KI-Richtlinie für kleine Unternehmen: Inhalte und Umsetzung

Eine Mitarbeiterin lässt ein Angebot von ChatGPT sprachlich überarbeiten, ein Kollege zeichnet Kundengespräche mit einem KI-Notiztool auf, die Geschäftsführung testet einen Bildgenerator für Social Media. Keiner dieser Schritte muss grundsätzlich problematisch sein. Kritisch wird es, wenn niemand weiß, welche Daten in welchem Tool landen, wer Ergebnisse freigibt und welche KI-Anwendungen überhaupt erlaubt sind. Genau hier entsteht Schatten-KI: Mitarbeitende nutzen KI-Tools außerhalb der abgestimmten Prozesse, oft aus Zeitdruck und ohne riskante Absicht.

Eine interne KI-Richtlinie muss für kleine Unternehmen kein juristisches Handbuch mit 40 Seiten sein. Für viele Teams reicht ein klarer Rahmen von drei bis sechs Seiten. Er beantwortet verbindlich, welche Tools erlaubt sind, welche Daten tabu sind, wann eine Freigabe erforderlich ist und wer bei Unsicherheiten entscheidet. Damit schafft die Richtlinie zugleich eine praktische Grundlage für Datenschutz, Dokumentation und KI-Kompetenz.

Warum kleine Unternehmen eine KI-Richtlinie brauchen

KI-Tools sind schnell eingerichtet, häufig kostenlos testbar und meist direkt im Browser verfügbar. Das senkt die Einstiegshürde, aber auch die Kontrolle. Besonders verbreitet sind drei Risiken:

• Vertrauliche Informationen werden in öffentliche oder nicht freigegebene KI-Dienste eingegeben.
• KI-Ergebnisse werden ungeprüft an Kunden, Bewerber oder Geschäftspartner weitergegeben.
• Mitarbeitende verwenden unterschiedliche Tools für denselben Zweck, ohne dass Verträge, Zugriffsrechte oder Datenflüsse geprüft wurden.

Eine Richtlinie löst diese Probleme nicht allein. Sie setzt aber einen verbindlichen Standard, auf den sich Führungskräfte und Mitarbeitende beziehen können. Wichtig ist dabei ein praxistauglicher Ton. Ein pauschales KI-Verbot führt häufig dazu, dass Nutzung unsichtbar wird. Besser ist eine klare Freigabeliste mit wenigen sicheren Anwendungsfällen und einem einfachen Weg, neue Tools prüfen zu lassen.

Die Anforderungen aus DSGVO und EU AI Act treffen kleine Unternehmen nicht in jedem Fall gleich stark. Dennoch bleibt die Geschäftsführung dafür verantwortlich, dass personenbezogene Daten rechtmäßig verarbeitet werden und Mitarbeitende die eingesetzten Systeme sachgerecht nutzen. Wie Sie die nötige Kompetenz nachvollziehbar festhalten, erläutert unser Beitrag KI-Kompetenz nach EU AI Act: Was kleine Unternehmen 2026 dokumentieren müssen.

Die sechs Bausteine einer schlanken KI-Richtlinie

1. Geltungsbereich eindeutig festlegen

Definieren Sie zuerst, für wen und für welche Systeme die Richtlinie gilt. Sie sollte nicht nur Chatbots nennen. Relevante KI-Funktionen stecken heute auch in Office-Programmen, CRM-Systemen, Videokonferenz-Tools, Bildbearbeitung und Suchmaschinen.

Eine einfache Formulierung kann lauten: Die Richtlinie gilt für alle Beschäftigten, freien Mitarbeitenden und externen Personen mit Zugriff auf Unternehmensdaten. Sie umfasst eigenständig genutzte KI-Tools sowie KI-Funktionen in bereits eingesetzter Software.

Ergänzen Sie, dass private Konten für betriebliche Aufgaben nicht verwendet werden dürfen, sofern dies nicht ausdrücklich freigegeben wurde. Das ist besonders wichtig, wenn Mitarbeitende kostenlose Versionen bekannter Dienste nutzen.

2. Erlaubte Tools als Positivliste führen

Die wichtigste Seite Ihrer Richtlinie ist meist die Tool-Liste. Statt allgemein von „KI“ zu sprechen, nennen Sie konkrete Anwendungen, erlaubte Kontotypen und zulässige Einsatzzwecke.

