Richtlinie zur KI-Nutzung im Unternehmen: Muster auf 1 Seite

Jemand aus dem Team kopiert eine Kunden-E-Mail in ChatGPT, weil er oder sie schnell eine Antwort schreiben will. An einem anderen Tag landet eine Tabelle mit Preisen und Margen dort, um sie zu „ordnen“. Das geschieht in bester Absicht, aber das Unternehmen weiß nicht, was an ein externes Werkzeug gegangen ist.

In diesem Ratgeber bekommen Sie Regeln, die auf eine Seite passen: was eingefügt werden darf und was nicht, wie Sie mit dem Team darüber sprechen, und ein Muster für die Richtlinie zum Kopieren. Das ist keine Rechtsberatung, und ich beschreibe den Stand vom 28. Oktober 2026. Bei Zweifeln wenden Sie sich an eine Anwaltskanzlei oder den Datenschutzbeauftragten.

Warum ein kleines Unternehmen eine KI-Richtlinie braucht

Ohne Regeln entscheidet jeder Mitarbeitende selbst. Einer nutzt ein bezahltes Firmenkonto, der Zweite ein kostenloses privates Konto, der Dritte ein Plug-in, von dem noch nie jemand gehört hat. Dann lässt sich kaum sagen, wohin die Kundendaten gelangt sind.

Das Dokument hat drei Aufgaben:

• Es schützt die Daten der Kundschaft, der Mitarbeitenden und des Unternehmens selbst,
• es schafft Klarheit, was die Leute ohne Rückfrage tun dürfen,
• es zeigt Kundschaft und Geschäftspartnern, dass Sie das Thema im Griff haben, was ein Teil von ihnen in Verträgen verlangen kann.

Die Richtlinie soll kein Regelwerk auf 20 Seiten sein. Eine Seite, die jemand wirklich liest, wirkt besser als eine dicke Mappe in der Schublade.

Was das Recht sagt: AI Act und DSGVO

Art. 4 AI Act (EU-KI-Verordnung, Verordnung (EU) 2024/1689) betrifft die Kompetenz im Umgang mit KI. Er gilt seit dem 2. Februar 2025 und erfasst nicht nur Anbieter von KI-Systemen, sondern auch Stellen, die sie bei der Arbeit einsetzen, also auch ein kleines Unternehmen, in dem das Team Angebote in ChatGPT schreibt. Das Paket Digital Omnibus (Verordnung (EU) 2026/1744, gilt seit dem 27. Juli 2026) hat diese Vorschrift abgeschwächt: Das Unternehmen muss nicht mehr ein bestimmtes Wissensniveau „sicherstellen“, sondern Maßnahmen ergreifen, die die KI-Kompetenz seiner Mitarbeitenden und anderer Personen fördern, die KI in seinem Namen bedienen. Es ist also keine Pflicht, eine „Richtlinie zu besitzen“, aber Schulung und klare Regeln helfen, sie zu erfüllen. Die Europäische Kommission erläutert in ihren Fragen und Antworten zur KI-Kompetenz, dass kein Zertifikat nötig ist und ein Unternehmen intern ein Schulungsprotokoll führen kann.

Die zweite Säule ist die DSGVO. Personenbezogene Daten sind auch Vor- und Nachname mit Adresse, eine Telefonnummer, eine E-Mail-Adresse oder der Inhalt einer E-Mail von einer bestimmten Person. Sie in ein externes Werkzeug einzufügen, ist eine Datenverarbeitung. Sie brauchen also eine Rechtsgrundlage, einen Zweck und in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter. Hinweise finden Sie auf der Seite uodo.gov.pl der polnischen Datenschutzbehörde UODO.

Das dritte Element sind Geschäftsgeheimnisse: Preislisten, Margen, Verträge, Code, Pläne. Die ustawa o zwalczaniu nieuczciwej konkurencji (das polnische Gesetz gegen unlauteren Wettbewerb) schützt ein Unternehmensgeheimnis nur dann, wenn das Unternehmen mit der gebotenen Sorgfalt für dessen Vertraulichkeit sorgt (Art. 11 Abs. 2). Schriftliche Regeln zur Nutzung von KI sind eine solche Maßnahme, und Daten, die das Unternehmen bereits verlassen haben, lassen sich in der Regel nicht zurückholen.

