Stand: 10. Oktober 2026. Berücksichtigt die Änderung von Art. 4 KI-Verordnung durch die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026. Das Muster ist ein Ausgangspunkt, keine Rechtsberatung. Direkt zum Download: Word · Druckversion.
Meine eigenen KI-Agenten lesen vor jeder Aufgabe eine Datei mit Regeln, und deren wichtigster Teil ist eine Liste mit der Überschrift „Nooit", niederländisch für „Nie": nichts versenden, nicht einloggen, keine erfundenen Zahlen oder Kunden. Diese Liste ist mit jedem Fehler gewachsen, den ich beim Nachlesen gefunden habe.
Bei einer KI-Richtlinie für Ihr Unternehmen ist es ähnlich. Die meiste Arbeit steckt nicht in dem, was KI darf, sondern in dem, was sie nicht darf, und darin, wer das prüft. Unten lesen Sie, ob eine solche Richtlinie Pflicht ist, was hineingehört und wie Sie mit unserem kostenlosen Muster anfangen.
Muss ein Unternehmen eine KI-Richtlinie haben?
Ein Pflichtdokument mit dem Namen „KI-Richtlinie" kennt die KI-Verordnung nicht. Sie kommen aber kaum daran vorbei, denn drei Regeln gelten schon:
- KI-Kompetenz (Art. 4 KI-Verordnung). Wer KI beruflich einsetzt, ergreift Maßnahmen, um die KI-Kompetenz seines Personals zu unterstützen. Seit Juli 2026 muss er kein bestimmtes Niveau garantieren (Verordnung (EU) 2026/1744). Eine bestimmte Form schreibt das Gesetz nicht vor, und die Bundesnetzagentur sagt: „Es werden keine standardisierten Trainingsmaßnahmen vorgegeben." (Bundesnetzagentur, KI-Kompetenz) Eine Richtlinie, die alle gelesen und unterschrieben haben, ist eine solche Maßnahme. Mehr in KI-Kompetenz nach Art. 4: Pflicht und Nachweis.
- Die DSGVO. Sie gilt neben der KI-Verordnung unverändert (Art. 2 Abs. 7 KI-Verordnung). Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO (dsgvo-gesetz.de), den Auftragsverarbeitungsvertrag.
- Die Schweigepflicht. Für Ärzte, Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer kommt § 203 StGB hinzu (gesetze-im-internet.de). Ob ein KI-Dienst Mandanten- oder Patientendaten sehen darf, müssen Sie dann vorab klären.
Haben Sie einen Betriebsrat, kommt ein vierter Punkt dazu. Nach § 90 Abs. 1 Nr. 3 BetrVG unterrichten Sie ihn rechtzeitig über die Planung „von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz" (§ 90 BetrVG). Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, bestimmt er nach § 87 Abs. 1 Nr. 6 BetrVG mit (§ 87 BetrVG). Ob ein bestimmtes KI-Tool darunter fällt, klären Sie besser vorher als hinterher.
Ein KI-Beauftragter ist übrigens nicht nötig. Die Bundesnetzagentur zählt seine Einführung zu den Dingen, die für Art. 4 nicht vorgeschrieben sind, genau wie externe Zertifizierungen.
Was sollten KI-Richtlinien enthalten?
Das Muster hat zehn Abschnitte. Für ein kleines Unternehmen sind das ein bis vier Seiten.
1. Zweck und Geltungsbereich. Für wen gilt die Richtlinie: alle Mitarbeitenden, auch Aushilfen und feste Externe, die in Ihrem Auftrag mit KI arbeiten. Art. 4 spricht ausdrücklich von „anderen Personen", die in Ihrem Auftrag KI nutzen.
2. Verantwortlich. Eine Person mit Namen, die neue Tools freigibt, Fragen beantwortet und die Liste pflegt. Im kleinen Büro ist das oft die Inhaberin selbst.
3. Erlaubte und nicht erlaubte Tools. Jedes Tool mit Namen, mit welchem Konto und wofür, auch ChatGPT oder Copilot. Prüfen Sie für Ihr konkretes Konto, ob ein Auftragsverarbeitungsvertrag besteht. „Generative KI" ist kein Tool. Schreiben Sie auch hin, was nicht erlaubt ist, etwa kostenlose Chat-Tools auf privaten Konten.
