KI-Richtlinie für Unternehmen: Muster und Leitfaden

Nur 23 Prozent der Unternehmen in Deutschland haben Regeln für die Nutzung künstlicher Intelligenz aufgestellt – aber vier von zehn gehen davon aus, dass ihre Beschäftigten private KI-Werkzeuge im Job einsetzen. Beide Zahlen stammen aus derselben repräsentativen Bitkom-Erhebung unter 604 Unternehmen ab 20 Beschäftigten (KW 27 bis 32/2025, Presseinformation vom 21. Oktober 2025). Zwischen ihnen liegt das Risiko: Kalkulationen in Privatkonten, Bewerberdaten ohne Rechtsgrundlage, ungeprüfte KI-Texte in Kundenunterlagen. Hier lesen Sie, wie eine KI-Richtlinie aufgebaut ist, welche Pflichten sie abdeckt und wie Sie sie in einem Unternehmen mit 20 bis 200 Beschäftigten einführen.

Warum eine Richtlinie – die Pflichten, die sie adressiert

Eine KI-Richtlinie ist – anders als das Verarbeitungsverzeichnis nach Artikel 30 DSGVO – kein gesetzlich vorgeschriebenes Einzeldokument. Es gibt aber ein Bündel von Pflichten aus mehreren Rechtsgebieten, die sich mit einem internen Regelwerk am einfachsten erfüllen und – entscheidend – nachweisen lassen.

• KI-Kompetenz nach Artikel 4 KI-Verordnung: gilt seit dem 2. Februar 2025. Die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026, hat die Pflicht abgeschwächt: Anbieter und Betreiber ergreifen nun Maßnahmen, um „die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen". Die Bundesnetzagentur betont, dass „ein bestimmtes Niveau an KI-Kompetenz" nicht garantiert werden muss. Aus der Erfolgspflicht ist eine Bemühenspflicht geworden – verschwunden ist sie nicht.
• Transparenz nach Artikel 50 KI-Verordnung: gilt seit dem 2. August 2026 und wurde nicht verschoben. Betreiber müssen offenlegen, dass Bild-, Ton- und Videoinhalte künstlich erzeugt oder manipuliert wurden. Für veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse gilt dasselbe – es sei denn, der Text wurde menschlich geprüft und jemand trägt die redaktionelle Verantwortung.
• DSGVO: Jeder Verarbeitungsschritt mit personenbezogenen Daten braucht eine Rechtsgrundlage, meist einen Auftragsverarbeitungsvertrag nach Artikel 28 und einen Eintrag im Verarbeitungsverzeichnis. Artikel 22 verbietet ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung für Einzelne.
• Geschäftsgeheimnisgesetz: Eine Information ist nur dann geschütztes Geschäftsgeheimnis, wenn sie Gegenstand angemessener Geheimhaltungsmaßnahmen ist (Paragraf 2 Nummer 1 Buchstabe b GeschGehG) – eine Bringschuld des Unternehmens. Eine dokumentierte Regel, welche Informationsklassen in welche Werkzeuge dürfen, ist genau eine solche Maßnahme.
• Urheberrecht, zwei Richtungen: Das Amtsgericht München hat am 13. Februar 2026 (Az. 142 C 9786/25) entschieden, dass rein automatisiert erzeugte KI-Grafiken grundsätzlich keinen Urheberrechtsschutz genießen – Ihr KI-Logo ist also womöglich nicht exklusiv. Umgekehrt stellte das Landgericht München I am 11. November 2025 (Az. 42 O 14139/24, GEMA gegen OpenAI) fest, dass Songtexte „reproduzierbar in den Sprachmodellen" enthalten sind und ihre Ausgabe eine unberechtigte Vervielfältigung darstellt. Das Urteil ist nicht rechtskräftig; OpenAI hat Berufung eingelegt.
• Haftung: Eine eigene KI-Haftung gibt es im deutschen Recht nicht. Relevant bleiben Vertragshaftung gegenüber Kunden, Organhaftung der Geschäftsführung nach Paragraf 43 GmbHG und Bußgelder nach DSGVO und KI-Verordnung.

