Ob offiziell erlaubt oder nicht: In vielen Betrieben wird längst mit ChatGPT und ähnlichen Werkzeugen gearbeitet. Eine interne KI-Richtlinie ersetzt das stille Dulden durch klare Regeln - mit einem erlaubten Weg, klaren Grenzen und benannter Verantwortung. Dieser Beitrag erklärt die acht Bausteine und liefert ein kostenloses Muster gleich mit.
Struktur des kostenlosen Musters (DOCX, Stand August 2026). Jeder Baustein wird im Beitrag erklärt.
Die Verordnung (EU) 2024/1689 verlangt an keiner Stelle ein Dokument namens KI-Richtlinie. Wer nach einer Vorlage sucht, sucht also kein gesetzlich definiertes Formular, sondern ein Arbeitsinstrument. Das ist keine schlechte Nachricht: Sie dürfen die Richtlinie so schlank halten, wie Ihr Betrieb es braucht.
Praktisch ist die Richtlinie trotzdem der Ort, an dem mehrere echte Pflichten und Risiken zusammenlaufen:
Welcher Stichtag welche dieser Pflichten auslöst, ordnet der Beitrag EU-AI-Act-Fristen: was jetzt gilt und was noch kommt ein. Welche Sanktionen die Verordnung für Verstöße vorsieht, behandelt der Beitrag Was kostet ein Verstoß gegen den EU AI Act? - für das Fehlen einer Richtlinie gibt es keine eigene Sanktionsnorm, für die dahinterliegenden Pflichten schon.
Die Verordnung (EU) 2026/1744 hat Art. 4 abgemildert: Ein bestimmter Kenntnisstand jeder einzelnen Person muss nicht garantiert werden, und ein Zertifikat ist nicht vorgesehen. Die Pflicht, Maßnahmen zu treffen, bleibt. Eine Richtlinie mit Einweisung und Dokumentation ist eine solche Maßnahme.
Ohne Regelung entsteht das, was inzwischen Schatten-KI genannt wird: Beschäftigte helfen sich selbst - mit privaten Accounts und nicht geprüften Gratis-Tools. Unternehmensdaten landen dann unkontrolliert in fremden Diensten, ohne dass im Haus jemand davon weiß.
Schnell beschlossen, leicht zu kommunizieren - und nach unserer Einschätzung das schwächere Mittel. Die Nutzung verschwindet nicht, sie wird unsichtbar: private Geräte, private Konten, keine Whitelist, keine Einweisung. Das Unternehmen verliert genau die Kontrolle, die das Verbot herstellen sollte.
Freigegebene Werkzeuge, klare Grenzen für Eingaben, eine kurze Einweisung. Wer einen erlaubten Weg anbietet, macht die Nutzung sichtbar und steuerbar - und nimmt der Schatten-Nutzung ihren Grund. Genau dafür ist die Richtlinie da.
Eine KI-Richtlinie ist deshalb kein Verbotskatalog, sondern eine Erlaubnisordnung mit Grenzen. Wie sie aufgebaut ist, zeigt der nächste Abschnitt - Baustein für Baustein, in der Reihenfolge des Musters.
Das kostenlose Muster (Download im nächsten Abschnitt) folgt der Struktur, die Sie oben in der Akte sehen. Die Reihenfolge hat einen Grund: erst der Rahmen, dann die Regeln, dann die Verantwortung. Jeder Baustein passt auf eine halbe bis ganze Seite - eine Richtlinie, die niemand liest, regelt nichts.
Wofür die Richtlinie da ist und für wen sie gilt: in der Regel für alle Beschäftigten, sinnvollerweise auch für freie Mitarbeiter und Werkstudenten. Klären Sie außerdem, welche Werkzeuge gemeint sind - eigenständige Dienste wie ChatGPT ebenso wie KI-Funktionen, die in vorhandene Software eingebettet sind.
Wer gibt neue Werkzeuge frei, wer pflegt die Liste der zugelassenen Tools, wer beantwortet Fragen aus der Belegschaft? Ohne benannte Zuständigkeit veraltet jede Richtlinie in wenigen Monaten. Eine verantwortliche Person mit Stellvertretung genügt - ein Gremium braucht es dafür nicht.
Das Herzstück: eine Whitelist der freigegebenen Werkzeuge mit Einsatzzweck - und ein einfacher Weg, neue Tools zur Freigabe vorzuschlagen. Ist der Freigabeweg mühsam, entsteht an ihm vorbei die nächste Schatten-Nutzung. Die Whitelist ist dabei kein eigenständiges Dokument, sondern ein Auszug aus dem KI-Inventar: Was dort erfasst und freigegeben ist, erscheint in der Liste. Wie Sie dieses Inventar aufbauen, zeigt der Beitrag KI-Inventar erstellen.
Wenige, dafür eindeutige Verbote: keine personenbezogenen Daten, keine Geschäftsgeheimnisse und keine Bewerbungsunterlagen in nicht freigegebene Tools eingeben. Solche klaren Linien wirken stärker als ein langer Katalog von Einzelfällen, weil sie ohne Nachdenken anwendbar sind.
Zwischen erlaubt und verboten liegt der Alltag. Dieser Baustein ordnet Datenklassen den Werkzeugen zu: Öffentliche Informationen dürfen in jedes freigegebene Tool, interne Arbeitsstände nur in Dienste mit passender vertraglicher Grundlage, Vertrauliches und Personenbezogenes nur dorthin, wo es ausdrücklich freigegeben ist. Drei Klassen reichen für den Anfang.
