Start / KI-Richtlinie für Unternehmen
Eine KI-Richtlinie für Unternehmen schreibt die EU-KI-Verordnung nicht vor, einen KI-Beauftragten auch nicht. Vorgeschrieben ist seit dem 2. Februar 2025 etwas anderes: Wer KI im Betrieb einsetzt, muss nach Artikel 4 Maßnahmen ergreifen, die die KI-Kompetenz seiner Mitarbeiter unterstützen. Eine kurze schriftliche Richtlinie ist dafür ein naheliegender Baustein, weil sie festhält, welche Werkzeuge freigegeben sind, welche Daten nicht hineingehören und wer bei Fragen entscheidet. gerlinger.ai, die KI- und Software-Einheit der JANGER GmbH aus Backnang, schult Mitarbeiter in Unternehmen mit 5 bis 250 Mitarbeitern genau an diesen Regeln.
Diese Seite ist eine organisatorische Orientierung, keine Rechtsberatung. Rechtsstand 29. September 2026. Die rechtliche Bewertung für deinen Betrieb übernimmt dein Anwalt oder dein Datenschutzbeauftragter.
Auswahl aus über 200 Projekten seit 2007, überwiegend Handel und E-Commerce.
TÜV Rheinland geprüftVerkaufspsychologie-Expert:in, ID 0217464581Die Pflicht hängt an der Nutzung, nicht an der Betriebsgröße. Wer im Büro ein Chatwerkzeug für Angebote oder Mails einsetzt, ist Betreiber eines KI-Systems im Sinne der Verordnung. Wie du die Kompetenz deiner Mitarbeiter unterstützt, legt das Gesetz nicht fest.
Eine KI-Richtlinie ist ein internes Regelwerk für den Einsatz künstlicher Intelligenz im Betrieb. Sie legt fest, welche Werkzeuge mit welchem Zugang genutzt werden dürfen, welche Daten tabu sind, wer Ergebnisse prüft und an wen sich Mitarbeiter bei Fragen oder Fehlern wenden.
Seit dem 27. Juli 2026 gilt Artikel 4 in der Fassung der Verordnung (EU) 2026/1744: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und aller zu unterstützen, die in ihrem Auftrag KI-Systeme betreiben und nutzen. Ein bestimmtes Kompetenzniveau muss dabei für niemanden garantiert werden. Die Pflicht zu handeln bleibt.
Keine Rechtsberatung. Wir beschreiben die Rechtslage nach den genannten Quellen, die Prüfung für deinen Fall macht dein Anwalt.
Die Zahlen stammen aus derselben Bitkom-Umfrage vom September 2026. Sie zeigen, wo es im Alltag hakt: Die Werkzeuge sind da, die Unsicherheit darüber, was erlaubt ist, auch.
der Unternehmen schätzen die KI-Kompetenzen ihrer Beschäftigten als gering ein
Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, 14. September 2026der Unternehmen, die KI einsetzen, nennen rechtliche Verunsicherung als Hemmnis
Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, 14. September 2026der Unternehmen bieten keinerlei KI-Schulungen an, im Vorjahr waren es 43 Prozent
Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, 14. September 2026Bitkom Research hat für den Digitalverband Bitkom 603 Unternehmen ab 20 Beschäftigten in Deutschland telefonisch befragt, in den Kalenderwochen 28 bis 33 des Jahres 2026. Laut derselben Umfrage setzen 57 Prozent der Unternehmen KI ein, im Vorjahr waren es 36 Prozent. Der zweite Wert bezieht sich nur auf Unternehmen, die KI bereits nutzen. Betriebe unter 20 Beschäftigten sind in der Erhebung nicht enthalten.
Die Bundesnetzagentur hat im Juni 2025 in ihrem Hinweispapier KI-Kompetenzen nach Artikel 4 KI-Verordnung aufgelistet, was für Artikel 4 nicht vorgeschrieben ist. Die EU-Kommission bestätigt das in ihren Fragen und Antworten zur KI-Kompetenz, Stand 27. Juli 2026.
