KI-Richtlinie: was wirklich hineingehört
Zwei Seiten mit einer Positivliste, benannten Datenklassen und einem kurzen Weg für Zweifelsfälle wirken mehr als zwanzig Seiten allgemeiner Grundsätze.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die meisten Richtlinien scheitern an der ersten Ausnahme
Der übliche Text verbietet die Eingabe vertraulicher Daten, mahnt zur Sorgfalt und verweist auf die Rechtsabteilung. Am ersten Tag steht jemand vor einem Angebotsentwurf mit Kundennamen und findet darin keine Antwort. Er entscheidet selbst, und ab diesem Moment entscheidet jeder selbst.
Was dann entsteht, ist keine Regelverletzung aus Absicht, sondern eine Vielzahl kleiner Auslegungen. Kundendaten in einem privaten Zugang, ein Vertragsentwurf in einem Werkzeug ohne Vertrag zur Auftragsverarbeitung, eine erfundene Fundstelle in einem Schreiben, das längst raus ist.
Der Preis fällt selten sofort an. Er zeigt sich, wenn ein Kunde nach dem Ort der Verarbeitung fragt, wenn eine Aufsicht ein Verzeichnis sehen will oder wenn eine falsche Zahl bereits in einer Präsentation steht, die im Markt kursiert.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Aufnahme eines Werkzeugs in die Positivliste | Die IT gemeinsam mit dem Datenschutz, auf Antrag des Fachbereichs | Die IT, mit Eintrag in die Liste und Angabe der zugelassenen Datenklasse | Geprüft wird das Produkt, nicht der Tarif. Ob Eingaben zur Modellverbesserung genutzt werden, hängt aber am gebuchten Vertrag. |
| Einstufung der Datenklassen | Der Fachbereich, der die Daten verantwortet | Der Datenschutz gemeinsam mit dem Fachbereich, mit Beispielen aus dem Alltag | Die Klassen bleiben abstrakt. Ohne zwei echte Beispiele je Klasse ordnet niemand ein Dokument zuverlässig ein. |
| Kennzeichnung von Ergebnissen | Die Leitung, gestützt auf die rechtliche Einschätzung | Die Bereiche, die Inhalte erstellen, über Vorlagen und Freigabeschritte | Entweder wird alles gekennzeichnet oder gar nichts. Beides erzeugt Rauschen, das nach kurzer Zeit niemand mehr liest. |
| Zweifelsfälle im Alltag | Die benannte Ansprechperson, im Streitfall die Leitung | Der Fachbereich, gestützt auf eine dokumentierte Antwort | Die Richtlinie verweist auf ein Postfach ohne Antwortzusage. Nach der zweiten unbeantworteten Frage fragt niemand mehr. |
| Überarbeitung der Richtlinie | Die Stelle, die sie herausgegeben hat | Ein kleiner Kreis aus Fachbereich, IT und Datenschutz | Überarbeitet wird nach Kalender. Der eigentliche Anlass ist aber ein neues Werkzeug oder ein gemeldeter Vorfall. |
Aufnahme eines Werkzeugs in die Positivliste
- Wer entscheidet
- Die IT gemeinsam mit dem Datenschutz, auf Antrag des Fachbereichs
- Wer setzt um
- Die IT, mit Eintrag in die Liste und Angabe der zugelassenen Datenklasse
- Stolperfalle
- Geprüft wird das Produkt, nicht der Tarif. Ob Eingaben zur Modellverbesserung genutzt werden, hängt aber am gebuchten Vertrag.
Einstufung der Datenklassen
- Wer entscheidet
- Der Fachbereich, der die Daten verantwortet
- Wer setzt um
- Der Datenschutz gemeinsam mit dem Fachbereich, mit Beispielen aus dem Alltag
- Stolperfalle
- Die Klassen bleiben abstrakt. Ohne zwei echte Beispiele je Klasse ordnet niemand ein Dokument zuverlässig ein.
Kennzeichnung von Ergebnissen
- Wer entscheidet
- Die Leitung, gestützt auf die rechtliche Einschätzung
- Wer setzt um
- Die Bereiche, die Inhalte erstellen, über Vorlagen und Freigabeschritte
- Stolperfalle
- Entweder wird alles gekennzeichnet oder gar nichts. Beides erzeugt Rauschen, das nach kurzer Zeit niemand mehr liest.
