KI-Richtlinie: eine Vorlage auf einer Seite, die Sie heute nutzen können

Warum eine Seite

Eine Richtlinie, die niemand liest, schützt niemanden. Die Datenschutzkonferenz hat 2024 eine Orientierungshilfe für den datenschutzkonformen Einsatz von KI veröffentlicht, und der Kern ist immer derselbe: wissen, welche Daten hineingehen, an wen, und das nachweisen können. Das verlangt Regeln, die Mitarbeitende in zwei Minuten verstehen. Siehe KI-Richtlinie erstellen für das Vorgehen; dieser Artikel liefert den Text.

Das Muster

Ersetzen Sie [Organisation], [eigene KI-Umgebung] und [Meldestelle] durch Ihre eigenen Namen.

1. Zweck und Geltungsbereich. Diese Richtlinie gilt für alle, die für [Organisation] arbeiten, auch Externe und Praktikanten, und für jede dienstliche Nutzung von KI-Werkzeugen, auf welchem Gerät auch immer.
2. Erlaubte Werkzeuge. Für Arbeit mit Daten von Mandanten, Kunden, Mitarbeitenden oder vertraulichen Dokumenten nutzen Sie ausschließlich [eigene KI-Umgebung]. Öffentliche KI-Dienste sind nur für öffentliches Material erlaubt, etwa eine Pressemitteilung oder einen veröffentlichten Bericht.
3. Was nie in einen öffentlichen KI-Dienst gehört. Namen und Kontaktdaten von Personen, Akten, Verträge, Finanzdaten, Quellcode, Passwörter, interne Beschlüsse und alles, was einer Verschwiegenheitspflicht unterliegt.
4. Prüfung der Ausgabe. KI-Ausgabe ist ein Entwurf. Wer sie nutzt, prüft Inhalt und Quellen und bleibt verantwortlich für das, was das Haus verlässt.
5. Entscheidungen über Menschen. KI trifft keine Entscheidung über eine Person: nicht über Einstellung, Beurteilung, Bewilligung oder Ablehnung. KI darf vorbereiten; ein Mensch entscheidet und begründet.
6. Transparenz. Wo Kunden oder Mandanten mit KI sprechen oder einen ungeprüften KI-Text erhalten, sagen wir das.
7. Zugang und Konten. Sie nutzen Ihr eigenes Dienstkonto. Keine Privatkonten für die Arbeit, keine geteilten Konten, kein Zugriff auf Quellen, die Sie für Ihre Aufgabe nicht brauchen.
8. Melden. Eine falsche Antwort mit Folgen, Daten im falschen Werkzeug oder ein Verdacht auf Manipulation werden sofort an [Meldestelle] gemeldet. Melden hat nie Nachteile für die meldende Person.
9. Schulung. Alle erhalten beim Eintritt und bei jeder neuen Anwendung eine kurze Einweisung. Die Teilnahme wird dokumentiert.
10. Zuständigkeit und Überprüfung. [Funktion] ist Eigentümerin dieser Richtlinie und des KI-Registers. Die Richtlinie wird jährlich und bei jeder neuen Anwendung überprüft. Datum der letzten Fassung: [Datum].

So passen Sie es an

• Berufsgeheimnis. Anwälte, Notare, Steuerberater und Heilberufe ergänzen in Artikel 3 die eigene gesetzliche Pflicht und verweisen auf die Regeln der Kammer.
• Öffentliche Verwaltung. Ergänzen Sie Algorithmenregister und Informationsfreiheit: Entwürfe können angefragt werden, und Anwendungen, die Bürger betreffen, stehen im Register.
• Betriebsrat. Eine KI-Umgebung, die die Nutzung pro Person protokolliert, ist mitbestimmungspflichtig. Legen Sie die Richtlinie vor, meist als Betriebsvereinbarung.
• Register. Artikel 10 verweist auf ein Register der Anwendungen. Siehe Ein KI-Register aufbauen.

Häufige Fehler

• Verbieten ohne Alternative. Dann wandert die Nutzung aufs private Handy. Siehe Ist ChatGPT DSGVO-konform? dazu, warum ein öffentliches Werkzeug das Problem ist, und sorgen Sie zuerst für eine eigene Umgebung.
• Zehn Seiten. Je länger die Richtlinie, desto weniger wird sie gelesen. Details gehören in eine Anlage für IT und Datenschutzbeauftragte.
• Keine Eigentümerin. Eine Richtlinie ohne Namen darunter ist in einem Jahr veraltet.
• Keine Meldestelle. Ohne sicheren Meldeweg erfahren Sie von einem Fehler erst, wenn ein Kunde anruft.

Wie werqly dazu passt

Artikel 2 des Musters funktioniert nur, wenn es eine eigene Umgebung gibt, die mindestens so gut ist wie die öffentlichen Werkzeuge. werqly liefert sie: einen eigenen Node mit Open-Weight-Modellen, die eigenen Dokumente als Quelle, Rollen pro Team und ein Audit-Log, mit dem Artikel 7 und 8 nachweisbar werden.