KI-Richtlinie für Unternehmen: Vorlage für kleine Teams zum Kopieren

Stand: 24. Oktober 2026. Nächste Prüfung: Januar 2027. Dieser Artikel ist keine Rechtsberatung.

In den meisten kleinen Teams nutzt längst jemand ChatGPT, Claude oder Gemini. Oft mit dem privaten Konto, oft mit Kundendaten im Prompt, und fast nie mit abgesprochenen Regeln. Eine KI-Richtlinie für Unternehmen schließt diese Lücke. Für ein Team von drei bis zwanzig Leuten muss sie aber kein 30-seitiges Regelwerk sein. Unten findest Du eine Vorlage, die auf zwei Seiten passt, mit einer Erklärung zu jedem Abschnitt und dem Rechtsstand nach dem Digital Omnibus.

Was ist eine KI-Richtlinie?

Eine KI-Richtlinie ist eine interne Regelung, die festlegt, wie Beschäftigte KI-Tools bei der Arbeit nutzen dürfen. Sie beantwortet vier Fragen: Welche Tools sind freigegeben? Welche Daten dürfen hinein? Wer prüft die Ergebnisse? An wen wende ich mich bei Fragen oder Pannen?

Andere Namen dafür sind KI-Leitlinie, KI-Nutzungsrichtlinie oder auf Englisch AI Policy. Gemeint ist meist dasselbe. Eine KI-Richtlinie ersetzt weder die Datenschutzerklärung Deiner Website noch eine Schulung. Sie ist die Spielregel, auf die sich beide stützen.

Warum das gerade kleine Teams angeht, zeigt eine Forsa-Umfrage für den TÜV-Verband: 56 Prozent der Unternehmen setzen generative KI ein, geschult haben nur 27 Prozent. Bei kleinen Unternehmen ist die Quote der Schulungen am niedrigsten. Die Zahlen und was daraus folgt, haben wir in unserem Ratgeber KI-Weiterbildung für Mitarbeiter zusammengefasst. Wo es keine Regeln gibt, greifen Leute zu eigenen Tools. Genau dort landen dann Kundendaten in kostenlosen Konten.

Ist eine KI-Richtlinie für Unternehmen Pflicht?

Eine KI-Richtlinie ist keine gesetzliche Pflicht. Weder die EU-KI-Verordnung (AI Act) noch die DSGVO verlangen ein Dokument mit diesem Namen. Beide Gesetze enthalten aber Pflichten, die Du ohne schriftliche Regeln kaum nachweisen kannst. Die Richtlinie bündelt sie an einer Stelle.

Die Primärquelle ist die KI-Verordnung (EU) 2024/1689 auf EUR-Lex. Für die Datenschutzseite haben die deutschen Aufsichtsbehörden eine Orientierungshilfe zu KI und Datenschutz veröffentlicht. Sie ist von Mai 2024, als Checkliste für die Auswahl von KI-Tools aber weiter brauchbar.

Was der Digital Omnibus bei Art. 4 geändert hat

Der Digital Omnibus zur KI hat die Pflicht zur KI-Kompetenz abgeschwächt. Bisher mussten Anbieter und Betreiber „nach besten Kräften“ sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Seit dem 27. Juli 2026 gilt die neue Fassung aus der Verordnung (EU) 2026/1744: Sie ergreifen Maßnahmen, um die KI-Kompetenz zu fördern, und müssen dabei für niemanden ein bestimmtes Niveau garantieren.

Für Dein Team heißt das: Die Pflicht bleibt, sie ist nur realistischer formuliert. Die Bundesnetzagentur empfiehlt zur KI-Kompetenz, die Maßnahmen zu dokumentieren: welche Art, welcher Umfang, wer teilgenommen hat. Ein Zertifikat schreibt die KI-Verordnung laut Bundesnetzagentur nicht vor. Was genau als Nachweis reicht, behandeln wir in einem eigenen Artikel zur KI-Schulungspflicht.

