KI-Richtlinie für Mitarbeiter erstellen in 7 Schritten
Viele Unternehmen haben KI-Tools bereits im Einsatz, ohne die Nutzung verbindlich zu steuern. Mitarbeitende fassen Texte zusammen, analysieren Tabellen oder erstellen Präsentationsentwürfe - oft mit hohem praktischem Nutzen, aber nicht immer auf einer geklärten Daten-, Sicherheits- und Verantwortungsbasis. Wer eine KI-Richtlinie für Mitarbeiter erstellen will, braucht deshalb mehr als eine Verbotsliste. Entscheidend ist ein praxistauglicher Rahmen, der zulässige Anwendungsfälle ermöglicht, kritische Daten schützt und Entscheidungen nachvollziehbar macht.
Eine Richtlinie muss zum tatsächlichen Betrieb passen. In einem SAP-Transformationsprojekt gelten andere Risiken als bei der redaktionellen Aufbereitung öffentlicher Informationen. Auch die Frage, ob ein KI-System nur unterstützt oder eigenständig Ergebnisse erzeugt, verändert den erforderlichen Kontrollumfang. Eine kurze, verständliche und organisatorisch verankerte Regelung ist meist wirksamer als ein umfangreiches Dokument, das im Intranet abgelegt und im Alltag übergangen wird.
1. Einsatzbereich und Ziel der Richtlinie festlegen
Der erste Schritt besteht darin, den Geltungsbereich eindeutig zu beschreiben. Die Richtlinie sollte festlegen, für welche Gesellschaften, Bereiche, Mitarbeitenden und externen Projektbeteiligten sie gilt. Ebenso wichtig ist die Abgrenzung: Erfasst sie nur generative KI oder auch Analyse-, Prognose- und Automatisierungslösungen? Bezieht sie sich auf zentral bereitgestellte Systeme, auf Fachbereichslösungen und auf externe Anwendungen?
Das Ziel sollte nicht lauten, jede KI-Nutzung zu verhindern. Sinnvoller ist eine Formulierung, die den kontrollierten Einsatz zur Produktivitätssteigerung und Qualitätsverbesserung erlaubt, sofern Daten, Freigaben und Prüfpflichten eingehalten werden. So entsteht ein Rahmen, der Fachbereiche nicht ausbremst, aber Schatten-IT und unkontrollierte Datenabflüsse begrenzt.
2. Zulässige und unzulässige Daten klar trennen
Die wichtigste operative Regel betrifft Eingabedaten. Mitarbeitende benötigen keine abstrakten Hinweise wie „Datenschutz beachten“, sondern nachvollziehbare Kategorien mit konkreten Folgen. Die Richtlinie sollte definieren, welche Informationen in welches System eingegeben werden dürfen und welche vorher anonymisiert, pseudonymisiert oder vollständig ausgeschlossen werden müssen.
Typischerweise können öffentliche Informationen, intern freigegebene Standardtexte und synthetische Testdaten unter definierten Bedingungen genutzt werden. Strengere Vorgaben gelten für personenbezogene Daten, vertrauliche Kunden- und Lieferantendaten, Vertragsinhalte, Zugangsdaten, Quellcode, Sicherheitskonzepte sowie nicht veröffentlichte Finanz-, Produkt- oder Transaktionsdaten. Gerade in SAP- und Integrationsprojekten können scheinbar harmlose Tickets, Log-Auszüge oder Tabellen technische und geschäftskritische Informationen enthalten.
Die Kategorie allein reicht nicht aus. Für erlaubte Daten sollte zusätzlich feststehen, welche KI-Umgebung zugelassen ist. Ein intern betriebenes oder vertraglich kontrolliertes System kann andere Schutzmaßnahmen bieten als ein frei zugänglicher Dienst. Diese Differenzierung verhindert, dass Mitarbeitende aus Unsicherheit auf nützliche Anwendungen verzichten - oder aus Zeitdruck ungeeignete Werkzeuge verwenden.
3. Rollen und Freigaben im Betrieb verankern
Eine Richtlinie wird erst belastbar, wenn klar ist, wer entscheidet. Die Geschäftsleitung setzt den verbindlichen Rahmen. IT und Informationssicherheit bewerten Architektur, Zugriffsmodelle, Protokollierung und technische Schutzmaßnahmen. Datenschutz, Compliance und gegebenenfalls der Einkauf prüfen Anforderungen in ihrem Zuständigkeitsbereich. Fachbereiche verantworten den fachlichen Zweck, die Qualität der Ergebnisse und die Nutzung im Prozess.
Für neue oder wesentlich veränderte KI-Anwendungsfälle empfiehlt sich ein standardisierter Freigabeprozess. Er muss nicht für jede Textzusammenfassung die gleiche Tiefe haben. Ein risikobasierter Ansatz spart Aufwand: Niedrigriskante Anwendungen mit freigegebenen Daten können über eine vereinfachte Bewertung zugelassen werden. Anwendungen mit personenbezogenen, vertraulichen oder geschäftskritischen Daten benötigen eine vertiefte Prüfung und dokumentierte Entscheidung.
Dabei sollte auch geregelt sein, wer ein KI-System beschaffen oder aktivieren darf. Ohne diesen Punkt entstehen schnell parallele Verträge, unklare Nutzungsbedingungen und uneinheitliche Datenverarbeitungen.
4. Menschliche Prüfung als Pflicht definieren
KI-Ergebnisse sind Arbeitsergebnisse auf Vorschlagsbasis, keine verbindliche Fachentscheidung. Diese Regel sollte ausdrücklich in jeder KI-Richtlinie stehen. Mitarbeitende müssen Resultate auf Plausibilität, Vollständigkeit, Aktualität und fachliche Richtigkeit prüfen, bevor sie intern weitergegeben, in Systeme übernommen oder extern verwendet werden.