Der gemeinsame Nenner: Wer nachweisen kann, dass er Regeln aufgestellt, geschult und kontrolliert hat, steht besser da als wer es nicht kann. Die Richtlinie ist zuerst ein Nachweisinstrument, erst danach ein Verbotsschild.

Der Merksatz für KMU: Verschoben wurden die Hochrisiko-Pflichten. Die beiden Pflichten, die fast jedes Unternehmen treffen – KI-Kompetenz und Transparenz – gelten längst. Ein Bußgeld allein wegen fehlender Kompetenzmaßnahmen droht dabei nicht: Artikel 4 steht nicht im Bußgeldkatalog des Artikels 99 Absatz 4. Wer mit „bis zu 35 Millionen Euro für fehlende KI-Schulungen" wirbt, überzeichnet – sorgfalts- und haftungsrelevant bleibt die Pflicht trotzdem.

Die zehn Bausteine mit Musterformulierungen

Die folgenden zehn Bausteine decken die genannten Pflichtenkreise ab. Zu jedem steht, warum er im Dokument steht, was geregelt werden muss und ein Formulierungsvorschlag. Alle Formulierungsvorschläge sind Muster – bewusst kurz und ohne rechtliche Prüfung nicht verwendbar. Eckige Klammern markieren die Stellen, die Sie füllen müssen.

Baustein 1: Geltungsbereich

Zweck und Inhalt. Ohne Geltungsbereich ist unklar, wen die Regeln binden. Artikel 4 KI-Verordnung erstreckt sich nach dem Verständnis der Bundesnetzagentur auf „alle Personen, die im Auftrag der Organisation mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind" – einschließlich externer Dienstleister. Zu regeln sind daher der persönliche Geltungsbereich bis hin zu Freien und Dienstleistern, eine funktionale Definition dessen, was als KI gilt, die Erstreckung auf Homeoffice und private Geräte sowie das Verhältnis zu IT-Nutzungsrichtlinie und Geheimhaltungsvereinbarungen.

Baustein 2: Erlaubte und verbotene Werkzeuge

Zweck und Inhalt. Der wirksamste Hebel gegen Schatten-KI. Die Datenschutzkonferenz formuliert es so: „Daher sollten klare interne Weisungen erteilt und dokumentiert werden, ob, unter welchen Voraussetzungen und zu welchen konkreten Zwecken welche KI-Anwendungen eingesetzt werden dürfen." Nötig sind eine Positivliste freigegebener Werkzeuge samt Plan, ein Freigabeverfahren für neue Werkzeuge, ein ausdrückliches Verbot nicht freigegebener Werkzeuge und die Pflicht, Firmenkonten zu nutzen.

Baustein 3: Datenklassen

Zweck und Inhalt. Die Werkzeugfreigabe allein reicht nicht; entscheidend ist, was hineingegeben wird. Nötig sind vier klar unterscheidbare Klassen, je Klasse die erlaubten Werkzeuge und eine Rückfallregel für Zweifelsfälle. Wichtig ist der Hinweis auf indirekte Personenbezüge – die Datenschutzkonferenz warnt: „Um die Eingabe personenbezogener Daten zu vermeiden, reicht es regelmäßig nicht, Namen und Anschriften einer Eingabe zu entfernen."

Baustein 4: Personenbezogene Daten

Zweck und Inhalt. Der Baustein, den Ihre Datenschutzbeauftragte am genauesten lesen wird. Zu regeln sind: keine Eingabe ohne dokumentierte Rechtsgrundlage und geeigneten Vertrag, der Ausschluss von Anbietern, die sich die Nutzung für eigene Zwecke vorbehalten, das Trainings-Opt-out, besondere Kategorien nach Artikel 9 DSGVO, die Aufnahme ins Verarbeitungsverzeichnis und die Prüfung einer Datenschutz-Folgenabschätzung.

