KI-Richtlinie für KMU: Welche Regeln Unternehmen jetzt festlegen sollten

Künstliche Intelligenz wird in vielen Unternehmen längst genutzt – häufig schneller, als interne Regeln entstehen. Eine praxistaugliche KI-Richtlinie schafft Orientierung, schützt sensible Informationen und ermöglicht Mitarbeitenden, freigegebene Werkzeuge produktiv einzusetzen.

Warum eine KI-Richtlinie für KMU wichtig ist

ChatGPT, Microsoft Copilot und andere KI-Werkzeuge sind im Arbeitsalltag angekommen. Mitarbeitende lassen Texte überarbeiten, fassen Dokumente zusammen, entwickeln Ideen oder bereiten Kundenkommunikation vor. Das kann Zeit sparen und die Qualität verbessern. Ohne gemeinsame Regeln entstehen jedoch Unsicherheiten: Welche Daten dürfen eingegeben werden? Welche Tools sind freigegeben? Wer prüft die Ergebnisse? Und wer trägt die Verantwortung, wenn eine KI falsche oder ungeeignete Inhalte liefert?

Ein pauschales Verbot löst dieses Problem selten. Es verlagert die Nutzung eher in einen unkontrollierten Bereich. Ebenso wenig genügt die allgemeine Aufforderung, KI „verantwortungsvoll“ einzusetzen. Mitarbeitende benötigen konkrete, verständliche Leitplanken für typische Situationen ihres Arbeitsalltags.

Eine gute KI-Richtlinie soll Innovation deshalb nicht verhindern. Sie soll einen sicheren und produktiven Einsatz ermöglichen. Für KMU ist dabei kein kompliziertes Regelwerk mit Dutzenden Seiten erforderlich. Entscheidend sind klare Zuständigkeiten, nachvollziehbare Regeln und eine Verbindung zu den tatsächlichen Prozessen im Unternehmen.

1. Ziel und Geltungsbereich klar definieren

Am Anfang sollte die Richtlinie erklären, warum das Unternehmen KI einsetzt und für wen die Regeln gelten. Ein mögliches Ziel lautet: „Wir nutzen künstliche Intelligenz, um Mitarbeitende bei geeigneten Aufgaben zu unterstützen, die Qualität unserer Arbeit zu verbessern und Prozesse effizienter zu gestalten. Dabei schützen wir vertrauliche Informationen und behalten wichtige Entscheidungen in menschlicher Verantwortung.“

Der Geltungsbereich sollte alle Mitarbeitenden, Führungskräfte und gegebenenfalls externe Personen umfassen, die im Auftrag des Unternehmens mit dessen Daten arbeiten. Außerdem sollte deutlich werden, ob die Regeln nur für generative KI gelten oder auch für KI-Funktionen in bestehenden Anwendungen, etwa CRM-, Office- oder Marketing-Systemen.

2. Freigegebene und nicht freigegebene Tools benennen

Eine der wichtigsten Fragen lautet: Welche KI-Werkzeuge dürfen genutzt werden? Eine Richtlinie sollte nicht nur bekannte Produktnamen auflisten, sondern einen Freigabeprozess beschreiben. Tools können sich verändern, neue Funktionen erhalten oder andere Bedingungen für die Datenverarbeitung einführen.

Für die Freigabe sollten unter anderem Zweck, Anbieter, Vertragsbedingungen, Datenverarbeitung, Speicherort, Zugriffsrechte, Administrierbarkeit und Kosten geprüft werden. Besonders relevant ist, ob eingegebene Inhalte zum Training des Modells verwendet werden und ob dies in der gewählten Unternehmensversion ausgeschlossen werden kann.

In der Praxis bietet sich eine einfache Einteilung an: freigegeben, nur nach Rücksprache nutzbar und nicht freigegeben. So wissen Mitarbeitende sofort, welches Werkzeug sie für welche Aufgabe einsetzen dürfen.

3. Regeln für sensible und vertrauliche Daten festlegen

Nicht jede Information darf in ein KI-System eingegeben werden. Die Richtlinie sollte konkrete Datenkategorien nennen, statt nur allgemein vor „sensiblen Daten“ zu warnen.

Besondere Vorsicht gilt bei personenbezogenen Daten, Gesundheitsdaten, Personalinformationen, Passwörtern, Zugangsdaten, Geschäftsgeheimnissen, unveröffentlichten Finanzzahlen, Vertragsinhalten, Kundendaten und vertraulichen Projektunterlagen. Solche Informationen dürfen nur verarbeitet werden, wenn das verwendete System dafür ausdrücklich freigegeben wurde und die organisatorischen sowie rechtlichen Voraussetzungen geklärt sind.

