KI-Richtlinie für Mitarbeiter: Was hineingehört und wie sie im Betrieb ankommt

Eine KI-Richtlinie für Mitarbeiter legt auf zwei bis drei Seiten fest, welche KI-Werkzeuge freigegeben sind, welche Daten nie hineinkommen, wer Ergebnisse prüft, wann KI-Inhalte gekennzeichnet werden und an wen man sich bei Fragen wendet. Dazu kommen Schulung und ein fixer Termin zur Überarbeitung. Damit setzen Sie einen Teil Ihrer Pflicht aus Artikel 4 AI Act um.

In vielen Betrieben ist KI längst im Einsatz, nur ohne Regeln. Einer formuliert Kundenmails mit seinem privaten ChatGPT-Konto, eine andere lässt Protokolle zusammenfassen, und niemand weiß, welche Daten dabei wohin gehen. Eine Richtlinie macht aus diesem Wildwuchs einen geordneten Einsatz. Wirksam wird sie aber erst mit einer KI-Schulung, die zeigt, wie die Regeln im eigenen Alltag aussehen.

Braucht jeder Betrieb eine KI-Richtlinie?

Ja, sobald Mitarbeiter KI beruflich nutzen, auch wenn es nur ein privates ChatGPT-Konto für Kundenmails ist. Artikel 4 AI Act verpflichtet Betriebe, die KI einsetzen, Maßnahmen zu ergreifen, um die KI-Kompetenz ihrer Leute zu unterstützen. Die Neufassung durch den Digital Omnibus gilt laut RTR seit 27. Juli 2026. Welche Maßnahmen das genau sind, schreibt das Gesetz nicht vor.

Die RTR wird konkreter. Sie empfiehlt eine schriftliche KI-Strategie, eine interne Richtlinie und ein Schulungskonzept, damit Sie die Umsetzung belegen können. Die Richtlinie soll klare Rollen festlegen und für Mitarbeiter einfach und selbstständig auffindbar sein. Was Artikel 4 sonst verlangt und was der Omnibus geändert hat, steht im Artikel KI-Kompetenz nach Artikel 4 AI Act.

Unabhängig vom Recht gibt es einen ganz praktischen Grund. Ohne Regeln entscheidet jeder Mitarbeiter selbst, ob Kundendaten in ein Gratiskonto dürfen. Mit Regeln entscheidet der Betrieb, einmal und für alle.

Was gehört in eine KI-Richtlinie?

Acht Punkte decken alles ab, was ein Betrieb mit 20 bis 200 Leuten regeln muss. Jeder Punkt beantwortet eine Frage, die Mitarbeiter sonst selbst beantworten würden.

1. 01

   Zweck und Geltungsbereich

   Wofür setzt der Betrieb KI ein, und für wen gilt die Richtlinie? Nehmen Sie Lehrlinge, Teilzeitkräfte und externe Dienstleister ausdrücklich mit auf, wenn sie für Sie mit KI arbeiten.

2. 02

   Freigegebene Werkzeuge

   Eine namentliche Liste: etwa Copilot über den Microsoft-365-Vertrag, ChatGPT Business mit Firmenkonto, das Übersetzungswerkzeug der Wahl. Alles andere ist nicht freigegeben, bis es jemand prüft. Dazu ein klarer Weg, wie man ein neues Werkzeug beantragt.

3. 03

   Welche Daten hinein dürfen

   Die wichtigste Regel. Am besten als Ampel mit Beispielen aus dem eigenen Betrieb, siehe Tabelle weiter unten.

4. 04

   Ergebnisse prüfen

   KI-Texte, Berechnungen und Zusammenfassungen prüft ein Mensch, bevor sie das Haus verlassen oder in eine Entscheidung einfließen. Wer ein Ergebnis weitergibt, verantwortet es auch.

5. 05

   Kennzeichnung

   Wann sagen Sie Kunden, dass ein Text, ein Bild oder eine Antwort von KI stammt? Legen Sie das für Ihre typischen Fälle fest, etwa Bilder auf der Website, Chat-Antworten oder Produkttexte.

6. 06

   Was tabu ist

   Einsätze, die der Betrieb ausschließt: KI entscheidet nicht allein über Bewerbungen, Kündigungen oder Leistungsbeurteilungen. Keine Inhalte, die Personen täuschen. Keine Verträge oder Rechtsauskünfte ohne Prüfung durch Fachleute.

7. 07

   Ansprechperson und Meldeweg

   Wer beantwortet Fragen, wer pflegt die Werkzeugliste, und wohin meldet man, wenn versehentlich Kundendaten in einem falschen Werkzeug gelandet sind? Dafür steht eine konkrete Person mit Namen in der Richtlinie.

8. 08

   Schulung und Überarbeitung

   Wer welche Schulung bekommt, wie sie dokumentiert wird und wann die Richtlinie wieder auf den Tisch kommt. Ein halbes Jahr ist ein guter Rhythmus, weil sich Werkzeuge so schnell ändern.

Die WKO hat eigene KI-Guidelines veröffentlicht und 2026 aktualisiert. Die Kapitel für Mitarbeiter reichen von Rahmenbedingungen und Grenzen der KI über kundenbezogene Daten, Geheimhaltung und KI-Kennzeichnung bis zu Schulungen und externer Kommunikation. Die Vorlage gibt es als PDF und als Online-Formular, mit dem Sie eigene Richtlinien zusammenstellen. Ein guter Ausgangspunkt, solange Sie sie mit Ihren Werkzeugen und Beispielen füllen.