KI-Ausgaben werden vor der Verwendung von einem Menschen geprüft - fachlich und inhaltlich. Der Grundsatz dahinter passt in einen Satz: Wer KI-Output nutzt, verantwortet ihn. Die Richtlinie nimmt damit niemandem die Arbeit ab, aber sie beendet die Vorstellung, ein Werkzeug könne Verantwortung tragen.
Sobald KI-Inhalte das Haus verlassen, stellen sich Kennzeichnungsfragen: beim Chatbot auf der Website ebenso wie bei realistisch wirkenden KI-Bildern. Die Transparenzpflichten des Art. 50 gelten seit dem 2. August 2026; wen sie treffen und welche Ausnahmen es gibt, erklärt der Beitrag Transparenzpflichten nach Art. 50 in der Praxis. Die Richtlinie verweist auf diese Pflichten und benennt, wer im Haus die Kennzeichnung sicherstellt.
Hier liegt der Bezug zu Art. 4: Die Richtlinie wird nicht nur verteilt, sondern erklärt - kurz, werkzeugbezogen, mit Raum für Fragen. Und das wird festgehalten: wer wurde wann wozu eingewiesen. Ein Zertifikat sieht die Verordnung nicht vor; eine datierte Notiz je Einweisung ist ein solider Anfang.
Den Abschluss des Musters bilden drei kurze Regelungen: Pflege (wer aktualisiert die Richtlinie wann), Umgang mit Verstößen und Inkrafttreten. Eine Randnotiz gehört dazu: Wo es einen Betriebsrat gibt, gehört er früh an den Tisch - nicht erst zur Unterschrift.
Das Muster enthält alle acht Bausteine plus Schlussbestimmungen (Pflege, Verstöße, Inkrafttreten) - als neun nummerierte Abschnitte mit Formulierungsvorschlägen und Platzhaltern. Es ist ein Ausgangspunkt, kein Endzustand - die Anpassung an Ihren Betrieb gehört zwingend dazu.
Für die Einführung empfiehlt sich eine einfache Reihenfolge: erst den erlaubten Weg kommunizieren (was ab sofort genutzt werden darf), dann kurz und werkzeugbezogen einweisen, dann dokumentieren, wer wann wozu eingewiesen wurde. Wer mit dem Verbotsteil beginnt, verliert die Belegschaft im ersten Absatz.
Zur Arbeitsteilung zwischen Richtlinie und Software: Die Richtlinie regelt das Verhalten der Beschäftigten. CompliKI dokumentiert die Systeme dahinter - das Inventar, aus dem die Whitelist entsteht, die Risikoeinstufung je System und die Maßnahmen samt Einweisungen. Welche Werkzeuge dafür vorgesehen sind, zeigt die Seite Funktionen von CompliKI; ob und wie Ihr Betrieb überhaupt betroffen ist, klärt vorab der kostenlose Schnell-Check in fünf Fragen, ohne Login und ohne E-Mail-Adresse. Eine juristische Einzelfallprüfung ersetzt beides nicht.
Dieser Beitrag gibt Anforderungen der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 sowie allgemeine Praxiserwägungen wieder und ersetzt keine individuelle juristische Würdigung des Einzelfalls. Das verlinkte Muster ist eine allgemeine Vorlage; die Anpassung an den konkreten Betrieb und die Prüfung im Einzelfall liegen beim Unternehmen. Für verbindliche Angaben sind ausschließlich die offiziellen Quellen der EU maßgeblich. Eine Garantie auf jederzeitige Vollständigkeit besteht nicht.
Nein. Die Verordnung (EU) 2024/1689 verlangt kein Dokument mit diesem Namen. Sie verlangt aber Maßnahmen zur KI-Kompetenz (Art. 4) und je nach Einsatz Kennzeichnung nach Art. 50; dazu kommen Datenschutz und der Schutz von Geschäftsgeheimnissen. Eine Richtlinie ist der praktische Ort, diese Anforderungen an einer Stelle zu regeln.
Ein Totalverbot ist zulässig, verlagert die Nutzung nach unserer Einschätzung aber ins Verborgene: Beschäftigte weichen auf private Konten aus, und das Unternehmen verliert den Überblick darüber, welche Daten in fremde Dienste gelangen. Ein geregelter, erlaubter Weg mit klaren Grenzen ist meist das wirksamere Mittel.
Mit dem erlaubten Weg zuerst: kommunizieren, was ab sofort genutzt werden darf, dann kurz und werkzeugbezogen einweisen, dann dokumentieren, wer wann wozu eingewiesen wurde. Wo es einen Betriebsrat gibt, gehört er früh an den Tisch.
Die Richtlinie regelt das Verhalten, das Inventar erfasst die Systeme. Die Whitelist der zugelassenen Werkzeuge ist ein Auszug aus dem Inventar: Was dort erfasst und freigegeben ist, erscheint in der Liste. Beide Dokumente werden deshalb zusammen gepflegt - wie das Inventar entsteht, zeigt der Beitrag KI-Inventar erstellen.
Der kostenlose Schnell-Check klärt Betroffenheit, Rolle und Risikoniveau in fünf Fragen - ohne Login und ohne E-Mail-Adresse.
Jahreslizenz ab 399 € inkl. USt, 7 Tage Geld zurück.