Wenn möglich, sollten Beispiele anonymisiert oder durch neutrale Platzhalter ersetzt werden. Anonymisierung ist allerdings kein Freibrief: Auch aus dem Zusammenhang können Personen oder Unternehmen erkennbar bleiben.

4. Geeignete und ungeeignete Anwendungsfälle unterscheiden

Eine verständliche Richtlinie zeigt, wofür KI sinnvoll eingesetzt werden kann. Geeignete Aufgaben sind häufig Entwürfe, Zusammenfassungen, Gliederungen, Ideenfindung, sprachliche Überarbeitung oder die Vorbereitung standardisierter Inhalte.

Ein Praxisbeispiel: Eine Vertriebsmitarbeiterin nutzt ein freigegebenes KI-Tool, um ihre Gesprächsnotizen zu strukturieren und einen ersten Entwurf für eine Follow-up-E-Mail zu erstellen. Sie prüft Fakten, Leistungszusagen und Tonalität, bevor sie die Nachricht versendet. Die KI unterstützt den Prozess, trifft aber keine verbindliche Entscheidung.

Ungeeignet für einen unkontrollierten Einsatz sind dagegen Entscheidungen mit erheblichen Folgen für Menschen oder Unternehmen. Dazu zählen beispielsweise Personalentscheidungen, rechtliche Bewertungen, verbindliche Finanzentscheidungen, automatische Ablehnungen oder sicherheitskritische Anweisungen. Hier sind eine fachliche Prüfung und je nach Anwendung zusätzliche rechtliche oder technische Bewertungen erforderlich.

5. Menschliche Kontrolle verbindlich machen

KI-Systeme können überzeugend formulieren und trotzdem falsche Angaben liefern. Sie können Zusammenhänge missverstehen, Quellen erfinden oder veraltete Informationen verwenden. Deshalb muss festgelegt werden, welche Ergebnisse vor ihrer Nutzung geprüft werden.

Eine einfache Grundregel lautet: Wer einen KI-generierten Inhalt verwendet oder veröffentlicht, bleibt für dessen Richtigkeit und Angemessenheit verantwortlich. Fakten, Zahlen, Quellen, Namen, Preise, Fristen und Leistungszusagen müssen überprüft werden. Bei externen Inhalten ist zusätzlich auf Tonalität, Urheberrechte und mögliche Diskriminierung zu achten.

Für wichtige Vorgänge kann ein Vier-Augen-Prinzip sinnvoll sein. Je höher das mögliche Risiko eines Fehlers, desto stärker muss die menschliche Kontrolle ausfallen.

6. Transparenz und Kennzeichnung regeln

Nicht jeder intern mit KI erstellte Entwurf muss gekennzeichnet werden. Relevant wird Transparenz vor allem dann, wenn Kunden, Bewerber, Geschäftspartner oder die Öffentlichkeit betroffen sind.

Das Unternehmen sollte festlegen, wann offengelegt wird, dass Inhalte oder Interaktionen wesentlich durch KI erzeugt wurden. Das kann beispielsweise bei automatisierten Chatbots, vollständig generierten Bildern oder umfangreichen Veröffentlichungen sinnvoll oder erforderlich sein. Interne Hilfstätigkeiten wie Rechtschreibkorrektur oder Gliederung eines Textes benötigen dagegen meist keine gesonderte Kennzeichnung.

Entscheidend ist eine nachvollziehbare Regel, die zur Art der Nutzung und zum möglichen Vertrauen der betroffenen Personen passt.

7. Verantwortlichkeiten und Freigaben definieren

Eine Richtlinie funktioniert nur, wenn klar ist, wer sie pflegt und wer Fragen beantwortet. Auch in einem kleineren Unternehmen sollten mindestens drei Rollen geklärt sein: Wer gibt Tools frei? Wer entscheidet über neue Anwendungsfälle? Und an wen wenden sich Mitarbeitende bei Unsicherheiten oder Vorfällen?

Die Geschäftsleitung trägt die grundsätzliche Verantwortung. Je nach Unternehmensgröße können IT, Datenschutz, Informationssicherheit, Fachbereiche oder ein interner beziehungsweise externer KI-Manager eingebunden werden. Wichtig ist, dass Entscheidungen dokumentiert und nicht zwischen mehreren Zuständigen hin- und hergeschoben werden.

Für neue Anwendungen empfiehlt sich ein einfacher Freigabeprozess: Zweck beschreiben, verwendete Daten nennen, erwarteten Nutzen festhalten, Risiken prüfen, Verantwortliche bestimmen und zunächst einen begrenzten Pilotbetrieb genehmigen.