Welche Daten dürfen Mitarbeiter in ChatGPT oder Copilot eingeben?

Das hängt vom Werkzeug ab, genauer gesagt vom Vertrag dahinter. Für ein Werkzeug mit Firmenvertrag und Auftragsverarbeitung gelten andere Regeln als für ein privates Gratiskonto, mit dem Ihr Betrieb gar keinen Vertrag hat. Microsoft schreibt etwa für Copilot, dass Eingaben, Antworten und die abgerufenen Firmendaten nicht zum Training der Sprachmodelle verwendet werden und Copilot nur Inhalte zeigt, die der jeweilige Nutzer sehen darf (Microsoft Learn).

Die Ampel funktioniert nur mit Beispielen aus Ihrem eigenen Betrieb. „Personenbezogene Daten“ versteht im Büro kaum jemand gleich. „Die Reklamation von Frau Huber mit Adresse und Rechnungsnummer“ versteht jeder. Wo Daten liegen und ob ein eigener Server besser passt, beschreibt der Artikel KI-Daten und DSGVO: Cloud oder lokal.

Muss der Betriebsrat bei der KI-Richtlinie mitreden?

Sobald KI-Werkzeuge Daten über Mitarbeiter verarbeiten oder ihre Arbeit kontrollierbar machen, ja. Nach § 96 Abs. 1 Z 3 ArbVG brauchen Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren, die Zustimmung des Betriebsrats. Ohne Zustimmung sind sie nicht rechtswirksam.

Dazu kommt § 96a ArbVG: Systeme, die personenbezogene Daten von Arbeitnehmern automationsunterstützt verarbeiten und dabei über allgemeine Angaben und fachliche Voraussetzungen hinausgehen, sowie Systeme zur Beurteilung von Arbeitnehmern brauchen ebenfalls die Zustimmung. Hier kann die Schlichtungsstelle sie ersetzen. Viele KI-Werkzeuge speichern Verläufe pro Nutzer, und genau daraus ließe sich eine Kontrolle bauen.

Wie lang darf eine KI-Richtlinie sein?

So kurz, dass sie jemand liest. Zwei bis drei Seiten reichen, die Datenregeln gehören auf eine einzige. Ein 20-seitiges Dokument im Intranet erfüllt die Form, im Alltag schaut niemand hinein.

• Schreiben Sie in der Sprache des Betriebs. „Kundendaten“ statt „personenbezogene Daten Dritter“.
• Jede Regel bekommt ein Beispiel aus dem eigenen Alltag.
• Was erlaubt ist, steht vor dem, was verboten ist. Wer nur Verbote liest, lässt KI ganz bleiben oder nutzt sie heimlich.
• Die Werkzeugliste lebt als eigene Seite, die die Ansprechperson laufend aktualisiert. Dann muss nicht für jedes neue Werkzeug die ganze Richtlinie neu verteilt werden.
• Die Richtlinie liegt dort, wo Mitarbeiter ohnehin arbeiten: im Teams-Kanal, im Intranet, ausgedruckt im Pausenraum.

Wie führen Sie die Richtlinie ein, damit sie gelebt wird?

Mit einer Schulung, in der jede Regel an echten Aufgaben geübt wird. Eine Rundmail mit PDF im Anhang reicht nicht. In Betrieben sehen wir oft dasselbe: Die Richtlinie ist unterschrieben, und drei Wochen später kopiert trotzdem jemand eine Kundenliste in sein privates Konto, weil ihm niemand gezeigt hat, wie es mit dem Firmenwerkzeug geht.

1. 01

   Bestand aufnehmen

   Fragen Sie offen und ohne Vorwurf, wer welche KI-Werkzeuge schon nutzt. Dazu zählen auch KI-Funktionen in Software, die Sie längst im Einsatz haben.

2. 02

   Entwurf mit den Nutzern schreiben

   Die Geschäftsführung gibt den Rahmen vor, zwei oder drei Leute, die viel mit KI arbeiten, liefern die Beispiele. So passt die Richtlinie zum Alltag.

3. 03

   Betriebsrat und Datenschutz einbinden

   Gibt es einen Betriebsrat, sitzt er ab dem Entwurf mit am Tisch. Prüfen Sie parallel die Verträge mit den Anbietern der freigegebenen Werkzeuge.

4. 04

   Schulen statt verteilen

   Gehen Sie die Richtlinie in einer KI-Schulung durch, mit den echten Mails, Angeboten und Protokollen der Teilnehmer. Die Ampel wird dabei an Fällen geübt, die morgen wirklich auf dem Tisch liegen.

5. 05

   Dokumentieren

   Die RTR empfiehlt, pro Person festzuhalten, welche Schulung sie wann, mit welchem Inhalt und Ziel bekommen hat, zum Beispiel im Personalakt. Damit belegen Sie Ihre Maßnahmen nach Artikel 4.

6. 06

   Nach sechs Monaten überarbeiten

   Welche Werkzeuge kamen dazu, wo gab es Fragen, welche Regel hat niemand verstanden? Die Ansprechperson sammelt das laufend, die Überarbeitung ist dann schnell erledigt.

Wenn Sie wissen wollen, wo in Ihrem Betrieb heute schon KI genutzt wird und was davon in die Richtlinie gehört, schauen wir uns das gemeinsam an. Schreiben Sie uns über den Kontakt.