Wie intensiv diese Prüfung ausfällt, hängt vom Prozess ab. Ein Entwurf für eine interne Agenda hat ein anderes Schadenspotenzial als eine Analyse für die Produktionsplanung, ein Compliance-Reporting oder eine Entscheidung im Kundenprozess. Für kritische Vorgänge sollten Prüfungen, Freigaben und die verwendeten Datenquellen nachvollziehbar dokumentiert werden. Das verbessert nicht nur die Qualität, sondern schafft auch revisionssicheres Reporting.
Die Richtlinie sollte außerdem untersagen, KI-Ausgaben als eigene geprüfte Fakten auszugeben, wenn keine fachliche Verifikation erfolgt ist. Das betrifft besonders Quellenangaben, Berechnungen, rechtliche oder regulatorische Einschätzungen sowie technische Konfigurationsvorschläge. KI kann diese Arbeit vorbereiten, ersetzt aber weder Fachverantwortung noch erforderliche Kontrollschritte.
5. Regeln für Transparenz, Kennzeichnung und Nachvollziehbarkeit schaffen
Nicht jede KI-Unterstützung muss sichtbar markiert werden. Bei Ergebnissen mit Außenwirkung oder hoher Relevanz kann Transparenz jedoch erforderlich oder organisatorisch sinnvoll sein. Die Richtlinie sollte daher festlegen, wann eine Kennzeichnung vorgesehen ist, etwa bei KI-generierten Inhalten, automatisierten Bewertungen oder Entscheidungen mit Auswirkungen auf Kunden, Beschäftigte oder Geschäftspartner.
Für freigabepflichtige Anwendungsfälle reicht ein zentrales Register oft aus. Es dokumentiert Zweck, verantwortlichen Fachbereich, eingesetztes System, Datenarten, Risikoeinstufung, Freigabestatus und Überprüfungsdatum. Ein solches Verzeichnis schafft Übersicht über die tatsächliche Nutzung und erleichtert es, Systeme bei Sicherheitsvorfällen, Modelländerungen oder neuen regulatorischen Anforderungen gezielt zu bewerten.
6. Schulung an realen Arbeitssituationen ausrichten
Eine Richtlinie ohne Schulung bleibt Theorie. Mitarbeitende müssen verstehen, warum bestimmte Daten nicht eingegeben werden dürfen, wie sie Ergebnisse prüfen und wann sie eine Freigabe einholen müssen. Allgemeine Sensibilisierung ist ein Anfang, reicht für kritische Funktionen aber nicht aus.
Wirksam sind kurze, rollenbezogene Formate. Projektleitungen brauchen Kriterien für die Aufnahme von KI-Anwendungsfällen in Planung und Governance. SAP- und IT-Teams benötigen klare Leitplanken für Testdaten, Schnittstelleninformationen und Betriebsdokumentation. Fachbereiche profitieren von Beispielen für zulässige Prompts, Qualitätsprüfungen und Eskalationswege. Entscheidend ist, dass die Richtlinie nicht nur erklärt wird, sondern in Arbeitsabläufe, Vorlagen und Freigabeprozesse eingeht.
7. KI-Richtlinie für Mitarbeiter erstellen und fortlaufend prüfen
Eine KI-Richtlinie ist kein einmaliges Compliance-Dokument. Systeme ändern Funktionen, Anbieter passen Vertragsbedingungen an, Fachbereiche entwickeln neue Anwendungsfälle und regulatorische Anforderungen werden konkretisiert. Deshalb sollte die Richtlinie einen festen Überprüfungsrhythmus enthalten - beispielsweise jährlich sowie anlassbezogen bei neuen Systemen, Sicherheitsereignissen oder wesentlichen Prozessänderungen.
In der Praxis bewährt sich eine schlanke Kernrichtlinie mit ergänzenden Arbeitsanweisungen. Die Kernrichtlinie beschreibt Grundsätze, Rollen, Datenregeln und Konsequenzen bei Verstößen. Fachliche Anhänge konkretisieren zugelassene Werkzeuge, Freigabeformulare, Prüfkriterien und Vorgaben für einzelne Prozessbereiche. Das hält die verbindlichen Regeln stabil, ohne jede Detailänderung zum formalen Großprojekt zu machen.
Rechtliche Anforderungen aus Datenschutz, EU AI Act oder vertraglichen Verpflichtungen müssen dabei in die technische und organisatorische Steuerung übersetzt werden. Soweit eine rechtliche Einordnung erforderlich ist, kann diese durch die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH erfolgen. Die operative Umsetzung bleibt eine Aufgabe aus Governance, Architektur, Prozessen und klar zugewiesenen Verantwortlichkeiten.
Richtlinie in die KI-Governance überführen
Quteco unterstützt Unternehmen mit Quick Checks und Workshops dabei, bestehende KI-Nutzung sichtbar zu machen, Risiken zu priorisieren und daraus umsetzbare Richtlinien, Rollenmodelle und Freigabeprozesse abzuleiten. Bei Bedarf wird die technische Umsetzung mit Datenflussanalyse, Berechtigungskonzepten und produktionsnaher Projektbegleitung verbunden.
Eine gute Richtlinie zeigt sich nicht an ihrer Seitenzahl. Sie zeigt sich daran, dass Mitarbeitende im konkreten Arbeitsmoment wissen, was sie tun dürfen, was sie prüfen müssen und wer bei Unsicherheit entscheidet.