Kostenloser oder geschäftlicher Tarif: wo der Unterschied liegt

Die wichtigste Frage lautet: Nutzt der Anbieter das, was Sie einfügen, zum Training seiner Modelle? Die Antwort hängt vom Tarif und den Einstellungen ab, und die Anbieter ändern sie. Prüfen Sie deshalb die aktuellen Bedingungen zu dem Tag, an dem Sie die Richtlinie einführen.

Das allgemeine Schema sieht so aus:

Das ist eine Verallgemeinerung, keine Garantie. Lesen Sie vor der Entscheidung die Bedingungen des gewählten Werkzeugs. Einen Vergleich der Abos habe ich im Ratgeber ChatGPT oder Gemini für Unternehmen beschrieben.

Was erlaubt ist und was nicht: drei Farben

Am einfachsten teilen Sie die Daten in drei Gruppen ein. Mitarbeitende merken sich Farben schneller als Paragrafen.

Grün: darf eingefügt werden

• öffentliche Texte, z. B. Beschreibungen von der Firmenwebsite,
• allgemeine Fragen („wie schreibe ich ein Angebot für den Einbau von Fenstern“),
• eigene Textentwürfe ohne Kundendaten,
• anonymisierte Daten, aus denen sich weder eine Person noch ein Unternehmen erkennen lässt.

Gelb: nur im Firmentarif und nach Anonymisierung

• interne Verfahren und Anleitungen,
• Vertragsauszüge ohne die Namen der Parteien,
• anonyme Verkaufsübersichten,
• der Inhalt von E-Mails, nachdem die Daten durch Platzhalter wie „Person A“ ersetzt wurden.

Rot: wird nie eingefügt

• personenbezogene Daten von Kundschaft und Mitarbeitenden (Vor- und Nachname, Adresse, Telefonnummer, PESEL, also die polnische Personenkennzahl, E-Mail-Adresse),
• Gesundheitsdaten und andere besondere Kategorien von Daten,
• Passwörter, API-Schlüssel, Zugänge zu Systemen,
• Großhandelspreislisten, Margen, Verträge mit Geschäftspartnern, die der Vertraulichkeit unterliegen,
• Code und Dokumentation, die nicht offengelegt werden dürfen,
• Kartendaten, Kontonummern.

Test mit einer Frage: Wäre es für mich in Ordnung, wenn das, was ich einfüge, auf dem Bildschirm der Konkurrenz oder von Kunden landen würde? Wenn nicht, füge ich es nicht ein.

Einen Text in 2 Minuten anonymisieren

Die meisten Aufgaben lassen sich ohne echte Daten erledigen. Ersetzen Sie sie durch Platzhalter:

1. Vor- und Nachnamen durch „Person A“, „Person B“.
2. Firmennamen durch „Firma X“.
3. Adressen, Telefonnummern und E-Mail-Adressen ganz entfernen.
4. Beträge runden oder durch Beispielwerte ersetzen.
5. Den Text noch einmal lesen und nach Einzelheiten suchen, an denen sich jemand erkennen lässt (eine seltene Position, ein ungewöhnliches Projekt).

Erst einen so vorbereiteten Text fügen Sie in das Werkzeug ein. Die Antwort ergänzen Sie mit den echten Daten außerhalb davon.

