Ist eine KI-Richtlinie gesetzlich vorgeschrieben?

Eine ausdrückliche Pflicht „jedes Unternehmen braucht eine KI-Richtlinie“ gibt es nicht. Die KI-Verordnung der EU verlangt aber Maßnahmen zur Förderung der KI-Kompetenz beim Personal, und die DSGVO verlangt einen geregelten Umgang mit personenbezogenen Daten. Eine schriftliche Richtlinie ist der praktikabelste Weg, beides nachvollziehbar zu organisieren.

Wie lang sollte eine KI-Richtlinie sein?

So kurz wie möglich. Für ein KMU haben sich zwei bis vier Seiten bewährt: Geltungsbereich, erlaubte Tools, verbotene Eingaben, Freigabeweg, Umgang mit Ergebnissen, Schulung, Ansprechperson. Ein Dokument, das niemand liest, schützt niemanden.

Welche Eingaben gehören in einer KI-Richtlinie auf die Verbotsliste?

Personenbezogene Daten von Kunden, Mitarbeitern und Bewerbern, Geschäftsgeheimnisse wie Kalkulationen und Rezepturen, Vertragsinhalte sowie Zugangsdaten – jedenfalls für alle Tools ohne geprüfte vertragliche Grundlage. Für freigegebene Tools mit Auftragsverarbeitungsvertrag können differenzierte Regeln gelten.

Wer sollte die KI-Richtlinie im Betrieb erstellen?

Die Geschäftsführung gemeinsam mit den Personen, die KI im Alltag tatsächlich nutzen – bei Bedarf mit externer Unterstützung für Datenschutzfragen. Eine Richtlinie, die an der Praxis vorbei formuliert ist, wird umgangen statt befolgt.

Wie oft muss eine KI-Richtlinie aktualisiert werden?

Die Tool-Liste laufend, sobald Werkzeuge freigegeben oder gestrichen werden; das Grundgerüst mindestens einmal jährlich. Sinnvoll ist ein fixer Termin, etwa im Jänner, plus eine anlassbezogene Prüfung bei neuen Rechtsvorgaben oder Vorfällen.

KI-Richtlinie fürs Unternehmen: Leitfaden mit Struktur

Eine KI-Richtlinie ist ein internes Regelwerk, das festlegt, welche KI-Werkzeuge im Betrieb erlaubt sind, welche Daten dort eingegeben werden dürfen, wie neue Tools freigegeben werden und wie Mitarbeiter geschult werden. Sie braucht keine dreißig Seiten: Für ein KMU reichen wenige klar formulierte Kapitel, die jeder im Betrieb versteht. Dieser Leitfaden liefert die Struktur zum Übernehmen – Abschnitt für Abschnitt.

In Kürze

Eine KI-Richtlinie regelt vier Kernfragen: Welche Tools sind erlaubt? Was darf nicht eingegeben werden? Wie kommen neue Tools auf die Liste? Wie werden Mitarbeiter geschult?
Die KI-Verordnung der EU verpflichtet Unternehmen, die KI einsetzen, Maßnahmen zur Förderung der KI-Kompetenz ihres Personals zu ergreifen – eine Richtlinie samt Schulung ist der naheliegende Nachweis.
Ohne Richtlinie entsteht kein KI-freier Betrieb, sondern Wildwuchs: Mitarbeiter nutzen Werkzeuge dann ungeregelt über private Konten.
Die Verbotsliste ist das Herzstück: personenbezogene Daten, Geschäftsgeheimnisse und Zugangsdaten haben in ungeprüften Tools nichts verloren.
Eine Richtlinie wirkt nur, wenn sie kurz, auffindbar und geschult ist – und wenn sie eine erlaubte Alternative anbietet statt nur zu verbieten.

Warum braucht ein KMU überhaupt eine KI-Richtlinie?

