Die gute Nachricht: Das Minimum passt auf zwei Seiten. Dieser Artikel beschreibt, was hineingehört — und was Sie sich sparen können.
Was ohne Richtlinie tatsächlich schiefgeht
Keine Panikszenarien, nur die drei Fälle, die real vorkommen: Ein Mitarbeiter lädt eine Kundenliste in ein privates, kostenloses KI-Konto hoch — bei kostenlosen Diensten dürfen Eingaben oft zum Training verwendet werden, und spätestens hier wird aus Bequemlichkeit ein Datenschutzvorfall. Ein Angebot geht mit einer erfundenen technischen Angabe raus, weil niemand die KI-Formulierung geprüft hat. Und die Konstruktionsabteilung diskutiert Details eines Kundenprojekts mit einem Chatbot, während im NDA steht, dass genau diese Informationen das Haus nicht verlassen.
Alle drei Fälle haben dieselbe Ursache: Es war nirgendwo aufgeschrieben, was geht und was nicht.
Die fünf Bausteine des Minimums
1. Freigegebene Werkzeuge, benannt. Eine kurze Liste: Diese Tools sind in der Business-Variante erlaubt, alles andere braucht Freigabe. Der Kern-Grund für die Business-Lizenzen steht im Vertrag: Eingaben werden nicht zum Training verwendet. Kostenlose Privat-Konten für Firmendaten sind tabu — das ist die wichtigste Einzelregel des ganzen Dokuments.
2. Datenklassen, konkret. Nicht juristisch, sondern in Alltagssprache: Öffentliche Informationen — frei nutzbar. Interne Informationen — nur in freigegebenen Tools. Personenbezogene Daten, Kundendaten, Konstruktions- und Vertragsdaten — nur in Tools, die dafür ausdrücklich freigegeben sind, im Zweifel gar nicht. Drei Kategorien reichen; wer sieben definiert, sorgt dafür, dass niemand sie anwendet.
3. Prüfpflicht, unmissverständlich. KI-Ergebnisse sind Entwürfe. Alles, was das Haus verlässt — Angebote, Berechnungen, Kundenkommunikation — prüft ein Mensch, der die fachliche Verantwortung trägt. Dieser eine Absatz verhindert die peinlichsten Vorfälle.
4. Ein Freigabeweg für Neues. Wer ein neues Tool nutzen will, fragt eine benannte Stelle — und bekommt binnen einer definierten Frist eine Antwort. Der zweite Halbsatz ist entscheidend: Wenn Freigaben Wochen dauern, entsteht Schatten-KI, und die Richtlinie ist wertlos.
5. Ansprechperson und Fundort. Ein Name für Fragen, ein Ablageort für das Dokument. Klingt trivial, fehlt aber erstaunlich oft.
Dazu gehören zwei Pflichttermine außerhalb des Dokuments: Der Datenschutzbeauftragte sieht die Richtlinie vor Inkrafttreten, und wenn es einen Betriebsrat gibt, wird er früh einbezogen — KI-Nutzung berührt regelmäßig mitbestimmungspflichtige Themen, und eine gemeinsam getragene Regelung wirkt ohnehin besser als eine verordnete.
Was Sie sich sparen können
Ein 40-seitiges KI-Governance-Handbuch im ersten Jahr. Ethik-Gremien vor dem ersten produktiven Anwendungsfall. Und die Detailregulierung von Werkzeugen, die Sie noch gar nicht einsetzen. Der EU AI Act gehört auf den Radar — für die meisten mittelständischen Anwendungsfälle (Textassistenz, interne Auswertungen) sind die Pflichten überschaubar, aber prüfen Sie es für Ihren Fall, statt es zu ignorieren oder zu dramatisieren. Eine Richtlinie, die gelebt wird, schlägt ein Rahmenwerk, das im Laufwerk liegt.
Einführung: Kulturfrage, nicht Verkündung
Der Unterschied zwischen einer Richtlinie, die funktioniert, und einer, die ignoriert wird, liegt selten im Text. Er liegt darin, wie sie ankommt. Eine kurze Schulung mit echten Beispielen aus dem eigenen Haus — was ging gut, was wäre fast schiefgegangen — erreicht mehr als jede Rundmail. Und die Botschaft muss stimmen: Die Regeln sind da, damit alle diese Werkzeuge nutzen können, nicht damit es niemand tut.
Ob eine Richtlinie bei Ihnen der erste Schritt ist oder ob dahinter schon der nächste wartet, sortiert unser Daten-Readiness-Check in fünf Minuten. Und wenn Sie beim Lesen gemerkt haben, dass es bei Ihnen bereits Schatten-KI gibt: Das ist kein Grund zur Aufregung — nur ein guter Grund, diese zwei Seiten jetzt zu schreiben.