Zum Inhalt springen
Optim-AI

KI-Governance

KI-Nutzungsrichtlinie im Unternehmen: kommentierte Vorlage

Stand: 10. Oktober 2026. Eine KI-Nutzungsrichtlinie ist ein kurzes internes Dokument. Sie legt fest, welche Werkzeuge genutzt werden, welche Daten dort nie eingegeben werden, wer die Ergebnisse prüft und an wen man sich mit Fragen wendet. Die CNIL, die französische Datenschutzbehörde, empfiehlt eine solche Richtlinie, die erlaubte und verbotene Nutzungen festlegt. Die folgende Vorlage ist kein Muster zum Abschreiben: Passen Sie jeden Abschnitt an Ihre Werkzeuge, Ihre Daten und Ihre Beschäftigtenzahl an. Lassen Sie den endgültigen Text vor der Verbreitung von einem Fachanwalt für Arbeitsrecht prüfen.

Warum

Warum eine Richtlinie

Ihre Teams nutzen wahrscheinlich bereits KI-Werkzeuge. Ein Verbot löst nichts: Die Nutzung wird heimlich und damit unkontrolliert.

Seit dem 27. Juli 2026 verlangt Artikel 4 der EU-KI-Verordnung von Unternehmen, die diese Werkzeuge nutzen, Maßnahmen zu ergreifen, damit ihre Teams sie verstehen, ohne garantiertes Niveau und ohne Zertifikat. Eine erklärte Richtlinie gehört zu diesen Maßnahmen.

Schließlich bleibt das Unternehmen verantwortlich. Die CNIL weist darauf hin, dass die nutzende Organisation bei einer missbräuchlichen Nutzung durch ihr Personal in der Regel haftet.

Die Vorlage

Die Vorlage, Abschnitt für Abschnitt

  1. 1. Zweck, Geltungsbereich und Begriffe

    Was hineingehört
    Für wen die Richtlinie gilt: Beschäftigte, Leiharbeitskräfte, Dienstleister, die für Sie arbeiten. Welche Werkzeuge sie abdeckt.
    Formulierungsbeispiel
    Diese Richtlinie gilt für jede Person, die im Auftrag des Unternehmens ein Werkzeug nutzt, das auf eine Anfrage hin Texte, Bilder, Code oder eine Analyse erzeugen kann.
    Zu vermeidender Fallstrick
    Die Dienstleister vergessen. Die EU-Verordnung erfasst auch Personen, die diese Werkzeuge in Ihrem Auftrag nutzen.

  2. 2. Erlaubte und verbotene Werkzeuge

    Was hineingehört
    Die namentliche Liste der erlaubten Werkzeuge mit der Art des Kontos: geschäftlich oder privat. Die Regel für jedes Werkzeug, das nicht auf der Liste steht.
    Formulierungsbeispiel
    Erlaubt sind nur die im Anhang aufgeführten Werkzeuge, mit dem vom Unternehmen bereitgestellten Konto. Für ein anderes Werkzeug richten Sie Ihre Anfrage vor jeder Nutzung an die Ansprechperson.
    Zu vermeidender Fallstrick
    Die Liste in den Haupttext schreiben. Werkzeuge ändern sich schnell: Setzen Sie sie in einen Anhang.

  3. 3. Daten, die nie in ein Werkzeug gehören

    Was hineingehört
    Die ausgeschlossenen Kategorien, mit einem konkreten Beispiel für jede: personenbezogene Daten von Kunden oder Beschäftigten, Gesundheitsdaten, Geschäftsgeheimnisse, Dokumente, die einer Vertraulichkeitsverpflichtung unterliegen.
    Formulierungsbeispiel
    Geben Sie in ein Werkzeug nur Informationen ein, die Sie weitergeben dürfen. Im Zweifel entfernen Sie Namen und Zahlen oder fragen die Ansprechperson.
    Zu vermeidender Fallstrick
    Eine abstrakte Regel („sensible Daten“). Nennen Sie Beispiele aus Ihrer Tätigkeit: einen Kundenvertrag, eine Gehaltsabrechnung.

  4. 4. Vorbehaltene oder verbotene Nutzungen

    Was hineingehört
    Die Nutzungen, die eine vorherige Zustimmung erfordern, und die ausgeschlossenen. Zum Beispiel: jede Entscheidung, die eine Person betrifft, etwa die Vorauswahl von Bewerbungen oder die Beurteilung eines Beschäftigten.
    Formulierungsbeispiel
    Kein KI-Werkzeug trifft allein eine Entscheidung, die einen Beschäftigten, einen Bewerber oder einen Kunden betrifft.
    Zu vermeidender Fallstrick
    Diese Fälle übergehen. Die Vorauswahl von Bewerbungen wird von der EU-Verordnung als hochriskant eingestuft, mit verschärften Pflichten ab dem 2. Dezember 2027.