Weil KI-Nutzung längst stattfindet – mit oder ohne Regeln. Texte werden mit Sprachassistenten formuliert, E-Mails zusammengefasst, Übersetzungen erstellt. Ohne Vorgaben passiert das über private Konten und Gratis-Versionen, bei denen weder vertragliche Grundlage noch Datenverbleib geklärt sind. Das Risiko trägt der Betrieb: Gelangen personenbezogene Daten in ein ungeprüftes Tool, ist das ein Datenschutzproblem des Unternehmens, nicht des einzelnen Mitarbeiters.

Dazu kommt eine rechtliche Entwicklung: Die KI-Verordnung der EU (oft „AI Act“ genannt) verlangt von Unternehmen, die KI-Systeme einsetzen, seit der Neufassung von Art. 4 durch die Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026), Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals zu fördern; ein bestimmtes Niveau muss nicht garantiert werden. Wie dieser Nachweis konkret auszusehen hat, ist bewusst offen gehalten – eine dokumentierte Richtlinie plus Schulung ist der naheliegende und gängige Weg. Auch die DSGVO wirkt hinein: Wer personenbezogene Daten in ein KI-Tool gibt, braucht dafür eine Grundlage und meist einen Auftragsverarbeitungsvertrag mit dem Anbieter. Einen Überblick, wie KI-Einsatz und Datenschutz in Österreich zusammenpassen, gibt der Beitrag KI und DSGVO in Österreich. Dieser Leitfaden bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall; laufend aktualisierte Informationen zur KI-Verordnung bietet auch die Wirtschaftskammer (wko.at).

Welche Struktur hat eine gute KI-Richtlinie? Die Gliederung zum Übernehmen

Die folgende Gliederung hat sich für KMU bewährt. Sie können sie eins zu eins als Gerüst verwenden und mit den Gegebenheiten Ihres Betriebs füllen:

Zweck und Geltungsbereich. Ein Absatz: Die Richtlinie regelt den Einsatz von KI-Werkzeugen im Betrieb, gilt für alle Mitarbeiter und für alle dienstlichen Tätigkeiten – auch am privaten Gerät, sobald Firmendaten im Spiel sind.
Erlaubte Tools (Whitelist). Eine konkrete Liste der freigegebenen Werkzeuge samt Zweck: welches Tool für Texte, welches für Übersetzungen, welche interne Wissensdatenbank für Fragen zu Betriebsabläufen. Wichtig: nur über Firmenkonten, nie über private Konten. Alles, was nicht auf der Liste steht, gilt als nicht freigegeben.
Verbotene Eingaben. Die klare Ansage, welche Inhalte in kein externes KI-Tool gehören – Details siehe nächster Abschnitt. Diese Liste ist der Teil, den jeder Mitarbeiter auswendig können sollte.
Freigabeprozess für neue Tools. Wer prüft neue Wünsche, und nach welchen Kriterien? Bewährt: Serverstandort und Datenverbleib, Auftragsverarbeitungsvertrag, Ausschluss der Nutzung von Firmendaten fürs Training fremder Modelle, Zugriffskontrolle. Ein einfaches Formular „Tool-Wunsch“ senkt die Hemmschwelle, offiziell zu fragen statt heimlich zu nutzen.
Umgang mit KI-Ergebnissen. KI-Ausgaben sind Entwürfe, keine Wahrheiten: fachliche Prüfpflicht vor Verwendung, besondere Vorsicht bei Zahlen, Namen und rechtlichen Aussagen, Kennzeichnung, wo es vereinbart oder geboten ist. Bei Werkzeugen mit Quellenangabe gehört die Quelle stichprobenartig geöffnet.
Schulung und KI-Kompetenz. Wer wird wann und wie geschult – Grundschulung für alle, kurze Auffrischung bei Änderungen, Einweisung neuer Mitarbeiter. Teilnahme dokumentieren; das ist zugleich der Nachweis der Fördermaßnahmen nach Art. 4 der KI-Verordnung.
Verantwortlichkeiten und Ansprechperson. Eine namentlich benannte Person für Fragen, Freigaben und Vorfälle. In kleinen Betrieben ist das oft die Geschäftsführung selbst – entscheidend ist, dass jeder weiß, an wen er sich wendet.
Verstöße, Ausnahmen, Aktualisierung. Was passiert bei Verstößen (zuerst Klärung, nicht Strafe), wie werden Ausnahmen genehmigt, wann wird die Richtlinie überprüft. Ein fixer Jahres-Termin verhindert, dass das Dokument veraltet.

