niemals ungeprüften KI-Output an Kunden oder Behörden.

6. Kennzeichnung. Wende Artikel 50 nach Rolle und Inhalt an: Anbieter direkt interagierender Systeme müssen Menschen informieren, sofern die KI-Interaktion nicht offensichtlich ist; Anbieter synthetischer Inhaltssysteme haben Pflichten zur maschinenlesbaren Kennzeichnung; Betreiber haben gesonderte Offenlegungspflichten für Deepfakes und bestimmte Texte von öffentlichem Interesse. Dokumentiere jede beanspruchte Ausnahme.

7. Fragen und Eskalation. Verantwortlich: [Name, Rolle, Kontakt]. Melde jedes Datenleck, jeden fehlerhaften Output, der einen Kunden erreicht hat, oder jede "Ist das erlaubt"-Frage sofort. Kein Vorwurf fürs Fragen.

8. Überprüfung. Mindestens alle sechs Monate überprüft und immer dann, wenn sich Tools oder Recht wesentlich ändern. Bestätigt: [Unterschrift oder Freigabe].

"Eine einseitige Richtlinie, die Menschen tatsächlich lesen und befolgen, schlägt ein 27-seitiges Dokument, das in einem Ordner liegt. Die Aufgabe ist nicht, compliant auszusehen. Sie besteht darin, deinem Team ein sicheres Ja statt einer unsichtbaren Notlösung zu geben."

Was man bewusst weglässt

Vermeide vage Absichten ohne operative Regeln. Ob ISO/IEC 42001, das NIST AI RMF, ein längeres Risikoregister oder eine Zertifizierung verhältnismäßig ist, hängt von Anwendungsfall, Verträgen, Branche, Kundenanforderungen und Risiko ab. Ein kleines Unternehmen kann mit einer kurzen Richtlinie beginnen, sollte die Governance aber ausbauen, wenn Systeme, Pflichten oder mögliche Schäden es rechtfertigen.

Häufig gestellte Fragen

Braucht ein kleines Unternehmen eine KI-Richtlinie?

Eine kurze Richtlinie ist eine nützliche Grundlage, wenn Mitarbeitende KI einsetzen. Ob sie genügt, hängt von Systemen, Daten, Branche, Verträgen und Risiko ab. Maßnahmen zur KI-Kompetenz nach Artikel 4 gelten seit Februar 2025.

Was muss eine KI-Richtlinie nach dem EU AI Act enthalten?

Der AI Act schreibt keine Richtlinienvorlage vor. Artikel 4 verlangt kontextbezogene Maßnahmen zur KI-Kompetenz, während Artikel 50 Anbietern und Betreibern unterschiedliche Transparenzpflichten zuweist. Schulung und Offenlegungsregeln sind ein Ausgangspunkt, keine automatische Compliance.

Dürfen Mitarbeitende ChatGPT bei der Arbeit nutzen?

Nur im Rahmen der freigegebenen Anwendungsfälle, Konfigurationen, Verträge und Datenregeln des Unternehmens. Prüfe beim konkreten Produkt Aufbewahrung, Training, Auftragsverarbeitungsbedingungen, Unterauftragsverarbeiter, Übermittlungen, Sicherheit und Löschung.

Ist das kostenlose ChatGPT für Kundendaten DSGVO-konform?

Ohne Verarbeitungskontext gibt es darauf kein produktweites Ja oder Nein. Der Verantwortliche muss Rechtsgrundlage, Transparenz, Datenminimierung, Sicherheit, Aufbewahrung, Übermittlungsschutz sowie die richtige Anbieterrolle und Vertragsgrundlage klären. Ein Consumer-Konto kann die Unternehmensanforderungen verfehlen.

Was ist der Unterschied zwischen Consumer- und Business-KI-Tarifen?

Bedingungen und Kontrollen können sich bei Training, Aufbewahrung, Administration, Sicherheit, Unterauftragsverarbeitern, Übermittlungsmechanismen und Auftragsverarbeitungsverträgen unterscheiden. Die Bezeichnung Business allein belegt keine Compliance; bewerte den konkreten Dienst und seine Konfiguration.

Müssen wir KI-generierte Inhalte kennzeichnen?

Das hängt von Rolle und Inhalt ab. Artikel 50 trennt den Hinweis bei direkter Interaktion, maschinenlesbare Kennzeichnung durch Anbieter, Deepfake-Offenlegung und bestimmte Texte von öffentlichem Interesse. Menschliche redaktionelle Prüfung ist nur für die bezeichnete Pflicht bei Texten von öffentlichem Interesse eine Ausnahme, nicht generell.

Wer sollte in einem kleinen Unternehmen für die KI-Richtlinie verantwortlich sein?

Eine namentlich benannte Person, oft der Inhaber, die Betriebsleitung oder der IT-Ansprechpartner. Eine Richtlinie ohne Verantwortliche driftet von der Realität ab.

Was ist die Pflicht zur KI-Kompetenz nach dem EU AI Act (Artikel 4)?

Seit dem 2. Februar 2025 gilt für Anbieter und Betreiber eine KI-Kompetenzpflicht. Nach dem am 27. Juli 2026 in Kraft getretenen Digital Omnibus müssen sie Maßnahmen zur Förderung der KI-Kompetenz ergreifen und Wissen, Erfahrung, Ausbildung, Schulung, Kontext und betroffene Personen berücksichtigen. Ein bestimmtes Niveau für jede einzelne Person müssen sie nicht garantieren.

Gibt es eine kostenlose deutsche KI-Richtlinie-Vorlage?

Ja. Die WKO bietet eine kostenlose Ausfüll-Vorlage für KMU, und auch deutsche Stellen veröffentlichen Leitfäden. Die einseitige Vorlage oben ist ein fertiger DACH-Ausgangspunkt, den du anpassen kannst.

Reicht eine einseitige Richtlinie wirklich aus?

Sie kann eine nützliche Grundlage sein, ist aber kein universelles Compliance-Paket. Ergänze je nach Anwendungsfall Beschaffung, Risikobewertung, Datenschutz, Sicherheit, Vorfallbehandlung, Arbeitnehmerbeteiligung und Branchenkontrollen.

Fazit

Eine einseitige KI-Richtlinie kann einem kleinen DACH-Unternehmen eine klare operative Grundlage geben. Benenn freigegebene Tools und Anwendungsfälle, definiere Daten- und Output-Regeln, unterstütze rollenbezogene KI-Kompetenz, ordne Artikel-50-Pflichten zu, benenn eine verantwortliche Person und setz Überprüfungsauslöser.

Die Seite allein ist keine Compliance. Hinterlege sie mit produktspezifischen Verträgen und Einstellungen, Zugriffskontrollen, Schulung, Risikobewertung, Vorfallbehandlung und zusätzlicher Governance, wo Anwendungsfall oder Recht sie verlangen.

Willst du Hilfe dabei, das in deine echte, freigegebene Richtlinie zu verwandeln?