KI-Policy für Unternehmen: Was rein muss + Checkliste 2026

Was ist eine KI-Policy?

Eine KI-Policy (auch KI-Richtlinie) ist eine interne Regel, die festlegt, welche KI-Tools im Unternehmen erlaubt sind, welche Daten eingegeben werden dürfen, wie KI-Ergebnisse geprüft werden und wer verantwortlich ist. Sie ist gesetzlich nicht ausdrücklich vorgeschrieben, hilft aber, die Pflichten aus DSGVO und EU AI Act zu erfüllen – etwa die Sicherstellung von KI-Kompetenz nach Art. 4 AI Act.

ChatGPT für den Kundenservice, Copilot im Entwicklerteam, KI-gestützte Recruiting-Tools – künstliche Intelligenz ist fester Bestandteil des Unternehmensalltags. Was viele dabei übersehen: Die Nutzung von KI-Tools bringt erhebliche rechtliche und operative Risiken mit sich. Datenschutzverstöße, Urheberrechtsverletzungen oder fehlerhafte KI-Halluzinationen können empfindliche Konsequenzen haben.

Eine klare KI-Policy schafft Sicherheit für dein Unternehmen und deine Mitarbeitenden. Sie legt verbindlich fest, was erlaubt ist, was nicht und wie du KI verantwortungsvoll einsetzt. In diesem Artikel erfährst du, welche Inhalte in eine praxistaugliche KI-Richtlinie gehören und wie du sie erfolgreich einführst.

Warum braucht dein Unternehmen eine KI-Policy?

Eine ausdrückliche gesetzliche Pflicht, eine KI-Policy zu schreiben, gibt es weder in der DSGVO noch im EU AI Act. Dennoch sprechen handfeste rechtliche und praktische Gründe dafür:

• Organisatorischer Datenschutz: Die DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ (TOMs), um personenbezogene Daten zu schützen. Wenn Mitarbeitende ohne Regelung beliebige KI-Tools nutzen, gelangen schnell vertrauliche Kundendaten, Bewerberdaten oder interne Informationen in ungeprüfte Systeme. Eine KI-Policy ist das zentrale organisatorische Mittel, um diese Risiken zu minimieren.
• Haftung der Geschäftsführung: Die allgemeine Sorgfaltspflicht der Geschäftsführung verlangt die Absicherung von Risiken. Wer den Einsatz von KI-Systemen nicht regelt, riskiert, dass ungewollt Urheberrechtsverletzungen entstehen, fehlerhafte Informationen zur Entscheidungsgrundlage werden oder diskriminierende Ergebnisse entstehen. Im Schadensfall kann dies zu einer direkten Haftung führen.
• Der EU AI Act ist Realität: Der europäische Rechtsrahmen für künstliche Intelligenz gilt schrittweise. Seit Februar 2025 müssen Unternehmen sicherstellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz (AI Literacy) verfügen (Art. 4 AI Act). Eine durchdachte KI-Policy signalisiert zudem nach außen – gegenüber Kund:innen, Partnern und Aufsichtsbehörden –, dass du Governance und Compliance ernst nimmst.

Diese Inhalte gehören in deine KI-Richtlinie

Eine praxistaugliche KI-Policy sollte modular aufgebaut sein und folgende Kernbereiche abdecken:

Erlaubte und verbotene Tools

• Whitelisting: Eine klare Liste der im Unternehmen freigegebenen KI-Anwendungen (z. B. ChatGPT Enterprise, Microsoft Copilot mit aktiver Unternehmenslizenz).
• Shadow-IT-Verbot: Ein striktes Verbot, private Accounts oder nicht geprüfte Tools für geschäftliche Zwecke zu nutzen.
• Freigabeprozess: Ein definierter Ablauf, wie Mitarbeitende neue KI-Tools zur Prüfung und Freigabe einreichen können.

Datenschutz und erlaubte Eingaben (Input-Regeln)

• Datenklassifizierung: Eine exakte Vorgabe, welche Datenkategorien eingegeben werden dürfen und welche absolut tabu sind (z. B. Gesundheitsdaten, Quellcode von Kernprodukten, Passwörter, sensible Kundenakten).
• Anonymisierungspflicht: Die Anweisung, Daten vor der Eingabe zu anonymisieren oder zu pseudonymisieren, falls der Kontext gewahrt bleiben muss.

Umgang mit KI-Output

• Verpflichtung zur Verifikation: Das Verbot, Texte, Code oder Entscheidungsvorschläge ungeprüft zu übernehmen.
• Risikoaufklärung: Ein Hinweis auf potenzielle Urheberrechtsverletzungen bei der unkontrollierten Weiterverarbeitung von KI-Ergebnissen.

Transparenz und Kennzeichnung

• Kennzeichnungspflichten: Festlegung, wann der Einsatz von KI gegenüber Kund:innen oder der Öffentlichkeit offengelegt werden muss. Seit August 2026 gelten dafür die Transparenzpflichten nach Art. 50 AI Act – etwa bei Chatbots im Kundenservice, bei Deepfakes oder bei KI-generierten Texten zur Information der Öffentlichkeit.

