Kurzfassung: Eine KI-Richtlinie ist schnell geschrieben, ein Muster liegt als Volltext vor. Ob sie im Alltag gilt, entscheidet die Einführung: wer vorher beteiligt wird, in welcher Reihenfolge entschieden wird, wie die Beschäftigten davon erfahren und wer das Dokument danach pflegt. Beteiligt sein sollten Geschäftsführung, IT, Datenschutz, die Fachbereiche und, wo vorhanden, der Betriebsrat. Am Ende stehen ein Beschluss, eine Einweisung je Rolle und ein fester Termin für die Überprüfung.

Was die Richtlinie leisten soll

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz beschreibt die Aufgabe genau. Es sollten klare interne Weisungen erteilt und dokumentiert werden, ob, unter welchen Voraussetzungen und zu welchen konkreten Zwecken welche KI-Anwendungen eingesetzt werden dürfen. Beispiele für zugelassene und untersagte Einsatzszenarien empfiehlt sie ausdrücklich.

Was in einer solchen Richtlinie steht, zeigt das Muster der KI-Nutzungsrichtlinie mit dreizehn Klauseln, einer Begründung je Klausel und einer Anlage für die freigegebenen Systeme. Dieser Beitrag behandelt den Teil, der in keinem Muster steht: wie das Dokument in Kraft kommt und in Kraft bleibt.

Wer beteiligt wird

Eine Richtlinie, die nur eine Abteilung geschrieben hat, wird nur in dieser Abteilung gelesen. Fünf Stellen gehören an den Tisch:

  • Geschäftsführung. Sie beschließt die Richtlinie und vertritt sie. Ohne ihren Namen darunter bleibt sie eine Empfehlung.
  • IT. Sie weiß, welche Systeme, Konten und Erweiterungen es gibt und was technisch durchsetzbar ist.
  • Datenschutzbeauftragter. Nach Artikel 38 Absatz 1 DSGVO ist er ordnungsgemäß und frühzeitig in alle Fragen einzubinden, die mit dem Schutz personenbezogener Daten zusammenhängen. Die Datenschutzkonferenz empfiehlt, ihn bei Entscheidungen über KI-Anwendungen stets zu beteiligen.
  • Fachbereiche. Sie wissen, wofür KI tatsächlich genutzt wird. Ohne sie regelt die Richtlinie Fälle, die es nicht gibt, und übersieht die, die es gibt.
  • Betriebsrat. Verhaltensregeln können § 87 Absatz 1 Nummer 1 BetrVG berühren, also Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer. Bei Systemen, die objektiv geeignet sind, Verhalten oder Leistung zu überwachen, kommt Nummer 6 hinzu. Nach § 90 BetrVG ist er über die Planung von Arbeitsverfahren einschließlich des Einsatzes von Künstlicher Intelligenz zu unterrichten, und die Beratung muss so rechtzeitig erfolgen, dass seine Vorschläge noch berücksichtigt werden können.

Die Datenschutzkonferenz nennt als Rahmen neben einer Dienst- oder Handlungsanweisung auch eine Betriebsvereinbarung. Welche Form passt, hängt davon ab, ob ein Betriebsrat besteht und welche Systeme erfasst werden.

Sechs Schritte bis zum Beschluss

  1. Bestand erheben. Welche Werkzeuge laufen bereits, auch ohne Freigabe? Wie sich das ohne Überwachung herausfinden lässt, beschreibt der Beitrag zu Schatten-KI.
  2. Zwecke festlegen. Die Datenschutzkonferenz rät, vor dem Einsatz festzulegen, welche Einsatzfelder vorgesehen sind und welchem Zweck ein Werkzeug konkret dient. Nur dann lässt sich prüfen, ob personenbezogene Daten dafür überhaupt nötig sind.
  3. Freigegebene Systeme bestimmen. Für jedes System wird festgehalten, wer es anbietet, wofür es genutzt wird, wo die Daten verarbeitet werden, welche Datenarten zulässig sind und welche Rollen es nutzen dürfen. Verarbeitet ein Anbieter personenbezogene Daten im Auftrag, gehört ein Vertrag nach Artikel 28 DSGVO dazu.
  4. Datenregeln festlegen. Welche Angabe in welches System darf, beantwortet die Datenampel für KI-Eingaben. Wo ein Einsatz voraussichtlich ein hohes Risiko für Betroffene mit sich bringt, ist nach Artikel 35 DSGVO zusätzlich eine Datenschutz-Folgenabschätzung durchzuführen.
  5. Entwurf abstimmen. Der Entwurf auf Basis des Musters geht an Datenschutzbeauftragten und Betriebsrat, bevor er beschlossen wird, nicht danach.
  6. Beschließen und bekannt machen. Mit Datum des Inkrafttretens, einer Fassungsnummer und einem Ort, an dem alle Beschäftigten die aktuelle Fassung und die Liste der freigegebenen Systeme finden.

Schulung: die Richtlinie in den Alltag bringen

Eine Richtlinie, die per E-Mail verschickt wird, ist bekannt gemacht, aber nicht verstanden. Die Datenschutzkonferenz empfiehlt, Beschäftigte durch Schulungen, Leitfäden und Gespräche dafür zu sensibilisieren, ob und wie sie KI-Anwendungen nutzen sollen und dürfen.

Artikel 4 der KI-Verordnung verlangt in der Fassung der Verordnung (EU) 2026/1744 von Anbietern und Betreibern Maßnahmen, die die Entwicklung der KI-Kompetenz ihres Personals unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie nicht garantieren. Die Bundesnetzagentur nennt formalisierte Trainings und externe Zertifizierungen ausdrücklich als nicht verlangt und empfiehlt, die Maßnahmen gut zu dokumentieren.

Praktikabel ist eine kurze Einweisung je Rolle mit vier Inhalten: welche Systeme freigegeben sind, welche Angaben wohin dürfen, wie eine Ausgabe vor der Verwendung geprüft wird und wie der Meldeweg funktioniert. Beispiele aus der eigenen Arbeit helfen mehr als allgemeine Folien. Teilnahme und Inhalte werden festgehalten. Eine Gliederung dafür bietet das Schulungskonzept zur KI-Kompetenz.

Pflege: wer die Richtlinie aktuell hält

Die Liste der freigegebenen Systeme ändert sich häufiger als der Richtlinientext. Deshalb steht sie in einer Anlage, die eine benannte Funktion führt, ohne dass jedes Mal ein neuer Beschluss nötig ist.

Für den Text selbst gibt es neben einem festen Turnus vier Anlässe: ein neues System, ein Anbieterwechsel, ein Vorfall und eine Änderung der Rechtslage. Die Datenschutzkonferenz empfiehlt, regelmäßig zu prüfen, ob interne Vorgaben wegen technischer Entwicklungen und Updates angepasst werden müssen, und dafür eine Routine im Datenschutzmanagement nach Artikel 24 DSGVO einzurichten. Meldungen über Fehler und Vorfälle fließen in die nächste Fassung und in die nächste Schulungsrunde ein. Jede Änderung wird mit Datum und Fassung festgehalten.

Eine Zuständigkeit, die bleibt

Eine Richtlinie verliert ihre Wirkung, sobald nach dem Beschluss niemand mehr zuständig ist. Wer Einführung und Pflege nicht neben dem Tagesgeschäft stemmen kann, kann beides an einen externen KI-Beauftragten abgeben, von der Abstimmung mit Datenschutz und Betriebsrat bis zur jährlichen Überprüfung. Die Einweisung der Beschäftigten lässt sich als KI-Schulung für Mitarbeiter im eigenen Haus durchführen.

Dieser Beitrag beschreibt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.