KI-Richtlinie im Unternehmen: Was hineingehört – und wie sie im Alltag ankommt

Fast jedes Unternehmen hat inzwischen eine KI-Strategie. Was in den meisten fehlt, ist die Ebene darunter: eine verbindliche KI-Richtlinie im Unternehmen, die Beschäftigten sagt, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und wer im Zweifel entscheidet. Ohne diese Ebene bleibt die Strategie ein Papier für die Geschäftsführung, während im Arbeitsalltag jeder für sich entscheidet. Eine Plattform wie Blupassion ist dabei kein KI-Werkzeug, sondern der Weg, auf dem solche Regeln tatsächlich bei den Mitarbeitenden ankommen und belegbar gelesen werden.

Die Lücke zwischen Strategie und Steuerung

Die Zahlen der KPMG-Studie „Generative KI in der deutschen Wirtschaft“ vom 9. Juni 2026, für die 480 Entscheiderinnen und Entscheider befragt wurden, zeigen den Bruch deutlich: 98 Prozent der Unternehmen verfügen über eine erste KI-Strategie – 2024 waren es 31 Prozent. Aktiv durch das Top-Management gesteuert werden diese Strategien aber nur in 39 Prozent der Fälle.

Beim verantwortungsvollen Einsatz sieht es ähnlich aus. 53 Prozent der Unternehmen haben Ansätze für vertrauenswürdige KI etabliert, jedoch ohne durchgängige strategische Steuerung. Und nur 37 Prozent setzen auf klar definierte Verantwortlichkeiten und Governance-Strukturen. Übersetzt heißt das: In der Mehrheit der Unternehmen ist nicht geklärt, wer entscheidet, wer haftet und wer im Zweifel gefragt wird.

Genau diese Lücke füllt eine KI-Richtlinie. Sie ist kein Strategiepapier, sondern eine Betriebsanweisung: kurz, konkret, für alle nachlesbar.

Was der EU AI Act dazu verlangt

Zwei Pflichten aus der KI-Verordnung treffen auch Unternehmen, die KI nur einsetzen und nicht entwickeln.

Artikel 4 – KI-Kompetenz. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Maßstab sind technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext. Ein einmaliger Vortrag ohne Teilnehmerliste erfüllt das nicht.

Artikel 50 – Transparenz. Seit dem 2. August 2026 gelten die Transparenzpflichten und der Beginn der Durchsetzung. Wer KI-generierte Inhalte veröffentlicht oder Kundinnen und Kunden mit einem KI-System kommunizieren lässt, muss das kenntlich machen.

Beides lässt sich nicht sinnvoll regeln, ohne vorher festzulegen, wer im Betrieb überhaupt was mit KI tun darf. Deshalb steht die Richtlinie am Anfang, nicht am Ende.

Was in eine KI-Richtlinie im Unternehmen gehört: sieben Punkte

Eine brauchbare KI-Richtlinie im Unternehmen passt auf zwei bis drei Seiten. Diese sieben Punkte sollten darin stehen:

1. Geltungsbereich. Für wen gilt sie – Festangestellte, Aushilfen, Werkstudierende, externe Dienstleister? Gilt sie auch auf privaten Geräten?
2. Freigegebene Werkzeuge. Eine namentliche Positivliste. Alles, was nicht daraufsteht, ist nicht freigegeben. Das ist verständlicher als jede Verbotsliste.
3. Regeln für Daten. Was darf nie eingegeben werden: Personendaten, Angebots- und Kalkulationsdaten, Kundenunterlagen, Quellcode, Betriebsgeheimnisse. Am besten mit drei konkreten Beispielen aus dem eigenen Haus.
4. Prüfpflicht für Ergebnisse. KI-Ausgaben sind Entwürfe. Wer sie verwendet, verantwortet sie. Für Angebote, Verträge und sicherheitsrelevante Inhalte gilt ein Vier-Augen-Prinzip.
5. Kennzeichnung nach außen. Wann muss ein Inhalt als KI-erzeugt markiert werden, wer entscheidet das im Grenzfall?
6. Verantwortlichkeiten. Eine benannte Person oder Rolle als Ansprechpartner, plus ein Meldeweg für Zwischenfälle – falsche Ausgaben, Datenabfluss, unklare Fälle.
7. Qualifizierung. Wer welche Einweisung bekommt, in welchem Umfang und wie die Teilnahme festgehalten wird. Das ist der Nachweis für Artikel 4.

Was nicht hineingehört: allgemeine Bekenntnisse zu Ethik und Verantwortung. Sie kosten Seiten und ändern kein Verhalten.

