KI-Richtlinie für Mitarbeitende: Vorlage für KMU

Schritt 2: Welche Tools sind erlaubt?

Legen Sie eine Freigabeliste an, mit Tool, Tarif, erlaubtem Zweck und zuständiger Person. Nur gelistete Tools dürfen für Firmenarbeit genutzt werden, und nur mit Firmenkonto. Prüfen Sie vor jeder Aufnahme den Vertrag: Wer verarbeitet die Daten, in welchem Land, mit welchem Auftragsverarbeitungsvertrag, und werden Eingaben zum Training verwendet? Wie diese Prüfung bei KI-Mailprogrammen aussieht, zeigt unser Guide KI-Mail und DSGVO. Die CNPD rät in ihrer Empfehlung zu DeepSeek generell, Werkzeuge zu bevorzugen, die mit DSGVO und AI Act vereinbar sind und klare Garantien zu Sicherheit und Privatsphäre bieten. Für neue Tools brauchen Sie einen einfachen Antragsweg, sonst entsteht Schatten-KI.

Auch Zusatzfunktionen gehören auf die Liste. Wer etwa sein Unternehmen in ChatGPT einträgt, akzeptiert eigene Vertragsbedingungen; Details stehen im Guide Firma in ChatGPT eintragen.

Schritt 3: Was darf nicht in ChatGPT und ähnliche Tools?

Das ist der Kern der Richtlinie. Formulieren Sie ein klares Verbot für Eingaben in Tools ohne Vertrag und Freigabe:

• Personenbezogene Daten von Kunden, Mitarbeitenden und Bewerbern, also Namen, Adressen, Telefonnummern, Mails, Lohn- oder Gesundheitsdaten.
• Kundendaten und Inhalte aus Verträgen, Angeboten oder Tickets, soweit sie Personen oder vertrauliche Konditionen betreffen.
• Geschäftsgeheimnisse: Preise, Kalkulationen, Quellcode, Pläne, Zugangsdaten.
• Besondere Kategorien nach Artikel 9 DSGVO, etwa Gesundheit, Religion oder Gewerkschaftszugehörigkeit, auch in freigegebenen Tools nur mit eigener Prüfung.

Die CNPD formuliert es im DeepSeek-Hinweis knapp: niemals personenbezogene oder vertrauliche Daten in Werkzeuge eingeben, die keine ausreichenden Garantien bieten. Legen Sie fest, dass Texte vor der Eingabe anonymisiert werden, und erinnern Sie an Artikel 22 DSGVO: Entscheidungen mit erheblicher Wirkung für Personen, etwa über Bewerbungen, dürfen nicht allein automatisiert fallen. Die CNPD erläutert das auf ihrer Seite zu den DSGVO-Pflichten beim KI-Einsatz.

Schritt 4: Wann müssen KI-Inhalte gekennzeichnet werden?

Artikel 50 AI Act gilt seit dem 02.08.2026, wie die CNPD in einer Veranstaltungsankündigung bestätigt. Laut Artikeltext betrifft er Betreiber, also Ihren Betrieb, in zwei Fällen:

• Deepfakes: Bild-, Ton- oder Videoinhalte, die mit KI erzeugt oder verändert wurden und echt wirken, müssen als solche offengelegt werden.
• Texte zu Themen von öffentlichem Interesse, die veröffentlicht werden, um die Öffentlichkeit zu informieren. Ausnahme: Der Text wurde von Menschen geprüft oder redaktionell kontrolliert, und eine Person trägt die redaktionelle Verantwortung.

Die Kennzeichnungspflicht im Gesetz ist also enger, als viele denken. Ein interner Bericht oder ein redigierter Werbetext fällt in der Regel nicht darunter. Pflichten zur maschinenlesbaren Markierung treffen die Anbieter der Tools; für Systeme, die vor dem 02.08.2026 auf den Markt kamen, gilt dafür laut Artikel 111 eine Frist bis zum 02.12.2026. Ihre Richtlinie darf strenger sein als das Gesetz, etwa mit einer Hauskennzeichnung für KI-Bilder in Social Media oder für Chatbots auf der Website. Wichtig ist, dass jeder weiß, was gilt.

Schritt 5: Wer ist verantwortlich, und wie wird geschult?

Benennen Sie eine verantwortliche Person für die Richtlinie, oft die Geschäftsführung oder die Person, die den Datenschutz betreut. Sie pflegt die Freigabeliste, beantwortet Fragen und dokumentiert Schulungen. Die Kommission erlaubt Schulungen in unterschiedlicher Tiefe je nach Vorwissen; die CNPD beschreibt, dass Unternehmen häufig nach Rollen unterscheiden, mit eigenen Formaten für Führungskräfte und vertieften Inhalten für KI-Ansprechpartner. Mindestinhalte: Funktionsweise und Grenzen, erfundene Antworten, Datenschutz, die eigenen Regeln. Führen Sie ein einfaches Schulungsregister mit Datum, Inhalt und Teilnehmenden. Beispiele aus der Praxis sammelt das Repository of AI literacy practices des AI Office mit über 40 Initiativen. Laut Kommission begründet das Nachahmen dieser Beispiele aber keine Vermutung der Konformität.