Tool oder Kategorie	Erlaubter Zweck	Datenregel	Freigabe
Unternehmens-Chatbot mit Geschäftskonto	Entwürfe, Zusammenfassungen, Ideen	Keine sensiblen Personen- oder Kundendaten ohne Prüfung	Fachverantwortliche
KI-Funktion im CRM	Gesprächsnotizen, Textvorschläge	Nur Daten aus dem freigegebenen CRM	Vertriebsleitung
Bildgenerator	Illustrationen und Entwürfe	Keine geschützten Kundenmaterialien hochladen	Marketing
Öffentliches Gratis-Tool	Keine betriebliche Nutzung	Keine Unternehmensdaten eingeben	Nicht erlaubt

Diese Liste muss nicht vollständig sein. Sie sollte aber regelmäßig aktualisiert werden, etwa quartalsweise oder bei Einführung einer neuen Kernsoftware. Bei Microsoft 365 oder Google Workspace ist außerdem zu klären, welche KI-Funktionen im gebuchten Tarif aktiviert sind und welche Administratoreinstellungen gelten.

Für KI-Agenten, die eigenständig auf Dateien, Postfächer oder Geschäftsanwendungen zugreifen, reichen allgemeine Tool-Regeln nicht aus. Lesen Sie dazu auch KI-Agenten DSGVO-konform einsetzen: Zugriffsrechte und Freigaben für kleine Unternehmen.

3. Daten in einfache Schutzstufen einteilen

Mitarbeitende brauchen keine Datenschutzschulung auf Juristenniveau, aber eine schnelle Entscheidungshilfe. Bewährt haben sich drei Kategorien:

• Öffentlich: Bereits veröffentlichte Website-Texte, Pressemitteilungen, allgemeine Produktinformationen. Diese Inhalte dürfen in freigegebene Tools eingegeben werden.
• Intern: Nicht veröffentlichte Arbeitsanweisungen, interne Entwürfe, Planungen oder allgemeine Prozessbeschreibungen. Nutzung nur in ausdrücklich freigegebenen Unternehmenskonten.
• Vertraulich und personenbezogen: Kundendaten, Mitarbeiterdaten, Vertragsinhalte, Zugangsdaten, Kalkulationen, Gesundheitsdaten, Bewerbungen und nicht veröffentlichte Finanzdaten. Diese Inhalte dürfen nur nach dokumentierter Prüfung und Freigabe verarbeitet werden.

Für viele kleine Unternehmen ist die sicherste Standardregel: Keine personenbezogenen Daten und keine vertraulichen Kundeninformationen in frei zugängliche KI-Tools eingeben. Wo KI mit solchen Daten tatsächlich sinnvoll ist, braucht es eine konkrete Prüfung des Anbieters, der Vertragslage, der Rollen, der Zugriffsrechte und der Speichereinstellungen.

Auch bei Meeting-Assistenten ist Vorsicht nötig. Gespräche enthalten oft Namen, Meinungen, Projekte und Vertragsdetails. Was bei Aufzeichnung, Information der Teilnehmenden und Zugriff auf Zusammenfassungen zu beachten ist, lesen Sie in KI-Meeting-Notiztools DSGVO-konform nutzen: Was kleine Unternehmen bei Teams und Zoom beachten müssen.

Freigaben: Wann ein Mensch entscheiden muss

Eine gute Richtlinie unterscheidet zwischen unterstützender und entscheidender Nutzung. KI darf im Alltag häufig Texte gliedern, Formulierungen vorschlagen oder Informationen zusammenfassen. Sie sollte aber nicht allein über Personen oder geschäftskritische Vorgänge entscheiden.

Legen Sie mindestens für diese Fälle eine menschliche Freigabe fest:

• Inhalte, die extern veröffentlicht werden, etwa Angebote, Newsletter, Social-Media-Beiträge und Website-Texte.
• Antworten mit rechtlichen, steuerlichen, medizinischen oder personalbezogenen Aussagen.
• Texte mit Preiszusagen, Vertragsbedingungen oder technischen Leistungsversprechen.
• Entscheidungen über Bewerbungen, Kundenbewertungen, Zahlungsziele oder Vertragsabschlüsse.
• Automatisch erzeugte Inhalte, die im Namen des Unternehmens an Kunden gesendet werden.