Baustein 5: Prüfpflicht für Ergebnisse

Zweck und Inhalt. Der Baustein, der Haftung verhindert: Er nimmt „das war die KI" als Ausrede aus dem Verkehr. Zu regeln sind der Grundsatz der Letztverantwortung, eine abgestufte Prüftiefe je nach Verwendung, die Quellenprüfung bei Zahlen, Zitaten und Rechtsnormen, das Verbot ausschließlich automatisierter Entscheidungen nach Artikel 22 DSGVO und die Prüfung auf Diskriminierungsfreiheit, die der Hamburger Datenschutzbeauftragte ausdrücklich fordert.

Baustein 6: Kennzeichnung

Zweck und Inhalt. Erfüllung des Artikels 50 KI-Verordnung und, davon unabhängig, Glaubwürdigkeit gegenüber Kunden. Der Baustein muss zwischen gesetzlicher Pflicht und freiwilliger Praxis unterscheiden, sonst entsteht der Eindruck, jede KI-unterstützte E-Mail brauche einen Hinweis. Zu regeln sind die Offenlegung bei synthetischen Bild-, Ton- und Videoinhalten, die Textpflicht mit ihrer Ausnahme bei redaktioneller Verantwortung, der Hinweis bei Chatbots im Kundenkontakt – und ausdrücklich, wo kein Hinweis nötig ist.

Baustein 7: Urheberrecht

Zweck und Inhalt. Absicherung nach beiden Seiten – kein Rechtsverstoß durch die Eingabe, keiner durch die Ausgabe – und realistische Erwartungen an die Schutzfähigkeit des eigenen Ergebnisses. Zu regeln sind das Verbot der Eingabe fremder geschützter Werke, die Prüfung der Ausgabe auf erkennbare Übernahmen, der Umgang mit Open-Source-Lizenzen bei KI-generiertem Code und die Konsequenz aus dem Urteil des Amtsgerichts München zur fehlenden Schöpfungshöhe.

Baustein 8: Schulung und Nachweis

Zweck und Inhalt. Erfüllung des Artikels 4 KI-Verordnung und Aufbau der Dokumentation, die im Aufsichts- oder Haftungsfall trägt. Die Bundesnetzagentur nennt vier Schritte: Bedarf ermitteln, Maßnahmen ausgestalten, regelmäßig auffrischen, dokumentieren. Ausdrücklich nicht erforderlich sind externe Zertifizierungen, standardisierte Trainingsformate oder ein „KI-Beauftragter". Zu regeln sind, wer mit welchem Inhalt geschult wird, die Erstschulung vor der ersten Nutzung, der Auffrischungsturnus, das Onboarding und die Form des Nachweises. Wie eine solche Schulung aufgebaut sein kann, beschreibe ich im Beitrag zur KI-Schulung für Unternehmen.

Baustein 9: Verantwortlichkeiten

Zweck und Inhalt. Eine Richtlinie ohne benannte Rollen wird nicht gepflegt und nicht durchgesetzt. Wenn in Zweifelsfällen niemand zuständig ist, greifen Beschäftigte doch zum nicht freigegebenen Werkzeug – nach meiner Erfahrung der häufigste Grund für Schatten-KI. Zu regeln sind, wer Werkzeuge freigibt und die Positivliste pflegt, wer im Alltag niedrigschwellig ansprechbar ist, die Rollen von Datenschutz und IT-Sicherheit, der Überprüfungsturnus und der Meldeweg für Vorfälle.

