Kurz gesagt: Eine KI-Richtlinie legt fest, welche KI-Werkzeuge im Betrieb erlaubt sind, welche Daten hineindürfen und wer Ergebnisse prüft. Gesetzlich vorgeschrieben ist sie nicht, die KI-Servicestelle der RTR empfiehlt sie aber als Maßnahme zur KI-Kompetenz nach Art. 4 AI Act.
Wozu eine KI-Richtlinie dient
In den meisten Betrieben wird KI längst genutzt – oft ohne Absprache. Eine Richtlinie schafft Klarheit: Mitarbeitende wissen, was sie dürfen, und die Geschäftsleitung weiß, wo Daten landen. Die RTR empfiehlt sie neben einer KI-Strategie und einem Schulungskonzept.
Sie schützt auch den Betrieb selbst: Gelangen Kundendaten ohne Regel in einen Dienst, der Eingaben für das Training nutzt, ist das ein Datenschutzproblem – unabhängig vom AI Act. Mit Richtlinie und Freigabeliste lässt sich zeigen, dass der Betrieb das geregelt hat. Gerade in kleinen Betrieben reicht dafür ein kurzes Dokument.
Zehn Bausteine einer guten KI-Richtlinie
- Geltungsbereich und Ziel: Für wen die Richtlinie gilt, welche Arten von KI gemeint sind und welches Ziel der Betrieb mit KI verfolgt.
- Freigegebene Werkzeuge: Eine Liste erlaubter Werkzeuge mit Zweck und Konto, dazu ein einfacher Weg, neue Werkzeuge zur Freigabe vorzuschlagen.
- Daten in drei Stufen: Was nie in KI-Werkzeuge darf, etwa Gesundheitsdaten oder Passwörter; was nur in freigegebene Werkzeuge darf; und was unbedenklich ist.
- Der Mensch entscheidet: KI-Ergebnisse werden vor der Verwendung geprüft; bei Verträgen oder Personalentscheidungen gilt das Vier-Augen-Prinzip.
- Urheberrecht und Geschäftsgeheimnisse: Keine fremden geschützten Inhalte hochladen, keine vertraulichen Unterlagen in Werkzeuge ohne geklärte Datenverarbeitung.
- Kennzeichnung nach außen: Wann Chatbots, Bilder oder Texte nach Art. 50 gekennzeichnet werden – siehe Kennzeichnungspflicht.
- Verbotene Anwendungen: Was im Betrieb ausgeschlossen ist, etwa Emotionserkennung am Arbeitsplatz oder die Bewertung von Menschen nach ihrem Sozialverhalten (Art. 5).
- Schulung und Nachweis: Wer wann geschult wird und wie das dokumentiert wird – siehe KI-Schulungspflicht.
- Verantwortung: Eine feste Ansprechperson für Fragen, Freigaben und Änderungen – siehe KI-Beauftragter.
- Vorfälle und Überprüfung: Wie Fehler oder Datenpannen gemeldet werden und wann die Richtlinie überprüft wird – mindestens jährlich.
Was nach dem Digital Omnibus anders ist
Viele Muster stammen aus der Zeit vor der Verordnung (EU) 2026/1744. Prüfen Sie zwei Punkte: Die Hochrisiko-Pflichten gelten erst ab 2. Dezember 2027 bzw. 2. August 2028. Und Art. 4 verlangt Maßnahmen zur Förderung der KI-Kompetenz, kein festes Niveau. Achten Sie auch auf die Kennzeichnungspflichten nach Art. 50: Seit August 2026 gelten sie, in älteren Mustern stehen sie noch als künftige Pflicht. Unser Muster hat den Stand Oktober 2026.
Eine weitere gute Grundlage sind die KI-Guidelines der WKO mit Online-Generator. Achten Sie dort auf die Termine für Hochrisiko-Systeme, die sich seither verschoben haben.
Typische Fehler – und wie Sie sie vermeiden
- Zu allgemein: „KI verantwortungsvoll nutzen“ hilft niemandem. Konkrete Werkzeuge und Datenbeispiele schon.
- Zu lang: Zwanzig Seiten liest niemand. Details wie die Werkzeugliste gehören in einen Anhang.
- Nur Verbote: Wer nur aufzählt, was nicht erlaubt ist, treibt die Nutzung in private Konten. Sagen Sie auch, was ausdrücklich erwünscht ist.
- Ohne Ansprechperson: Wenn ein neues Werkzeug auftaucht, muss klar sein, wer entscheidet.
- Einmal geschrieben, nie geprüft: Werkzeuge und Rechtslage ändern sich schneller als gedacht – planen Sie die Überprüfung gleich mit ein.
In fünf Schritten eingeführt
- Bestehende KI-Nutzung erfassen – auch die inoffizielle.
- Muster an Betrieb, Werkzeuge und Daten anpassen.
- Mit der Geschäftsleitung abstimmen und, falls vorhanden, den Betriebsrat einbinden.
- Im Team vorstellen und die Einweisung dokumentieren.
- Jährlich und bei neuen Werkzeugen überprüfen.
Das Muster zum Download
Word-Vorlage zum Anpassen und PDF zum Lesen: zehn Bausteine ausformuliert, dazu drei Anhänge – zusammen vier Seiten: ein KI-Inventar mit Beispielzeilen, ein Schulungsverzeichnis nach den Punkten der RTR und eine Liste zur Kenntnisnahme. Platzhalter in eckigen Klammern zeigen, was Sie anpassen. Kostenlos und ohne Newsletter.
Häufige Fragen
Ist eine KI-Richtlinie Pflicht?
Gesetzlich vorgeschrieben ist sie nicht. Die RTR empfiehlt sie aber als Maßnahme zur KI-Kompetenz nach Art. 4 AI Act, und sie schützt vor ungewolltem Datenabfluss.
Brauchen wir zusätzlich eine KI-Strategie?
Die RTR empfiehlt beides: Die Strategie beschreibt, wofür der Betrieb KI einsetzen will, die Richtlinie regelt, wie. Für kleine Betriebe genügt oft eine Seite Strategie als Einleitung der Richtlinie.
Wie lang sollte eine KI-Richtlinie sein?
So kurz, dass sie gelesen wird: drei bis sechs Seiten genügen für die meisten Betriebe. Details wie die Werkzeugliste gehören in einen Anhang, der sich leicht ändern lässt.
Gilt die Richtlinie auch für private KI-Konten?
Das sollte sie regeln. Viele Betriebe erlauben die dienstliche Nutzung nur über Firmenkonten, weil sich nur dort steuern lässt, was mit den Daten passiert.
Wie oft sollte die Richtlinie überprüft werden?
Mindestens einmal im Jahr und immer, wenn neue Werkzeuge dazukommen oder sich die Rechtslage ändert.
Darf ich das Muster frei verwenden?
Ja, für den eigenen Betrieb. Passen Sie es an Ihre Werkzeuge und Abläufe an; es ersetzt keine Rechtsberatung.
Quellen
- RTR KI-Servicestelle: KI-Kompetenz (abgerufen 15.10.2026)
- RTR KI-Servicestelle: Häufige Fragen zum AI Act (abgerufen 15.10.2026)
- Europäische Kommission: AI Literacy – Questions & Answers (aktualisiert 27.07.2026)
- AI Act Service Desk: Artikel 50 (abgerufen 15.10.2026)
- Europäische Kommission: AI Omnibus tritt in Kraft (27.07.2026)
- WKO: KI-Guidelines für KMU (3. Auflage) (April 2026)
Diese Seite dient der allgemeinen Orientierung und ersetzt keine Rechtsberatung. Stand: 15. Oktober 2026.