KI-Nutzungsrichtlinie: Klauseln, Nachweise, 8 Schritte

Eine KI-Nutzungsrichtlinie legt fest, wer im Unternehmen welche KI-Werkzeuge für welche Aufgaben, mit welchen Daten und unter welcher Kontrolle einsetzen darf. Lange galt sie als Merkblatt der IT-Abteilung. Seit die nationalen Marktüberwachungsbehörden am 2. August 2026 mit der Durchsetzung von Artikel 4 der KI-Verordnung begonnen haben, ist sie in Europa ein Compliance-Nachweis. Wir zeigen, welche zwei Nutzungsrichtlinien das Gesetz kennt, welche Klausel jeden Abschnitt voraussetzt, welche Belege Sie aufbewahren sollten und wie Sie das Dokument in acht Schritten schreiben.

Auf einen Blick

• Die KI-Verordnung kennt den Begriff schon: Anhang XI und XII verlangen von Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, ihre Nutzungsrichtlinien zu dokumentieren. Ihre KI-Nutzungsrichtlinie kann nichts erlauben, was der Anbieter verbietet.
• Seit dem 2. August 2026 setzen nationale Behörden Artikel 4 durch. Ein Zertifikat ist nicht nötig, eine interne Dokumentation wird erwartet.
• Rote Linien folgen aus Artikel 5 Absatz 1 Buchstabe f, Artikel 50 Absatz 4 und der DSGVO.
• Jeder Abschnitt braucht eine Klausel und einen Nachweis. Unsere Klauselkarte ordnet acht Abschnitte zu.
• In Deutschland entscheidet die Überwachung über die Mitbestimmung: Wer Nutzungsdaten auswertet, braucht den Betriebsrat.

Was eine KI-Nutzungsrichtlinie ist und warum das Gesetz zwei davon kennt

Auf Unternehmensseite ist die KI-Nutzungsrichtlinie das operative Regelwerk für alle, die im Namen der Organisation mit KI arbeiten. Sie beantwortet fünf Fragen: Wer darf welche Werkzeuge nutzen? Für welche Aufgaben? Mit welchen Daten? Unter welcher menschlichen Prüfung und mit welcher Offenlegung? Und welche Folgen hat ein Verstoß? Das klingt nach einem Dokument, das jedes Unternehmen frei gestalten kann. Ganz frei ist es nicht, denn die KI-Verordnung, Verordnung (EU) 2024/1689, verwendet den Begriff bereits, allerdings auf der Seite der Anbieter.

Anhang XI, Abschnitt 1, Nummer 1 Buchstabe b verlangt von Anbietern von KI-Modellen mit allgemeinem Verwendungszweck in der technischen Dokumentation nach Artikel 53 Absatz 1 Buchstabe a Angaben zu den geltenden Nutzungsrichtlinien, in der englischen Fassung „the acceptable use policies applicable“. Anhang XII, Nummer 1 Buchstabe b wiederholt die Pflicht für die Informationen an nachgelagerte Anbieter nach Artikel 53 Absatz 1 Buchstabe b. Diese Pflichten gelten seit dem 2. August 2025, und das Formular zur Modelldokumentation im Verhaltenskodex für KI mit allgemeinem Verwendungszweck vom Juli 2025 hat dafür ein eigenes Feld. Beispiele sind die Usage Policies von OpenAI, die Usage Policy von Anthropic, die Anthropic auch Acceptable Use Policy nennt, und die Llama Acceptable Use Policy von Meta.

In jedem Einsatz gibt es also zwei KI-Nutzungsrichtlinien: die des Anbieters und Ihre eigene. Die Kette ist eindeutig. Ihre Regeln können nicht erlauben, was die Richtlinie des Anbieters verbietet, denn der Vertrag mit dem Anbieter bindet Sie daran. Deshalb gehört die Anbieterrichtlinie mit Version und Abrufdatum in das Werkzeugregister und in die Vertragsakte. Nach unserer Durchsicht erwähnt keine der Vorlagen, die zu diesem Thema oben in den Suchergebnissen stehen, diese Kette.

