KI-Richtlinie für die Firma: So regelst du ChatGPT & Co. im Team

Warum eine KI-Richtlinie im Betrieb Sinn macht

In vielen Betrieben nutzen Mitarbeitende längst ChatGPT, Übersetzungstools oder Bildgeneratoren, oft mit privaten Gratis-Accounts und ohne Absprache. Das Risiko: Kundendaten landen beim Anbieter, falsche Zahlen gehen ungeprüft hinaus, und im Ernstfall weiß niemand, was erlaubt war.

Der AI Act verlangt seit 2. Februar 2025, dass du die KI-Kompetenz deines Teams förderst (Art. 4). Eine eigene Pflicht zur schriftlichen Richtlinie steht dort nicht. Die RTR empfiehlt aber, eine KI-Strategie und eine interne KI-Richtlinie schriftlich festzuhalten und für alle leicht auffindbar abzulegen, damit du die Umsetzung belegen kannst. Auch die WKO empfiehlt, nach der Bestandsaufnahme einfache Regeln für den eigenen Betrieb festzulegen.

Die zehn Themen der WKO-Guidelines

Die WKO hat KI-Guidelines für KMU entwickelt, die als Grundlage für eine eigene Vereinbarung mit den Mitarbeitenden dienen sollen. Sie decken zehn Themen ab, die du an deinen Betrieb anpasst:

• Rahmenbedingungen zur Nutzung schaffen
• Grenzen von KI: der Mensch als wichtigste Instanz
• Kundenbezogene Daten und KI
• Unternehmensbezogene Daten und Geheimhaltung
• KI und rechtliche Rahmenbedingungen
• Sicherheit und Qualität von Daten
• Ethik, Vielfalt, Inklusion
• Transparenz und Kennzeichnung
• Schulungen und Weiterbildungen
• KI-generierte externe Kommunikation

Datenschutz: welche Daten nie in ein KI-Tool gehören

Laut WKO bist du datenschutzrechtlich Verantwortlicher, sobald dein Unternehmen entscheidet, ein KI-Tool einzusetzen, auch wenn du es nicht selbst entwickelt hast. Achte laut WKO darauf, dass die KI nicht mit den eingegebenen Daten weiter trainiert wird, denn personenbezogene Daten dürfen nur für den Zweck verwendet werden, über den die Betroffenen informiert wurden.

In die Richtlinie gehört deshalb eine klare Liste, was nicht in ein KI-Tool kommt, vor allem nicht in Gratis-Accounts: Namen und Kontaktdaten von Kunden und Mitarbeitenden, Gesundheitsdaten, Bank- und Gehaltsdaten, Bewerbungsunterlagen, Passwörter und Zugangsdaten sowie Geschäftsgeheimnisse wie Kalkulationen oder Pläne. Für die Arbeit mit Kundendaten legst du fest, welcher Firmen-Account mit Auftragsverarbeitungsvertrag verwendet wird.

Ergebnisse prüfen und richtig kennzeichnen

Die WKO formuliert es klar: Ein sprachlich überzeugendes KI-Ergebnis ist nicht automatisch fachlich richtig. Leg in der Richtlinie fest, wer KI-Texte, Zahlen und technische Angaben vor Versand oder Veröffentlichung prüft und wer die Verantwortung trägt.

Seit 2. August 2026 gelten außerdem die Kennzeichnungspflichten nach Art. 50 AI Act. Für die Richtlinie heißt das: Chatbots im Kundenkontakt als KI erkennbar machen, realistische KI-Bilder, -Videos und -Stimmen (Deepfakes) kennzeichnen und KI-Texte zu Themen von öffentlichem Interesse entweder von einem Menschen redaktionell prüfen lassen oder kennzeichnen. Normale Werbetexte musst du laut RTR nicht kennzeichnen.

Betriebsrat und Arbeitsrecht

Hast du einen Betriebsrat, bezieh ihn früh ein. Nach § 96a ArbVG braucht die Einführung von Systemen, die personenbezogene Daten der Arbeitnehmer automationsunterstützt verarbeiten und über allgemeine Angaben zur Person und fachliche Voraussetzungen hinausgehen, grundsätzlich die Zustimmung des Betriebsrats. Dasselbe gilt für Systeme zur Beurteilung von Arbeitnehmern, wenn dabei Daten erhoben werden, die nicht durch die betriebliche Verwendung gerechtfertigt sind. Ob ein bestimmtes KI-Tool darunter fällt, hängt vom Einzelfall ab.

Die Richtlinie selbst kannst du als Dienstanweisung oder, mit Betriebsrat, als Teil einer Betriebsvereinbarung gestalten. Wie das bei dir am besten passt, klärst du mit der Arbeitsrechtsberatung der WKO oder einem Anwalt.

In fünf Schritten zur eigenen KI-Richtlinie

So kommst du in einem überschaubaren Aufwand zu einer Richtlinie, die im Alltag funktioniert.

1. 1

   Bestand aufnehmen

   Frag im Team, welche KI-Tools wofür genutzt werden, auch KI-Funktionen in Office, CRM oder Buchhaltung. Das ist zugleich deine KI-Inventur.

2. 2

   Tools freigeben

   Entscheide, welche Tools mit welchem Account erlaubt sind. Prüf bei Anbietern, ob sie mit deinen Eingaben trainieren und ob es einen Auftragsverarbeitungsvertrag gibt.

3. 3

   Regeln schreiben

   Nimm die zehn WKO-Themen als Gerüst und die Checkliste oben. Formuliere konkret: „Kundennamen vor dem Einfügen durch Kunde A ersetzen“ statt „Datenschutz beachten“.

4. 4

   Schulen

   Stell die Richtlinie im Team vor, mit echten Beispielen aus eurem Alltag. Datum, Inhalt und Teilnehmer notieren, das ist deine Maßnahme nach Art. 4 AI Act.

5. 5

   Aktuell halten

   Leg einen Termin fest, etwa halbjährlich, und überarbeite die Richtlinie, wenn neue Tools oder Einsatzbereiche dazukommen.

Häufige Fragen