Baustein 10: Verstöße

Zweck und Inhalt. Ohne Konsequenzenregelung ist die Richtlinie eine Empfehlung. Mit einer überzogenen wird sie zum Anlass, Fehler zu verschweigen – und dann erfährt das Unternehmen vom Vorfall, wenn es für Schadensbegrenzung zu spät ist. Die Amnestie für Selbstmeldungen ist praktisch wichtiger als jede Sanktionsdrohung. Achtung: Regelungen zur Kontrolle der Einhaltung sind mitbestimmungspflichtig; dieser Baustein sollte in Betrieben mit Betriebsrat nicht ohne dessen Beteiligung formuliert werden.

Das Datenklassen-Modell als Ampel

Diese Matrix ist der Kern jeder praxistauglichen Richtlinie: Sie beantwortet die Frage, die Beschäftigte tatsächlich haben – „Darf ich das hier eingeben?" – ohne dass sie dafür die DSGVO lesen müssen. Die entscheidende Unterscheidung ist nicht das Produkt, sondern der Vertrag. Denselben Chatbot gibt es als Consumer-Variante ohne Auftragsverarbeitungsvertrag und als Business-Variante mit Vertrag und Trainingsausschluss.

Und so sieht die Ampel aus. Grün heißt zulässig, Gelb zulässig nur unter den genannten Bedingungen, Rot unzulässig.

Die Ampel funktioniert nur, wenn die Einordnung „Business-Plan" stimmt. Die folgenden Zusagen stammen aus der Dokumentation der vier großen Anbieter. Sie ersetzen keine eigene Vertragsprüfung, zeigen aber, wie unterschiedlich die Zusagen im Detail ausfallen.

Nun der Kontrast, und das ist das stärkste Argument in jeder internen Kommunikation. Bei ChatGPT Free und Plus ist das Training standardmäßig aktiv: Das Modell „improves by further training on the conversations people have with it, unless you opt out". Selbst bei aktiviertem Widerspruch gilt: Wer eine Antwort per Daumen bewertet, dessen gesamte zugehörige Unterhaltung kann zum Training verwendet werden. Bei der Gemini-App werden nach Googles eigener Dokumentation (Stand 10. August 2026) ausgewählte Chats von menschlichen Prüfern gelesen, einschließlich geschulter Dienstleister; überprüfte Chats werden bis zu drei Jahre aufbewahrt, die Standard-Autolöschung liegt bei 18 Monaten.

Das ist keine Unterstellung, es steht in der Dokumentation der Anbieter: In der Gratisversion können Unterhaltungen von Menschen gelesen und jahrelang gespeichert werden. Wer das seinen Beschäftigten einmal zeigt, braucht anschließend weniger Verbotsschilder. Was die Firmenpläne kosten, habe ich in meiner Übersicht zu den ChatGPT-Kosten zusammengestellt.

Was die Aufsichtsbehörden sagen

Die deutschen Datenschutzaufsichtsbehörden haben seit 2023 eine Reihe von Orientierungshilfen und Checklisten veröffentlicht. Sie sind Verwaltungspraxis, keine verbindliche Rechtsauslegung – Gerichte sind daran nicht gebunden. Für die Frage, was eine Behörde bei einer Prüfung erwarten dürfte, sind sie trotzdem die beste verfügbare Quelle.

Legt man diese Papiere nebeneinander, ergibt sich ein bemerkenswert einheitliches Bild: Alle Behörden verlangen im Kern dasselbe – dokumentierte interne Weisungen, Firmenkonten statt Privatkonten, Verträge, die die Zweckentfremdung der Eingaben ausschließen, und geschulte Beschäftigte, die Ergebnisse prüfen. Das sind genau die Bausteine 2, 4, 5 und 8. Nicht mehr, aber auch nicht weniger. Zur KI-Verordnung selbst ist die nächstliegende Quelle übrigens keine Datenschutzbehörde, sondern die Bundesnetzagentur mit ihrem KI-Service-Desk, der seit dem 3. Juli 2025 läuft.

Betriebsrat: wann Mitbestimmung greift

Auch dieser Abschnitt beschreibt die gesetzliche Lage und veröffentlichte Fachauffassungen und ist keine Rechtsberatung. Fünf Normen des Betriebsverfassungsgesetzes sind einschlägig.