KI-Nutzungsrichtlinie oder Grundsatzdokument: der Unterschied

Die KI-Richtlinie eines Unternehmens formuliert Verpflichtungen, Rollen und Grundsätze. In ISO/IEC 42001 entspricht sie Abschnitt 5.2 und der Maßnahme <code>A.2.2</code>. Die KI-Nutzungsrichtlinie übersetzt diese Grundsätze in Regeln für Anwender, gestützt auf die Maßnahmen <code>A.9.2</code> (Prozesse für die verantwortungsvolle Nutzung von KI-Systemen) und <code>A.9.4</code> (bestimmungsgemäße Verwendung). Das eine Dokument unterschreibt die Geschäftsleitung, das andere bestätigt jede einzelne Person, die KI nutzt.

Der Begriff selbst stammt aus der IT-Sicherheit. Die klassische Acceptable Use Policy regelte E-Mail, Internet und Firmengeräte, in deutschen Unternehmen meist als IT-Nutzungsrichtlinie oder Betriebsvereinbarung. Generative KI hat das Format wiederbelebt, weil sie die alte Frage neu stellt: Was dürfen Beschäftigte mit Unternehmensdaten in einem fremden Dienst tun?

Warum aus dem Merkblatt ein Compliance-Nachweis wurde: Daten und Zahlen

Artikel 4 zur KI-Kompetenz gilt seit dem 2. Februar 2025. Der Digital-Omnibus zur KI, Verordnung (EU) 2026/1744, hat ihn mit Wirkung zum 27. Juli 2026 neu gefasst, und seit dem 2. August 2026 überwachen und vollziehen die nationalen Marktüberwachungsbehörden die Vorschrift. Die Kommission hat ihre Fragen und Antworten zur KI-Kompetenz zuletzt am 20. Oktober 2026 aktualisiert. Die Kernaussagen: kein Zertifikat, keine Pflichtschulung, „There is no one size fit all when it comes to AI literacy“, dafür eine interne Dokumentation von Schulungen und Leitfäden. Wer Beschäftigte ChatGPT für Werbetexte oder Übersetzungen nutzen lässt, soll sie über konkrete Risiken wie Halluzinationen informieren.

Drei weitere Fristen treffen dasselbe Dokument. Artikel 5 Absatz 1 Buchstabe f verbietet seit dem 2. Februar 2025 KI-Systeme, die Emotionen natürlicher Personen am Arbeitsplatz und in Bildungseinrichtungen ableiten, außer aus medizinischen oder Sicherheitsgründen. Artikel 50 gilt seit dem 2. August 2026: Chatbots müssen sich als KI zu erkennen geben, synthetische Inhalte müssen maschinenlesbar markiert sein, mit einer Übergangsfrist bis zum 2. Dezember 2026 für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Die Einzelheiten zur Kennzeichnungspflicht haben wir gesondert aufbereitet. Für Betreiber von Hochrisiko-KI-Systemen gilt Artikel 26 nach dem Omnibus ab dem 2. Dezember 2027 (Anhang III) und ab dem 2. August 2028 (Anhang I).

Die Zahlen zeigen, was ohne Regeln geschieht. In der Erhebung von Deloitte UK zu Schatten-KI (Feldphase Mai bis Juni 2026, 25.000 Beschäftigte) haben 63 Prozent der britischen Erwerbstätigen generative KI für die Arbeit genutzt, 12 Prozent täglich. 31 Prozent der Nutzer tun es, ohne dass der Arbeitgeber davon weiß, 46 Prozent verwenden kostenlose Tools, 17 Prozent bezahlen ein eigenes. Der Cost of a Data Breach Report 2025 von IBM beziffert die Folgen: 20 Prozent der Datenpannen betrafen Schatten-KI, die im Schnitt 670.000 USD Mehrkosten verursachte. 63 Prozent der betroffenen Organisationen hatten keine KI-Governance-Richtlinie oder arbeiteten noch daran, und 97 Prozent der Organisationen mit einem KI-bezogenen Vorfall fehlten angemessene Zugriffskontrollen für KI. Samsung schränkte im Mai 2023 generative KI auf Firmengeräten ein, nachdem Ingenieure im April 2023 internen Quellcode in ChatGPT kopiert hatten. Die Mechanik dahinter beschreibt unser Beitrag zu Schatten-KI.