Zweifelsfälle im Alltag
- Wer entscheidet
- Die benannte Ansprechperson, im Streitfall die Leitung
- Wer setzt um
- Der Fachbereich, gestützt auf eine dokumentierte Antwort
- Stolperfalle
- Die Richtlinie verweist auf ein Postfach ohne Antwortzusage. Nach der zweiten unbeantworteten Frage fragt niemand mehr.
Überarbeitung der Richtlinie
- Wer entscheidet
- Die Stelle, die sie herausgegeben hat
- Wer setzt um
- Ein kleiner Kreis aus Fachbereich, IT und Datenschutz
- Stolperfalle
- Überarbeitet wird nach Kalender. Der eigentliche Anlass ist aber ein neues Werkzeug oder ein gemeldeter Vorfall.
Fünf Bausteine einer Richtlinie, die trägt
- 01 Die Positivliste nennt jedes freigegebene Werkzeug mit Einsatzzweck.
- 02 Benannte Datenklassen sagen, was in welches Werkzeug darf.
- 03 Ein kurzer Freigabeweg holt neue Werkzeuge auf die Liste.
- 04 Vor jeder Außenwirkung wird gegen die Quelle geprüft.
- 05 Eine benannte Stelle beantwortet Zweifelsfälle innerhalb von Tagen.
Was du nach dieser Seite selbst schreiben kannst
Eine wirksame Richtlinie beantwortet vier Fragen, die jeder Beschäftigte im Alltag tatsächlich stellt. Alles andere ist Anhang.
Positivliste führen
Du benennst die freigegebenen Werkzeuge samt zugelassener Datenklasse, statt eine Liste verbotener Produkte zu pflegen.
Datenklassen mit Beispielen
Du übersetzt das Wort „vertraulich“ in drei bis vier Klassen mit echten Beispielen aus dem eigenen Haus.
Freigabeweg verkürzen
Du legst fest, wo ein neues Werkzeug beantragt wird und bis wann eine Antwort kommt. Lange Wege erzeugen die Nutzung daneben.
Kennzeichnung trennen
Du unterscheidest die gesetzliche Transparenzpflicht von der internen Kennzeichnung, die du aus Qualitätsgründen selbst festlegst.
Prüfpflicht vor Außenwirkung
Du schreibst fest, dass Zahlen, Zitate und Rechtsaussagen gegen die Quelle geprüft werden, bevor etwas das Haus verlässt.
Fehler folgenlos melden
Du sicherst zu, dass die Meldung eines falschen Ergebnisses keine Nachteile bringt. Nur so erfährst du überhaupt davon.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Positivliste ist der Kern
Eine Richtlinie, die Verbote aufzählt, veraltet mit jedem neuen Produkt. Tragfähig ist die umgekehrte Logik: eine Liste der freigegebenen Werkzeuge, jeweils mit der Angabe, für welche Datenklasse sie zugelassen sind, und eine einzige Regel für alles, was nicht auf der Liste steht.
Dazu gehört ein Weg, wie ein Werkzeug auf die Liste kommt. Wenn die Freigabe Monate dauert und niemand weiß, wo sie beantragt wird, entsteht die Nutzung außerhalb der Liste von selbst. Zwei Wochen Bearbeitungszeit und eine benannte Ansprechperson wirken stärker als jede Ermahnung.
Entscheidend ist die Unterscheidung nach Vertrag statt nach Produktnamen. Ob Eingaben gespeichert oder zur Modellverbesserung genutzt werden, steht in den Bedingungen des jeweils gebuchten Tarifs. Dieselbe Oberfläche kann in der einen Variante zulässig sein und in der anderen nicht.
Datenklassen statt Bauchgefühl
Der häufigste Satz in Richtlinien lautet, es dürften keine vertraulichen Daten eingegeben werden. Er hilft niemandem, weil offenbleibt, was das im eigenen Haus bedeutet. Nützlich sind drei bis vier benannte Klassen mit je zwei Beispielen aus dem echten Arbeitsalltag: ein Angebotsentwurf, ein Bewerbungsschreiben, ein Vertragstext, ein Auszug aus dem Ticketsystem.