Weitere Regeln: prüfen, kennzeichnen, nachfragen

Eine KI-Richtlinie betrifft nicht nur die Eingaben. Ergänzen Sie einige Regeln dazu, was herauskommt:

• Ein Mensch prüft das Ergebnis. KI irrt sich in selbstsicherem Ton: Sie erfindet Zahlen, Vorschriften und Firmennamen. Nichts geht an die Kundschaft, ohne gelesen zu werden.
• KI gilt nicht als Quelle für Fakten. Preise, Fristen und rechtliche Anforderungen prüfen wir in offiziellen Quellen.
• Wir kennzeichnen, wo es nötig ist. Seit dem 2. August 2026 verlangt Art. 50 AI Act, dass ein Chatbot auf der Website sagt, dass er eine KI ist, und ein Teil der KI-Inhalte, zum Beispiel Deepfakes, muss gekennzeichnet werden. Details im Ratgeber zu KI-Chatbot und AI Act.
• Alle wissen, wen sie fragen können. Benennen Sie eine Person, die Zweifelsfälle entscheidet.
• Pannen melden wir ohne Strafe für Ehrlichkeit. Wer etwas einfügt, was nicht hineingehört, soll das sofort sagen.

Muster einer KI-Richtlinie auf 1 Seite

Unten ein Entwurf zum Kopieren. Passen Sie die Namen der Werkzeuge und die Kontaktperson an.

Richtlinie zur Nutzung von KI im Unternehmen [Name] Gilt ab [Datum]. Verantwortlich für die Regeln: [Vor- und Nachname, Kontakt].

1. Erlaubte Werkzeuge: [z. B. ChatGPT Business mit Firmenkonten]. Andere KI-Werkzeuge nutzen wir für die Arbeit nicht ohne Genehmigung.
2. Konten: Für die Arbeit nutzen wir nur Firmenkonten, keine privaten.
3. Grüne Daten (öffentlich, allgemeine Fragen) dürfen eingefügt werden.
4. Gelbe Daten (Verfahren, anonymisierte Texte) fügen wir erst ein, nachdem personenbezogene Daten und Namen entfernt wurden.
5. Rote Daten fügen wir nie ein: personenbezogene Daten, Gesundheitsdaten, Passwörter, Schlüssel, vertrauliche Verträge und Preislisten.
6. Wir prüfen das Ergebnis. Nichts von der KI geht an die Kundschaft, ohne von einem Menschen gelesen worden zu sein.
7. Wir kennzeichnen KI-Inhalte und Chatbots dort, wo das Recht es verlangt.
8. Zweifel und Pannen melden wir sofort an [Person]. Niemand wird für eine ehrliche Meldung bestraft.
9. Die Regeln überprüfen wir alle 6 Monate und nach einem Wechsel der Werkzeuge.

Die Richtlinie in einer Woche einführen

1. Tag 1: Erstellen Sie eine Liste der KI-Werkzeuge, die das Team bereits nutzt. Fragen Sie direkt, ohne zu bewerten.
2. Tag 2: Prüfen Sie die Datenschutzeinstellungen und die Bedingungen der gewählten Werkzeuge, auch die Option des Trainings mit Daten.
3. Tag 3: Wählen Sie die erlaubten Werkzeuge aus und legen Sie Firmenkonten an.
4. Tag 4: Passen Sie das Muster oben an Ihr Unternehmen an.
5. Tag 5: Führen Sie ein 30-minütiges Treffen mit Beispielen aus Ihrer Arbeit durch und halten Sie fest, wer teilgenommen hat. Eine solche Liste hilft, die Sorge um die Kompetenz des Teams nachzuweisen.

Wenn Sie weitergehen möchten, helfe ich bei der Einführung von KI im Unternehmen, und die personenbezogenen Daten Ihrer Kundschaft kann ich in eine eigene Datenbank auf einem Server in Polen oder der EU verlagern.

Zusammenfassung

Eine KI-Richtlinie muss nicht lang sein. Es genügen eine Liste der erlaubten Werkzeuge, die Einteilung der Daten in grün, gelb und rot sowie eine Person, der man eine Frage stellen kann. Das Muster oben können Sie in einer Woche einführen.

Wenn ich analysieren soll, wo KI in Ihrem Unternehmen wirklich hilft, oder wenn ich den Chat und die Unterlagen an die Anforderungen des AI Act anpassen soll, schreiben Sie mir. Ich antworte innerhalb von 24 Stunden, und wer neu bei mir ist, erhält 20 % Rabatt auf den ersten Auftrag.