Die Klauselkarte der KI-Nutzungsrichtlinie: welche Norm welchen Abschnitt voraussetzt

Vorlagen zählen Abschnitte auf. Prüfer fragen etwas anderes: Welche Pflicht erfüllt dieser Abschnitt, und wo liegt der Beleg? Die folgende Karte ist unsere eigene Arbeit. Sie verbindet jeden Abschnitt einer KI-Nutzungsrichtlinie mit der Klausel aus KI-Verordnung, ISO/IEC 42001 oder dem Generative-KI-Profil NIST AI 600-1, die ihn voraussetzt. Das NIST-Profil ergänzt das AI RMF und nennt Nutzungsrichtlinien ausdrücklich, etwa in <code>GV-1.4-002</code> „Establish transparent acceptable use policies for GAI that address illegal use or applications of GAI“ und in <code>GV-3.2-003</code> „Define acceptable use policies for GAI interfaces, modalities, and human-AI configurations“.

Abschnitt der Richtlinie	Klausel, die ihn voraussetzt	Nachweis, den Sie aufbewahren
Geltungsbereich, Rollen, Verantwortliche	ISO/IEC 42001 <code>A.2.3</code> und <code>A.3.2</code>; NIST AI 600-1 <code>GV-1.4-002</code>	unterschriebene Richtlinie, Versionshistorie, RACI-Matrix
Zugelassene Werkzeuge und Stufen	KI-VO Art. 4 und Art. 26 Abs. 1; ISO/IEC 42001 <code>A.9.4</code> und <code>A.4.4</code>; <code>GV-6.1-010</code>	Werkzeugregister, verknüpft mit dem KI-Register; Nutzungsrichtlinie des Anbieters in der Akte
Verbotene Nutzungen (rote Linien)	KI-VO Art. 5 Abs. 1 lit. f, Art. 50 Abs. 4; ISO/IEC 42001 <code>A.9.2</code>; <code>GV-1.3-004</code>	Liste der roten Linien, Ausnahmeregister
Datenregeln	DSGVO Art. 5 und 32; ISO/IEC 42001 <code>A.7</code> und <code>A.9.2</code>	Datenklassifizierungsmatrix, DLP- oder Gateway-Protokolle
Menschliche Prüfung der Ergebnisse	KI-VO Art. 26 Abs. 2, redaktionelle Kontrolle nach Art. 50 Abs. 4; ISO/IEC 42001 <code>A.9.2</code>	Prüfschritt im Arbeitsablauf, benannte prüfende Person
Schulung und KI-Kompetenz	KI-VO Art. 4; ISO/IEC 42001 Abschnitt 7.3 und <code>A.4.6</code>	Schulungsregister, Kenntnisnahmebestätigungen
Vorfälle und Bedenken	KI-VO Art. 26 Abs. 5; ISO/IEC 42001 <code>A.3.3</code> und <code>A.8.4</code>	Vorfallprotokoll, Meldekanal
Überprüfungsrhythmus	ISO/IEC 42001 <code>A.2.4</code>; <code>GV-6.1-010</code>	Protokoll der jährlichen Überprüfung, Änderungsverzeichnis

Ein Auditor nach ISO/IEC 42001 sucht <code>A.9.2</code> in der Erklärung zur Anwendbarkeit (Statement of Applicability), in der die 38 Maßnahmen aus Anhang A in neun Zielbereichen ausgewählt und begründet werden. Das KI-Büro und die nationalen Behörden suchen dagegen den Nachweis nach Artikel 4. Eine gut gebaute KI-Nutzungsrichtlinie bedient beide mit denselben Dokumenten, wenn jede Tabellenzeile einen Eigentümer und einen Ablageort hat. Wie die Norm und die Verordnung ineinandergreifen, zeigt unser ISO-42001-Baukasten zur KI-Verordnung; die Vorfallroute verbinden Sie mit Ihrem Prozess zur KI-Vorfallmeldung.

Rote Linien, die jede Richtlinie braucht, und die Rechtsgrundlage dahinter

Eine rote Linie wird eingehalten, wenn Beschäftigte ihren Grund kennen. Für jede der folgenden gibt es einen.