Quellen: Verordnung (EU) 2026/1744 vom 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit dem 27. Juli 2026, dort auch die neuen Geltungstermine für Hochrisiko-KI; Verordnung (EU) 2024/1689, Artikel 26; § 38 BDSG. Seit dem 29. Juli 2026 gilt in Deutschland das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Nach dessen § 2 ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt. Die Bußgeldvorschrift in § 15 KI-MIG nennt Artikel 4 nicht. Die EU-Kommission weist trotzdem darauf hin, dass Verstöße gegen Artikel 4 nach nationalem Recht geahndet werden können, und die Bundesnetzagentur schreibt, ein Mangel an KI-Kompetenz könne als Verletzung der Sorgfaltspflicht gelten, besonders wenn ein Schaden entsteht.
Die Gliederung folgt den Empfehlungen der Datenschutzkonferenz aus ihrer Orientierungshilfe Künstliche Intelligenz und Datenschutz vom 6. Mai 2024 und dem Hinweispapier der Bundesnetzagentur. Sie ist ein Muster für den Aufbau, keine fertige Richtlinie.
Für wen die Richtlinie gilt, also Mitarbeiter, Auszubildende, Aushilfen und Freie, die in deinem Auftrag arbeiten. Und für welche Art von Werkzeugen: Chatprogramme, KI-Funktionen in vorhandener Software, Übersetzer, Bild- und Spracherkennung.
Eine kurze Liste der erlaubten Werkzeuge, jeweils mit betrieblichem Zugang. Die Datenschutzkonferenz empfiehlt betriebliche Konten, damit Mitarbeiter nicht mit privaten Zugängen arbeiten. Dazu die Regel, wer ein neues Werkzeug prüft und freigibt.
Personenbezogene Daten von Kunden und Kollegen, Gesundheitsdaten, Personalakten, Passwörter, Betriebsgeheimnisse. Am besten mit Beispielen aus dem eigenen Alltag, etwa: Die Kundenreklamation mit Name und Adresse bleibt draußen, die anonymisierte Fassung darf hinein.
Wofür KI genutzt werden darf und wofür nicht. Die Datenschutzkonferenz rät ausdrücklich zu konkreten Beispielen für zugelassene und untersagte Szenarien. Heikel sind Entscheidungen über Menschen, etwa Bewerberauswahl oder Leistungsbewertung.
KI-Ergebnisse können falsch sein, auch wenn sie überzeugend klingen. Die Richtlinie legt fest, bei welchen Aufgaben eine fachkundige Person gegenliest, bevor ein Text an Kunden geht oder eine Zahl in ein Angebot. Welche Kennzeichnungspflichten gelten, steht im Artikel KI-Kennzeichnungspflicht für Unternehmen.
Wer die Werkzeuge verwaltet, wer Fragen beantwortet und wer entscheidet, wenn etwas unklar ist. Im kleinen Betrieb ist das oft eine einzige Person. Wichtig ist, dass jeder Mitarbeiter ihren Namen kennt.
Wer welche Schulung bekommt, wann aufgefrischt wird und wo die Nachweise liegen. Die EU-Kommission nennt ein internes Verzeichnis der Schulungen als ausreichend, ein Zertifikat ist nicht nötig. Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren.
Ein klarer Weg, wenn doch einmal Kundendaten im falschen Werkzeug gelandet sind oder ein falsches Ergebnis rausging. Dazu ein Datum für die nächste Überprüfung und eine Versionsnummer, damit alle wissen, welche Fassung gilt.
Wer eine Vorlage zum Ausfüllen sucht: Die IHK Schwaben stellt eine Muster-KI-Richtlinie als Word-Datei bereit, mit dem ausdrücklichen Hinweis, dass sie keine Rechtsberatung ist. Weitere Unterlagen zur Einführung liegen unter Downloads.