4. Daten, die nie hineingehören. Pro Datenart: in welchem Tool erlaubt, in welchem nie. Fangen Sie bei personenbezogenen Daten von Kunden, Mandanten oder Patienten an, und bei allem, was unter eine Schweigepflicht fällt.
5. Ergebnisse prüfen. Wer liest ein KI-Ergebnis, bevor es das Haus verlässt? Sprachmodelle schreiben flüssig, auch wenn sie danebenliegen, und erfinden dabei Quellen und Zahlen.
6. Transparenz und Kennzeichnung. Wann Sie sagen, dass KI im Spiel ist: beim Chatbot oder Telefonassistenten von Anfang an, bei Deepfakes immer. Das ist Art. 50 KI-Verordnung, Pflicht seit dem 2. August 2026. Was genau gilt, steht in KI-Verordnung für KMU.
7. KI-Kompetenz und Schulung. Was jemand wissen muss, bevor er ein Tool nutzt, und wo Sie festhalten, wer was erklärt bekommen hat. Dafür gibt es unser Schulungsregister.
8. Neue Tools freigeben. Vier Fragen vor jeder Freigabe: Wo liegen die Daten? Wird mit Ihren Eingaben trainiert? Gibt es einen Auftragsverarbeitungsvertrag? Können Sie Daten löschen lassen?
9. Fehler und Vorfälle. Wem melden Mitarbeitende einen falschen KI-Entwurf beim Kunden oder Daten, die versehentlich in ein Tool kopiert wurden? Bei personenbezogenen Daten kann eine Datenpanne nach Art. 33 DSGVO meldepflichtig sein (dsgvo-gesetz.de).
10. Überprüfung und Kenntnisnahme. Wann die Richtlinie wieder angesehen wird, und eine Liste, in der alle mit Datum unterschreiben. Diese Liste ist zugleich Ihr Nachweis für Art. 4.
KI-Richtlinie Beispiel: womit Sie anfangen
Mit Abschnitt 3 fangen Sie an, weil der Rest davon abhängt. Eine Zeile pro Tool reicht, mit fünf Spalten: Tool, erlaubt für, nie hinein, Konto, verantwortlich. Tragen Sie dort auch ein, was nicht erlaubt ist, etwa kostenlose Chat-Tools auf privaten Konten. Wer keine geschäftliche Alternative anbietet, bekommt Mitarbeitende, die es auf dem eigenen Handy machen.
Kostenloses Muster: KI-Richtlinie zum Ausfüllen
Das Muster ist eine leere Struktur: die zehn Abschnitte von oben, pro Abschnitt eine kurze Erläuterung, was hineingehört, und Felder zum Ausfüllen. Es enthält keine vorformulierten Regeln und keine Beispielinhalte; alles tragen Sie selbst ein. Am Ende stehen eine Tabelle für die Kenntnisnahme mit Unterschrift und eine Änderungshistorie.
Andere Muster gibt es auch. Die IHK Schwaben bietet eine Muster-KI-Richtlinie als Word-Datei an (IHK Schwaben). Deren Begleittext beschreibt die KI-Verordnung noch als etwas, das „künftig" gilt. Achten Sie bei jedem Muster darauf, ob es die Fassung von Art. 4 nach Juli 2026 kennt.
In fünf Schritten zur ersten Fassung
- Machen Sie die Liste der Tools. Fragen Sie alle, was sie nutzen, auch auf eigene Faust. Das kommt in Abschnitt 3.
- Schreiben Sie pro Tool auf, was nie hineingehört. Abschnitt 4, beginnend bei Kundendaten.
- Benennen Sie eine verantwortliche Person und legen Sie fest, wer KI-Ergebnisse prüft.
- Gehen Sie die übrigen Abschnitte durch, sprechen Sie mit dem Betriebsrat, falls es einen gibt, und lassen Sie die Fassung prüfen.
- Lassen Sie alle lesen und unterschreiben, und setzen Sie einen Termin für die erste Überprüfung.
Wo die Daten liegen, regelt keine Richtlinie allein
Der schwierigste Abschnitt ist fast immer der vierte. Eine Richtlinie kann sagen, dass Kundendaten in kein externes Tool dürfen. Dann machen die Mitarbeitenden die Arbeit ohne KI, oder heimlich mit. Für Entwürfe ohne Kundendaten reicht oft ein Geschäftskonto mit Auftragsverarbeitungsvertrag. Muss die KI mit Kundenakten arbeiten, braucht es einen Aufbau, in dem diese Daten in Ihrer eigenen Umgebung bleiben.
