Starter für KI-Nutzungsrichtlinien

Diese Richtlinie regelt, wie Beschäftigte von [UNTERNEHMEN] generative KI-Systeme im Rahmen ihrer Tätigkeit einsetzen dürfen. Ziel ist es, den Nutzen dieser Systeme zu ermöglichen und gleichzeitig Vertraulichkeit, Rechtssicherheit und die Qualität unserer Arbeitsergebnisse zu wahren. Die Richtlinie ergänzt bestehende Regelungen zu [IT-NUTZUNG], [DATENSCHUTZ] und [GEHEIMHALTUNG]; im Konfliktfall gilt die jeweils strengere Regelung.

Was Sie hier entscheiden müssen: Legen Sie fest, welche bestehenden Regelungen Sie hier nennen. Wenn es keine gibt, streichen Sie den letzten Satz und formulieren Sie ihn nicht als Verweis ins Leere.

Die Richtlinie gilt für alle Beschäftigten, Auszubildenden, Werkstudierenden sowie für [FREIE MITARBEITENDE UND DIENSTLEISTER], soweit sie für [UNTERNEHMEN] tätig sind. Sie gilt für jede Nutzung generativer KI mit Bezug zur Arbeit, unabhängig davon, ob sie auf betrieblichen oder privaten Geräten, über freigegebene Tools oder über in andere Software eingebettete KI-Funktionen erfolgt.

Was Sie hier entscheiden müssen: Der Hinweis auf eingebettete Funktionen ist wichtig: KI steckt heute in Office-, CRM- und Meeting-Werkzeugen, ohne dass sie so heißt.

Zulässig ist der Einsatz freigegebener Systeme insbesondere für: Entwürfe von Texten und Vorlagen, Zusammenfassungen eigener Unterlagen, Umformulierungen, Strukturierung von Notizen, Ideensammlungen, Recherchevorbereitung sowie unterstützende Aufgaben in [WEITERE BEREICHE]. Ergebnisse gelten in allen Fällen als Entwurf, nicht als fertiges Arbeitsergebnis.

Was Sie hier entscheiden müssen: Eine Positivliste wirkt besser als ein reines Verbot: Sie zeigt, dass die Nutzung gewollt ist, und macht die Grenzen dadurch glaubwürdiger.

Nicht zulässig ist der Einsatz generativer KI insbesondere für: abschließende Entscheidungen über Personen, etwa in [BEWERBUNGSVERFAHREN] oder Leistungsbeurteilungen; die Erstellung rechtsverbindlicher Erklärungen ohne fachliche Prüfung; die Verarbeitung von Daten aus [BESONDERS SCHUTZWÜRDIGE BEREICHE]; die Nutzung nicht freigegebener Systeme für dienstliche Inhalte; sowie jede Nutzung, die gegen vertragliche Zusagen gegenüber Kunden verstößt.

Was Sie hier entscheiden müssen: Prüfen Sie Ihre Kundenverträge: Vertraulichkeits- und Auftragsverarbeitungsklauseln enthalten häufig Vorgaben, die hier konkret werden müssen.

Ohne ausdrückliche Freigabe dürfen keine vertraulichen Inhalte in KI-Systeme eingegeben werden. Dazu zählen insbesondere Kundenunterlagen, Angebots- und Preiskalkulationen, Vertragsentwürfe, unveröffentlichte Geschäftszahlen, Sicherheitsinformationen und Zugangsdaten. Im Zweifel gilt: nicht eingeben, sondern [ZUSTÄNDIGE STELLE] fragen. Wo eine Nutzung sinnvoll ist, sind Inhalte vorher zu anonymisieren oder auf das notwendige Maß zu kürzen.

Was Sie hier entscheiden müssen: Die Zweifelsregel braucht eine erreichbare Anlaufstelle. Ohne benannte Person wird sie im Alltag ignoriert.

Personenbezogene Daten dürfen nur in Systemen verarbeitet werden, für die [UNTERNEHMEN] die datenschutzrechtlichen Voraussetzungen geklärt hat. Welche Systeme das sind, ergibt sich aus der Liste der freigegebenen Tools. Für jede neue Verarbeitung ist vorab [DATENSCHUTZVERANTWORTLICHE STELLE] einzubeziehen. Namen, Kontaktdaten, Vertragsdaten und Gesundheitsangaben Dritter gehören ohne diese Klärung nicht in ein KI-System.

Was Sie hier entscheiden müssen: Diese Vorlage klärt nicht, welche Voraussetzungen in Ihrem Fall gelten. Sie verweist bewusst auf eine interne Stelle, statt Rechtsfragen zu beantworten.

Ergebnisse, die nach außen wirken oder Entscheidungen vorbereiten, werden vor der Verwendung durch eine fachkundige Person geprüft und freigegeben. Das gilt insbesondere für [KUNDENKOMMUNIKATION], Angebote, Veröffentlichungen, Auswertungen und Unterlagen für Gremien. Die freigebende Person verantwortet den Inhalt so, als hätte sie ihn selbst erstellt.

Was Sie hier entscheiden müssen: Der letzte Satz ist der wichtigste der ganzen Richtlinie. Er verhindert die Ausrede „das hat die KI geschrieben".