Ebenfalls durch den Omnibus verschoben: Die Pflichten für Hochrisiko-KI nach Anhang III, etwa KI bei der Auswahl von Bewerbungen, gelten erst ab dem 2. Dezember 2027. Für kleine Teams ist das selten ein Thema. Es ist aber ein guter Grund, Personalentscheidungen mit KI in der Richtlinie gesondert zu regeln.

Die Vorlage: KI-Richtlinie für kleine Teams zum Kopieren

Diese Vorlage ist für Teams von drei bis etwa zwanzig Personen gedacht, ohne eigene Rechts- oder IT-Abteilung. Ersetze alles in eckigen Klammern. Streiche, was bei euch nicht passt. Lass sie vor dem Einsatz von jemandem mit Rechtskenntnis gegenlesen, vor allem wenn ihr mit Gesundheits-, Finanz- oder Personaldaten arbeitet.

KI-RICHTLINIE [FIRMENNAME]
Version 1.0 · Stand: [Datum] · Verantwortlich: [Name]

1. WOFÜR DIESE RICHTLINIE GILT
Diese Regeln gelten für alle, die für [Firmenname] arbeiten, auch für
Freelancer und Aushilfen, sobald sie KI-Tools für unsere Arbeit nutzen.
KI ist bei uns ausdrücklich erwünscht. Die Regeln schützen unsere Kunden
und uns vor Datenpannen und falschen Inhalten.

2. FREIGEGEBENE TOOLS
Für die Arbeit nutzen wir nur diese Tools, und zwar mit Firmenkonto:
- [Tool 1, Tarif, wofür]
- [Tool 2, Tarif, wofür]
Private Konten nutzen wir nicht für Firmendaten. In jedem Tool ist das
Training (Modellverbesserung mit unseren Daten) auf AUS gestellt.
Neue Tools schlägst Du [Name] vor. Bis zur Freigabe testest Du sie nur
mit Daten der Stufe Grün.

3. DATEN-AMPEL
GRÜN, darf in jedes freigegebene Tool:
  öffentliche Informationen, eigene Entwürfe ohne Namen, allgemeine Fragen.
GELB, nur in Tools mit Firmenkonto und abgeschaltetem Training:
  interne Unterlagen, anonymisierte Kundenfälle, Angebotsentwürfe ohne Namen.
ROT, gehört in kein KI-Tool:
  Namen, Kontaktdaten und Verträge von Kunden, Personal- und Gesundheitsdaten,
  Passwörter und Zugangsdaten, Geschäftsgeheimnisse, [eure Ergänzung].
Im Zweifel gilt Rot. Frag [Name].

4. PRÜFEN VOR VERWENDEN
KI-Ergebnisse sind Entwürfe. Nichts geht an Kunden oder an die
Öffentlichkeit, ohne dass ein Mensch es gelesen hat. Dabei prüft er
Fakten, Zahlen, Namen und Zitate. Wer etwas verschickt oder
veröffentlicht, trägt die Verantwortung dafür.

5. KENNZEICHNUNG
KI-Bilder, -Videos und -Stimmen, die echt wirken und reale Personen, Orte
oder Ereignisse zeigen könnten, kennzeichnen wir als KI-erzeugt.
Texte, die komplett automatisiert von KI erzeugt werden, kennzeichnen
wir ebenfalls. Hat KI an einem Text nur mitgearbeitet, schreiben wir
dazu: „Mit KI-Unterstützung entstanden.“ Im Zweifel kennzeichnen wir.
Wir gehen offen damit um, wo KI mitgearbeitet hat.

6. FREMDE INHALTE UND URHEBERRECHT
Fremde Texte, Bilder, Logos und Dateien laden wir nur hoch, wenn wir sie
nutzen dürfen. Für Werbung erstellen wir keine KI-Bilder mit fremden
Marken oder im Stil bekannter lebender Künstler.

7. NUR MIT FREIGABE, UND WAS NIE
Nur mit Freigabe durch [Geschäftsführung]:
- KI bei Entscheidungen über Bewerbungen, Leistung oder Kündigungen
- Auskünfte zu Recht, Steuern oder Gesundheit an Kunden
- KI-Agenten, die im Namen der Firma Mails senden oder Daten ändern
Nie: Emotionen oder Stimmung von Beschäftigten per KI auswerten.