Ein Hinweis zur Tonlage. Richtlinien, die überwiegend aus Verboten bestehen, werden umgangen – nicht aus Trotz, sondern weil der Nutzen der Werkzeuge im Arbeitsalltag spürbar ist. Wirksamer ist die umgekehrte Formulierung: Hier ist der freigegebene Weg, hier sind die drei Grenzen, hier ist die Person, die im Zweifel entscheidet. Wer einen gangbaren Weg anbietet, braucht weniger Kontrolle.

Der eigentliche Fehler passiert nach dem Schreiben

Die meisten Richtlinien scheitern nicht am Inhalt, sondern an der Verteilung. Sie landen als PDF im Intranet, in einer Rundmail oder im Ordner beim Aushang. Wer in der Produktion, im Lager, auf Montage oder in der Filiale arbeitet, hat davon nichts – und genau dort entstehen die riskanten Fälle, weil private Werkzeuge naheliegen. Wie schnell das kippt, beschreibt der Beitrag zu Schatten-KI im Unternehmen.

Drei Fragen entscheiden, ob eine Richtlinie wirkt:

• Erreicht sie alle Beschäftigten, auch die ohne PC-Arbeitsplatz und ohne Firmen-E-Mail?
• Ist sie in zwei Minuten auffindbar, wenn jemand mitten in der Arbeit unsicher wird?
• Können Sie belegen, wer sie zur Kenntnis genommen hat?

Wer alle drei Fragen mit Ja beantwortet, hat eine wirksame Regelung. Sonst besteht nur eine dokumentierte Absicht.

Wie die Richtlinie in den Arbeitsalltag kommt

Mit einer Prozessplattform lässt sich der Weg von der Regel zur belegten Kenntnisnahme ohne Individualentwicklung abbilden:

• Richtlinie als Inhalt in der App, nicht als Anhang: gegliedert, durchsuchbar, in der Sprache der Belegschaft. Bei internationalen Teams über mehrsprachige Informationen in derselben Struktur.
• Push bei Änderungen. Jede neue Version erreicht die Belegschaft aktiv, statt auf Zufallsfunde im Intranet zu warten.
• Bestätigung und Verständnisfrage über digitale Checklisten und Formulare – damit steht fest, wer wann gelesen und verstanden hat.
• Meldeweg für Zwischenfälle als kurzes Formular statt als Mail an ein Postfach, das niemand pflegt.
• Einweisung im selben Kanal wie die übrigen Unterweisungen per App, inklusive Übersicht über Fälligkeiten.

Der Punkt ist nicht die Technik, sondern die Zuständigkeit: Regeln, die dorthin geliefert werden, wo gearbeitet wird, werden befolgt. Regeln, die abgelegt werden, nicht.

In vier Wochen zu einer Richtlinie, die trägt

• Woche 1: Bestandsaufnahme. Welche KI-Werkzeuge sind tatsächlich im Einsatz – auch inoffiziell? Fragen Sie in den Abteilungen, nicht in der IT.
• Woche 2: Entwurf entlang der sieben Punkte, abgestimmt mit Datenschutz und Betriebsrat.
• Woche 3: Verteilung über den Kanal, der alle erreicht, mit Bestätigung.
• Woche 4: Einweisung für die Rollen mit intensiver Nutzung, danach halbjährliche Überprüfung.

Häufige Fragen

Braucht auch ein kleines Unternehmen eine KI-Richtlinie? Ja. Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt unabhängig von der Unternehmensgröße für alle, die KI-Systeme beruflich einsetzen. In kleinen Betrieben reicht ein kurzes Dokument – aber es muss existieren und bekannt sein.

Ist eine KI-Richtlinie dasselbe wie eine Betriebsvereinbarung? Nein. Die Richtlinie ist eine Anweisung des Arbeitgebers. Sobald Leistungs- oder Verhaltenskontrolle möglich wird, kommt die Mitbestimmung nach § 87 BetrVG ins Spiel – dann ist zusätzlich eine Betriebsvereinbarung nötig.

Wie oft muss die Richtlinie aktualisiert werden? Halbjährlich als fester Rhythmus, zusätzlich anlassbezogen bei neuen Werkzeugen oder neuen Pflichten. Entscheidend ist, dass jede Änderung die Belegschaft aktiv erreicht.

Was ist der häufigste Fehler? Ein zu langes Dokument, das nur digital Arbeitende erreicht. Kurz, konkret und für alle zugänglich schlägt vollständig und ungelesen.

Nächster Schritt

Prüfen Sie zuerst, ob Ihre bestehenden Regeln die Beschäftigten ohne Schreibtisch überhaupt erreichen. Wenn nicht, ist das die eigentliche Baustelle – und sie betrifft nicht nur KI, sondern jede Anweisung im Betrieb. Wir zeigen Ihnen gern an einem Beispiel aus Ihrem Haus, wie der Weg von der Regel zur belegten Kenntnisnahme aussieht.