KI-Nutzungsleitfaden im Unternehmen: Regeln für den Arbeitsalltag entwickeln

Ein KI-Nutzungsleitfaden übersetzt organisatorische, technische und rechtliche Anforderungen in verständliche Regeln für den Arbeitsalltag. Er beantwortet vier praktische Fragen: Welche Werkzeuge dürfen Beschäftigte wofür verwenden? Welche Daten dürfen sie eingeben? Wie müssen sie Ergebnisse prüfen? Und an wen wenden sie sich bei Unsicherheiten oder Vorfällen?

Ein solcher Leitfaden ist ein Baustein der KI-Governance. Er ersetzt weder technische Schutzmaßnahmen noch die Bewertung einzelner Systeme oder eine rechtliche Prüfung. Seine Stärke liegt darin, freigegebene Nutzung nachvollziehbar zu machen und nicht freigegebene Fälle an einen definierten Entscheidungsprozess zu übergeben.

Den Geltungsbereich zuerst festlegen

Allgemeine Aussagen wie „KI darf verwendet werden“ oder „vertrauliche Daten sind verboten“ lassen zu viele Fragen offen. Der Leitfaden sollte deshalb erkennen lassen:

• für welche Beschäftigten, Organisationseinheiten und externen Personen er gilt,
• welche Produkte, Tarife und Konten freigegeben sind,
• welche Zwecke und Datenarten abgedeckt sind,
• welche Anwendungen nur nach zusätzlicher Prüfung zulässig sind,
• wer Ausnahmen genehmigen und eine Nutzung stoppen kann.

Produktname und Anbieter allein genügen nicht. Datenverwendung, Speicherorte, Administrationsmöglichkeiten und Vertragsbedingungen können sich je nach Tarif und Konfiguration unterscheiden. Das Unternehmen sollte deshalb die konkret freigegebene Variante dokumentieren und Änderungen erneut bewerten.

Regeln an Arbeitsabläufen ausrichten

Beschäftigte benötigen keine abstrakte Sammlung von Rechtsbegriffen, sondern handhabbare Entscheidungen. Statt eines pauschalen Verbots kann der Leitfaden Datenklassen mit freigegebenen Werkzeugen und Zwecken verbinden. Eine Regel kann beispielsweise vorsehen, dass öffentlich zugängliche Informationen in einem freigegebenen Dienst verarbeitet werden dürfen, während personenbezogene, vertrauliche oder besonders geschützte Inhalte eine gesonderte Freigabe benötigen.

Bei personenbezogenen Daten bleiben die Grundsätze der DSGVO maßgeblich. Die EU-Kommission nennt unter anderem Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Sicherheit und Rechenschaftspflicht. Ob eine Verarbeitung zulässig ist, lässt sich daher nicht allein mit einer Regel im Leitfaden entscheiden. Es sind Zweck, Rechtsgrundlage, Rollen, Empfänger, Aufbewahrung und Schutzmaßnahmen des konkreten Vorgangs zu prüfen.

Auch die Annahme, ein KI-Modell sei grundsätzlich anonym, ist nicht belastbar. Der Europäische Datenschutzausschuss verlangt eine Einzelfallbewertung, bei der sowohl eine Identifizierung betroffener Personen als auch die mögliche Extraktion personenbezogener Daten aus dem Modell berücksichtigt wird.

Ergebnisprüfung und Verantwortung beschreiben

Ein Leitfaden sollte nicht nur die Eingabe von Daten regeln. Ebenso wichtig ist der Umgang mit Ausgaben. Je nach Einsatz können sachliche Fehler, fehlende Quellen, diskriminierende Ergebnisse, Urheber- und Geheimnisschutz oder eine unzulässige automatisierte Entscheidung relevant sein.

Für jeden freigegebenen Anwendungsfall sollten deshalb mindestens feststehen:

• wer das Ergebnis fachlich prüft,
• welche Quellen oder Ausgangsdaten heranzuziehen sind,
• ob und wie die KI-Nutzung offengelegt wird,
• welche Entscheidungen nicht allein auf einer KI-Ausgabe beruhen dürfen,
• wie Fehler, Sicherheitsereignisse und mögliche Datenschutzverletzungen gemeldet werden.

„Menschliche Kontrolle“ ist nur wirksam, wenn die prüfende Person ausreichend qualifiziert ist, Zugriff auf die nötigen Informationen hat und eine Ausgabe tatsächlich verwerfen oder die Nutzung stoppen darf.

AI Act: Ein Leitfaden deckt nicht alle Pflichten ab

Der EU AI Act unterscheidet nach Rolle, System und Verwendungszweck. Für Betreiber von Hochrisiko-KI-Systemen nennt Artikel 26 unter anderem die Verwendung nach Gebrauchsanweisung, kompetente menschliche Aufsicht, Betriebsüberwachung und – soweit Protokolle unter eigener Kontrolle stehen – Aufbewahrungspflichten. Abhängig vom Einsatz kommen weitere Informations-, Registrierungs- oder Folgenabschätzungspflichten hinzu.

Nicht jedes KI-Werkzeug ist ein Hochrisiko-System. Umgekehrt wird ein Hochrisiko-Einsatz nicht dadurch ausreichend geregelt, dass er in einer internen Richtlinie erwähnt wird. Die Einordnung muss den tatsächlichen Verwendungszweck und die Rolle der Organisation berücksichtigen.