Eine Richtlinie regelt, wie sich Mitarbeiter im Betrieb verhalten sollen. Dafür kennt das Betriebsverfassungsgesetz ein Mitbestimmungsrecht in § 87 Abs. 1 Nr. 1 BetrVG. Kann ein eingesetztes KI-System Verhalten oder Leistung erfassen, etwa über Nutzungsprotokolle in einem Firmenzugang, kommt Nr. 6 dazu.
Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) einen Sonderfall als mitbestimmungsfrei eingestuft: Mitarbeiter durften ChatGPT über private Konten nutzen, der Arbeitgeber hatte keinen Zugriff auf die Nutzungsdaten. Sobald du einen betrieblichen Zugang mit Verwaltungsfunktionen bereitstellst, sieht die Lage anders aus. Die Datenschutzkonferenz empfiehlt, Datenschutzbeauftragte und Betriebsrat früh einzubinden. Die Einzelheiten stehen im Artikel Betriebsrat und KI: Wann Mitbestimmung Pflicht ist, die rechtliche Bewertung für deinen Betrieb übernimmt dein Anwalt.
Einen KI-Beauftragten schreibt Artikel 4 nicht vor, weder mit Titel noch mit Meldung an eine Behörde. Jemand muss die Richtlinie trotzdem pflegen und Fragen beantworten. Wer das im Betrieb übernimmt, hängt von der Größe ab. Drei Beispiele, keine Vorgabe:
Die Geschäftsführung übernimmt die Rolle selbst oder gibt sie an die Person im Büro, die ohnehin die Software verwaltet. Ein fester Termin, etwa einmal im Quartal, hilft, Werkzeugliste und Richtlinie aktuell zu halten.
Ist ohnehin ein Datenschutzbeauftragter benannt, liegt es nahe, ihn einzubinden. Die EU-Kommission beantwortet die Frage, ob Datenschutzbeauftragter und KI-Verantwortlicher dieselbe Person sein können, mit dem Hinweis, dass Artikel 4 keine bestimmte Struktur vorgibt.
Eine Person koordiniert, in jeder Abteilung gibt es jemanden, der die Werkzeuge gut kennt und Kollegen weiterhilft. So bleibt die Richtlinie nah an den echten Aufgaben.
Zertifikate sind freiwillig. Die IHK bietet etwa den Lehrgang Betriebliche/-r KI-Beauftragte/-r (IHK) mit 60 Lehrgangsstunden an (DIHK-Bildungs-GmbH, abgerufen am 29. September 2026, Angaben und Preise können sich ändern). Für die Pflicht aus Artikel 4 braucht es ihn nicht.
Ein Dokument allein ändert keine Arbeitsweise. In unserer KI-Schulung arbeiten deine Mitarbeiter an Aufgaben aus ihrem eigenen Alltag und lernen dabei die Regeln, die im Betrieb gelten sollen: welches Werkzeug, welche Daten, wer gegenliest. Am Ende stehen Unterlagen mit Agenda, Inhalten und Teilnehmerliste für deinen Nachweis. Die Richtlinie selbst schreiben wir nicht, und rechtlich prüfen wir sie auch nicht: Das gehört zu deinem Anwalt oder Datenschutzbeauftragten. Unser Teil ist, dass dein Team die Regeln im Alltag anwenden kann.
Wie die Schulung abläuft, steht unter KI-Schulung, was Artikel 4 für die einzelnen Gruppen im Betrieb bedeutet, unter KI-Schulung für Mitarbeiter. Die ausführliche Rechtslage mit den vier Grundsteinen der Bundesnetzagentur steht im Artikel KI-Schulungspflicht nach Artikel 4 EU AI Act, warum private KI-Konten im Betrieb ein Risiko sind, unter Schatten-KI im Unternehmen. Wer zuerst wissen will, wo KI im Betrieb überhaupt ansetzt, beginnt mit der KI-Beratung.
Die Antworten sind eine organisatorische Orientierung und keine Rechtsberatung. Deine Frage fehlt? Schreib uns, wir antworten innerhalb eines Werktags.
