KI Richtlinie im Unternehmen: was hineingehört

Beim Thema KI Nutzung finden sich Betriebe meist in einem von zwei Zuständen. Entweder hat niemand etwas gesagt, und jede Person verwendet, was sie findet. Oder es liegt eine Vorlage aus dem Netz im Laufwerk, in der der eigene Betrieb nicht vorkommt.

Im Alltag fällt beides auf dieselbe Weise auf. Jemand kopiert einen echten Kundenfall in ein Textwerkzeug, weil die Antwort schnell hinausgehen soll. Das Motiv ist gute Arbeit. Ohne Regel hat die Person keinen Anhaltspunkt.

Was sollte in einer KI Richtlinie für Mitarbeitende stehen?

Vier Festlegungen tragen das ganze Dokument: welche Werkzeuge erlaubt sind, welche Daten hineindürfen, wer die Ergebnisse vor der Verwendung prüft und wer über ein neues Werkzeug entscheidet. Alles Weitere ist Ausführung davon.

Eine KI Richtlinie ist eine schriftliche Hausregel, die festlegt, welche KI Werkzeuge im Betrieb verwendet werden dürfen, mit welchen Daten, und wer für die Ergebnisse einsteht. Sie beantwortet die Fragen, die sonst jede Person im Moment der Eile für sich beantwortet.

Welche Punkte gehören konkret hinein?

Acht Abschnitte genügen in einem Kleinbetrieb. Jeder davon nimmt eine Entscheidung vorweg, die sonst im Einzelfall und ohne Gedächtnis getroffen wird.

• Erlaubte Werkzeuge: eine Liste mit Produktnamen und Konto, nicht mit Gattungen. „Ein Textwerkzeug“ ist keine Erlaubnis.
• Daten, die hineindürfen: allgemeine Formulierungen, anonymisierte Sachverhalte, öffentlich verfügbare Unterlagen.
• Daten, die draußen bleiben: Personaldaten, Gesundheitsdaten, Kalkulationen, Vertragsinhalte, Zugangsdaten.
• Prüfung der Ergebnisse: wer eine Ausgabe liest, bevor sie verwendet wird, und woran er sie prüft.
• Kennzeichnung nach außen: was gekennzeichnet wird, wenn es den Betrieb verlässt, und wer das entscheidet.
• Zuständigkeit: eine Person mit Namen, die Fragen beantwortet und Werkzeuge freigibt.
• Weg für ein neues Werkzeug: wer anfragt, wer prüft, wer freigibt, und wo die Freigabe vermerkt wird.
• Schulung und Nachweis: wer wann welche Inhalte erhalten hat, zu welchen Werkzeugen.

Der Punkt, der am häufigsten fehlt, ist der siebte. Ohne Weg für ein neues Werkzeug ist die Liste nach einem Quartal überholt, und dann gilt wieder, was vor der Richtlinie galt. Die Liste braucht ein Datum und eine Person, die sie führt.

Die Schriftform hat einen zweiten Grund. Ein Geschäftsgeheimnis ist laut WKO eine Information, die geheim ist, einen kommerziellen Wert hat und Gegenstand angemessener Geheimhaltungsmaßnahmen ist. Als Beispiele dafür nennt die WKO unter anderem Mitarbeiterschulungen und Unternehmensrichtlinien über den Umgang mit Geheimnissen. Was nur im Kopf der Geschäftsführung steht, ist keine Maßnahme.

Was verlangt der AI Act von einer KI Richtlinie?

Die Verordnung verlangt kein Dokument mit diesem Namen. Artikel 4 AI Act verlangt seit 2. Februar 2025 von Anbietern und Betreibern, dass ihr Personal und die Personen, die in ihrem Auftrag mit KI Systemen arbeiten, über ein ausreichendes Maß an KI Kompetenz verfügen, gemessen an Vorkenntnissen, Ausbildung und dem Kontext des Einsatzes.

Die Servicestelle für Künstliche Intelligenz bei der RTR nennt dafür vier Maßnahmen: eine interne KI Richtlinie mit Strategie, Verweisen auf die anderen Richtlinien des Hauses und festen Rollen, eine laufend aktualisierte Erhebung der eingesetzten Systeme, ein Schulungskonzept und eine Ablage der Nachweise im Personalakt. Als Muster verweist sie auf die KI Guidelines der WKO.