8. LERNEN, FRAGEN, PANNEN
Wer KI-Tools nutzt, bekommt eine Einführung ([Format, Dauer]) und hat
[Zeit] pro Monat zum Ausprobieren. Wir halten fest, wer wann welche
Einführung bekommen hat. Fragen gehen an [Name oder Kanal].
Sind versehentlich Rot-Daten in einem Tool gelandet, meldest Du es sofort
an [Name]. Wer meldet, bekommt keinen Ärger.

9. ÜBERPRÜFUNG
[Name] prüft diese Richtlinie alle sechs Monate und sobald ein neues Tool
oder ein neues Gesetz dazukommt. Änderungen gehen per [Kanal] an alle.

Gelesen und verstanden: [Name, Datum, Unterschrift]

Die Vorlage Abschnitt für Abschnitt erklärt

Jeder Abschnitt der Vorlage hat einen konkreten Grund. Wenn Du weißt, welchen, kannst Du sie besser an Dein Team anpassen.

1. Geltungsbereich: Freelancer mitdenken

Der Geltungsbereich einer KI-Richtlinie sollte alle Menschen umfassen, die für Dein Unternehmen arbeiten, auch externe. Gerade kleine Teams arbeiten viel mit Freelancern, und die bringen ihre eigenen KI-Konten mit. Der Satz „KI ist bei uns ausdrücklich erwünscht“ ist Absicht. Eine Richtlinie, die nur verbietet, treibt Leute zurück in die Schatten-KI mit privaten Konten.

2. Freigegebene Tools: lieber zwei als zehn

Eine kurze Liste freigegebener KI-Tools ist besser als eine lange. Zwei Tools mit Firmenkonto kann ein kleines Team überblicken, zehn nicht. Mit dem Firmenkonto bekommst Du Kontrolle über Zugänge und Einstellungen. Die wichtigste Einstellung steht deshalb direkt in der Vorlage: Training auf AUS. Dann nutzt der Anbieter eure Eingaben laut seinen Bedingungen nicht zur Verbesserung seiner Modelle. Wo dieser Schalter sitzt und wo die Daten liegen, prüfst Du vor der Freigabe in den Vertragsbedingungen und Einstellungen des Anbieters. Das ändert sich regelmäßig, deshalb gehören diese Details in die Freigabe-Entscheidung. Die Richtlinie selbst bleibt so kurz.

Wie ein Team-Setup für ChatGPT mit gemeinsamen Vorgaben und Projekten aussieht, beschreibt unser Ratgeber ChatGPT für Marketingleiter. Der Grundsatz von dort gilt auch hier: Erst Regeln, dann Lizenzen verteilen.

3. Daten-Ampel: der wichtigste Abschnitt

Die Daten-Ampel ordnet jede Information einer von drei Stufen zu und sagt damit sofort, in welches Tool sie darf. Das ist der Teil, den Dein Team im Alltag braucht. Niemand liest vor jedem Prompt die DSGVO, aber eine Ampel hat man nach einer Woche im Kopf.

Der Trick für Gelb heißt Anonymisieren. Statt „Herr Müller von der Bäckerei Müller in Lüneburg beschwert sich über …“ schreibst Du „Ein Kunde aus dem Lebensmittelhandwerk beschwert sich über …“. Für die meisten Aufgaben reicht das völlig, und die KI liefert dieselbe Qualität.

4. Prüfen vor Verwenden: Verantwortung bleibt beim Menschen

Ein KI-Ergebnis ist ein Entwurf, bis ein Mensch es geprüft hat. Sprachmodelle erfinden gelegentlich Quellen oder Zitate und klingen dabei sehr überzeugt. Der Satz „Wer etwas verschickt, trägt die Verantwortung“ klärt, dass sich niemand hinter dem Tool verstecken kann.