Die Freigabe muss nicht kompliziert sein. Bei kleinen Teams kann die verantwortliche Person einen Entwurf direkt im System prüfen und freigeben. Entscheidend ist, dass klar ist: KI-Ausgaben sind Vorschläge, keine geprüften Fakten. Quellen, Zahlen, Produktangaben und rechtliche Aussagen müssen kontrolliert werden.

Kennzeichnung und Transparenz konkret regeln

Die Richtlinie sollte auch festlegen, wann KI-Inhalte gekennzeichnet oder erläutert werden. Nicht jeder sprachlich überarbeitete interne Entwurf braucht einen Hinweis. Anders kann es bei Kundenkommunikation, KI-generierten Bildern, automatisierten Chatbots oder täuschend echten Medien aussehen.

Regeln Sie mindestens diese Punkte:

• KI-generierte Bilder, Videos oder Stimmen dürfen keine falschen Tatsachen vorspiegeln.
• Chatbots müssen für Nutzer als automatisierte Systeme erkennbar sein.
• Mitarbeitende dürfen keine KI-Ausgaben als eigene Recherche ausgeben, wenn Fakten nicht geprüft wurden.
• Bei externen Texten entscheidet die zuständige Fachabteilung, ob ein Transparenzhinweis erforderlich oder sinnvoll ist.

Die konkreten Transparenzpflichten hängen vom Anwendungsfall ab. Für die praktische Umsetzung von Kennzeichnungsvorgaben hilft unser Beitrag KI-Bilder und KI-Texte kennzeichnen: Was kleine Unternehmen seit August 2026 beachten müssen.

Verantwortlichkeiten ohne neue Bürokratie

Eine Richtlinie funktioniert nur, wenn Zuständigkeiten benannt sind. In einem Betrieb mit zehn Personen kann eine Person mehrere Rollen übernehmen. Wichtig ist nicht die Größe des Gremiums, sondern ein eindeutiger Ansprechpartner.

Aufgabe	Sinnvolle Verantwortung
Tool-Freigabe und Pflege der Positivliste	Geschäftsführung oder IT-Verantwortliche
Datenschutzprüfung bei personenbezogenen Daten	Datenschutzbeauftragte oder externe Datenschutzberatung
Fachliche Freigabe von Ergebnissen	Leitung der jeweiligen Abteilung
Schulung und Rückfragen aus dem Team	Benannte KI-Ansprechperson
Technische Konten, Rechte und Abschaltung	IT-Administration

Halten Sie zusätzlich fest, wie Mitarbeitende neue Tools melden. Ein kurzer Prozess genügt: Name des Tools, geplanter Zweck, betroffene Datenarten, Nutzerkreis und gewünschter Starttermin. Die verantwortliche Person entscheidet dann, ob das Tool freigegeben, eingeschränkt getestet oder abgelehnt wird.

Wer das Thema systematisch im Team aufbauen will, findet passende Seminare bei cmt.de.

Einführung in vier Wochen

Starten Sie nicht mit einer perfekten Richtlinie, sondern mit einem realistischen Überblick. Fragen Sie im Team offen, welche KI-Tools bereits genutzt werden und für welche Aufgaben. Sanktionen sind in dieser ersten Bestandsaufnahme meist kontraproduktiv. Sie brauchen zunächst Transparenz.

• Woche 1: Vorhandene Tools, Konten und typische Anwendungsfälle erfassen.
• Woche 2: Positivliste, Datenstufen und Verbote formulieren.
• Woche 3: Verantwortliche benennen und Freigabeprozess testen.
• Woche 4: Richtlinie vorstellen, Fragen sammeln und zentrale Regeln schriftlich bestätigen lassen.

Prüfen Sie die Richtlinie anschließend mindestens einmal jährlich und zusätzlich bei neuen KI-Funktionen in Ihrer Kernsoftware. Wenn Mitarbeitende wissen, welche Tools sie sicher verwenden dürfen und wen sie bei Grenzfällen fragen können, wird aus Schatten-KI eine steuerbare Arbeitsweise.