Der am 27. Juli 2026 in Kraft getretene Digital Omnibus hat zudem die frühere KI-Kompetenzpflicht für Unternehmen vereinfacht. Die EU-Kommission beschreibt die stärkere Rolle von Kommission und Mitgliedstaaten bei der Förderung von KI-Kompetenz. Unabhängig von der konkreten gesetzlichen Pflicht bleiben anwendungsbezogene Kenntnisse organisatorisch notwendig, wenn Beschäftigte Regeln verstehen, Ergebnisse prüfen oder Aufsicht ausüben sollen.

Eine ausführlichere Einordnung von Rollen, Risikoklassen und Anwendungsfristen bietet der Beitrag KI-Governance und EU AI Act.

Ein Leitfaden in fünf Arbeitsschritten

1. Anwendungen und tatsächliche Nutzung erfassen

Erfassen Sie freigegebene, pilotierte und informell genutzte Werkzeuge einschließlich KI-Funktionen vorhandener Software. Dokumentieren Sie Produktvariante, Kontotyp, Zweck, Nutzerkreis, Datenarten, Schnittstellen und verantwortliche Stelle. Eine reine Produktliste reicht für die spätere Bewertung nicht aus.

2. Fälle nach Prüfbedarf ordnen

Trennen Sie klar zwischen freigegebenen Standardfällen, eingeschränkten Fällen mit zusätzlicher Freigabe und untersagten Anwendungen. Kriterien können Datenarten, betroffene Personen, Entscheidungseinfluss, externe Empfänger und technische Integration sein. Rechtlich geprägte Kategorien sollten die zuständigen Stellen bestätigen.

3. Konkrete Handlungsregeln formulieren

Beschreiben Sie kurze, realistische Abläufe: Anmeldung nur über freigegebene Konten, keine Umgehung von Zugriffsrechten, Prüfung relevanter Ergebnisse, Kennzeichnung dort, wo sie erforderlich ist, und Meldung von Auffälligkeiten. Beispiele helfen, dürfen aber nicht unbeabsichtigt neue Anwendungen freigeben.

4. Verantwortung und Eskalation festlegen

Benennen Sie Eigentümer des Leitfadens, Freigabestellen und Ansprechpartner. Definieren Sie außerdem, wer Produktänderungen beobachtet, Vorfälle bearbeitet und Entscheidungen dokumentiert. Offene Fragen benötigen einen nutzbaren Weg zur Klärung, nicht nur den Hinweis „im Zweifel nicht verwenden“.

5. Einführung und Pflege organisieren

Kommunizieren Sie nicht nur das Dokument, sondern üben Sie typische Fälle mit den betroffenen Gruppen. Legen Sie anschließend feste und anlassbezogene Reviews fest. Neue Funktionen, geänderte Zwecke, andere Datenarten, Vertragsänderungen oder Vorfälle können eine Neubewertung auslösen.

Woran praxistaugliche Regeln erkennbar sind

Ein belastbarer Leitfaden ist so kurz wie möglich und so konkret wie nötig. Beschäftigte können aus ihm für einen realen Fall eine Entscheidung oder den richtigen Freigabeweg ableiten. Gleichzeitig dokumentiert er Versionsstand, Verantwortliche und Geltungsbereich.

Vermeiden Sie insbesondere:

• pauschale Freigaben für einen Anbieter ohne Tarif und Konfiguration,
• absolute Aussagen wie „DSGVO-konform“ ohne Prüfung des Einsatzfalls,
• Verbote ohne freigegebene Alternative oder Eskalationsweg,
• Prüfpflichten ohne zuständige und befugte Person,
• statische Regeln ohne Auslöser für eine Aktualisierung.

Der Erfolg des Leitfadens lässt sich nicht allein an seiner Veröffentlichung messen. Aussagekräftiger sind operative Fragen: Werden nicht abgedeckte Fälle vor Nutzung vorgelegt? Sind freigegebene Werkzeuge und Verantwortliche aktuell? Werden Vorfälle erkannt und bearbeitet? Können Beschäftigte die Regeln auf ihre Aufgaben anwenden?

Nächster Schritt

Beginnen Sie mit einem begrenzten, häufigen Anwendungsfall und dokumentieren Sie Werkzeug, Daten, Prüfschritte und Verantwortliche. So lässt sich der Leitfaden anhand realer Abläufe entwickeln und anschließend kontrolliert erweitern.

Die Leistung KI-Nutzungsleitfaden und Governance Basics unterstützt bei Bestandsaufnahme, Regelstruktur und Einführung. Die fachliche, datenschutzrechtliche und rechtliche Bewertung der konkreten Anwendungen bleibt Aufgabe der jeweils zuständigen Stellen.

Primärquellen und Stand

• Verordnung (EU) 2024/1689 im Amtsblatt der EU
• Verordnung (EU) 2026/1744 zur Änderung des AI Act
• EU-Kommission: Inkrafttreten des Digital Omnibus on AI
• EU-Kommission: Grundsätze der Verarbeitung personenbezogener Daten
• EDPB: Opinion 28/2024 zu Datenschutzaspekten von KI-Modellen

Stand der Rechtsinformationen: 26. September 2026. Der Beitrag bietet eine organisatorische Orientierung und keine rechtliche Einzelfallberatung.