• <b>Keine Emotionserkennung bei Kolleginnen, Kollegen oder Bewerbern.</b> Artikel 5 Absatz 1 Buchstabe f verbietet KI-Systeme, die am Arbeitsplatz Emotionen ableiten, außer aus medizinischen oder Sicherheitsgründen. Verstöße gegen Artikel 5 können nach Artikel 99 Absatz 3 mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.
• <b>Keine personenbezogenen Daten in öffentlichen Werkzeugen.</b> Daten von Kunden, Beschäftigten und Bewerbern gehören nicht in frei zugängliche Chatbots, weil Rechtsgrundlage, Zweckbindung und Sicherheit nach Artikel 5 und 32 DSGVO dort nicht gesichert sind. Wie es datenschutzkonform geht, beschreibt unser Beitrag zu DSGVO-konformer KI.
• <b>Keine Geschäftsgeheimnisse und kein Quellcode.</b> Der Fall Samsung zeigt, wie schnell interner Code in einem fremden Dienst landet. Benennen Sie die vertraulichen Klassen ausdrücklich, statt nur auf „sensible Daten“ zu verweisen.
• <b>Keine Entscheidungen über Menschen ohne menschliche Prüfung.</b> Für Hochrisiko-Systeme verlangt Artikel 26 Absatz 2 eine menschliche Aufsicht durch kompetente, geschulte und befugte Personen, und Artikel 22 DSGVO begrenzt ausschließlich automatisierte Entscheidungen allgemein. Ein KI-Ergebnis ist ein Entwurf, keine Personalentscheidung.
• <b>Keine ungeprüften Texte zu Themen von öffentlichem Interesse und keine unmarkierten Deepfakes.</b> Artikel 50 Absatz 4 verlangt die Offenlegung von Deepfakes. KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sind offenzulegen, es sei denn, sie wurden menschlich geprüft oder redaktionell kontrolliert und eine Person trägt die redaktionelle Verantwortung.
• <b>Keine privaten Konten und keine nicht zugelassenen Werkzeuge.</b> IBM fand bei 97 Prozent der Organisationen mit KI-Vorfall keine angemessenen Zugriffskontrollen, Deloitte bei 31 Prozent der Nutzer eine Verwendung ohne Wissen des Arbeitgebers. Ein klares Verbot plus ein schneller Zulassungsweg ist die Antwort, die unser Beitrag zur Governance von Schatten-KI ausführt.
• <b>Keine Nutzung außerhalb der Anbieterrichtlinie.</b> Was die Usage Policy des Modellanbieters verbietet, kann Ihre KI-Nutzungsrichtlinie nicht erlauben; das ist die Kette aus Anhang XII. Wer dagegen verstößt, riskiert den Zugang und schafft ein Vertragsproblem.
• <b>Keine Lücke für Externe.</b> Dienstleister, Berater und Leiharbeitskräfte, die mit Ihren Daten arbeiten, müssen ausdrücklich erfasst sein. <code>GV-6.1-010</code> verlangt, Nutzungsrichtlinien auf „contractors, consultants, and other third-party personnel“ zu erstrecken.

Grünes Licht: erlaubte Nutzung ausdrücklich regeln

Eine Richtlinie, die nur verbietet, treibt die Nutzung in private Konten. Deshalb gehört die erlaubte Nutzung genauso präzise ins Dokument wie die verbotene. Die französische Datenschutzbehörde CNIL empfahl am 18. Juli 2024 in ihren ersten Hinweisen zum Einsatz generativer KI, eine Liste erlaubter und verbotener Nutzungen festzulegen und die Endnutzer zu schulen und zu sensibilisieren. Die Kommission sagt dasselbe auf ihre Weise: Eine Lösung für alle gibt es bei der KI-Kompetenz nicht. Vier Bausteine machen die erlaubte Nutzung greifbar.