Die Prüfung hat einen zweiten Nutzen: Nach Art. 50 Abs. 4 AI Act müssen KI-erzeugte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, gekennzeichnet werden. Das entfällt, wenn ein Mensch den Text geprüft hat und redaktionell dafür verantwortlich ist. Wer sauber prüft, ist also auch hier auf der sicheren Seite.

5. Kennzeichnung: im Zweifel kennzeichnen

Die Kennzeichnungspflicht nach Art. 50 AI Act gilt seit dem 2. August 2026 auch für kleine Unternehmen. Für Dein Team ist vor allem der Deepfake-Teil wichtig: Bilder, Videos und Tonaufnahmen, die echt wirken und reale Personen, Orte oder Ereignisse zeigen, musst Du als KI-erzeugt offenlegen. Die technische Markierung, etwa Wasserzeichen in den Dateien, ist Sache der Tool-Anbieter. Für Anbieter, deren Tools schon vor dem 2. August 2026 auf dem Markt waren, gilt dafür eine Übergangsfrist bis zum 2. Dezember 2026.

Bei Texten geht die Vorlage bewusst weiter als das Gesetz. Das ist eine Empfehlung, keine Pflicht. Warum wir das so handhaben, steht weiter unten bei unseren Erfahrungen aus Workshops.

Welche Marketing-Inhalte Du konkret kennzeichnen solltest, vom KI-Foto bis zur KI-Stimme, steht in unserem Ratgeber zur Kennzeichnungspflicht für KI im Marketing.

6. Fremde Inhalte und Urheberrecht

Der Abschnitt zum Urheberrecht regelt, was in die KI hineingeht und was herauskommt. Hinein: Wer einen fremden Fachartikel oder ein gekauftes Stockfoto hochlädt, sollte die Nutzungsbedingungen kennen. Heraus: Urheberrechtlich geschützt sind nach § 2 Abs. 2 UrhG nur „persönliche geistige Schöpfungen“. Ein Bild, das allein per Prompt entsteht, ist deshalb nach überwiegender Meinung meist nicht geschützt. Das bedeutet auch: Andere dürfen es unter Umständen nutzen. Ein Logo oder Markenzeichen lässt Du deshalb besser von einem Menschen gestalten.

7. Freigabe-Pflicht und Tabus

Einige KI-Einsätze sind so heikel, dass sie eine bewusste Entscheidung der Geschäftsführung brauchen. Das gilt besonders für Personalentscheidungen: KI bei der Auswahl von Bewerbungen zählt nach Anhang III des AI Act zur Hochrisiko-KI, und die DSGVO verbietet in Art. 22 weitgehend Entscheidungen, die allein automatisiert fallen. KI-Agenten, die selbstständig Mails senden, stehen ebenfalls auf der Liste, weil ein Fehler dort sofort beim Kunden ankommt.

Das „Nie“ ist kein Bauchgefühl. Emotionserkennung am Arbeitsplatz ist nach Art. 5 AI Act seit Februar 2025 verboten, mit engen Ausnahmen für medizinische und Sicherheitsgründe. Hat Dein Unternehmen einen Betriebsrat, sprich die Richtlinie vorher mit ihm ab. KI-Tools, die Verhalten oder Leistung erfassen können, sind in der Regel mitbestimmungspflichtig.

8. Lernen, Fragen, Pannen

Dieser Abschnitt verbindet die Richtlinie mit der Pflicht aus Art. 4 AI Act. Wer festhält, wer wann welche Einführung bekommen hat, hat den wichtigsten Nachweis schon erledigt. Mehr braucht ein kleines Team für den Anfang selten. Wie eine Weiterbildung aussieht, die im Alltag hängen bleibt, beschreibt unser Ratgeber KI-Weiterbildung für Mitarbeiter.

Der Satz „Wer meldet, bekommt keinen Ärger“ ist bewusst gewählt. Eine Kundenliste im falschen Tool kann eine meldepflichtige Datenpanne nach DSGVO sein, und dann zählt jede Stunde. Wer Angst vor Ärger hat, schweigt. Das ist für die Firma die teurere Variante.

