Die einseitige KI-Richtlinie für ein DACH-Unternehmen mit 5 bis 50 Personen

Ihre Mitarbeitenden nutzen bereits KI. Die einzige Frage ist, ob sie das einheitlich und sicher tun oder in Consumer-Tools improvisieren, die Sie nicht sehen. Für ein Unternehmen mit 5 bis 50 Personen in Österreich, Deutschland oder der Schweiz brauchen Sie kein 27-seitiges Governance-Handbuch. Sie brauchen eine Seite, die auch gelesen wird, und die Folgendes abdeckt: freigegebene Tools und wie man neue beantragt, welche Daten niemals in welche Tools gehören, eine grundlegende Schulungserwartung (Ihr Anknüpfungspunkt zur KI-Kompetenz nach dem EU AI Act), eine Regel zur menschlichen Prüfung von Output, die Kennzeichnung von Chatbots und KI-Inhalten sowie eine namentlich benannte verantwortliche Person. Eine kopierfertige Vorlage finden Sie weiter unten. Das Ziel ist, sicher zu ermöglichen, nicht zu verbieten, denn ein Verbot verlagert die KI-Nutzung nur in private Accounts, in die Sie keinen Einblick haben.

Dies ist ein praktischer Leitfaden, keine Rechtsberatung. Die regulatorischen Details entsprechen dem Stand Mitte 2026, und einige sind in Bewegung; prüfen Sie sie gegen die offiziellen Quellen, bevor Sie sich darauf verlassen, und lassen Sie alles Entscheidende von Ihrer eigenen Rechtsberatung gegenlesen.

Warum ein kleines Unternehmen tatsächlich eine braucht

Keine Angstmacherei, nur Realität. Umfragen beziffern die KI-Nutzung unter Wissensarbeitenden auf rund drei Viertel, und die meisten bringen ihre eigenen Tools mit, in kleinen und mittleren Unternehmen noch stärker. Das ist Schatten-KI, und sie ist der Standardzustand, solange Sie keinen bekannten, freigegebenen Weg anbieten. Die Risiken sind konkret: Mitarbeitende haben vertraulichen Code und Kundendaten in Consumer-Chatbots eingefügt, und ungeprüfter KI-Output ist mit realen Folgen bei Kunden und vor Gericht gelandet. Eine einseitige Richtlinie schafft keine Bürokratie. Sie ersetzt unsichtbare, spontane Nutzung durch einen Weg, dem Menschen tatsächlich folgen können.

Es gibt auch einen rechtlichen Anstoß. Die Pflicht zur KI-Kompetenz nach dem EU AI Act (Artikel 4) gilt seit dem 2. Februar 2025 sowohl für Anbieter als auch für Betreiber, also faktisch für jedes Unternehmen, dessen Mitarbeitende KI nutzen. Die Messlatte ist bewusst flexibel: grundlegende, dokumentierte Schulung passend zur Rolle, kein Zertifizierungsprogramm, und es gibt keine eigene Strafe speziell zu Artikel 4, wobei die Durchsetzung ab August 2026 über die nationalen Behörden läuft. Ein Vorschlag zur Abschwächung von Artikel 4 (das Digital Omnibus) kursierte 2026, ist aber noch nicht beschlossen, behandeln Sie die aktuelle Pflicht also als geltend.

Was in die Richtlinie gehört

Acht kurze Abschnitte, jeder mit seiner Daseinsberechtigung.

Der DACH-Datenschutzteil

Wenn ein Mitarbeitender personenbezogene oder Kundendaten in ein Tool eingibt, entscheidet Ihr Unternehmen über Zweck und Mittel, ist also Verantwortlicher und trägt die DSGVO-Pflichten. Die Nutzung eines externen KI-Anbieters zur Verarbeitung personenbezogener Daten erfordert in der Regel einen Auftragsverarbeitungsvertrag (eine AVV nach Artikel 28), den Consumer-Gratis-Tarife meist nicht anbieten und die zudem mit Ihren Eingaben trainieren könnten, während Business-Tarife einen solchen üblicherweise bieten und Ihre Daten standardmäßig nicht zum Training nutzen. Das revidierte Datenschutzgesetz der Schweiz (revDSG) gilt parallel und wird als technologieneutral verstanden, deckt also auch die KI-Verarbeitung ab. Ein bewegliches Detail, das es hervorzuheben gilt: Anbieterbedingungen ändern sich schnell, beziehen Sie sich daher auf den jeweils aktuellen DPA des Anbieters, statt etwas anzunehmen. Wie diese Regime ineinandergreifen, behandeln wir in wie DSGVO und AI Act für eine DACH-SaaS zusammenspielen.

Die kopierfertige einseitige Vorlage

Einfügen, die Klammern ausfüllen, Unzutreffendes löschen. Sie ist für ein Unternehmen mit 5 bis 50 Personen gebaut, nicht für einen Konzern.

"Eine einseitige Richtlinie, die Menschen tatsächlich lesen und befolgen, schlägt ein 27-seitiges Dokument, das in einem Ordner liegt. Die Aufgabe ist nicht, compliant auszusehen. Sie besteht darin, Ihrem Team ein sicheres Ja statt einer unsichtbaren Notlösung zu geben."

Was man bewusst weglässt

Theater ist hier der Feind. Lassen Sie das vage Wunschdenken weg ("KI verantwortungsvoll nutzen" ohne Konkretes), das nur ein falsches Gefühl von Compliance erzeugt. Lassen Sie eine vollständige ISO-42001-Zertifizierung oder einen kompletten NIST-Aufbau zum KI-Risikomanagement weg; beides ist auf Konzernebene angesiedelt und für ein kleines Team unverhältnismäßig, auch wenn sie als Referenzvokabular taugen, falls Sie später wachsen. Lassen Sie lange Risikotaxonomien und erschöpfende Anwendungsfall-Kataloge weg, die niemand pflegt. Und veröffentlichen Sie niemals eine Richtlinie ohne benannte verantwortliche Person oder ohne Überprüfungsdatum, denn beides garantiert, dass sie zur Fiktion wird. Beschränken Sie sich auf die Seite, die gelesen wird.