So schreiben Sie eine KI-Richtlinie, die im Alltag funktioniert

Es gibt zwei Arten von KI-Richtlinien. Die eine liegt als PDF im Intranet, beginnt mit einer Definition künstlicher Intelligenz und zählt danach acht Verbote auf. Die andere passt auf eine Bildschirmseite und beantwortet die Frage, die Ihre Mitarbeitenden tatsächlich haben: Darf ich das, mit diesen Daten, für diese Aufgabe?

Nur die zweite verändert, was am Montagmorgen passiert. Auch mit Blick auf Artikel 4 ist sie die stärkere Maßnahme, denn der Artikel zielt auf das Verständnis der Menschen, die mit KI arbeiten.

Warum eine Verbotsliste die KI-Nutzung ins Verborgene verlagert

Viele KI-Richtlinien regeln vor allem, was verboten ist, und lassen offen, was erlaubt ist. Das wirkt sicher, bewirkt aber oft das Gegenteil: Wer unsicher ist, nutzt KI im Stillen, und Sie verlieren den Überblick.

Eine Richtlinie, die vor allem verbietet, trifft auf eine Mitarbeiterin, die eine Deadline hat und ein Tool kennt, das ihr hilft. In diesem Konflikt gewinnt die Deadline. Also nutzt sie das Tool mit ihrem privaten Konto auf dem privaten Laptop, wo Sie es weder sehen noch steuern können.

Damit haben Sie das Schlechteste aus beiden Welten: Das Risiko bleibt, und Sie sind im Blindflug. Eine Richtlinie, die zuerst klärt, was erlaubt ist, hält die Nutzung im Unternehmen. So bleibt sie sichtbar und steuerbar, und genau das müssen Sie später in Ihrer Dokumentation nachweisen können.

Vier Fragen, die Ihre Richtlinie beantwortet

Welche Tools sind erlaubt? Nennen Sie sie beim Namen. Eine Formulierung wie „freigegebene KI-Anwendungen“ wirft Ihre Mitarbeitenden auf die Frage zurück, wer das eigentlich festlegt. Besser funktioniert eine Liste mit vier Tools und einer Adresse, an die sie einen Antrag für ein fünftes schicken können.

Welche Daten dürfen eingegeben werden? Hier passieren besonders häufig Fehler. Nennen Sie deshalb konkrete Kategorien, die tabu sind und die Ihre Mitarbeitenden wiedererkennen, zum Beispiel Kundennamen, Personalakten, Quellcode oder Finanzzahlen vor der Veröffentlichung.

Wer ist für das Ergebnis verantwortlich? Die Antwort lautet immer: der Mensch, der es verwendet. Schreiben Sie es trotzdem auf, denn genau dieser Satz wird zitiert, wenn etwas schiefgeht.

Was ist im Zweifel zu tun? Nennen Sie einen Namen oder eine Adresse. Ohne feste Anlaufstelle müssen Ihre Mitarbeitenden raten, und das geht oft schief. Konkrete Regeln für den Umgang mit Prompts finden Sie in Generative KI sicher einsetzen.

Die rechtliche Grundlage finden Sie im Artikel zur KI-Schulungspflicht nach Art. 4.

Wie Richtlinie und Schulung sich ergänzen

Artikel 4 verlangt Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen. Ein Richtliniendokument allein reicht dafür selten aus: Mitarbeitende lesen es in der Regel einmal, oft an ihrem ersten Arbeitstag.

Wirksamer ist die Kombination aus Richtlinie und Schulung. Die Richtlinie hält die Regeln fest, die Schulung sorgt dafür, dass Ihre Mitarbeitenden sie verstehen und anwenden können. In Ihrer Dokumentation stehen dann beide nebeneinander: Das haben wir vereinbart, und so haben wir dafür gesorgt, dass es verstanden wird.

Praktisch heißt das: Nehmen Sie die Richtlinie ins Onboarding auf, hängen Sie ein kurzes Modul für den täglichen KI-Einsatz daran, und überprüfen Sie beides zum selben Termin. Welches Modul zu welcher Gruppe gehört, steht in KI-Schulung nach Rollen.

Was Sie weglassen können

Drei Dinge landen häufig in einer KI-Richtlinie und gehören selten hinein.

• Eine Erklärung, wie ein Sprachmodell funktioniert, ist interessant, ändert aber nichts am Verhalten der Lesenden.

• Eine Aufzählung der Risikoklassen aus der KI-Verordnung ist für die Verfasserin relevant, verwirrt aber die Leserschaft.

• Ein Verbot „unethischer Nutzung“ ändert kein Verhalten, weil sich niemand darin wiedererkennt.

Nehmen Sie stattdessen drei Beispiele aus Ihrem Arbeitsalltag in die Richtlinie auf, darunter eines, das einen typischen Fehler zeigt. Weitere Leitfäden finden Sie im Wissensbereich KI-Kompetenz.