  5. 5. Menschliche Prüfung und Verantwortung

    Was hineingehört
    Wer was prüft, je nachdem, was auf dem Spiel steht. Die Regel, die sich nicht ändert: Der Verfasser eines Dokuments bleibt dafür verantwortlich, unabhängig vom genutzten Werkzeug.
    Formulierungsbeispiel
    Jeder Inhalt, der mit Hilfe eines Werkzeugs erstellt wurde und nach außen geht, wird von einer Person geprüft, die die Verantwortung für den Inhalt übernimmt.
    Zu vermeidender Fallstrick
    Eine Prüfung von allem verlangen. Die Regel wird undurchführbar. Ordnen Sie die Nutzungen danach, was auf dem Spiel steht.

  6. 6. Eigentum und Vertraulichkeit der Inhalte

    Was hineingehört
    Die Bedingungen der gewählten Anbieter: Werden Ihre Daten zum Training ihrer Modelle verwendet? Wo werden die Eingaben und Antworten gespeichert?
    Formulierungsbeispiel
    Inhalte, die im Rahmen der Arbeit entstehen, gehören dem Unternehmen unter denselben Bedingungen wie jedes andere Arbeitsdokument.
    Zu vermeidender Fallstrick
    Einen Schutz versprechen, den der Vertrag des Anbieters nicht vorsieht. Die Rechtslage zu Rechten an KI-erzeugten Inhalten ist nicht gefestigt.

  7. 7. Transparenz gegenüber Kunden

    Was hineingehört
    Was Sie Ihren Kunden über die Nutzung von KI sagen. Die Fälle, in denen ihre Zustimmung erforderlich ist, etwa bevor ihre Dokumente verarbeitet werden.
    Formulierungsbeispiel
    Bevor Sie ein von einem Kunden bereitgestelltes Dokument mit einem KI-Werkzeug verarbeiten, prüfen Sie, ob der Vertrag dies erlaubt.
    Zu vermeidender Fallstrick
    Bestehende Verpflichtungen vergessen: Manche Verträge untersagen bereits die Weitergabe an Dritte. Seit dem 2. August 2026 verlangt die EU-Verordnung außerdem, manipulierte Inhalte („Deepfakes“), die Sie verbreiten, zu kennzeichnen.

  8. 8. Ansprechperson und Weg für Fragen

    Was hineingehört
    Der Name der Ansprechperson, wie sie erreichbar ist, innerhalb welcher Frist sie antwortet. Wie ein Fehler oder ein Vorfall gemeldet wird, ohne Angst vor Sanktionen.
    Formulierungsbeispiel
    Jede Frage zu einem Werkzeug oder einer Nutzung richtet sich an [Name der Ansprechperson], die innerhalb von [Frist] antwortet. Die Meldung eines Fehlers wird nie sanktioniert.
    Zu vermeidender Fallstrick
    Ein Gremium benennen. Eine benannte Person antwortet. Ein Gremium verweist weiter.

  9. 9. Schulung und Einführung

    Was hineingehört
    Was das Unternehmen einrichtet, damit alle die Werkzeuge verstehen: Funktionsweise, Grenzen, Regeln der Richtlinie.
    Formulierungsbeispiel
    Jede nutzende Person besucht vor der ersten Nutzung eine Vorstellung der erlaubten Werkzeuge und dieser Richtlinie.
    Zu vermeidender Fallstrick
    Von einer „Pflichtschulung“ sprechen. Die EU-Verordnung verlangt Maßnahmen, kein Zertifikat. Halten Sie schriftlich fest, was getan wurde.

  10. 10. Überarbeitung der Richtlinie

    Was hineingehört
    Wer die Richtlinie überarbeitet, in welchem Rhythmus und aus welchem Anlass: neues Werkzeug, Vorfall, Gesetzesänderung.
    Formulierungsbeispiel
    Die Richtlinie wird jedes Jahr von der Ansprechperson und der Geschäftsleitung überprüft. Der Anhang mit den Werkzeugen wird bei jeder Änderung aktualisiert.
    Zu vermeidender Fallstrick
    Den Haupttext der Richtlinie ändern, ohne erneut das Verfahren zu durchlaufen, das sie verbindlich gemacht hat.

Verfahren

Die Richtlinie verbindlich machen

Eine per E-Mail verbreitete Richtlinie informiert. Für sich allein erlaubt sie nicht, einen Verstoß zu sanktionieren.

Die Beschäftigten informieren, in jedem Fall. Unabhängig von der Beschäftigtenzahl dürfen keine Informationen, die einen Beschäftigten persönlich betreffen, mit einer Einrichtung erhoben werden, die er nicht vorher kennt (Artikel L1222-4 des französischen Arbeitsgesetzbuchs, Code du travail). Wenn Sie die Nutzung der Werkzeuge kontrollieren, sagen Sie es in der Richtlinie.

Das CSE anhören. In Unternehmen mit mindestens 50 Beschäftigten wird das Comité social et économique (CSE, die Arbeitnehmervertretung) zur Einführung neuer Technologien informiert und angehört (Artikel L2312-8). Hören Sie es vor der Einführung von KI-Werkzeugen an, nicht danach. Unterhalb dieser Schwelle bleibt die vorherige Information der Beschäftigten Pflicht.