• Paragraf 87 Absatz 1 Nummer 6 – das Kernrecht. Der Betriebsrat bestimmt mit bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". Es genügt die objektive Eignung zur Überwachung; auf die Absicht des Arbeitgebers kommt es nicht an.
• Paragraf 87 Absatz 1 Nummer 1. Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer – einschlägig, soweit die Richtlinie Verhaltensregeln über die reine Arbeitsleistung hinaus aufstellt.
• Paragraf 90 Absatz 1 Nummer 3. Der Arbeitgeber muss den Betriebsrat über die Planung von Arbeitsverfahren „einschließlich des Einsatzes von Künstlicher Intelligenz" unterrichten und mit ihm beraten – so rechtzeitig, dass Vorschläge und Bedenken noch berücksichtigt werden können. Die ausdrückliche Nennung von KI gilt seit dem 18. Juni 2021.
• Paragraf 80 Absatz 3. Muss der Betriebsrat die Einführung oder Anwendung von künstlicher Intelligenz beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich – ohne gesonderte Prüfung. Der Betriebsrat kann also externen Sachverstand einkaufen, das Unternehmen trägt die Kosten.
• Paragraf 95 Absatz 2a. Die Regeln zu Auswahlrichtlinien für Einstellung, Versetzung, Umgruppierung und Kündigung gelten auch dann, wenn bei ihrer Aufstellung künstliche Intelligenz zum Einsatz kommt.

Der Bitkom-Leitfaden „Künstliche Intelligenz und Mitbestimmung" hält den Anwendungsbereich des Paragrafen 87 Absatz 1 Nummer 6 für „denkbar weit" und „regelmäßig eröffnet, wenn eigenständige KI-Systeme eingeführt werden sollen". Die Grenze zieht er dort, wo der Arbeitgeber keinerlei Zugriff auf Nutzungsdaten hat – dann sei das Werkzeug nicht objektiv zur Kontrolle geeignet.

Das ist der heikle Punkt, und er wird selten ausgesprochen: Genau die Business- und Enterprise-Pläne, die datenschutzrechtlich empfohlen sind, bringen Admin-Konsolen, Nutzungsstatistiken und Audit-Logs mit. Damit entsteht regelmäßig genau der Datenzugriff, der die Mitbestimmung auslöst. Der Weg zu mehr Datenschutz ist in der Praxis oft zugleich der Weg in die Mitbestimmung – wer das nicht einplant, verzögert die Einführung um Monate.

Daraus folgt dreierlei. Erstens: Paragraf 90 greift schon in der Planungsphase. Wer den Betriebsrat erst mit der fertigen Richtlinie konfrontiert, hat die Unterrichtungspflicht formal verletzt und praktisch Vertrauen verspielt. Zweitens: Es gibt mehrere Gestaltungswege – eigenständige KI-Leitlinien, die Integration in eine bestehende IT-Rahmenbetriebsvereinbarung oder eine eigene KI-Betriebsvereinbarung. Drittens: Baustein 10 ist der mitbestimmungssensibelste Teil und sollte gemeinsam formuliert werden. In Betrieben ohne Betriebsrat laufen diese Normen leer; die Pflichten aus DSGVO und KI-Verordnung liegen dann vollständig bei der Geschäftsführung.

In fünf Schritten zur eigenen Richtlinie

So gehe ich in Projekten mit 20 bis 200 Beschäftigten vor. Realistisch sind sechs bis zehn Wochen bis zur Inkraftsetzung; mit Betriebsratsbeteiligung entsprechend länger.