9. Überprüfung: Termin in den Kalender

Eine KI-Richtlinie veraltet schneller als fast jedes andere interne Dokument. Neue Tools kommen, Tarife ändern sich, und allein der AI Act wurde 2026 schon einmal geändert. Trag Dir den Prüftermin deshalb direkt beim Verabschieden in den Kalender ein, sonst passiert es nicht.

So führst Du die KI-Richtlinie in einer Woche ein

Eine KI-Richtlinie wirkt erst, wenn das Team sie kennt und akzeptiert. In einem kleinen Team schaffst Du das in einer Woche.

1. Bestand aufnehmen (Tag 1). Frag offen und ohne Vorwurf, wer welche KI-Tools nutzt, auch privat. Du wirst überrascht sein.
2. Tools festlegen (Tag 2). Entscheide, welche ein bis drei Tools ihr mit Firmenkonto nutzt. Stell in jedem davon das Training auf AUS und prüf den Datenstandort.
3. Vorlage anpassen (Tag 3). Platzhalter füllen, die Ampel um eure typischen Daten ergänzen, bei Bedarf rechtlich gegenlesen lassen.
4. Im Team besprechen (Tag 4). Eine Stunde reicht. Geht die Ampel mit echten Beispielen aus eurem Alltag durch. Gibt es einen Betriebsrat, ist er spätestens jetzt dabei.
5. Unterschreiben und ablegen (Tag 5). Jede Person bestätigt mit Datum. Leg die Richtlinie dort ab, wo alle sie finden, und trag den Prüftermin ein.

Was wir in der Praxis mit KI-Regeln erleben

Kennzeichnung: das Dauerthema in Workshops

In unseren Workshops mit Unternehmen wird über keine Regel so viel diskutiert wie über die Kennzeichnung. Muss jetzt überall „KI“ dran? Wir sagen vorab immer dazu: Das ist keine Rechtsberatung. Wir erzählen, wie wir die Regeln verstehen und wie wir es selbst machen.

Bei Bildern ist unsere Faustregel: Kennzeichnen, wenn die Situation echt sein könnte. Das passt zum Deepfake-Teil von Art. 50 AI Act, denn dort geht es um Inhalte, die echt wirken.

Bei Texten empfehlen wir: Ist ein Text komplett automatisiert von KI erzeugt, kommt ein Hinweis drauf. Die gesetzliche Pflicht ist enger gefasst, sie betrifft nur Texte zu Themen von öffentlichem Interesse ohne menschliche Prüfung und redaktionelle Verantwortung (siehe Abschnitt 4 oben). Für alle anderen Texte, an denen KI mitgearbeitet hat, raten wir zu einem kurzen Satz wie „Mit KI-Unterstützung entstanden“. Auch das ist eine Empfehlung und keine Pflicht.

Am wichtigsten ist mir aber „Human in the Loop“. Du als Mensch bist verantwortlich für das, was rausgeht. Das passt vor allem bei Texten. Bei Bildern hilft es weniger: Ein täuschend echtes KI-Foto bleibt kennzeichnungspflichtig, auch wenn Du es vorher gründlich angeschaut hast.

Schatten-KI: ein Beispiel

Ein Fall, grob und ohne Namen erzählt: Jemand hat eine Kundenmail beziehungsweise ein Angebot in ein privates KI-Tool kopiert, um eine Antwort zu formulieren. Mit Namen und Details. Danach gab es im Unternehmen eine klare Regel und ein Firmenkonto.

In der Daten-Ampel wäre diese Mail Rot gewesen. Mit „Kunde A“ statt Namen wäre sie Gelb gewesen, also ein Fall fürs Firmenkonto mit abgeschaltetem Training.

Unsere eigenen Regeln bei Clever Mangos

Und wie machen wir das selbst? Bei Clever Mangos gelten drei Regeln:

• Keine Kundendaten in private Tools.
• Ein Mensch prüft alles. Nichts geht raus, ohne dass einer von uns es gelesen hat.
• Wir gehen offen damit um, wo KI mitgearbeitet hat.

