KI-Richtlinie erstellen: was hineingehört und wie sie gelebt wird
Kurz gesagt
Eine gute KI-Richtlinie legt konkret fest, welche KI-Tools Mitarbeitende nutzen dürfen, welche Daten hinein dürfen und welche nicht, wer die Ergebnisse prüft und was bei einem Fehler zu tun ist. Sie ist kurz genug, um gelesen zu werden, mit Datenschutzbeauftragten und Betriebsrat abgestimmt und technisch abgesichert: durch eine freigegebene KI-Umgebung und Sperren für das Unerlaubte. Ohne Letzteres bleibt sie Papier.
Warum Sie jetzt eine KI-Richtlinie brauchen
Mitarbeitende nutzen KI, ob die Organisation es regelt oder nicht. Datenschutzbehörden erhalten immer mehr Meldungen über Datenpannen, weil personenbezogene Daten in Chatbots landen. Siehe Schatten-KI. Zudem verlangt die KI-Verordnung, dass Sie die KI-Kompetenz Ihrer Beschäftigten fördern, und das beginnt mit klaren Regeln. Ein vollständiges Muster auf einer Seite finden Sie in KI-Richtlinie: Vorlage und Muster.
Eine KI-Richtlinie ist keine Verbotsliste. Sie ist die Vereinbarung, wie Ihre Organisation KI verantwortungsvoll einsetzt: was erlaubt ist, was nicht und warum. Sie schützt die Organisation, aber auch die Mitarbeitenden, die wissen wollen, wo die Grenze liegt.
Was gehört in eine KI-Richtlinie? Zehn Punkte
- Zweck und Geltungsbereich. Für wen gilt sie (auch Externe und Praktikanten?) und für welche KI (Chatbots, KI in bestehender Software, eigene Automatisierungen)?
- Freigegebene Tools. Eine Liste freigegebener KI-Umgebungen und wofür sie gedacht sind. Was nicht auf der Liste steht, ist für die Arbeit nicht erlaubt.
- Datenklassen. Welche Daten dürfen in welches Tool? Zum Beispiel: öffentliche Informationen überall; interne nur in der freigegebenen Umgebung; personenbezogene Daten, Mandats- und Kundenakten sowie Geschäftsgeheimnisse nur in einer Umgebung, die die Organisation nicht verlässt.
- Verbotene Nutzung. Etwa: keine Entscheidungen über Personen allein auf Basis von KI-Ausgaben, keine Emotionserkennung, keine Uploads in private Konten.
- Menschliche Kontrolle. Wer prüft KI-Ergebnisse, bevor sie an Kunden, Gerichte oder Patienten gehen? KI entwirft; ein Mensch verantwortet.
- Transparenz. Wann kennzeichnen Sie, dass etwas mit KI erstellt wurde, und wann spricht ein Kunde mit einem Chatbot?
- KI-Kompetenz. Welche Schulung erhalten Mitarbeitende, und wie halten Sie sie aktuell?
- Vorfälle. Was tut jemand, der versehentlich sensible Daten eingegeben hat? Melden, ohne Schuldzuweisung: Dann können Sie innerhalb von 72 Stunden prüfen, ob eine meldepflichtige Datenpanne vorliegt.
- Rollen. Wer pflegt die Tool-Liste, wer prüft neue Tools, wer ist Ansprechperson?
- Überprüfung. KI ändert sich schnell. Planen Sie eine feste Überarbeitung, etwa halbjährlich.
So erstellen Sie die Richtlinie
- Beginnen Sie bei der Nutzung, nicht bei den Regeln. Fragen Sie Teams, wofür sie KI nutzen oder nutzen wollen. Die Richtlinie muss diese Aufgaben ermöglichen, sonst wird sie umgangen.
- Beziehen Sie Datenschutzbeauftragte und Betriebsrat früh ein. Werden Nutzungsdaten erfasst, die sich zur Überwachung von Verhalten oder Leistung eignen, ist der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig; oft wird eine Betriebsvereinbarung geschlossen. Siehe Dürfen Sie die Prompts von Mitarbeitenden einsehen?