• <b>Werkzeuge nach Stufen.</b> Stufe 1 umfasst Werkzeuge mit Unternehmensvertrag und vertraglichen Bedingungen zur Datenverarbeitung. Stufe 2 ist mit Einschränkungen zugelassen, etwa nur für öffentliche Informationen. Stufe 3 ist untersagt, und jede Einstufung steht mit Eigentümer und Prüfdatum im KI-Register.
• <b>Datenklassen je Stufe.</b> Öffentlich, intern, vertraulich, streng vertraulich: Für jede Klasse steht fest, in welcher Stufe sie verarbeitet werden darf. Personenbezogene Daten und Geschäftsgeheimnisse bleiben in Stufe 1 oder ganz draußen.
• <b>Aufgabenfamilien mit Prüfstufe.</b> Entwürfe interner Texte, Zusammenfassungen, Übersetzungen, Codevorschläge und Recherche erhalten jeweils eine Prüfstufe, von der Stichprobe bis zum Vier-Augen-Prinzip. Was nach außen geht oder Menschen betrifft, wird immer geprüft.
• <b>Zulassungsweg für neue Werkzeuge.</b> Legen Sie fest, wer ein neues Werkzeug freigibt, etwa das KI-Governance-Gremium, und binnen wie vieler Tage entschieden wird. Die Prüfung umfasst die Sorgfaltsprüfung des Lieferanten, die Datenbedingungen und die Nutzungsrichtlinie des Anbieters.

Grünes Licht ist kein Zugeständnis an die Beschäftigten. Es ist das wirksamste Mittel gegen Schatten-KI, weil der offizielle Weg dann schneller ist als der inoffizielle. Wer zudem erklärt, warum ein generatives KI-Modell halluzinieren kann, erfüllt nebenbei den Hinweis der Kommission zu konkreten Risiken.

Die KI-Nutzungsrichtlinie als Nachweis nach Artikel 4: was Behörden seit dem 2. August 2026 verlangen können

In der Fassung des Digital-Omnibus verpflichtet Artikel 4 Anbieter und Betreiber, Maßnahmen zu ergreifen, die die Entwicklung von KI-Kompetenz unterstützen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, nach besten Kräften über ein ausreichendes Maß an KI-Kompetenz verfügen. Ausdrücklich verlangt die Vorschrift nicht, ein bestimmtes Kompetenzniveau einzelner Personen zu garantieren. Der neue Absatz 2 verpflichtet Kommission und Mitgliedstaaten zur Unterstützung, besonders für KMU; die Kommission veröffentlicht praktische Beispiele auf der zentralen Informationsplattform. Nach dem neuen Absatz 3 nimmt das KI-Gremium Empfehlungen an, die europäische Kompetenzrahmen berücksichtigen. Soweit wir feststellen konnten, ist das bis zum 26. Oktober 2026 nicht geschehen.

Die Fragen und Antworten der Kommission sind deutlich: „There is no need for a certificate.“ Eine interne Dokumentation von Schulungen und anderen Maßnahmen ist dagegen der naheliegende Beleg. Das Living Repository der Kommission, veröffentlicht am 4. Februar 2025 und zuletzt am 10. August 2026 aktualisiert, liefert gute Beispiele, begründet aber ausdrücklich keine Vermutung der Konformität mit Artikel 4. Die schlanke Akte, die wir empfehlen, hat fünf Teile:

• die KI-Nutzungsrichtlinie mit Version und verantwortlicher Person;
• die Kenntnisnahmebestätigungen der Beschäftigten;
• ein rollenbasiertes Schulungsregister, passend zu Abschnitt 7.3 (Bewusstsein) von ISO/IEC 42001;
• das Werkzeugregister mit gemeinsamer Taxonomie, wie es die fünfte Best Practice des CIPL-Papiers „AI Act Article 4: AI Literacy Best Practices“ vom 8. Mai 2025 beschreibt: eine organisationsweite Taxonomie und ein Inventar bewerteter Anwendungsfälle;
• eine Rückkopplungsschleife, über die Beschäftigte Probleme und Verbesserungen melden, entsprechend der achten Best Practice.

Zu den Sanktionen: Artikel 99 Absatz 4 nennt die Pflichten mit einer festen EU-Obergrenze von 15 Millionen Euro oder 3 Prozent, darunter Artikel 16, 26 und 50. Artikel 4 steht nicht auf dieser Liste. Sanktionen ergeben sich aus den Vorschriften, die die Mitgliedstaaten nach Artikel 99 Absatz 1 erlassen. Die Kommission schreibt, die Behörden „could impose penalties and other enforcement measures“. Wer seine KI-Nutzungsrichtlinie heute als Nachweis führt, muss also nicht auf ein Bußgeldregime warten, um sie ernst zu nehmen.