Zu jeder Klasse gehört die Zuordnung, in welchem Werkzeug sie verarbeitet werden darf. Damit wird aus einer Regel eine Entscheidung, die jemand in fünf Sekunden treffen kann, ohne jemanden zu fragen.
Personenbezogene Daten brauchen zusätzlich eine Rechtsgrundlage und einen Vertrag zur Auftragsverarbeitung mit dem Anbieter. Das ist keine Frage der Richtlinie, sondern eine Voraussetzung, die vor der Aufnahme in die Positivliste geprüft wird.
Kennzeichnung: was das Gesetz verlangt und was du selbst regelst
Die Transparenzpflichten der KI-Verordnung gelten seit dem 2. August 2026 und betreffen bestimmte Fälle, etwa Systeme, die unmittelbar mit Menschen interagieren, und künstlich erzeugte oder veränderte Bild-, Ton- und Videoinhalte, die echten Personen oder Ereignissen täuschend ähnlich sehen. Eine allgemeine Pflicht, jeden KI-gestützten Text zu markieren, folgt daraus nicht.
Die interne Kennzeichnung ist deshalb eine Qualitätsentscheidung. Sinnvoll ist ein Vermerk dort, wo jemand später wissen muss, wie ein Ergebnis entstanden ist, also in Vorlagen, Analysen und Entwürfen, die weiterverarbeitet werden. Für die fertige Kundenkommunikation zählt eher, wer sie geprüft und freigegeben hat.
Zum Urheberrecht gehört ein klarer Satz in die Richtlinie. Rein maschinell erzeugte Ergebnisse sind keine persönliche geistige Schöpfung und damit nicht urheberrechtlich geschützt. Wer darauf ein Logo oder eine ganze Bildsprache aufbaut, sollte das wissen, bevor der Wettbewerb dieselbe Anmutung verwendet.
Der Zweifelsfall entscheidet über die Wirkung
Jede Richtlinie hat Lücken, und der Alltag findet sie am ersten Tag. Deshalb gehört ein benannter Weg hinein: eine Ansprechperson oder ein Postfach, eine zugesagte Antwortzeit und die Regel, was gilt, solange keine Antwort da ist.
Der zweite wirksame Absatz betrifft Fehler. Wenn die Richtlinie festhält, dass die Meldung eines falschen Ergebnisses folgenlos bleibt, erfährt das Haus davon. Lässt sie es offen, erfährt es davon aus einer Kundenbeschwerde.
Der dritte ist die Prüfpflicht vor Außenwirkung: Zahlen, Zitate, Namen und Rechtsaussagen werden gegen die Quelle geprüft, bevor etwas das Haus verlässt. Diese eine Regel deckt mehr Schadensfälle ab als sämtliche Verbote zusammen.
Dazu passende Kurse
Damit die Regeln nicht nur im Intranet stehen, sind Kurse zu Spielregeln für KI am Arbeitsplatz der schnellste Weg, sie in den Teams zu verankern.
Für die Fragen zu Verträgen, Aufsicht und Nachweisen dahinter gibt es Programme für die rechtliche Seite des KI-Einsatzes .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Die Inhalte wurden sehr gut vermittelt und Fragen wurden perfekt beantwortet.
Marco ist ein extrem guter Trainer, der mit seinem Fachwissen zum Thema KI sehr viel Expertise mitbringt.
Seminarleiter war sehr gut vorbereitet, Den Lehrstoff hat er ausführlich und praxisorientiert vorgetragen.
Häufige Fragen
Wie lang darf so eine Richtlinie sein?
Sollen wir private Werkzeuge verbieten?
Wer schreibt die Richtlinie?
Wie oft muss sie überarbeitet werden?
Passt thematisch dazu
Steht Copilot auf der Liste der freigegebenen Werkzeuge, gehört zur Umsetzung auch der Fahrplan von der Pilotgruppe zur breiten Nutzung .
Bevor du festlegst, was in ein Werkzeug hineindarf, lohnt sich ein Blick darauf, wo Copilot deine Daten verarbeitet und wo sie gespeichert bleiben .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem KI-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Aus dem Dokument wird erst im Gespräch Praxis
Eine kurze Einführung im Team klärt mehr Zweifelsfälle als jede weitere Fassung des Dokuments, weil dort die echten Beispiele auf den Tisch kommen.