interne KI-Nutzungsrichtlinie

Ausführliche Erklärung

Eine interne KI-Nutzungsrichtlinie definiert die Rahmenbedingungen für den betrieblichen Einsatz von künstlicher Intelligenz. Sie legt fest, welche KI-Anwendungen freigegeben sind, welche Daten in diese Systeme eingegeben werden dürfen und welche datenschutzrechtlichen sowie urheberrechtlichen Grenzen gelten. Die Richtlinie konkretisiert Verantwortlichkeiten, Prüfpflichten für KI-generierte Inhalte und Meldewege bei Vorfällen.

Seit Februar 2025 ist die Erstellung einer solchen Richtlinie keine freiwillige Maßnahme mehr. Die EU-KI-Verordnung verpflichtet Betreiber von KI-Systemen in Artikel 4, sicherzustellen, dass Mitarbeitende über ausreichende KI-Kompetenz verfügen. Eine strukturierte Nutzungsrichtlinie ist zentraler Baustein dieser Pflicht, da sie nicht nur aufklärt, sondern Mitarbeitende nachweislich auf die Einhaltung von DSGVO und AI Act verpflichtet. Fehlt diese Vorgabe, haften Geschäftsführung und leitende Angestellte persönlich für Verstöße.

Für KMU erfüllt die Richtlinie mehrere Funktionen: Sie verhindert Schatten-IT, bei der Mitarbeitende unkontrolliert externe KI-Tools nutzen und vertrauliche Daten preisgeben. Sie schützt Geschäftsgeheimnisse, indem sie klar regelt, welche Informationen nicht in externe Systeme eingegeben werden dürfen. Sie stellt Transparenz her, etwa durch Kennzeichnung KI-erzeugter Inhalte. Und sie dient als Nachweis gegenüber Aufsichtsbehörden, dass das Unternehmen organisatorische Maßnahmen zur Risikominimierung getroffen hat.

Eine wirksame KI-Richtlinie umfasst typischerweise: eine Positivliste freigegebener Tools, Verbote für sensible Datenarten (Personaldaten, Kundendaten, Gesundheitsdaten), Anonymisierungspflichten, Prüfpflichten für Output, Regelungen zur Kennzeichnung und Meldewege bei Datenschutzvorfällen. Sie wird idealerweise ergänzt durch Schulungen und ist regelmäßig zu aktualisieren, da sich sowohl rechtliche Anforderungen als auch die genutzten KI-Systeme weiterentwickeln.