Die Richtlinie an die Arbeitsordnung anbinden. Die Arbeitsordnung (règlement intérieur) ist ab 50 Beschäftigten Pflicht (Artikel L1311-2). Ein Dokument mit allgemeinen und dauerhaften Pflichten kann als Ergänzung der Arbeitsordnung behandelt werden und demselben Verfahren folgen (Artikel L1321-5). Dieses Verfahren sieht vor (Artikel L1321-4):

  • die Stellungnahme des CSE;
  • die Übermittlung an die Arbeitsaufsicht (inspecteur du travail), zusammen mit dieser Stellungnahme;
  • ein Inkrafttreten frühestens einen Monat nach der Bekanntmachung gegenüber den Beschäftigten.

Seit dem Gesetz vom 26. Mai 2026 ist die Hinterlegung bei der Geschäftsstelle des Arbeitsgerichts (conseil de prud'hommes) keine Voraussetzung für das Inkrafttreten mehr.

Lassen Sie diese Entscheidung und den endgültigen Text von einem Fachanwalt für Arbeitsrecht prüfen.

Begleitung

Was Optim-AI tut

Im Audit. Der Gegenmaßnahmenplan umfasst Regeln für die KI-Nutzung, so geschrieben, dass sie gelesen werden, und bereit zur Aufnahme in die Arbeitsordnung. Sie gehen von den im Audit festgestellten Nutzungen aus. Das Verfahren der Aufnahme bleibt Ihre Sache.

In einem eigenen Einführungsauftrag. Eine zweistündige Sitzung für Ihre Geschäftsleitung, mit Ihren realen Fällen. Wir übergeben einen schriftlichen Bericht, die gezeigten Unterlagen und einen kurzen Bewertungsfragebogen vor und nach der Sitzung. Das ist eine der möglichen Maßnahmen nach Artikel 4 der EU-Verordnung, nicht die einzige.

Häufige Fragen

Die Fragen von Geschäftsführern

Ist eine KI-Nutzungsrichtlinie Pflicht?
Kein Text schreibt eine Richtlinie unter diesem Namen vor. Seit dem 27. Juli 2026 verlangt die EU-KI-Verordnung jedoch von Unternehmen, die diese Werkzeuge nutzen, Maßnahmen zu ergreifen, damit ihre Teams sie verstehen. Die CNIL empfiehlt eine interne Richtlinie. Eine erklärte und datierte Richtlinie erfüllt beide Erwartungen.
Muss das CSE vor der Verbreitung der Richtlinie angehört werden?
In einem Unternehmen mit mindestens 50 Beschäftigten wird das Comité social et économique (CSE) zur Einführung neuer Technologien informiert und angehört (Artikel L2312-8 des französischen Arbeitsgesetzbuchs). Wird die Richtlinie an die Arbeitsordnung angebunden, ist seine Stellungnahme auch vor dem Inkrafttreten erforderlich (Artikel L1321-4). Unter 50 Beschäftigten gelten diese beiden Anhörungen nicht in dieser Form. In jedem Fall dürfen über Beschäftigte keine Informationen mit einer Einrichtung erhoben werden, über die sie nicht vorher informiert wurden (Artikel L1222-4).
Kann ein Beschäftigter sanktioniert werden, der die Richtlinie nicht einhält?
Nur wenn die Regeln verbindlich gemacht wurden. In der Praxis müssen sie nach dem dafür vorgesehenen Verfahren an die Arbeitsordnung angebunden werden. Eine lediglich verbreitete Richtlinie begründet für sich allein keine Sanktion. Lassen Sie diesen Punkt von einem Anwalt prüfen.
Was gehört zuerst in eine KI-Richtlinie?
Drei Abschnitte genügen für den Anfang: die Liste der erlaubten Werkzeuge, die Daten, die nie eingegeben werden, und der Name einer Ansprechperson, die Fragen beantwortet. Eine kurze, angewandte Richtlinie schützt besser als ein vollständiger Text, den niemand liest.

Quellen

Die herangezogenen Texte

Stand dieser Seite: 10. Oktober 2026. Sie ersetzt nicht den Rat eines Fachanwalts für Arbeitsrecht.

KI-Audit für KMU und MittelstandDie tatsächlichen Nutzungen erfassen, bevor die Regeln geschrieben werden.Die KI-Verordnung für ein KMUWas die EU-Verordnung verlangt, Datum für Datum.Schatten-KINicht gemeldete Nutzungen erkennen und regeln.KI-Einführung der GeschäftsleitungEine zweistündige Sitzung, mit Ihren realen Fällen.Risiken und KontrolleDie fünf Risiken und die vier Steuerungsregeln.Die MethodeWie sich die Nutzungsregeln in den Gegenmaßnahmenplan einfügen.

Nächster Schritt

Ihre Nutzungsregeln aus Ihren tatsächlichen Nutzungen ableiten

Das erste Gespräch dauert dreißig Minuten und ist unverbindlich.

30 Minuten buchenKI-Reifegrad-Test starten