Die KI-Richtlinie, die Ihre Mitarbeiter tatsächlich lesen

Es gibt in Ihrem Unternehmen bereits KI-Nutzung. Die Frage ist nur, ob Sie davon wissen.

Jemand aus der Buchhaltung lässt sich Mahnungstexte formulieren. Jemand aus dem Vertrieb kippt ein Angebot in ein Chatfenster und fragt, ob es überzeugend klingt. Jemand aus der Sachbearbeitung lässt einen langen Schriftsatz zusammenfassen, weil der Tag zu kurz ist. Alle drei meinen es gut. Alle drei arbeiten schneller. Und in mindestens einem der drei Fälle haben gerade personenbezogene Daten das Haus verlassen.

Das ist der Normalzustand im Mittelstand 2026. Er lässt sich nicht durch ein Verbot beheben, sondern nur durch Regeln, die jemand freiwillig befolgt.

Warum ein Verbot der schlechteste Weg ist

Ein Verbot beendet nicht die Nutzung, sondern nur die Sichtbarkeit. Wer unter Zeitdruck steht und ein Werkzeug kennt, das hilft, benutzt es. Dann eben auf dem privaten Handy, mit dem privaten Account, ohne dass es jemand mitbekommt.

Damit verlieren Sie beides: die Kontrolle über die Daten und die Chance, die Nutzung in vernünftige Bahnen zu lenken. Ein Verbot verlagert das Risiko, es beseitigt es nicht.

Dazu kommt: Seit Februar 2025 verpflichtet der EU AI Act Betreiber von KI-Systemen dazu, für ausreichende KI-Kompetenz der Personen zu sorgen, die damit arbeiten. Wer die Nutzung verbietet und dann wegschaut, erfüllt diese Pflicht nicht, sondern verletzt sie zweimal.

Was in die Richtlinie gehört

Eine brauchbare Richtlinie passt auf zwei Seiten. Alles darüber wird nicht gelesen und ist damit wirkungslos, egal wie sorgfältig es formuliert ist.

1. Welche Werkzeuge erlaubt sind, namentlich

Nicht „geeignete KI-Systeme”, sondern: diese hier, mit diesem Zugang, über dieses Konto. Eine Liste mit drei Einträgen ist besser als eine abstrakte Definition mit dreißig Wörtern.

Ergänzen Sie den Weg, wie ein weiteres Werkzeug auf die Liste kommt. Sonst entsteht wieder Schattennutzung, sobald jemand etwas Neues braucht.

2. Welche Daten nicht hineindürfen, konkret

Das ist der wichtigste Abschnitt, und er scheitert fast immer an zu abstrakter Sprache. „Keine vertraulichen Daten” hilft niemandem, weil jeder etwas anderes darunter versteht.

Schreiben Sie es in der Sprache Ihres Hauses. In einer Hausverwaltung heißt das: keine vollständigen Mietverträge, keine Namen von Eigentümern, keine Kontodaten. In einer Kanzlei heißt es: nichts, was einen Mandanten identifizierbar macht, und das schließt die Aktenzeichen ein. In einem Maklerbüro: keine Gesundheitsangaben, nie.

Ein Satz pro Datenart, formuliert als Beispiel. Das versteht jeder in zehn Sekunden.

3. Wer am Ende unterschreibt

Die zentrale Regel lautet: Das Ergebnis verlässt das Haus erst, wenn ein Mensch es geprüft hat. Ein Sprachmodell erfindet gelegentlich Dinge, die plausibel klingen. Bei einem Werbetext ist das ärgerlich. Bei einer Fristberechnung ist es ein Haftungsfall.

Halten Sie fest, dass die fachliche Verantwortung immer bei der Person bleibt, die den Vorgang bearbeitet. Nicht bei der IT, nicht beim Anbieter, nicht bei der Geschäftsführung.

4. Wohin man sich wendet, wenn etwas schiefgeht

Wenn jemand versehentlich einen kompletten Mietvertrag in ein öffentliches Chatfenster kopiert hat, brauchen Sie diese Information sofort. Sie bekommen sie aber nur, wenn die Meldung folgenlos bleibt.

Schreiben Sie deshalb ausdrücklich hinein, an wen man sich wendet und dass eine unverzügliche Meldung keine arbeitsrechtlichen Folgen hat. Ohne diesen Satz erfahren Sie von solchen Vorfällen nie.

Was Sie weglassen sollten

Technische Erklärungen. Wie ein Sprachmodell funktioniert, gehört in die Schulung, nicht in die Richtlinie. Die Richtlinie sagt, was gilt.

Vollständigkeit. Jeder Sonderfall, den Sie vorwegnehmen, kostet Aufmerksamkeit für die vier Regeln, auf die es ankommt. Zwei Seiten, die gelesen werden, schlagen zwölf Seiten, die abgeheftet werden.

Formulierungen aus einer fremden Vorlage. Wenn im Text Begriffe stehen, die in Ihrem Haus niemand benutzt, merkt jeder, dass die Regel nicht für ihn gemacht wurde. Dann gilt sie auch nicht.

Der Teil, der wirklich zählt

Eine Richtlinie ohne Begleitung ist ein Dokument im Intranet. Wirksam wird sie durch drei Dinge, die nichts mit dem Text zu tun haben:

Erstens: eine Stunde, in der Sie die Regeln an echten Beispielen aus dem eigenen Haus durchgehen. Nicht an erfundenen.

Zweitens: ein erlaubtes Werkzeug, das tatsächlich funktioniert. Wenn der freigegebene Weg umständlicher ist als der verbotene, gewinnt der verbotene.

Drittens: eine Führungskraft, die das Werkzeug sichtbar selbst benutzt. Nichts entwertet eine Richtlinie schneller als eine Geschäftsführung, die Regeln aufstellt für etwas, das sie selbst nicht anfasst.

Der ehrliche Schluss

Eine KI-Richtlinie schützt Sie nicht vor Fehlern. Sie sorgt dafür, dass die Fehler kleiner werden und dass Sie davon erfahren.

Wenn Sie noch keine haben, ist der beste Zeitpunkt, damit anzufangen, nicht der Tag nach dem ersten Vorfall. Zwei Seiten, vier Abschnitte, eine Stunde Besprechung. Das ist der ganze Aufwand.

Wenn Sie dabei jemanden brauchen, der die Formulierungen auf Ihr Haus zuschneidet und die Schulung mitmacht, sprechen wir dreißig Minuten darüber. Wenn Sie es selbst machen, ist mir das genauso recht. Hauptsache, es passiert vor dem Vorfall und nicht danach.