Betriebsrat, Beschäftigte und nationale Regeln

Artikel 26 Absatz 7 verpflichtet Betreiber, die Arbeitgeber sind, die Arbeitnehmervertreter und die betroffenen Beschäftigten zu informieren, bevor sie ein Hochrisiko-KI-System am Arbeitsplatz in Betrieb nehmen oder verwenden, und zwar nach den Regeln des Unionsrechts und des nationalen Rechts zur Unterrichtung der Arbeitnehmer. Für Systeme nach Anhang III gilt das ab dem 2. Dezember 2027. Für die tägliche Nutzung generativer Assistenten entscheidet aber schon heute das nationale Recht.

In Deutschland ist die maßgebliche Entscheidung der Beschluss des Arbeitsgerichts Hamburg vom 16. Januar 2024 (24 BVGa 1/24), die erste arbeitsgerichtliche Entscheidung zu ChatGPT am Arbeitsplatz, ergangen im Eilverfahren. Der Arbeitgeber hatte Richtlinien erlassen, die ChatGPT im Browser über private Konten erlaubten; Daten über die Beschäftigten flossen dabei nicht an den Arbeitgeber. Die Richtlinien verlangten, KI-generierte Arbeitsergebnisse zu kennzeichnen. Das Gericht sah weder ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 BetrVG noch nach Nr. 6. Die Lehre für Ihre KI-Nutzungsrichtlinie ist zweischneidig. Regeln zum Arbeitsverhalten ohne Datenfluss können mitbestimmungsfrei sein. Sobald Sie die Nutzung aber über Protokolle, ein Gateway oder DLP-Werkzeuge auswerten, ist § 87 Abs. 1 Nr. 6 BetrVG wieder im Spiel, und der Weg führt in der Praxis über eine Betriebsvereinbarung.

Zwei Arbeitshilfen erleichtern das Schreiben. Die GDD hat im Juni 2025 eine Musterrichtlinie für den Einsatz von KI im Unternehmen veröffentlicht, die Datenschutzkonferenz am 6. Mai 2024 ihre Orientierungshilfe „Künstliche Intelligenz und Datenschutz“. Beide sind gute Ausgangspunkte; keine ersetzt die Klauselkarte und die Einbettung in Ihre KI-Governance.

Ein Blick über die Grenzen: In Frankreich muss der CSE nach Artikel L2312-8 des Code du travail vor der Einführung neuer Technologien, die die Arbeitsbedingungen berühren können, unterrichtet und angehört werden. In Italien verlangt Artikel 1-bis des Decreto legislativo 152/1997, eingefügt durch den Decreto Trasparenza (d.lgs. 104/2022), Informationen an Beschäftigte und Gewerkschaftsvertretungen, sobald vollautomatisierte Entscheidungs- oder Überwachungssysteme eingesetzt werden. Die Logik ist überall dieselbe: Sobald die Richtlinie auf Protokolle setzt, gelten die Regeln des Datenschutz- und Arbeitsrechts zur Überwachung.