Datenschutz-Anforderungen konkret umsetzen (DSGVO & DPF)

Der Datenschutz ist der kritischste Punkt jeder KI-Policy. Da viele KI-Anbieter Daten auf externen Servern verarbeiten, musst du drei Säulen rechtlich absichern:

1. Rechtsgrundlage für die Datenverarbeitung klären (Art. 6 DSGVO): Wenn personenbezogene Daten verarbeitet werden, braucht es eine Rechtsgrundlage nach Art. 6 DSGVO – etwa die Erfüllung eines Vertrags, ein berechtigtes Interesse oder eine Einwilligung. Für Beschäftigte und Bewerbende ist die Einwilligung wegen des Abhängigkeitsverhältnisses nur eingeschränkt geeignet; für besondere Kategorien wie Gesundheitsdaten gelten zusätzlich die strengeren Regeln des Art. 9 DSGVO.
2. Auftragsverarbeitungsvertrag (AVV) abschließen: Wenn ein KI-Tool personenbezogene Daten im Auftrag verarbeitet, ist ein AVV nach Art. 28 DSGVO zwingend erforderlich. Die Policy sollte festlegen: Ohne gültigen AVV dürfen keine personenbezogenen Daten in das Tool fließen.
3. Drittlandtransfer absichern (EU-US Data Privacy Framework): Viele KI-Dienste sitzen in den USA. Nutze bevorzugt Anbieter, die unter dem aktuellen EU-US Data Privacy Framework (DPF) zertifiziert sind oder bei denen der Datentransfer über Standardvertragsklauseln (SCCs) und zusätzliche Sicherheitsmaßnahmen (wie Datenverschlüsselung) rechtlich wasserdicht gelöst ist.

Beispielformulierung für deine Policy:

„Die Eingabe von personenbezogenen Daten in KI-Tools ist nur zulässig, wenn (a) eine klare Rechtsgrundlage besteht, (b) ein AVV mit dem Anbieter geschlossen wurde und (c) der Drittlandtransfer rechtlich (z. B. durch das EU-US Data Privacy Framework) abgesichert ist. Im Zweifelsfall ist vor der Eingabe Rücksprache mit der oder dem Datenschutzbeauftragten zu halten.“

Praxis-Tipp: Die datenschutzrechtliche Prüfung neuer KI-Tools und der Abschluss von AVVs erfordern Fachwissen. Wer keine interne Rechtsabteilung hat, kann auf den externen Datenschutzbeauftragten von heyData zurückgreifen, um Software und interne Richtlinien effizient zu prüfen.

Umgang mit Urheberrecht und KI-Output

Die urheberrechtliche Lage rund um KI-Systeme ist komplex. Deine Richtlinie sollte daher auf folgenden Grundsätzen basieren:

• Kein automatischer Urheberrechtsschutz für KI-Output: Nach gängiger Rechtsprechung fehlt KI-generierten Werken die erforderliche „persönliche geistige Schöpfung“ eines Menschen. Das bedeutet: Rein von einer KI erzeugte Texte, Bilder oder Programmiercodes sind in der Regel gemeinfrei und können auch von deinen Wettbewerbern kopiert werden. Erst durch eine signifikante menschliche Nachbearbeitung kann ein eigenständiger Schutz entstehen.
• Gefahr von Urheberrechtsverletzungen (Plagiatsrisiko): Da KI-Modelle mit riesigen Datenmengen trainiert wurden, kann es vorkommen, dass die Ausgabe geschützten Werken Dritter täuschend ähnlich sieht. Wer diesen Output kommerziell nutzt, riskiert Abmahnungen.
• Lizenzrechte der Tools beachten: Einige Anbieter behalten sich in ihren Nutzungsbedingungen das Recht vor, deine Eingaben (Prompts) für das Training ihrer eigenen Modelle zu nutzen, oder sie schränken die kommerzielle Nutzung in Gratis-Versionen ein.

Beispielformulierung für deine Policy:

„KI-generierte Inhalte sind vor einer Veröffentlichung, Weitergabe oder kommerziellen Nutzung auf potenzielle Urheberrechtsverletzungen zu prüfen. Mitarbeitende tragen die Verantwortung für die sorgfältige Endkontrolle der von ihnen veröffentlichten Inhalte.“

Qualitätssicherung und Verantwortlichkeiten

KI-Systeme können halluzinieren (Fakten erfinden), veraltete Daten ausgeben oder voreingenommene Ergebnisse liefern. Daher muss deine Policy klare Kontrollmechanismen definieren:

• Menschliche Letztverantwortung (Human-in-the-Loop): KI ist ein Assistent, kein finaler Entscheider. Jedes Arbeitsergebnis – ob Vertragstext, Kundenmail oder Code-Snippet – muss zwingend durch ein menschliches Auge geprüft werden.
• Verpflichtende Plausibilitätsprüfung: Insbesondere bei faktischen Aussagen, statistischen Daten, rechtlichen Einschätzungen oder Entscheidungen mit Außenwirkung ist eine Gegenrecherche über Primärquellen Pflicht.
• Verantwortlichkeiten im Unternehmen: Benenne feste Rollen. Wer pflegt die Liste der erlaubten Tools? Wer ist Ansprechpartner bei Fehlern oder Sicherheitsvorfällen? Typischerweise ist dies eine Taskforce aus IT, Datenschutz und Legal.