1. Bestandsaufnahme, ein bis zwei Wochen. Welche KI-Werkzeuge sind bereits im Einsatz, auch die inoffiziellen? Fragen Sie anonym und ohne Sanktionsdrohung, sonst bekommen Sie keine ehrlichen Antworten. Dazu: welche Verträge bestehen, wer zahlt was aus welchem Budget. Die Liste ist fast immer länger als erwartet.
2. Datenklassen festlegen, eine Woche. Vier Klassen genügen. Ordnen Sie zehn bis fünfzehn konkrete Dokumententypen aus Ihrem Alltag zu – Angebot, Bewerbung, Kalkulation, Protokoll, Kundenmail. Wenn zwei Abteilungen dasselbe Dokument unterschiedlich einordnen, haben Sie den wichtigsten Klärungsbedarf gefunden.
3. Werkzeuge auswählen und Verträge schließen, zwei bis drei Wochen. Ein bis zwei freigegebene Werkzeuge im Business-Plan sind besser als fünf halbgeprüfte. Auftragsverarbeitungsvertrag abschließen, Trainings-Opt-out aktivieren, Aufbewahrungsfristen prüfen. Erst danach ist die Ampel überhaupt ausfüllbar.
4. Richtlinie schreiben und abstimmen, zwei Wochen. Zehn Bausteine im Haupttext, Werkzeugliste und Ampel in die Anlagen. Fünf bis acht Seiten, in der Sprache Ihrer Belegschaft. Parallel: Beteiligung des Betriebsrats, Prüfung durch die Datenschutzbeauftragte und bei den arbeitsrechtlichen Bausteinen anwaltliche Durchsicht.
5. Einführen, schulen, nachweisen – laufend. Inkraftsetzung mit Datum und Versionsnummer, Kenntnisnahme dokumentieren, Basisschulung vor der ersten Nutzung. Danach jährliche Auffrischung und halbjährliche Prüfung der Anlage 1. Ohne diesen fünften Schritt ist die Richtlinie ein Dokument im Intranet, das niemand kennt.

Was eine Richtlinie nicht leistet

• Sie ersetzt keine Rechtsberatung. Ob in Ihrem Fall Mitbestimmung greift, ob Ihre Rechtsgrundlage nach Artikel 6 DSGVO trägt, ob eine Folgenabschätzung nach Artikel 35 nötig ist – das sind Einzelfallfragen. Die Richtlinie strukturiert sie, sie beantwortet sie nicht.
• Sie ersetzt keine Technik. Ein Verbot in einem PDF hindert niemanden daran, einen Text in ein privates Konto zu kopieren. Wirksam wird die Regel erst zusammen mit bereitgestellten Firmenzugängen, Single Sign-on und – wo verhältnismäßig – technischen Sperren. Und wo Zugriffe protokolliert werden, sind wir wieder bei der Mitbestimmung.
• Sie ersetzt keine Schulung. Im Frühjahr 2025 hatten laut Bitkom 70 Prozent der Erwerbstätigen vom Arbeitgeber noch kein KI-Fortbildungsangebot erhalten, 20 Prozent hatten eines wahrgenommen (Bevölkerungsbefragung, n = 1.005, KW 11 bis 15/2025, Presseinformation vom 7. Juli 2025). Eine Richtlinie ohne Schulung erfüllt Artikel 4 KI-Verordnung nicht – und wird im Zweifel auch nicht befolgt, weil ihre Regeln ohne Verständnis für die Technik willkürlich wirken.

Was sie leistet: Sie macht aus einer diffusen Unsicherheit eine Liste von Entscheidungen, die jemand getroffen und aufgeschrieben hat. Das ist im Aufsichts- wie im Haftungsfall der Unterschied, auf den es ankommt.

Häufige Fragen

Braucht mein Unternehmen wirklich eine KI-Richtlinie?

Sobald im Unternehmen KI genutzt wird – und vier von zehn Unternehmen gehen davon aus, dass Beschäftigte private Werkzeuge einsetzen (Bitkom, 21. Oktober 2025) – ist die Antwort praktisch ja. Ohne Regelwerk fehlen die Nachweise für Artikel 4 KI-Verordnung, die Rechtsgrundlage für personenbezogene Daten und die angemessenen Geheimhaltungsmaßnahmen nach dem Geschäftsgeheimnisgesetz. Die Richtlinie ist dabei weniger ein Verbotsinstrument als eine Erlaubnisliste.