- Halten Sie sie kurz. Zwei Seiten, die gelesen werden, sind mehr wert als zwanzig, die in einem Ordner verschwinden. Details gehören in Anlagen pro Abteilung.
- Machen Sie sie konkret. „Keine vertraulichen Daten“ ist vage. „Keine Mandantennamen, Aktenzeichen, Steuer-IDs oder Vertragstexte in ChatGPT“ ist klar. Warum diese Regel nötig ist, steht in ChatGPT DSGVO-konform im Unternehmen nutzen.
Eine Richtlinie allein reicht nicht: Machen Sie sie umsetzbar
Das häufigste Problem von KI-Richtlinien: Sie verbieten etwas ohne Alternative. Darf jemand keine Kundendaten in ChatGPT eingeben, hat aber keinen anderen Weg, eine Kundenakte zusammenzufassen, gewinnt der Arbeitsdruck gegen die Richtlinie.
Eine Richtlinie wirkt, wenn die Technik sie stützt:
- eine freigegebene KI-Umgebung, in der die meistgefragten Aufgaben möglich sind, auch mit sensiblen Daten;
- Safeguards, die Muster wie Steuer-IDs und IBANs aufhalten, sodass ein Versehen nicht sofort eine Datenpanne ist;
- Sperren für öffentliche KI-Dienste, eingeführt, sobald die Alternative steht;
- Protokollierung, damit Sie nachweisen können, dass die Richtlinie wirkt.
Mit werqly läuft diese freigegebene Umgebung auf einem eigenen Node in Ihrem Serverraum. In werqly AI Control legt Ihre IT-Abteilung pro Rolle fest, welche Modelle und Quellen verfügbar sind und welche Daten blockiert werden. Richtlinie auf Papier und Einstellungen in der Umgebung sagen dann dasselbe. Mehr zur Wahl einer solchen Umgebung in Was ist private KI?
Häufige Fragen
Fragen zu diesem Thema
Ist eine KI-Richtlinie Pflicht?
Eine eigenständige gesetzliche Pflicht gibt es nicht. Die KI-Verordnung verlangt aber, dass Sie die KI-Kompetenz der Beschäftigten fördern, und die DSGVO verlangt geeignete Maßnahmen zum Schutz personenbezogener Daten. Eine KI-Richtlinie ist der übliche Weg, beides nachzuweisen.
Muss der Betriebsrat der KI-Richtlinie zustimmen?
Wenn KI-Tools oder ihre Protokolle geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen, hat der Betriebsrat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. In der Praxis wird der KI-Einsatz oft in einer Betriebsvereinbarung geregelt.
Wie oft sollte eine KI-Richtlinie überarbeitet werden?
KI-Tools und Regeln ändern sich schnell. Eine feste Überarbeitung pro Halbjahr ist ein guter Ausgangspunkt, mit Zwischenanpassung bei einem neuen Tool, einem Vorfall oder einer Rechtsänderung wie dem geänderten Zeitplan der KI-Verordnung.
Was tun, wenn jemand versehentlich sensible Daten in einen Chatbot eingegeben hat?
Sofort bei der Ansprechperson oder dem Datenschutzbeauftragten melden, ohne Schuldzuweisung. Die Organisation prüft dann, ob eine Datenpanne vorliegt, die innerhalb von 72 Stunden der Aufsichtsbehörde zu melden ist. Eine Richtlinie, die Meldungen bestraft, sorgt dafür, dass Vorfälle verborgen bleiben.
Quellen
- Europäische Kommission — AI Literacy: Questions & Answers (Englisch)
- Datenschutzkonferenz — Orientierungshilfe Künstliche Intelligenz und Datenschutz (Mai 2024)
- § 87 BetrVG — Mitbestimmungsrechte
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.