Die EU-KI-Verordnung schreibt keine schriftliche KI-Richtlinie vor. Sie verlangt seit dem 2. Februar 2025 in Artikel 4, dass Unternehmen, die KI einsetzen, Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeiter zu unterstützen. Eine Richtlinie ist ein naheliegender Teil dieser Maßnahmen, weil sie Werkzeuge, Daten und Zuständigkeiten festhält. Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe vom Mai 2024 klare, dokumentierte interne Regeln zum KI-Einsatz. Ob in deinem Betrieb aus anderen Gründen eine Regelung nötig ist, etwa wegen eines Betriebsrats oder branchenspezifischer Vorgaben, klärt dein Anwalt oder Datenschutzbeauftragter.
Nein, nach Artikel 4 der KI-Verordnung nicht. Die Bundesnetzagentur zählt die Einführung eines KI-Beauftragten in ihrem Hinweispapier vom Juni 2025 ausdrücklich zu dem, was für Artikel 4 nicht vorgeschrieben ist. Die EU-Kommission schreibt in ihren Fragen und Antworten zur KI-Kompetenz, dass keine bestimmte Governance-Struktur verlangt wird. Sinnvoll ist trotzdem eine Person, die Fragen beantwortet, neue Werkzeuge prüft und die Richtlinie aktuell hält.
Nein. Die KI-Verordnung sieht keine Zertifizierungspflicht vor, das stellen die Bundesnetzagentur und die EU-Kommission klar. IHK-Zertifikatslehrgänge wie Betriebliche/-r KI-Beauftragte/-r (IHK) sind ein freiwilliges Weiterbildungsangebot. Sie können sinnvoll sein, wenn eine Person die Rolle dauerhaft übernimmt, sind aber keine Voraussetzung, um Artikel 4 zu erfüllen.
Ein bestimmtes Nachweisformat gibt es nicht. Die EU-Kommission nennt als Möglichkeit ein internes Verzeichnis der Schulungen und sonstigen Maßnahmen. Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren, damit du im Schadensfall zeigen kannst, was du getan hast. Praktisch heißt das: Datum, Inhalt, Teilnehmer, die gültige Fassung der Richtlinie und die Liste der freigegebenen Werkzeuge an einem Ort ablegen.
Als Gliederung ist ein Muster hilfreich, etwa die Muster-KI-Richtlinie der IHK Schwaben. Ein Muster kennt aber weder eure Werkzeuge noch eure Daten noch eure Abläufe. Die IHK Schwaben weist selbst darauf hin, dass ihr Muster keine Rechtsberatung ist und vor der Anwendung rechtlicher oder fachlicher Rat eingeholt werden sollte. Ohne Anpassung bleiben genau die Fragen offen, die Mitarbeiter im Alltag entscheiden müssen.
Oft ja. Regelt die Richtlinie das Verhalten der Mitarbeiter im Betrieb, kommt ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 BetrVG in Betracht. Kann ein eingesetztes KI-System Verhalten oder Leistung der Mitarbeiter erfassen, greift § 87 Abs. 1 Nr. 6 BetrVG. Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) einen Sonderfall mit privaten ChatGPT-Konten ohne Zugriff des Arbeitgebers als mitbestimmungsfrei eingestuft. Die Bewertung für deinen Betrieb übernimmt dein Anwalt.
Für das bloße Fehlen einer Richtlinie gibt es keine eigene Bußgeldvorschrift, weil die Richtlinie selbst nicht vorgeschrieben ist. Die deutsche Bußgeldvorschrift in § 15 KI-MIG nennt Artikel 4 nicht (Stand 29. September 2026). Die EU-Kommission weist darauf hin, dass Behörden Verstöße gegen Artikel 4 nach nationalem Recht ahnden können. Die Bundesnetzagentur schreibt, ein Mangel an KI-Kompetenz könne als Verletzung der Sorgfaltspflicht angesehen werden, besonders wenn ein Schaden entsteht.
In 45 Minuten schauen wir, welche KI-Werkzeuge in deinem Betrieb schon laufen, wer sie nutzt und welche Schulung dazu passt. Ehrlich, ohne Folien.
Analysegespräch buchen