KI-Nutzungsrichtlinie: Vorlage für Unternehmen

Eine KI-Nutzungsrichtlinie legt fest, welche KI-Werkzeuge im Unternehmen erlaubt sind, wofür, mit welchen Daten und unter welcher Kontrolle. Das BSI empfiehlt, Beschäftigte darüber zu informieren, welche KI-Anwendungen sie zu welchen Zwecken verwenden, welche Eingaben sie tätigen und wie sie Ausgaben weiterverwenden dürfen. Diese Regeln sollen verbindlich, etwa in einer Richtlinie, festgehalten und technisch unterstützt werden, zum Beispiel durch das Sperren oder Freischalten bestimmter Dienste (BSI, Generative KI-Modelle, Version 2.0, Maßnahme M16).

Die KI-Servicestelle der RTR rät, die Ausrichtung des Unternehmens in einer internen KI-Richtlinie abzubilden: mit klaren Rollen, Verweisen auf andere Richtlinien, klar kommuniziert und für Mitarbeitende leicht auffindbar. Um die Umsetzung von Art. 4 der KI-Verordnung belegen zu können, empfiehlt sie, KI-Strategie, Richtlinie und Schulungskonzept schriftlich festzuhalten und Schulungen je Person zu dokumentieren.

Eine schriftliche Richtlinie schreibt die KI-Verordnung nicht vor. Für Art. 4 verlangt die EU-Kommission weder ein Zertifikat noch einen KI-Beauftragten; Unternehmen können Schulungen und andere Maßnahmen intern dokumentieren (AI Literacy Q&A). Die Richtlinie ist das Werkzeug, mit dem Sie die Pflichten aus KI-Verordnung und DSGVO im Alltag umsetzen und nachweisen.

Die EU-Kommission hat den Digital Omnibus zur KI am 19. November 2025 vorgeschlagen. Beschlossen wurde er als Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026, in Kraft seit 27. Juli 2026 (Art. 4: dritter Tag nach der Veröffentlichung).

Für Betreiber von KI-Assistenten zählt vor allem: Art. 4 verlangt nicht mehr, nach besten Kräften ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen, sondern Maßnahmen, die ihre Entwicklung unterstützen (Art. 1 Nr. 5 VO 2026/1744). Art. 5 erhält zwei neue Verbote, die Hochrisiko-Pflichten beginnen später (Art. 1 Nr. 7 und 40). Art. 26 und Art. 50 Abs. 1 bis 4 blieben unverändert.

Nicht verwechseln: Parallel hat die Kommission auch Änderungen der DSGVO vorgeschlagen (Digital-Omnibus-Verordnung, COM(2025) 837). Dieses Verfahren 2025/0360/COD ist laut EUR-Lex am 25. Oktober 2026 noch nicht abgeschlossen. Es gilt die DSGVO in der bisherigen Fassung.

So verwenden Sie den Mustertext: Ersetzen Sie die Platzhalter in eckigen Klammern, füllen Sie die Anlagen aus und stimmen Sie den Text mit Datenschutz, Informationssicherheit, Personalabteilung und, falls vorhanden, dem Betriebsrat ab. Die RTR nennt als bewährte Praxis eine interdisziplinäre Beobachtung durch Technik, Recht, Compliance, IT-Security, HR und Betriebsrat, je nach Unternehmensgröße.

Warum § 8 wichtig ist: Ein Geschäftsgeheimnis ist nach § 26b Abs. 1 Z 3 UWG nur geschützt, wenn es Gegenstand angemessener Geheimhaltungsmaßnahmen ist. Regeln, welche vertraulichen Informationen in welche KI-Werkzeuge dürfen, können Teil solcher Maßnahmen sein.

Herstellerangaben ändern sich. Maßgeblich sind Ihr Vertrag und die aktuelle Dokumentation; für andere Dienste, etwa ChatGPT, gelten deren eigene Bedingungen. Das BSI rät, Werkzeuge nach festgelegten Kriterien auszuwählen, etwa Funktionen, Trainingsdaten, Sicherheitsvorkehrungen, Haftung und Betrieb (Maßnahme M1). Halten Sie in Anlage 1 fest, welches Konto und welche Vertragsvariante freigegeben ist.

• Bestandsaufnahme: KI-Systeme und KI-Funktionen erfassen, auch in Standardsoftware und nach Updates (RTR).
• Rolle je Werkzeug klären: Betreiber oder, etwa beim eigenen Chatbot, Anbieter (Art. 3 Nr. 3 und 4).
• Zwecke prüfen: nichts nach Art. 5; Anhang-III-Zwecke wie Bewerberauswahl als Hochrisiko bewerten.
• Werkzeuge nach Kriterien auswählen: Funktionen, Datenverwendung, Sicherheit, Bedingungen (BSI M1).
• Verträge klären: Auftragsverarbeitung (Art. 28 DSGVO), Training mit Eingaben, Speicherort.
• Verarbeitungsverzeichnis ergänzen (Art. 30 DSGVO), Datenschutz-Folgenabschätzung prüfen (Art. 35).
• Berechtigungen bereinigen, bevor ein Assistent auf SharePoint, OneDrive oder Teams zugreift.
• Nicht freigegebene Dienste technisch sperren, freigegebene gezielt zulassen (BSI M16).
• Mustertext anpassen, mit Datenschutz, IT-Sicherheit, HR und Betriebsrat abstimmen, freigeben.
• Richtlinie bekanntmachen und für alle leicht auffindbar ablegen (RTR).
• Schulungen planen, durchführen und je Person dokumentieren, auch für Neueintritte (Art. 4, RTR).
• Meldeweg einrichten; festlegen, wer eine Meldung nach Art. 33 DSGVO prüft.
• Kennzeichnung nach Art. 50 Abs. 4 im Freigabeprozess für Veröffentlichungen verankern.
• Richtlinie und Anlage 1 regelmäßig und anlassbezogen überprüfen (RTR).

Mustertext und Checkliste sind Empfehlungen von TOMORIS. Gesetzlich vorgegeben sind die genannten Pflichten der KI-Verordnung und der DSGVO; eine bestimmte Form der Richtlinie schreibt keines der beiden Gesetze vor.

• Richtlinie ohne Werkzeugliste: Ohne Anlage 1 ist unklar, was erlaubt ist.
• KI-Funktionen in bestehender Software übersehen: Auch Updates von Standardsoftware bringen oft neue KI-Komponenten mit (RTR).
• Berechtigungen nicht bereinigt: Microsoft Copilot nutzt Inhalte, auf die ein Benutzer zugreifen darf, also auch zu weit freigegebene Dateien (Microsoft Learn).
• Ergebnisse ungeprüft übernehmen: Überzeugende Ausgaben verleiten zu Automation Bias (BSI R8).
• Rechtsstand vor dem Digital Omnibus übernehmen: Art. 4 verlangt seit 27. Juli 2026 kein „ausreichendes Maß“ mehr; Hochrisiko-Pflichten nach Anhang III gelten erst ab 2. Dezember 2027.
• Datenschutz vergessen: Gelangen personenbezogene Daten unbefugt an Dritte, kann eine meldepflichtige Verletzung vorliegen (Art. 4 Nr. 12 und Art. 33 DSGVO).