Was gehört in eine KI-Richtlinie für Unternehmen?

ChatGPT ist schnell geöffnet. Ein Text wird eingefügt, eine Kundenmail zusammengefasst oder ein Angebot sprachlich überarbeitet. In vielen Unternehmen passiert das längst im normalen Arbeitsalltag.

Schwieriger wird es bei der nächsten Frage: Welche Informationen dürfen Mitarbeitende überhaupt in ein KI-System eingeben?

Oft gibt es darauf keine eindeutige Antwort.

Ähnlich sieht es bei der Auswahl der Tools aus. Manche Mitarbeitende verwenden ChatGPT, andere Gemini oder Microsoft Copilot. Vielleicht wird zusätzlich eine KI-Funktion in einer Fachsoftware genutzt. Ohne interne Vorgaben entscheidet jeder selbst, was angemessen ist.

Eine KI-Richtlinie kann solche Situationen verbindlicher machen. Sie beschreibt, wie KI im Unternehmen eingesetzt werden darf und wo Grenzen liegen.

Dabei muss kein umfangreiches Handbuch entstehen. Für kleinere Unternehmen ist eine verständliche Regelung oft hilfreicher, wenn Mitarbeitende sie tatsächlich lesen und im Alltag anwenden können.

Was ist eine interne KI-Richtlinie?

Eine KI-Richtlinie ist eine betriebliche Regelung für den Umgang mit künstlicher Intelligenz.

Sie kann beispielsweise festlegen, welche KI-Dienste im Unternehmen genutzt werden dürfen, wie mit vertraulichen Informationen umzugehen ist und wann Ergebnisse einer KI kontrolliert werden müssen.

Die konkrete Ausgestaltung hängt stark vom Unternehmen ab.

Eine Marketingagentur hat andere Anforderungen als ein Handwerksbetrieb. Eine Steuerkanzlei verarbeitet andere Daten als ein Onlinehändler. Deshalb sollte eine Richtlinie zur tatsächlichen Arbeitsweise passen.

Ein allgemeines Dokument aus dem Internet kann einen Einstieg bieten. Es kennt jedoch weder die verwendeten Programme noch die internen Abläufe eines bestimmten Unternehmens.

1. Welche KI-Tools dürfen verwendet werden?

Eine der ersten Fragen betrifft die zugelassenen Anwendungen.

Wenn keine Regel existiert, verwenden Mitarbeitende möglicherweise Dienste, von denen die Geschäftsführung nichts weiß. Das kann besonders dann problematisch werden, wenn dort interne Informationen verarbeitet werden.

Eine Richtlinie kann deshalb festhalten:

• welche KI-Dienste freigegeben sind
• ob neue Tools vor der Nutzung geprüft werden müssen
• wer über eine Freigabe entscheidet
• ob private KI-Konten für geschäftliche Aufgaben genutzt werden dürfen
• wie mit KI-Funktionen in vorhandener Software umzugehen ist

Dabei muss nicht jede technische Änderung sofort eine neue Richtlinie auslösen. Sinnvoll ist eine Regel, wie neue Anwendungen bewertet und freigegeben werden.

2. Welche Daten dürfen in KI-Systeme eingegeben werden?

Dieser Bereich gehört zu den wichtigsten Teilen einer KI-Richtlinie.

Im Arbeitsalltag entstehen schnell Situationen, in denen sensible Informationen kopiert werden. Ein Mitarbeiter möchte beispielsweise eine schwierige Kundenmail zusammenfassen und fügt den kompletten Nachrichtentext in ein KI-System ein.

Darin können Namen, Kontaktdaten, Vertragsinformationen oder andere vertrauliche Angaben enthalten sein.

Das Unternehmen sollte deshalb verständlich beschreiben, welche Informationen nicht ohne Weiteres in externe KI-Dienste gehören.

• personenbezogene Kundendaten
• interne Kalkulationen und Preislisten
• Vertragsunterlagen
• Zugangsdaten und Passwörter
• noch nicht veröffentlichte Geschäftsinformationen
• vertrauliche Unterlagen von Geschäftspartnern

3. Wann müssen KI-Ergebnisse kontrolliert werden?

KI-Systeme können überzeugend formulieren und trotzdem falsche Angaben liefern.

Das fällt besonders dann auf, wenn eine Antwort zu einem Thema erzeugt wird, das der Nutzer selbst gut kennt. In anderen Fällen wird ein Fehler möglicherweise übernommen.

Deshalb sollte geregelt sein, bei welchen Aufgaben eine menschliche Prüfung erforderlich ist.

Ein interner Formulierungsvorschlag für eine Einladung hat ein anderes Risiko als eine technische Anleitung oder ein Text, der direkt an einen Kunden verschickt wird.

Die Richtlinie sollte berücksichtigen, wie kritisch ein möglicher Fehler im jeweiligen Arbeitsprozess wäre.

4. Wer trägt die Verantwortung?

Ein häufiger Irrtum entsteht, wenn KI-Ergebnisse wie eine externe Auskunft behandelt werden.

Ein Mitarbeiter lässt beispielsweise einen Text erzeugen und übernimmt ihn anschließend in ein Angebot. Gegenüber dem Kunden bleibt der Text Teil der geschäftlichen Kommunikation des Unternehmens.

Die KI übernimmt dafür keine betriebliche Verantwortung.

Eine Richtlinie sollte deshalb erklären, wer Ergebnisse prüft und wer über deren Verwendung entscheidet.

