KI-Richtlinie im Unternehmen

In vielen Marketing-Teams arbeiten inzwischen alle mit ChatGPT, Gemini oder Bildgeneratoren, oft über private Konten und ohne Absprache. Wer dann wissen will, ob die Kundenliste in den Prompt durfte oder ob das KI-Motiv ein Label braucht, bekommt fünf verschiedene Antworten.

Eine KI-Richtlinie im Unternehmen ist ein internes Regelwerk, das festlegt, welche KI-Werkzeuge Beschäftigte wofür nutzen dürfen, welche Daten hineingehören und wie Ergebnisse geprüft, gekennzeichnet und freigegeben werden. Sie ist kein Gesetz, sondern übersetzt Pflichten aus DSGVO, KI-Verordnung und Urheberrecht in Arbeitsanweisungen. Verwechslungsgefahr besteht mit der EU-KI-Verordnung selbst, die mitunter ebenfalls „KI-Richtlinie“ genannt wird; sie ist aber eine Verordnung und gilt unmittelbar.

Warum Unternehmen sie brauchen, obwohl kein Gesetz sie verlangt

Ein Dokument namens KI-Richtlinie schreibt kein Gesetz vor. Mehrere Pflichten lassen sich ohne schriftliche Regeln aber kaum erfüllen oder belegen:

• KI-Kompetenz: Nach Art. 4 der KI-Verordnung, neu gefasst durch den Digital Omnibus, ergreifen Unternehmen Maßnahmen, um die KI-Kompetenz ihres Personals zu fördern. Richtlinie und Schulung sind die naheliegenden Belege.
• Kennzeichnung: Deepfakes und ungeprüfte KI-Texte zu Themen von öffentlichem Interesse müssen gekennzeichnet werden. Wer auf das Label verzichten will, braucht menschliche Prüfung und eine Person mit redaktioneller Verantwortung. Der Verhaltenskodex zur KI-Kennzeichnung verlangt dafür ausdrücklich ein internes Verfahren.
• Datenschutz: Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe vom 6. Mai 2024 klare, dokumentierte Weisungen, ob und wofür welche KI-Anwendungen genutzt werden dürfen, mit Beispielen erlaubter und untersagter Einsätze, und betriebliche statt privater Konten.
• Geschäftsgeheimnisse: Geschützt sind nach dem Geschäftsgeheimnisgesetz nur Informationen, für die angemessene Geheimhaltungsmaßnahmen bestehen. Regeln, was nicht in externe KI-Tools gehört, können dazugehören.

Wie schnell Regeln nötig werden, zeigte Samsung: Nachdem Ingenieure internen Quellcode in ChatGPT geladen hatten, untersagte der Konzern im Mai 2023 per Memo die Nutzung generativer KI-Tools in einer seiner größten Sparten, berichtete Bloomberg. Ein Pauschalverbot ist allerdings selten die Lösung, weil Beschäftigte dann oft privat weiterarbeiten.

Was in eine KI-Richtlinie gehört

Der Bitkom-Leitfaden „Generative KI im Unternehmen“ listet die Fragen, die eine Richtlinie beantworten sollte, von freigegebenen Tools über private Konten bis zur Kennzeichnung. Für das Marketing lassen sich daraus sieben Bausteine ableiten:

Betriebsrat, Datenschutz und private Konten

Ein früher Fall aus Deutschland zeigt, wo die Konflikte liegen. Ein Medizintechnik-Hersteller hatte im Intranet unter anderem eine „Generative KI-Richtlinie Version 1“ veröffentlicht; Beschäftigte sollten ChatGPT freiwillig über eigene, private Konten im Browser nutzen. Der Betriebsrat sah Mitbestimmungsrechte verletzt. Das Arbeitsgericht Hamburg wies den Eilantrag ab (Beschluss vom 16.01.2024, 24 BVGa 1/24): Regeln zur Nutzung solcher Tools beträfen das mitbestimmungsfreie Arbeitsverhalten, und der Arbeitgeber erhalte keinen Zugriff auf Nutzungsdaten.

Daraus folgt kein Freibrief. Die Datenschutzkonferenz rät gerade von privaten Konten ab, weil dabei Profile der Beschäftigten beim Anbieter entstehen können, und weist darauf hin, dass die Einführung einer KI-Anwendung in einigen Fällen einen Mitbestimmungstatbestand erfüllt. Wer Firmenkonten einführt, die Nutzungsdaten erfassen, sollte den Betriebsrat deshalb früh einbinden.

Beispiel: eine Richtlinie auf drei Seiten

Ein angenommener Maschinenbauer, beispiel-maschinen.de, hat ein Marketing-Team mit sechs Personen. Eine Umfrage ergibt: neun verschiedene KI-Tools, vier davon über private Konten. Das Team geht in vier Schritten vor:

1. Freigabeliste: zwei Textassistenten und ein Bildgenerator mit Firmenkonten und Auftragsverarbeitungsvertrag, alle anderen Tools nur nach Antrag.
2. Datenampel: Grün für öffentliche Produktdaten, Gelb für interne Entwürfe nur in freigegebenen Tools, Rot für Kundendaten, Preise und Konstruktionsdetails.
3. Prüfpfad: Jeder KI-Text mit technischen Angaben geht vor Veröffentlichung an die Produktmanagerin; KI-Bilder realer Personen erscheinen nur mit Einwilligung und Label.
4. Schulung und Pflege: eine Einführung von 90 Minuten für alle, eine kurze Liste mit Datum und Teilnehmenden, Überprüfung der Richtlinie alle sechs Monate.

Das Ergebnis passt auf drei Seiten und beantwortet die Fragen, die im Alltag tatsächlich auftauchen. Musterformulierungen für alle Bausteine enthält der Beitrag KI-Richtlinie für Unternehmen: Muster und Leitfaden, Schulungsformate beschreibt KI-Schulung für Mitarbeiter.