Warum eine Richtlinie — und warum jetzt
In den meisten Betrieben wird KI längst genutzt — nur eben still, mit privaten Konten und nach Gefühl. Eine Richtlinie beendet diesen Schwebezustand: Sie sagt, was erlaubt ist, statt nur zu ahnen, was verboten sein könnte. Das entlastet beide Seiten — Mitarbeitende wissen, woran sie sind, und Sie wissen, welche Daten wohin fließen. Wie verbreitet die stille Nutzung ist und warum Verbote sie nicht stoppen, steht im Beitrag Schatten-KI.
Dazu kommt eine rechtliche Ebene: Artikel 4 der EU-KI-Verordnung verlangt seit Februar 2025, dass Mitarbeitende, die KI einsetzen, dafür ausreichend geschult sind. Eine Richtlinie ist der natürliche Ort, an dem diese Einweisung dokumentiert wird.
Die acht Bausteine
Diese Gliederung können Sie direkt übernehmen. Für einen Betrieb bis etwa 50 Mitarbeitende passt das Ergebnis auf ein bis zwei Seiten.
Die Daten-Ampel (Baustein 3) ist das Herzstück. Wer nur diesen einen Baustein sauber umsetzt, hat das größte Risiko bereits im Griff.
Was nicht hineingehört
Alles, was die Richtlinie länger als zwei Seiten macht. Kein Glossar der KI-Begriffe, keine Modellvergleiche, keine Absätze aus Anwaltsvorlagen, die niemand versteht. Eine Richtlinie, die nicht gelesen wird, schützt niemanden. Auch Tool-Namen mit Versionsnummern sind ein Fehler: Die Werkzeuge ändern sich schneller als das Dokument — deshalb gehören konkrete Tool-Listen in eine Anlage, die die verantwortliche Person aktuell hält.
Einführung in vier Schritten
Erstens: Bestandsaufnahme — fragen Sie offen, wer heute schon welche Tools nutzt. Ohne Vorwürfe; Sie wollen die Wahrheit, nicht die Schuldigen. Zweitens: Entwurf schreiben, mit den acht Bausteinen als Gerüst. Drittens: Eine Team-Runde, in der die Regeln an echten Beispielen durchgespielt werden — hier zeigt sich, ob die Daten-Ampel verständlich ist. Viertens: In Kraft setzen, Einweisung dokumentieren, Termin zur Überprüfung in den Kalender.
Welche Tarife und Verträge hinter Baustein 2 und 3 stehen, habe ich in ChatGPT im Betrieb ausführlich beschrieben — inklusive der Frage, wann ein Auftragsverarbeitungsvertrag nötig ist.
Braucht der Betriebsrat ein Wort mitzureden?
Wenn es einen gibt: Binden Sie ihn früh ein, unabhängig von der Rechtslage. Zur Rechtslage selbst hat das Arbeitsgericht Hamburg im Januar 2024 entschieden (Az. 24 BVGa 1/24), dass die bloße Erlaubnis, KI-Tools über private Konten im Browser zu nutzen, samt Nutzungsrichtlinie kein Mitbestimmungsrecht auslöst. Anders kann es aussehen, sobald KI fest in Systeme integriert wird, die Verhalten oder Leistung erfassen können (§ 87 Abs. 1 Nr. 6 BetrVG) — dann ist die Mitbestimmung nach überwiegender Einschätzung eröffnet. Für die Praxis heißt das: Die Richtlinie selbst ist meist mitbestimmungsfrei, die feste Integration in Arbeitsabläufe oft nicht.
Häufige Fragen
Brauchen wir das schon bei fünf Mitarbeitenden?
Ja — gerade dann. In kleinen Teams ist die Richtlinie in einer Stunde geschrieben und erspart die Situation, dass fünf Leute fünf verschiedene private Konten mit fünf verschiedenen Regeln nutzen.
Reicht eine mündliche Absprache?
Für den Alltag vielleicht — aber die Schulungspflicht aus Art. 4 KI-VO und die Frage, welche Daten wohin dürfen, sollten schriftlich stehen. Sonst lässt sich im Zweifel nicht zeigen, dass es Regeln gab.
Wie oft muss die Richtlinie aktualisiert werden?
Die Grundsätze halten Jahre — die Tool-Anlage nicht. Deshalb die Trennung: Regeln im Dokument, konkrete Werkzeuge in der Anlage, Überprüfung zweimal im Jahr.
Rechtsgrundlagen in diesem Beitrag: Art. 4 EU-KI-Verordnung (KI-Kompetenz, seit Februar 2025); Art. 50 EU-KI-Verordnung (Kennzeichnung, seit 2.8.2026); Art. 9, 22, 28 DSGVO; § 87 Abs. 1 Nr. 6 BetrVG; Beschluss des Arbeitsgerichts Hamburg vom 16. Januar 2024 (24 BVGa 1/24). Diese Übersicht ersetzt keine Rechtsberatung im Einzelfall.