Ist eine KI-Richtlinie gesetzlich vorgeschrieben?

Nein, jedenfalls nicht als eigenes Dokument. Es gibt keine Norm, die ein Papier mit dem Titel KI-Richtlinie verlangt. Es gibt aber mehrere Pflichten aus KI-Verordnung, DSGVO und Geschäftsgeheimnisgesetz, die sich mit einer Richtlinie in einem Aufwasch erfüllen und dokumentieren lassen.

Was gehört in eine KI-Richtlinie hinein?

Zehn Bausteine: Geltungsbereich, erlaubte und verbotene Werkzeuge, Datenklassen, personenbezogene Daten, Prüfpflicht, Kennzeichnung, Urheberrecht, Schulung und Nachweis, Verantwortlichkeiten sowie Verstöße. Die konkrete Werkzeugliste und die Datenklassen-Ampel gehören in Anlagen, weil sich Anlagen ohne neuen Abstimmungsdurchlauf aktualisieren lassen. Fünf bis acht Seiten plus Anlagen sind für ein KMU ein realistischer Umfang.

Darf ich Kundendaten in ChatGPT eingeben?

In der Gratisversion oder mit einem privaten Plus-Konto nicht: Dort ist das Training auf Unterhaltungen standardmäßig aktiv, und es besteht kein Auftragsverarbeitungsvertrag. In ChatGPT Business oder Enterprise ist es unter Voraussetzungen möglich – OpenAI sagt für diese Pläne zu, Modelle standardmäßig nicht auf Kundendaten zu trainieren, und bietet einen Auftragsverarbeitungsvertrag an. Zusätzlich nötig sind eine dokumentierte Rechtsgrundlage, ein Eintrag im Verarbeitungsverzeichnis und die interne Freigabe des Werkzeugs für diese Datenklasse.

Muss der Betriebsrat einer KI-Richtlinie zustimmen?

Wo ein Betriebsrat besteht, ist er in aller Regel zu beteiligen. Unterrichtung und Beratung nach Paragraf 90 Absatz 1 Nummer 3 Betriebsverfassungsgesetz greifen schon in der Planungsphase; die Norm nennt den Einsatz von künstlicher Intelligenz ausdrücklich. Echte Mitbestimmung nach Paragraf 87 Absatz 1 Nummer 6 greift, wenn das System objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Ob das im Einzelfall zutrifft, ist eine Rechtsfrage und sollte arbeitsrechtlich geprüft werden.

Was passiert bei Verstößen gegen die KI-Richtlinie?

Die Richtlinie ist eine arbeitsrechtliche Weisung; Reaktionen reichen vom Klärungsgespräch über den schriftlichen Hinweis bis zur Abmahnung. Daneben stehen die gesetzlichen Rahmen: Verstöße gegen die Transparenzpflichten des Artikels 50 KI-Verordnung fallen nach Artikel 99 Absatz 4 in einen Rahmen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, wobei für KMU jeweils der niedrigere Betrag gilt. Wichtiger als jede Sanktionsdrohung ist in der Praxis, dass Selbstmeldungen sanktionsfrei bleiben.

Reicht es, KI im Unternehmen einfach zu verbieten?

Als Strategie selten. Der Anteil der Unternehmen, die private KI-Nutzung sicher ausschließen, ist binnen eines Jahres von 37 auf 29 Prozent gefallen (Bitkom, 21. Oktober 2025). Ein Verbot ohne Alternative verlagert die Nutzung in den privaten Account und damit aus dem Blickfeld des Unternehmens. Sinnvoll ist dagegen das Verbot bestimmter Werkzeuge und bestimmter Datenklassen – der Unterschied liegt zwischen nichts davon und dieses, dafür, so.