So führst du die KI-Policy erfolgreich ein

Eine Richtlinie entfaltet nur dann Wirkung, wenn sie im Unternehmen auch gelebt wird. Gehe bei der Einführung in sechs Schritten vor:

1. Stakeholder frühzeitig einbinden: Hole Geschäftsführung, IT, Datenschutz, HR und den Betriebsrat rechtzeitig an einen Tisch, um Akzeptanz zu schaffen.
2. Verständliche Sprache statt Juristendeutsch: Schreibe die Policy klar, präzise und barrierefrei. Nutze Praxisbeispiele aus dem Arbeitsalltag deiner Mitarbeitenden.
3. Praktische Schulungen anbieten: Theorie allein reicht nicht. Führe kurze Workshops durch, in denen du zeigst, wie man die Policy bei der täglichen Arbeit mit ChatGPT & Co. einhält.
4. Zentrale Verfügbarkeit garantieren: Hinterlege die Richtlinie im Intranet oder Mitarbeiterhandbuch und stelle Quick-Guides (z. B. als One-Pager) direkt am digitalen Arbeitsplatz bereit.
5. In bestehende Prozesse verankern: Integriere die KI-Policy in das Onboarding neuer Mitarbeitender und mache den „KI-Check“ zum Standard bei der Beschaffung neuer Software.
6. Regelmäßige Updates einplanen: Die technologische Entwicklung und die Rechtsprechung verändern sich rasant. Setze dir einen festen Rhythmus (mindestens einmal pro Jahr), um die Policy zu überprüfen und anzupassen.

Checkliste: Deine KI-Policy auf einen Blick

Nutze diese Checkliste, um sicherzustellen, dass deine KI-Richtlinie alle regulatorischen und praktischen Anforderungen abdeckt:

Grundlagen & Geltungsbereich

• Der personelle und sachliche Geltungsbereich ist exakt definiert (für wen und welche Tools gilt die Richtlinie?).
• Die Ziele und der Zweck der Policy sind verständlich formuliert.
• Zentrale Begriffe (z. B. Was definiert das Unternehmen als „KI-System“?) sind klar abgegrenzt.

Datenschutz & Compliance

• Erlaubte und verbotene Datenkategorien für KI-Inputs sind unmissverständlich definiert.
• Konkrete Vorgaben zum Umgang mit personenbezogenen Daten (Art. 6 DSGVO) sind integriert.
• Der Prozess zum Abschluss von Auftragsverarbeitungsverträgen (AVV) ist festgelegt.
• Die Einhaltung der Vorgaben zum Drittlandtransfer (z. B. EU-US Data Privacy Framework) ist sichergestellt.
• Eine feste Kontaktperson für Datenschutzfragen bei der KI-Nutzung ist benannt.

Urheberrecht & Output-Kontrolle

• Verbindliche Regeln zur manuellen Überprüfung von KI-generierten Inhalten vor der Verwendung sind verankert.
• Risikohinweise zu potenziellen Urheberrechtsverletzungen und Plagiaten sind enthalten.
• Die kommerziellen Nutzungs- und Lizenzrechte der eingesetzten Tools wurden geprüft und dokumentiert.

Governance & Tool-Management

• Eine dynamische Liste („Whitelist“) aller freigegebenen KI-Anwendungen ist vorhanden oder verlinkt.
• Ein klarer, auditierbarer Prozess für die Prüfung und Freigabe neuer KI-Tools ist etabliert.
• Das Verbot von Schatten-IT (Nutzung nicht genehmigter Tools oder privater Accounts) ist explizit formuliert.
• Das Prinzip der menschlichen Letztverantwortung (Human-in-the-Loop) ist als Grundsatz verankert.

Fazit

Eine durchdachte KI-Policy ist kein bürokratisches Hindernis, sondern ein fundamentaler Baustein einer modernen Compliance- und Risikostrategie. Sie schützt dein Unternehmen effektiv vor Datenlecks, Urheberrechtsproblemen und Haftungsrisiken. Gleichzeitig gibt sie deinen Mitarbeitenden die nötige Rechtssicherheit, um innovative Tools produktiv zu nutzen. Wer heute klare Leitlinien etabliert und die Anforderungen des EU AI Acts sowie der DSGVO sauber einbaut, macht sein Unternehmen zukunftssicher.

Mit der KI-Compliance von heyData erstellst du deine KI-Policy auf Basis geprüfter Vorlagen, schulst dein Team zur KI-Kompetenz und behältst alle eingesetzten KI-Tools im Blick.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo