KI-Richtlinie für KMU: Was auf zwei Seiten stehen sollte

Sobald im Betrieb jemand anfängt, KI-Werkzeuge zu nutzen, entstehen Fragen, die niemand entscheiden will: Darf ich das Angebot des Kunden dort hineinkopieren? Muss ich kennzeichnen, dass ein Text mit KI entstanden ist? Wer haftet, wenn etwas falsch ist? Eine KI-Richtlinie beantwortet diese Fragen einmal für alle. Sie braucht dafür keine dreißig Seiten – zwei reichen, wenn die richtigen Punkte darin stehen.

Warum eine KI-Richtlinie auch für kleine Betriebe sinnvoll ist

Der praktische Grund: Ohne Regeln entscheidet jede Person selbst, und die Entscheidungen fallen unterschiedlich aus. Der zweite Grund ist regulatorisch. Seit Februar 2025 gilt für Unternehmen, die KI-Systeme einsetzen, eine Pflicht zur ausreichenden KI-Kompetenz der damit befassten Mitarbeitenden. Das heißt nicht Zertifikat für alle, aber es heißt: Wer die Werkzeuge nutzt, muss verstehen, was sie tun und wo ihre Grenzen liegen. Eine Richtlinie plus kurze Schulung ist der einfachste Weg, das nachvollziehbar zu erfüllen.

Punkt 1: Welche Werkzeuge sind freigegeben

Nennen Sie die Werkzeuge namentlich, die genutzt werden dürfen, und schreiben Sie dazu, wer neue freigibt. Alles andere ist nicht verboten, sondern muss angefragt werden – das ist der Unterschied zwischen einer Regel, an die sich Leute halten, und einer, die umgangen wird.

Punkt 2: Welche Daten dürfen hinein

Der wichtigste Abschnitt. Praktikabel ist eine Ampel: unbedenklich sind allgemeine Fragen und eigene, nicht vertrauliche Texte. Nur nach Rücksprache gehen interne Dokumente und Kalkulationen hinein. Gar nicht hinein gehören personenbezogene Daten von Kunden und Mitarbeitenden, Zugangsdaten und Unterlagen, die unter Verschwiegenheit stehen. Konkrete Beispiele aus dem eigenen Alltag helfen mehr als jede abstrakte Formulierung.

Punkt 3: Was ein Mensch prüfen muss

Legen Sie fest, welche Ergebnisse vor der Verwendung geprüft werden – in der Praxis: alles, was das Haus verlässt, und alles, was in ein System geschrieben wird. Wer prüft, steht ebenfalls dabei. Das ist die Regel, die im Ernstfall den Unterschied macht.

Punkt 4: Kennzeichnung

Klären Sie intern, ob und wie KI-Unterstützung sichtbar gemacht wird. Für interne Entwürfe ist das meist unnötig, für veröffentlichte Inhalte und für Kundenkommunikation sollten Sie eine Linie haben und diese begründen können.

Punkt 5: Wer ist Ansprechpartner

Eine benannte Person, an die alle Zweifelsfälle gehen. Ohne diesen Punkt bleiben Unsicherheiten unausgesprochen, und die Regel wird still umgangen.

Punkt 6: Wann wird die Richtlinie überprüft

Setzen Sie ein Datum, typischerweise halbjährlich. Werkzeuge und Rechtslage ändern sich schnell genug, dass eine Richtlinie ohne Wiedervorlage nach einem Jahr nicht mehr passt.

Was nicht hineingehört

Technische Details zu Modellen, lange Erklärungen zur Funktionsweise, juristische Zitate ohne Handlungsanweisung. Alles, was niemand liest, schwächt die Teile, die gelesen werden müssen. Zwei Seiten, verständlich formuliert, einmal in einer Teamrunde vorgestellt – das ist wirksamer als ein Dokument, das im Ordner liegt.

Datenschutz kurz und praktisch

Prüfen Sie vor der Freigabe eines Werkzeugs drei Dinge: Wo werden die Daten verarbeitet, werden Eingaben zum Training verwendet, und gibt es einen Vertrag zur Auftragsverarbeitung? Für die meisten Anwendungsfälle im Mittelstand reicht eine Lösung mit EU-Verarbeitung und abgeschlossenem Vertrag. Wenn personenbezogene Daten verarbeitet werden sollen, gehört der Fall in das Verarbeitungsverzeichnis.

Ein Muster für die Datenampel

Der Abschnitt zu den Daten wird am häufigsten gelesen und am häufigsten missverstanden. Deshalb lohnt sich hier Konkretheit statt Kategorien. Grün: öffentlich verfügbare Informationen, eigene Marketingtexte, allgemeine Fachfragen, anonymisierte Beispiele. Gelb, also nur nach Rücksprache: interne Abläufe, Kalkulationsschemata ohne Zahlen, Entwürfe für Angebote ohne Kundennamen. Rot: Namen und Kontaktdaten von Kunden und Mitarbeitenden, Gesundheits- und Personaldaten, Zugangsdaten, Unterlagen unter Verschwiegenheitsvereinbarung, Preise, die vertraglich geschützt sind.

Schulung: Was „ausreichende KI-Kompetenz“ praktisch heißt

Kein Zertifikat, sondern nachweisbares Grundverständnis bei den Menschen, die die Werkzeuge nutzen. In der Praxis reicht ein zweistündiger Termin mit vier Inhalten: Wie kommen Antworten zustande, warum können sie falsch sein, welche Daten dürfen hinein, wie formuliert man Aufgaben präzise. Halten Sie Datum und Teilnehmerliste fest – das ist Ihr Nachweis.

Rollen und Zuständigkeiten

Drei Rollen genügen den meisten Betrieben: eine Person, die Werkzeuge freigibt, eine, die bei Zweifelsfällen ansprechbar ist, und die Geschäftsführung, die die Richtlinie in Kraft setzt. In kleineren Betrieben fällt das zusammen – dann schreiben Sie das so hinein, statt Rollen zu erfinden, die niemand ausfüllt.

Was sich in den nächsten Monaten ändern dürfte

Die Anforderungen an Transparenz und Kennzeichnung entwickeln sich weiter, und die Anbieter ändern ihre Bedingungen regelmäßig. Genau deshalb gehört die halbjährliche Überprüfung mit festem Datum in die Richtlinie. Wer das einplant, muss nicht jedes Mal von vorn anfangen, sondern passt zwei Absätze an.

Häufige Fragen zu KI-Richtlinie