Die KI-Nutzungsrichtlinie in 8 Schritten schreiben

1. <b>Werkzeuge inventarisieren.</b> Erfassen Sie, welche KI-Werkzeuge tatsächlich im Einsatz sind, auch die inoffiziellen. Kurze Befragungen, Ausgabenberichte und Proxy-Daten zeigen, wo Schatten-KI entsteht.
2. <b>Werkzeuge einstufen und Anbieterbedingungen ablegen.</b> Ordnen Sie jedes Werkzeug einer Stufe zu und legen Sie die Nutzungsrichtlinie und die Datenbedingungen des Anbieters mit Datum ins Register. Prüfen Sie, ob die Anbieterbedingungen Ihre geplanten Anwendungsfälle überhaupt zulassen.
3. <b>Datenklassen festlegen.</b> Bestimmen Sie, welche Datenklasse in welche Stufe darf. Nutzen Sie die bestehende Informationsklassifizierung, statt eine neue zu erfinden, und stimmen Sie die Regeln für personenbezogene Daten mit dem Datenschutzbeauftragten ab.
4. <b>Grünes Licht und rote Linien schreiben.</b> Formulieren Sie erlaubte Aufgabenfamilien und Verbote, jeweils mit der Klausel, die sie trägt. Eine Regel ohne Grund wird umgangen, eine Regel mit Grund wird verteidigt.
5. <b>Prüf- und Offenlegungsregeln festlegen.</b> Verlangen Sie menschliche Prüfung, bevor ein Ergebnis in Entscheidungen über Personen einfließt, redaktionelle Kontrolle nach Artikel 50 Absatz 4 für veröffentlichte Texte, die Offenlegung von Deepfakes und die Markierung synthetischer Inhalte. Benennen Sie für jede Regel die verantwortliche Rolle.
6. <b>Betriebsrat einbinden.</b> Klären Sie früh, ob die Richtlinie nur das Arbeitsverhalten regelt oder eine Auswertung von Nutzungsdaten voraussetzt. Im zweiten Fall verhandeln Sie eine Betriebsvereinbarung, bevor die Protokollierung startet.
7. <b>Ausrollen.</b> Holen Sie Kenntnisnahmebestätigungen ein, schulen Sie rollenbasiert und führen Sie die Dokumentation nach Artikel 4. Eine einseitige Kurzfassung der wichtigsten Regeln hilft im Alltag mehr als ein langes Dokument.
8. <b>Durchsetzen und überprüfen.</b> Überwachen Sie verhältnismäßig, führen Sie ein Ausnahmeregister und einen Meldeweg für Vorfälle, und überprüfen Sie die Richtlinie mindestens jährlich nach <code>A.2.4</code>. Neue Werkzeuge, geänderte Anbieterbedingungen und neue Leitlinien der Kommission sind Anlass für eine Zwischenprüfung.

Wenn Sie Ihre KI-Nutzungsrichtlinie samt Versionen, Verantwortlichen und Überprüfungsterminen zentral führen möchten, finden Sie die passenden Funktionen auf unserer Seite zur Richtlinienverwaltung.

Häufige Fragen

<b>Ist eine KI-Nutzungsrichtlinie in der EU gesetzlich vorgeschrieben?</b>

Kein Artikel der KI-Verordnung verlangt ein Dokument mit diesem Namen. Faktisch kommen Sie kaum ohne aus. Artikel 4 verlangt Maßnahmen zur KI-Kompetenz, die Sie belegen können sollten, Artikel 5 Absatz 1 Buchstabe f und Artikel 50 verlangen Regeln, die Beschäftigte kennen müssen, und die DSGVO verlangt technische und organisatorische Maßnahmen für personenbezogene Daten. Ab dem 2. Dezember 2027 kommen für Hochrisiko-Systeme nach Anhang III die Betreiberpflichten aus Artikel 26 hinzu. Eine schriftliche, bestätigte Richtlinie ist der einfachste Weg, all das nachweisbar zu machen.

<b>Was unterscheidet eine KI-Nutzungsrichtlinie von einer allgemeinen KI-Policy?</b>

Die übergeordnete KI-Richtlinie legt Verpflichtungen, Rollen und Grundsätze fest; in ISO/IEC 42001 entspricht sie Abschnitt 5.2 und der Maßnahme <code>A.2.2</code>. Die KI-Nutzungsrichtlinie ist das operative Regelwerk für Anwender: welche Werkzeuge, welche Aufgaben, welche Daten, welche Prüfung, welche Folgen. Sie stützt sich auf die Maßnahmen <code>A.9.2</code> und <code>A.9.4</code>. Die erste richtet sich an Führung und Governance, die zweite an jede Person, die täglich mit KI arbeitet. Beide sollten aufeinander verweisen und gemeinsam überprüft werden.