Dazu kommt die Transparenz. Artikel 50 AI Act gilt seit 2. August 2026 und sieht vor, dass Menschen erfahren, wenn sie mit einem KI System sprechen, sofern das nicht offensichtlich ist, und dass künstlich erzeugte oder veränderte Bilder, Tonaufnahmen und Videos als solche erkennbar sind. Für Texte sieht Absatz 4 die Offenlegung dort vor, wo sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Ob das im Einzelfall gilt, ist rechtlich zu prüfen.

Muss der Betriebsrat einer KI Richtlinie zustimmen?

Die Hausregel selbst in der Regel nicht. Die Einführung eines Systems, mit dem sich Beschäftigte kontrollieren lassen, dagegen schon. § 96 Abs. 1 Z 3 Arbeitsverfassungsgesetz macht die Einführung von Kontrollmaßnahmen und technischen Systemen zur Kontrolle der Arbeitnehmer zustimmungspflichtig, sofern diese Maßnahmen die Menschenwürde berühren. Das Gesetz kennt den Begriff KI nicht, es fragt nach der Wirkung.

Nach § 96a Arbeitsverfassungsgesetz ist auch die Einführung von Systemen zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung personenbezogener Daten der Beschäftigten zustimmungspflichtig, wobei diese Zustimmung durch eine Entscheidung der Schlichtungsstelle ersetzt werden kann. In Betrieben ohne Betriebsrat ist die Verwendung von Kontrollmaßnahmen, die die Menschenwürde berühren, nach § 10 AVRAG nur mit Zustimmung der betroffenen Person zulässig. Welche Systeme erfasst sind, ist im Einzelfall zu beurteilen.

Für die Praxis heißt das: Wer ein Werkzeug einführt, das Zeiten, Texte oder Gespräche von Beschäftigten auswertet, klärt die Mitbestimmung vor dem Start und nicht nach der ersten Auswertung. Kommt ein Hochrisiko System am Arbeitsplatz zum Einsatz, sieht Artikel 26 Absatz 7 AI Act außerdem vor, dass die Arbeitnehmervertretung und die betroffenen Beschäftigten vorher informiert werden.

Wie wird aus der Richtlinie gelebte Praxis?

Indem sie aus dem Betrieb kommt und an einer Stelle liegt, die jede Person im Arbeitsalltag findet. Fünf Schritte führen dorthin, als Richtwert in zwei bis vier Wochen, abhängig davon, wie viele Werkzeuge im Umlauf sind.

1. 1.Erheben: welche Werkzeuge werden tatsächlich verwendet, auch die privaten Konten und die Funktionen in bestehender Software.
2. 2.Entscheiden: welche davon bleiben, welche gehen, welche ziehen in ein Firmenkonto um.
3. 3.Schreiben: die acht Abschnitte auf zwei bis vier Seiten, in der Sprache des Hauses, mit Beispielen aus den eigenen Abläufen.
4. 4.Besprechen: eine halbe Stunde im Team, in der jede Person einen Fall nennt, der ihr unklar ist. Diese Fälle gehören danach ins Dokument.
5. 5.Fortschreiben: ein Datum auf der Richtlinie, eine Person, die sie führt, und ein Blick darauf, sobald ein Werkzeug dazukommt.

Welche Unterlagen der AI Act und die DSGVO neben der Hausregel vorsehen, steht auf unserer Seite zu DSGVO und AI Act. Wie ein Nachweis der KI Kompetenz nach Artikel 4 aussieht, steht im Beitrag dazu, und warum eine Regel ohne Begleitung verpufft, auf unserer Seite zu Change Management und Adoption.

Eine KI Richtlinie ist das kürzeste Dokument im Haus, das etwas ändert. Steht die Erhebung der Werkzeuge, kostet sie einen Nachmittag. Sie nimmt den Mitarbeitenden die Entscheidung ab, die sie sonst allein treffen, meistens am Freitag um vier.