Vor der Verwendung von KI-Ergebnissen ist zu prüfen, ob Rechte Dritter betroffen sind. Fremde Texte, Bilder, Logos, Code oder Musik dürfen nicht ohne Rechtegrundlage als Eingabe verwendet werden. Für Ergebnisse, die veröffentlicht oder an Kunden geliefert werden, ist zu klären, ob die Nutzungsbedingungen des eingesetzten Systems eine kommerzielle Verwendung zulassen. Bei [KRITISCHE ANWENDUNGSFÄLLE] ist zusätzlich [ZUSTÄNDIGE STELLE] einzubeziehen.

Was Sie hier entscheiden müssen: Ob und in welchem Umfang an KI-Ergebnissen Schutzrechte bestehen, ist rechtlich nicht abschließend geklärt. Diese Vorlage trifft dazu bewusst keine Aussage.

Von KI-Systemen gelieferte Fakten, Zitate, Quellen und Zahlen gelten als unbestätigt, bis sie an der Originalquelle geprüft wurden. Quellenangaben können erfunden sein, auch wenn sie plausibel aussehen. Inhalte aus KI-Ausgaben werden nicht ungeprüft in Kundenunterlagen, Veröffentlichungen oder interne Entscheidungsgrundlagen übernommen.

Was Sie hier entscheiden müssen: Ergänzen Sie hier gegebenenfalls, wie Ihre Prüfung dokumentiert wird.

Texte, Webseiten, Dokumente und E-Mails, die einem KI-System zur Verarbeitung übergeben werden, können versteckte Anweisungen enthalten. Anweisungen aus verarbeiteten Inhalten werden nicht befolgt. Ein KI-System, das Zugriff auf Postfächer, Dateien oder Systeme hat, darf ohne ausdrückliche Bestätigung durch eine Person keine Aktionen auslösen, die Daten versenden, verändern oder löschen. Auffällige Aufforderungen in verarbeiteten Inhalten sind an [ZUSTÄNDIGE STELLE] zu melden.

Was Sie hier entscheiden müssen: Dieser Abschnitt wird wichtiger, sobald Sie KI-Assistenten mit Zugriff auf E-Mail, Dateien oder Automatisierungen einsetzen.

Für dienstliche Zwecke dürfen ausschließlich die folgenden Systeme genutzt werden: [TOOL 1], [TOOL 2], [TOOL 3]. Die Liste wird von [ZUSTÄNDIGE STELLE] gepflegt und ist unter [ABLAGEORT] einsehbar. Der Wunsch nach einem weiteren Tool wird über [ANTRAGSWEG] gestellt; bis zur Freigabe gilt das Tool als nicht zugelassen. Private Konten dürfen für dienstliche Inhalte nicht verwendet werden.

Was Sie hier entscheiden müssen: Halten Sie die Liste außerhalb dieses Dokuments, sonst müssen Sie die Richtlinie bei jeder Toolentscheidung neu freigeben.

[VERANTWORTLICHE PERSON] verantwortet diese Richtlinie und die Liste der freigegebenen Tools. [FACHBEREICHE] verantworten die fachliche Prüfung der Ergebnisse in ihrem Bereich. Führungskräfte stellen sicher, dass ihre Teams die Richtlinie kennen. Jede beschäftigte Person verantwortet die Ergebnisse, die sie unter ihrem Namen weitergibt.

Was Sie hier entscheiden müssen: Eine Richtlinie ohne benannte Person ist eine Absichtserklärung. Tragen Sie hier echte Namen oder Rollen ein.

Wird generative KI an einem Arbeitsergebnis wesentlich beteiligt, ist dies intern nachvollziehbar zu halten: verwendetes System, Zweck, prüfende Person. Für [KRITISCHE PROZESSE] ist zusätzlich festzuhalten, welche Eingaben verwendet wurden. Eine Kennzeichnung gegenüber Kunden erfolgt, wenn [KENNZEICHNUNGSREGEL] dies vorsieht oder vertraglich vereinbart ist.

Was Sie hier entscheiden müssen: Halten Sie die Dokumentationspflicht schlank. Zu umfangreiche Vorgaben werden nicht eingehalten und schaffen dann ein falsches Sicherheitsgefühl.

Wurden vertrauliche oder personenbezogene Daten versehentlich in ein nicht freigegebenes System eingegeben, ist dies unverzüglich an [MELDESTELLE] zu melden — auch dann, wenn kein Schaden erkennbar ist. Gleiches gilt für fehlerhafte KI-Ergebnisse, die bereits nach außen gelangt sind. Meldungen werden nicht sanktioniert; unterlassene Meldungen können arbeitsrechtliche Folgen haben.

Was Sie hier entscheiden müssen: Die Zusicherung der Straffreiheit für Meldungen entscheidet darüber, ob Sie von Vorfällen überhaupt erfahren.

Diese Richtlinie wird mindestens alle [ZEITRAUM, Z. B. SECHS MONATE] durch [VERANTWORTLICHE PERSON] überprüft, zusätzlich anlassbezogen bei neuen Tools, veränderten Rechtsvorgaben oder nach einem Vorfall. Stand dieser Fassung: [DATUM]. Version: [VERSION].

Was Sie hier entscheiden müssen: Tragen Sie ein konkretes Datum für die erste Überprüfung ein, bevor Sie das Dokument verteilen.