Meine Empfehlung für kleine Teams: Übernimm alle drei. Und stell in jedem Tool das Training auf AUS, also die Einstellung, mit der der Anbieter Deine Eingaben zur Verbesserung seiner Modelle nutzen darf. In der Vorlage oben stecken diese Regeln schon drin, in den Abschnitten 2, 4 und 5.

Mehr zu KI im eigenen Team findest Du auf unserer Themenseite KI für Führungskräfte.

Häufige Fragen zur KI-Richtlinie im Unternehmen

Brauche ich als Solo-Selbstständiger eine KI-Richtlinie? Nein, eine schriftliche Richtlinie lohnt sich erst, wenn mehrere Menschen für Dich arbeiten. Die Daten-Ampel aus der Vorlage ist aber auch für Dich allein nützlich. Sobald Freelancer oder Aushilfen KI für Deine Kunden nutzen, solltest Du die Regeln aufschreiben.

Wie lang sollte eine KI-Richtlinie für ein kleines Team sein? Eine KI-Richtlinie für ein kleines Team passt auf zwei Seiten. Länger liest sie niemand. Details wie die konkrete Tool-Konfiguration gehören in eine Anlage, die nur die verantwortliche Person pflegt.

Muss ich die KI-Richtlinie unterschreiben lassen? Eine Unterschrift ist nicht vorgeschrieben, aber sinnvoll. Sie zeigt, dass jede Person die Regeln kennt. Zusammen mit der Liste der Einführungen dokumentiert sie gleichzeitig Deine Maßnahmen zur KI-Kompetenz nach Art. 4 AI Act.

Gilt die Pflicht zur KI-Kompetenz nach dem Digital Omnibus noch? Ja. Seit dem 27. Juli 2026 müssen Unternehmen die KI-Kompetenz ihres Personals fördern, aber kein bestimmtes Niveau garantieren. Die Pflicht gilt weiter für alle, die KI-Systeme beruflich einsetzen, auch für kleine Unternehmen.

Darf ich ChatGPT mit einem privaten Konto für Firmendaten nutzen? Davon raten wir ab. Bei einem privaten Konto hat Dein Unternehmen keinen Überblick, welche Daten wo liegen, und keinen Zugriff, wenn jemand das Team verlässt. Für Daten der Stufe Gelb sollte es immer ein Firmenkonto mit abgeschaltetem Training sein.

Müssen wir jeden KI-Text kennzeichnen? Nein. Die Kennzeichnungspflicht nach Art. 50 AI Act betrifft vor allem Deepfakes, also täuschend echte KI-Bilder, -Videos oder -Tonaufnahmen. KI-Texte zu Themen von öffentlichem Interesse musst Du nur kennzeichnen, wenn kein Mensch sie geprüft und redaktionell verantwortet hat. Unsere Empfehlung geht weiter: Komplett automatisiert erzeugte Texte kennzeichnen, und bei Texten, an denen KI mitgearbeitet hat, kurz „Mit KI-Unterstützung entstanden“ dazuschreiben.

Wie oft sollte ich die KI-Richtlinie aktualisieren? Prüf die KI-Richtlinie alle sechs Monate und zusätzlich, wenn ihr ein neues Tool einführt oder sich ein Gesetz ändert. 2026 war das mit dem Digital Omnibus schon einmal der Fall.

Fazit

Eine KI-Richtlinie für Unternehmen muss nicht kompliziert sein, damit sie schützt. Für kleine Teams zählt vor allem die Daten-Ampel. Dazu kommen eine kurze Liste freigegebener Tools mit Training auf AUS und die Regel, dass ein Mensch prüft, bevor etwas rausgeht. Der Rest ergibt sich aus Art. 4 und Art. 50 AI Act und lässt sich mit den Abschnitten der Vorlage abdecken.

Dein nächster Schritt: Kopier die Vorlage, füll die Platzhalter aus und plan für nächste Woche eine Stunde mit Deinem Team ein. Bring dazu drei echte Beispiele aus eurem Alltag mit und sortiert sie gemeinsam in die Ampel. Danach weiß jeder im Team, was geht, und Du hast den ersten Nachweis für die KI-Kompetenz schon in der Schublade.