Welche Eingaben gehören auf die Verbotsliste?

Die Verbotsliste sollte konkret und beispielhaft formuliert sein – abstrakte Kategorien allein helfen im Alltag nicht. Als Raster:

Kategorie	Beispiele	Warum kritisch
Personenbezogene Daten	Namen, Adressen, Gesundheitsdaten, Gehaltsdaten von Kunden, Mitarbeitern, Bewerbern	DSGVO: keine Verarbeitung ohne Grundlage und Vertrag mit dem Anbieter
Geschäftsgeheimnisse	Kalkulationen, Rezepturen, Konstruktionsdaten, Strategie- und Preisunterlagen	Schutz als Geheimnis setzt angemessene Geheimhaltung voraus – Eingabe in fremde Systeme kann diesen Schutz gefährden
Vertrags- und Kundeninhalte	Angebote, Verträge, Schriftverkehr mit Kunden	Vertraulichkeitspflichten gegenüber Geschäftspartnern
Zugangsdaten und Systeminfos	Passwörter, Schlüssel, interne Netzwerkdetails	Sicherheitsrisiko, unabhängig vom Datenschutz

Für freigegebene Tools mit geprüfter vertraglicher Grundlage können differenzierte Regeln gelten – etwa dass eine interne Wissensdatenbank mit EU-Datenhaltung sehr wohl Betriebsdokumente verarbeiten darf, ein öffentlicher Gratis-Chatbot aber nicht. Genau diese Unterscheidung sollte die Richtlinie ausdrücklich treffen, sonst wirkt sie wie ein Pauschalverbot und wird ignoriert.

Wie bleibt die Richtlinie lebendig statt Papier?

Drei Dinge entscheiden darüber, ob eine KI-Richtlinie wirkt oder in der Ablage verstaubt.

Erstens: eine erlaubte Alternative. Wer nur verbietet, erzeugt Schatten-Nutzung über private Handys. Wer eine freigegebene, gute Lösung anbietet – etwa eine interne Wissensdatenbank, die Fragen aus den eigenen Betriebsdokumenten beantwortet –, gibt dem Team einen legalen Weg, der bequemer ist als der heimliche.

Zweitens: Schulung in Alltagssprache. Eine Stunde mit echten Beispielen aus dem eigenen Betrieb bringt mehr als zehn Seiten Juristendeutsch. Zeigen Sie konkret: Diese Anfrage ist in Ordnung, diese nicht – und warum.

Drittens: Auffindbarkeit. Die Richtlinie muss dort sein, wo gearbeitet wird. Am wirksamsten ist sie, wenn Mitarbeiter sie befragen können wie eine Kollegin: „Darf ich den Entwurf eines Kundenangebots in das Übersetzungstool geben?“ Eine KI-Wissensdatenbank beantwortet solche Fragen direkt aus Ihrer eigenen Richtlinie – mit Quellenangabe, sodass jeder nachlesen kann, worauf die Antwort beruht. So wird aus dem Dokument gelebte Praxis, und Änderungen sind sofort für alle wirksam.

Der nächste Schritt ist überschaubar: Setzen Sie die acht Gliederungspunkte als Rohfassung auf – zwei bis vier Seiten genügen – und besprechen Sie sie mit den Personen, die KI heute schon nutzen. Wie Sie Richtlinie, Handbücher und übriges Betriebswissen anschließend zentral befragbar machen, zeigt die Seite Ablauf der Einführung.