Das ist meine Arbeit: KI-Anwendungen, in denen die Daten auf Infrastruktur liegen, die Sie kontrollieren, und in denen festgelegt ist, was die KI nicht darf, wie bei meinen eigenen Agenten. Ich sitze in Vaals, direkt an der Grenze zu Aachen (KI-Beratung & Automatisierung in Aachen).
Möchten Sie wissen, was KI für Ihr Unternehmen leisten kann, oder etwas bauen lassen? Nehmen Sie Kontakt auf. Informationen oder eine Schulung für Ihr Team können Sie über /de/contact anfragen.
Dieser Artikel und das Muster sind eine allgemeine Erläuterung, keine Rechtsberatung. Lassen Sie Ihre Richtlinie vor der Einführung von einer auf Arbeits-, Datenschutz- und KI-Recht spezialisierten Kanzlei prüfen.
Häufige Fragen
Muss ein Unternehmen eine KI-Richtlinie haben?
Ein Dokument mit diesem Namen schreibt die KI-Verordnung nicht vor. Art. 4 verlangt aber Maßnahmen, die die KI-Kompetenz der Mitarbeitenden unterstützen, und eine gelesene und unterschriebene KI-Richtlinie ist eine solche Maßnahme. Dazu kommen die DSGVO und, bei Berufsgeheimnisträgern, die Schweigepflicht. Eine kurze Richtlinie regelt das an einer Stelle.
Was sollten KI-Richtlinien enthalten?
Mindestens: welche Tools erlaubt sind und welche nicht, welche Daten nie hineingehören, wer Ergebnisse prüft, wer verantwortlich ist und neue Tools freigibt, was bei einem Fehler passiert, wann KI gekennzeichnet wird und wie die Mitarbeitenden geschult werden. Unser Muster hat dafür zehn Abschnitte.
Gibt es ein kostenloses Muster für eine KI-Richtlinie?
Ja. Unser Muster ist eine leere Struktur mit Ausfüllfeldern und einer Erläuterung pro Abschnitt, als Word-Datei und als Druckversion. Auch die IHK Schwaben bietet eine Muster-KI-Richtlinie als Word-Datei an.
Brauche ich einen KI-Beauftragten?
Nein. Die Bundesnetzagentur nennt die Einführung eines KI-Beauftragten ausdrücklich als nicht vorgeschrieben. Sinnvoll ist trotzdem, dass in der Richtlinie eine Person mit Namen steht, die neue Tools freigibt und Fragen beantwortet.
Muss der Betriebsrat bei einer KI-Richtlinie mitreden?
Wenn Sie einen Betriebsrat haben: Nach § 90 Abs. 1 Nr. 3 BetrVG müssen Sie ihn über die Planung von Arbeitsverfahren einschließlich des Einsatzes von Künstlicher Intelligenz rechtzeitig unterrichten. Bei technischen Einrichtungen, die Verhalten oder Leistung überwachen sollen, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht. Lassen Sie das im Einzelfall prüfen.
Wie lang sollte eine KI-Richtlinie sein?
Für ein kleines Unternehmen reichen ein bis vier Seiten. Wichtiger als die Länge ist, dass jedes Tool darin steht und dass pro Tool klar ist, welche Daten nie hineingehören.
Quellen
Alle abgerufen am 10.10.2026.
- Verordnung (EU) 2026/1744 (neuer Art. 4), EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202601744
- KI-Verordnung Art. 2 und 50, AI Act Service Desk der EU-Kommission: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2 , …/article-50
- Bundesnetzagentur, KI-Kompetenz: https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/7_Kompetenz/start.html
- Art. 28 und Art. 33 DSGVO: https://dsgvo-gesetz.de/art-28-dsgvo/ , https://dsgvo-gesetz.de/art-33-dsgvo/
- § 203 StGB: https://www.gesetze-im-internet.de/stgb/__203.html
- § 87 und § 90 BetrVG: https://www.gesetze-im-internet.de/betrvg/__87.html , https://www.gesetze-im-internet.de/betrvg/__90.html
- IHK Schwaben, KI-Richtlinie: https://www.ihk.de/schwaben/produktmarken/digitalisierung/kuenstliche-intelligenz/ki-richtlinie-6644000