KI-Nutzungsrichtlinie erstellen: Was DSGVO-konform hineingehört

Kurz gesagt

Eine KI-Nutzungsrichtlinie muss mindestens regeln, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen, wer verantwortlich ist und wie Ergebnisse geprüft werden. Ohne diese Regeln entscheiden Mitarbeitende eigenständig, welche Kunden- oder Unternehmensdaten sie preisgeben.

Warum das kein optionales Thema ist

Verbreitet genutzte KI-Tools verarbeiten eingegebene Daten auf Servern außerhalb der EU. Ohne Richtlinie entscheidet jede Person selbst, welche Kunden- oder Unternehmensdaten sie eingibt — das schafft datenschutzrechtliche Risiken durch fehlende Rechtsgrundlage, Risiken für Betriebsgeheimnisse und Qualitätsprobleme durch unkritisch übernommene KI-Ausgaben. Das Unternehmen haftet dabei für DSGVO-Verstöße durch Mitarbeitende, wenn keine angemessenen Schutzmaßnahmen ergriffen wurden — eine dokumentierte Richtlinie mit Schulung ist genau diese Schutzmaßnahme.

Was vor der Richtlinie zu klären ist

Inventur: welche KI-Tools im Unternehmen bereits genutzt werden, auch inoffiziell.
Verantwortliche benennen: Datenschutzbeauftragte, IT-Leitung und Geschäftsführung einbinden.
Datenkategorien definieren: was als vertraulich gilt und was als unkritisch.
Auftragsverarbeitungsvertrag prüfen: hat der KI-Anbieter einen entsprechenden Vertrag angeboten?
Betriebsrat einbinden, falls vorhanden — bei Tools mit Überwachungspotenzial besteht Mitbestimmungspflicht.

Die Richtlinie Schritt für Schritt aufbauen

Erlaubte und verbotene Tools festlegen: klare Liste, keine Grauzonen.
Verbotene Dateneingaben definieren: Kundendaten, Personaldaten, Geschäftsgeheimnisse, Vertragsinhalte.
Erlaubte Anwendungsfälle beschreiben: wofür KI-Tools sinnvoll und unkritisch genutzt werden können.
Verantwortung und Prüfpflicht klären: wer verantwortet die Freigabe, wer prüft KI-generierte Ergebnisse vor Verwendung.
Kennzeichnung und Urheberrecht regeln: ob und wie KI-generierter Content intern oder gegenüber Kunden als solcher kenntlich gemacht wird — KI-generierte Texte und Bilder können urheberrechtlich problematisch sein, die Nutzung muss deshalb geregelt sein.
Schulung und Kommunikation: die Richtlinie muss bekannt sein, nicht nur existieren.
Regelmäßige Überprüfung: mindestens einmal jährlich sowie bei neuen Tools oder geänderten Anbieterbedingungen.

Das größte Einzelrisiko: fehlende Rechtsgrundlage

Geben Mitarbeitende Kundendaten in ein KI-Tool ein, ohne dass ein Auftragsverarbeitungsvertrag mit dem Anbieter besteht, fehlt die datenschutzrechtliche Grundlage für diese Verarbeitung. Das ist kein rein theoretisches Risiko — erste Bußgeldverfahren dazu laufen bereits in der EU. Business- oder Enterprise-Varianten großer Anbieter, die im Rahmen eines bestehenden Geschäftskundenvertrags mit Auftragsverarbeitungsvertrag genutzt werden, sind hier deutlich unkritischer als kostenlose Consumer-Versionen.

Umfang und Pflege

Eine KI-Nutzungsrichtlinie muss kein umfangreiches Dokument sein. Zwei bis drei klare Seiten mit erlaubten Tools, verbotenen Dateneingaben und einer Prüfpflicht reichen für die meisten mittelständischen Unternehmen. Entscheidend ist, dass sie kommuniziert, tatsächlich gelebt und regelmäßig aktualisiert wird — eine Richtlinie, die niemand kennt, schützt nicht.

Häufige Fragen

Muss eine KI-Richtlinie vom Betriebsrat genehmigt werden?

Bei Tools mit Überwachungspotenzial ja; für reine Arbeitsunterstützung ist die Mitbestimmungspflicht geringer.

Darf ich Kundendaten in ein KI-Tool eingeben?

Nur wenn ein Auftragsverarbeitungsvertrag mit dem Anbieter besteht und die Eingabe intern freigegeben ist.

Was passiert, wenn Mitarbeitende die Richtlinie ignorieren?

Das Unternehmen haftet für daraus entstehende DSGVO-Verstöße, wenn keine angemessenen Schutzmaßnahmen ergriffen wurden.

Gilt die Richtlinie auch für KI-Funktionen in bestehender Software?

Ja, KI-Funktionen in Microsoft 365, CRM- oder ERP-Systemen unterliegen denselben Datenschutzpflichten wie externe Chat-Tools und sollten explizit adressiert werden.