Warum eine KI-Richtlinie?
Ohne Regeln entscheidet jeder selbst, was er in welches KI-Tool kopiert. Das Ergebnis ist oft Schatten-KI: private Gratis-Accounts mit Kundendaten. Ein pauschales Verbot hilft selten, weil die Werkzeuge zu nützlich sind. Besser ist eine kurze, klare Richtlinie, die sagt, was geht und was nicht.
Was hineingehört
- Erlaubte Werkzeuge: Welche KI-Tools sind freigegeben, welche nicht?
- Tabu-Daten: Welche Informationen dürfen nicht in externe KI-Tools, etwa personenbezogene Daten, Geschäftsgeheimnisse, Passwörter?
- Prüfpflicht: KI-Ergebnisse werden vor der Verwendung von einem Menschen geprüft.
- Verantwortung: Wer ein KI-Ergebnis verwendet, ist dafür verantwortlich.
- Kennzeichnung: Wann muss erkennbar sein, dass KI beteiligt war?
- Ansprechpartner: Wen fragt man bei Unsicherheit, wem meldet man Probleme?
- Schulung: Wer wird wann geschult? Das ist seit Februar 2025 Pflicht nach dem EU AI Act.
Tipps für die Umsetzung
- Kurz halten: Eine bis zwei Seiten, die jeder liest, sind besser als zwanzig, die keiner liest.
- Beispiele nennen: „Kundennamen nicht in ChatGPT“ versteht jeder besser als „keine personenbezogenen Daten“.
- Eine Alternative anbieten: Wer etwas verbietet, sollte ein erlaubtes Werkzeug bereitstellen.
- Betriebsrat und Datenschutz einbeziehen: falls vorhanden, von Anfang an.
- Regelmäßig anpassen: Die Werkzeuge ändern sich schnell. Einmal im Jahr drüberschauen.
Vorlage: KI-Richtlinie
Passen Sie die Teile in eckigen Klammern an Ihren Betrieb an.
1. Zweck. Diese Richtlinie regelt den Einsatz von KI-Werkzeugen bei [Firmenname]. Sie soll uns helfen, KI sinnvoll zu nutzen und dabei Kunden-, Mitarbeiter- und Firmendaten zu schützen.
2. Erlaubte Werkzeuge. Für die Arbeit dürfen nur folgende KI-Werkzeuge verwendet werden: [z. B. die firmeneigene KI unter Adresse X]. Andere KI-Dienste, insbesondere private Accounts, dürfen nicht mit Firmendaten genutzt werden.
3. Daten. In externe KI-Dienste dürfen nicht eingegeben werden: personenbezogene Daten von Kunden, Beschäftigten oder Bewerbern, Vertragsinhalte, Preise und Kalkulationen, Zugangsdaten sowie alle als vertraulich gekennzeichneten Informationen. [Für die firmeneigene KI gilt: …]
4. Prüfen. KI kann Fehler machen und Fakten erfinden. Alle Ergebnisse werden vor der Verwendung geprüft. Was an Kunden, Behörden oder Geschäftspartner geht, liest vorher ein Mensch.
5. Verantwortung. Wer ein KI-Ergebnis verwendet, trägt die Verantwortung dafür wie für eine eigene Arbeit.
6. Keine Entscheidungen über Menschen. KI wird nicht eingesetzt, um über Bewerbungen, Beförderungen, Kündigungen oder die Bewertung von Beschäftigten zu entscheiden.
7. Kennzeichnung. Bilder, Audio oder Videos, die mit KI erstellt wurden und echt wirken, werden als KI-erzeugt gekennzeichnet. Chatbots im Kundenkontakt geben sich als KI zu erkennen.
8. Schulung. Alle, die KI nutzen, nehmen an einer Einweisung teil. Die Teilnahme wird dokumentiert.
9. Fragen und Vorfälle. Ansprechperson ist [Name]. Wurden versehentlich vertrauliche Daten in ein KI-Tool eingegeben, bitte sofort melden.
10. Gültigkeit. Gültig ab [Datum]. Die Richtlinie wird jährlich überprüft.
Was heißt das für Ihr Unternehmen?
- Eine kurze Richtlinie mit klaren Beispielen schützt mehr als ein langes Regelwerk.
- Bieten Sie ein erlaubtes Werkzeug an, sonst wird die Richtlinie umgangen.
- Richtlinie und Schulung zusammen erfüllen den Kern der KI-Kompetenz-Pflicht.
Die Vorlage ist ein Ausgangspunkt und ersetzt keine Rechtsberatung. Stimmen Sie die Richtlinie mit Ihrem Datenschutzbeauftragten und, falls vorhanden, dem Betriebsrat ab.