Dabei können vorhandene Verantwortlichkeiten genutzt werden. In einem kleinen Unternehmen kann die Freigabe neuer KI-Tools etwa bei der Geschäftsführung liegen. In einem größeren Team kann eine zuständige Person benannt werden.

5. Für welche Aufgaben darf KI eingesetzt werden?

Eine gute Richtlinie beschreibt auch zulässige Einsatzmöglichkeiten. Das hilft Mitarbeitenden, weil sie nicht bei jeder kleinen Aufgabe überlegen müssen, ob die Nutzung grundsätzlich erlaubt ist.

Typische Einsatzbereiche können sein:

• Entwürfe für interne Texte
• sprachliche Überarbeitung eigener Inhalte
• Zusammenfassungen geeigneter Dokumente
• Ideen für Gliederungen oder Präsentationen
• Unterstützung bei Recherchefragen mit anschließender Prüfung
• Vorbereitung einfacher Arbeitsmaterialien

Andere Aufgaben können bewusst ausgeschlossen oder nur unter bestimmten Voraussetzungen erlaubt werden. Welche Regel sinnvoll ist, hängt vom Betrieb ab.

6. Muss die Nutzung von KI gekennzeichnet werden?

Diese Frage sollte nicht erst entstehen, wenn ein fertiger Text bereits vorliegt.

Innerhalb eines Unternehmens kann es sinnvoll sein, bei bestimmten Arbeitsergebnissen nachvollziehen zu können, ob und wie KI eingesetzt wurde.

Eine interne Richtlinie kann festlegen, wann Mitarbeitende den Einsatz einer KI dokumentieren oder kennzeichnen sollen.

Dabei sollte die Vorgabe praktisch bleiben. Eine Kennzeichnung jeder kleinen Rechtschreibkorrektur wäre in vielen Unternehmen kaum hilfreich. Relevante Fälle sollten konkret benannt werden.

7. Wie werden neue KI-Tools eingeführt?

Der KI-Markt verändert sich schnell. Eine Richtlinie, die ausschließlich konkrete Produktnamen enthält, kann deshalb schon nach kurzer Zeit unvollständig sein.

Vor der Einführung eines neuen Tools können etwa diese Fragen geklärt werden:

• Welche Daten sollen damit verarbeitet werden?
• Wer benötigt das Tool tatsächlich?
• Welche Kontoeinstellungen stehen zur Verfügung?
• Gibt es eine geschäftliche Version mit geeigneten Einstellungen?
• Wer genehmigt die Nutzung?
• Wie erfahren Mitarbeitende von der Freigabe?

Ein solcher Ablauf bleibt auch dann brauchbar, wenn später neue Anwendungen hinzukommen.

Wie lang sollte eine KI-Richtlinie sein?

Dafür gibt es keine sinnvolle Standardseitenzahl.

Ein kleines Team benötigt möglicherweise nur wenige Seiten mit konkreten Regeln. In einem größeren Unternehmen mit mehreren Abteilungen kann eine ausführlichere Dokumentation sinnvoll sein.

Entscheidend ist, ob Mitarbeitende die Regeln verstehen und bei einer konkreten Situation eine Antwort finden.

Eine zwölfseitige Richtlinie bringt wenig, wenn niemand weiß, wo die entscheidende Vorgabe steht.

Ein Beispiel für eine einfache KI-Regel

Eine Regel zum Umgang mit Kundendaten könnte beispielsweise so formuliert werden:

Die Formulierung sollte an das jeweilige Unternehmen und die tatsächlich eingesetzten Systeme angepasst werden.

Eine KI-Richtlinie sollte regelmäßig überprüft werden

Nach der Einführung können neue Funktionen hinzukommen. Vielleicht wechselt das Unternehmen später von privaten ChatGPT-Konten auf eine zentrale Unternehmenslösung. Manche Arbeitsabläufe verändern sich erst, nachdem Mitarbeitende KI eine Zeit lang verwendet haben.

Deshalb lohnt sich eine gelegentliche Überprüfung.

Häufig reicht es, in festgelegten Abständen zu prüfen, ob die aufgeführten Tools noch aktuell sind und ob im Arbeitsalltag neue Fragen entstanden sind.

Auch Rückmeldungen aus dem Team sind hilfreich. Wenn dieselbe Unsicherheit mehrfach auftaucht, fehlt möglicherweise eine verständliche Regel.

Wie startet ein kleines Unternehmen?

Wer bisher noch keine internen KI-Regeln hat, muss nicht sofort jeden denkbaren Fall abdecken.

Ein sinnvoller Anfang ist ein Blick auf die tatsächliche Nutzung. Welche Tools werden bereits verwendet? Welche Informationen geben Mitarbeitende dort ein? Für welche Aufgaben kommt KI zum Einsatz? Wo entstehen Unsicherheiten?

Aus diesen Antworten lassen sich konkrete Regeln ableiten.

Fazit

Eine interne KI-Richtlinie gibt Mitarbeitenden Orientierung bei alltäglichen Entscheidungen rund um ChatGPT und andere KI-Anwendungen.

Besonders relevant sind verständliche Vorgaben zu freigegebenen Tools, zum Umgang mit Unternehmens- und Kundendaten, zur Kontrolle von KI-Ergebnissen und zu den Verantwortlichkeiten im Betrieb. Welche weiteren Regeln nötig sind, hängt vom tatsächlichen Einsatz der Technologie ab.

Die Richtlinie sollte deshalb zum Unternehmen passen und im Arbeitsalltag verständlich bleiben.