8. Mitarbeitende schulen und einbeziehen

Eine KI-Richtlinie allein verändert noch kein Verhalten. Mitarbeitende müssen verstehen, warum die Regeln bestehen und wie sie diese im Alltag anwenden. Eine praxisnahe Schulung sollte deshalb nicht nur Funktionen eines Tools erklären.

Wichtige Inhalte sind der Umgang mit vertraulichen Daten, das Erkennen möglicher Fehler, die Prüfung von Ergebnissen, gutes Prompting, erlaubte Anwendungsfälle sowie interne Ansprechpartner. Besonders wirksam sind Übungen mit typischen Aufgaben aus dem eigenen Unternehmen.

Mitarbeitende sollten außerdem Rückmeldung geben können. Sie erkennen oft früh, welche Regeln unklar sind, welche Werkzeuge fehlen oder wo ein Prozess unnötig kompliziert wird. Eine Richtlinie wird besser, wenn sie nicht ausschließlich am Schreibtisch der Geschäftsleitung entsteht.

9. Vorfälle, Fehler und Unsicherheiten melden

Auch bei guten Regeln können Fehler passieren. Ein Mitarbeitender gibt versehentlich vertrauliche Informationen ein, ein KI-Ergebnis wird ungeprüft versendet oder ein nicht freigegebenes Tool wird verwendet. Entscheidend ist dann ein klarer Meldeweg.

Die Richtlinie sollte erklären, an wen sich Mitarbeitende wenden und welche Informationen benötigt werden. Ziel ist eine schnelle Bewertung und Begrenzung möglicher Folgen. Eine offene Meldekultur ist dabei hilfreicher als die Angst vor Sanktionen. Nur bekannte Vorfälle können analysiert und künftig vermieden werden.

10. Die Richtlinie regelmäßig überprüfen

KI-Werkzeuge, Funktionen und rechtliche Anforderungen entwickeln sich schnell. Eine einmal veröffentlichte Richtlinie darf deshalb nicht über Jahre unverändert bleiben. Empfehlenswert ist eine feste Überprüfung, beispielsweise alle sechs Monate sowie zusätzlich bei der Einführung neuer Tools oder wichtiger Anwendungsfälle.

Dokumentieren Sie Versionsstand, verantwortliche Person und Datum der nächsten Prüfung. Änderungen sollten aktiv kommuniziert werden. Eine kurze, aktuelle Richtlinie ist im Alltag wertvoller als ein umfangreiches Dokument, das niemand liest.

Priorisierungscheckliste: Was sollte Ihre KI-Richtlinie mindestens enthalten?

• Ziel, Zweck und Geltungsbereich
• Liste oder Prozess zur Freigabe von KI-Tools
• Klare Regeln für personenbezogene, vertrauliche und sensible Daten
• Beispiele für erlaubte und ungeeignete Anwendungen
• Verbindliche menschliche Prüfung relevanter Ergebnisse
• Regeln für Transparenz und Kennzeichnung
• Verantwortlichkeiten und Ansprechpartner
• Freigabeprozess für neue Anwendungsfälle
• Schulung der Mitarbeitenden
• Meldeweg für Fehler und Vorfälle
• Termin für die regelmäßige Aktualisierung

Fazit: Klare Regeln schaffen Sicherheit und Handlungsspielraum

Eine KI-Richtlinie ist kein Selbstzweck. Sie soll Mitarbeitenden ermöglichen, künstliche Intelligenz sinnvoll zu nutzen, ohne sensible Daten, Qualität oder Verantwortung aus dem Blick zu verlieren.

KMU müssen dafür nicht sofort ein umfangreiches Governance-System aufbauen. Ein sinnvoller Einstieg besteht aus wenigen klaren Regeln, freigegebenen Werkzeugen, benannten Verantwortlichen und einer praxisnahen Schulung. Danach wird die Richtlinie anhand echter Erfahrungen weiterentwickelt.

Am besten entsteht sie nicht isoliert, sondern auf Grundlage konkreter Anwendungsfälle. Erst wenn klar ist, wo KI eingesetzt werden soll, lassen sich passende Regeln für Daten, Kontrolle und Verantwortlichkeiten festlegen.

Wo lohnt sich KI in Ihrem Unternehmen – und welche Regeln werden dafür benötigt?

Im KI-Potenzialcheck betrachten wir bis zu drei Unternehmensbereiche, identifizieren drei bis fünf sinnvolle Anwendungsfälle und bewerten sie nach Nutzen, Machbarkeit und Risiko. Sie erhalten eine Empfehlung für ein erstes Pilotprojekt und einen konkreten 90-Tage-Fahrplan.

Einführungspreis: 1.490 EUR zzgl. gesetzlicher Umsatzsteuer.