<b>Erfüllt eine Nutzungsrichtlinie allein Artikel 4 der KI-Verordnung?</b>

Allein nicht, aber sie ist der Kern des Nachweises. Artikel 4 verlangt Maßnahmen, die die KI-Kompetenz von Personal und Beauftragten nach besten Kräften sichern. Die Kommission verlangt kein Zertifikat und keine Pflichtschulung, erwartet aber, dass Sie zeigen können, was Sie getan haben. Dazu gehören die Richtlinie selbst, die Kenntnisnahmebestätigungen, ein rollenbasiertes Schulungsregister und ein Werkzeugregister. Wer Beschäftigte mit ChatGPT arbeiten lässt, sollte sie zudem nachweislich über Risiken wie Halluzinationen informiert haben.

<b>Was dürfen Beschäftigte nie in ein öffentliches KI-Werkzeug eingeben?</b>

Personenbezogene Daten von Kunden, Beschäftigten und Bewerbern, Geschäftsgeheimnisse, Quellcode, Vertragsentwürfe mit vertraulichen Klauseln, Zugangsdaten und alles, was nach Ihrer Informationsklassifizierung als vertraulich gilt. Öffentliche Werkzeuge ohne Unternehmensvertrag bieten keine Gewähr für Zweckbindung, Löschung und Sicherheit nach Artikel 5 und 32 DSGVO. Der Fall Samsung aus dem Jahr 2023 ist das bekannteste Beispiel, IBM zählt Schatten-KI inzwischen bei jeder fünften Datenpanne. Die Richtlinie sollte die Klassen konkret benennen und ein zugelassenes Werkzeug als Alternative anbieten.

<b>Müssen auch Dienstleister und Lieferanten die Richtlinie einhalten?</b>

Ja, soweit sie mit Ihren Daten oder in Ihrem Namen arbeiten. Artikel 4 erfasst ausdrücklich andere Personen, die in Ihrem Auftrag mit KI-Systemen umgehen, und <code>GV-6.1-010</code> aus NIST AI 600-1 verlangt, Nutzungsrichtlinien auf Auftragnehmer, Berater und sonstiges Fremdpersonal zu erstrecken. In der Praxis gehört eine Klausel in den Dienstleistungsvertrag, die auf die KI-Nutzungsrichtlinie verweist und eine Kenntnisnahme verlangt. Bei Lieferanten mit eigenen KI-Funktionen prüfen Sie zusätzlich deren Bedingungen im Rahmen der Lieferantenprüfung.

<b>Wie oft muss die Richtlinie überprüft werden?</b>

Mindestens einmal im Jahr, dokumentiert nach Maßnahme <code>A.2.4</code> von ISO/IEC 42001, und zusätzlich bei jedem Anlass. Anlässe sind ein neues Werkzeug, geänderte Nutzungsbedingungen eines Anbieters, neue Leitlinien der Kommission, ein Vorfall oder eine Änderung der Betriebsvereinbarung. Für 2026 gibt es bereits mehrere: die Neufassung von Artikel 4 am 27. Juli, die Anwendbarkeit von Artikel 50 seit dem 2. August und das Ende der Übergangsfrist zur Markierung am 2. Dezember. Halten Sie jede Überprüfung mit Datum, Ergebnis und Änderungen im Änderungsverzeichnis fest.

Fazit

Die meisten Vorlagen behandeln die KI-Nutzungsrichtlinie als Liste guter Vorsätze. Für ein europäisches Unternehmen ist sie seit dem 2. August 2026 mehr: der Ort, an dem Artikel 4, das Verbot der Emotionserkennung, Artikel 50 und die DSGVO im Alltag der Beschäftigten ankommen, und die Akte, die eine Behörde oder ein Auditor zuerst sehen will. Drei Punkte entscheiden über ihre Qualität. Die Richtlinie des Modellanbieters setzt die äußere Grenze und gehört deshalb ins Register. Jede Regel braucht eine Klausel und einen Nachweis. Und in Deutschland bestimmt die Frage der Überwachung, welche Rolle der Betriebsrat spielt. Beginnen Sie mit dem Inventar der tatsächlich genutzten Werkzeuge, legen Sie die Klauselkarte daneben und schließen Sie die Lücken der Reihe nach. Wenn Sie dafür Unterstützung suchen, zeigen wir Ihnen gern, wie AI Sigil Register, Richtlinien und Nachweise zusammenführt.