Wer für ein größeres KI-Projekt externe Begleitung sucht, findet Fördermöglichkeiten im Guide SME Packages AI.

Schritt 6: Wie bleiben Kontrolle und Aktualisierung im Griff?

Planen Sie eine Prüfung mindestens einmal im Jahr und zusätzlich bei jedem neuen Tool. Die CNPD empfiehlt, die Wirkung von Kompetenzmaßnahmen mit Kennzahlen zu verfolgen, etwa Teilnahmequote oder Wissenszuwachs. Regeln Sie, wie Verstöße und Vorfälle gemeldet werden, zum Beispiel versehentlich eingegebene Kundendaten, und verknüpfen Sie das mit Ihrem Verfahren für Datenpannen nach der DSGVO. In Luxemburg soll laut Gesetzentwurf Nr. 8476 die CNPD die allgemeine Marktüberwachungsbehörde für den AI Act werden, mit sektoralen Behörden wie CSSF und CAA. Laut Abgeordnetenkammer war der Entwurf am 12.11.2026 noch "en commission".

Checkliste: Ist Ihre Richtlinie vollständig?

• Bestandsaufnahme der genutzten KI-Tools erledigt?
• Freigabeliste mit Tarif, Zweck und Verantwortlichen?
• Klare Liste verbotener Eingaben?
• Regel zur Kennzeichnung nach Artikel 50 und Hausregeln?
• Verantwortliche Person benannt?
• Schulungsregister angelegt?
• Meldeweg für Vorfälle und Termin für die nächste Prüfung?

Vorlage: Gliederung einer KI-Nutzungsrichtlinie

Kopieren Sie diese Gliederung und füllen Sie die Punkte für Ihren Betrieb aus.

1. Zweck und Geltungsbereich: für wen die Richtlinie gilt (Mitarbeitende, Praktikanten, Lehrlinge, freie Mitarbeitende, Dienstleister), Datum und Version.
2. Begriffe: KI-System, generative KI, personenbezogene Daten, vertrauliche Informationen.
3. Grundsätze: Mensch entscheidet, Ergebnisse werden geprüft, Verantwortung bleibt bei der nutzenden Person.
4. Freigegebene Tools: Tabelle mit Tool, Tarif, Konto, erlaubtem Zweck, Ansprechperson; Antragsweg für neue Tools.
5. Verbotene Eingaben: personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse, Zugangsdaten, besondere Datenkategorien; Pflicht zur Anonymisierung.
6. Verbotene Einsätze: automatisierte Entscheidungen über Personen ohne menschliche Prüfung, Einsatz für verbotene Praktiken nach Artikel 5 AI Act.
7. Qualität und Prüfung: Fakten und Zahlen prüfen, Quellen nennen, Urheberrechte beachten.
8. Kennzeichnung: gesetzliche Fälle nach Artikel 50 (Deepfakes, Texte zu Themen von öffentlichem Interesse ohne redaktionelle Kontrolle) und interne Hausregeln.
9. Rollen: verantwortliche Person, Datenschutzansprechpartner, Vorgesetzte.
10. Schulung: Pflichtschulung beim Einstieg, Auffrischung, Register.
11. Vorfälle: Meldeweg, Frist, Verknüpfung mit dem Verfahren für Datenpannen.
12. Kontrolle und Aktualisierung: jährliche Prüfung, Prüfung bei neuen Tools, Versionshistorie.
13. Bestätigung: Unterschrift oder digitale Bestätigung der Mitarbeitenden.

Wie lang muss eine KI-Richtlinie sein?

Eine KI-Richtlinie muss nicht lang sein. Für ein KMU reichen oft zwei bis drei Seiten, eine Freigabeliste und ein Schulungsregister. Wichtig ist, dass sie gelebt wird: Tools prüfen, verbotene Eingaben klar benennen, Schulungen nachweisen und die Regeln jährlich anpassen. Damit erfüllt der Betrieb die Kompetenzpflicht nach Artikel 4 nachvollziehbar und senkt das Risiko von Datenpannen.

Was ist noch offen?

• Den Originaltext der Verordnung (EU) 2026/1744 auf EUR-Lex konnten wir technisch nicht abrufen; wir stützen uns auf die konsolidierte Fassung beim AI Act Service Desk (Stand 27.07.2026) und die Kommissionsseiten.
• Ob und wann Gesetz Nr. 8476 verabschiedet wird und wie die CNPD Artikel 4 in der Praxis prüft, ist offen.
• Die Empfehlungen des KI-Gremiums nach Artikel 4 Absatz 3 und die Praxisbeispiele der Kommission auf der zentralen Informationsplattform liegen noch nicht vor.
• Dieser Guide ersetzt keine Rechtsberatung; für Arbeitsrecht, etwa die Mitbestimmung der Personaldelegation, haben wir keine Prüfung vorgenommen.