# KI-Richtlinie für Unternehmen: Pflicht? > KI-Richtlinie für Unternehmen: ob sie Pflicht ist, ob du einen KI-Beauftragten brauchst und was hineingehört. Rechtsstand September 2026, mit Gliederung. Quelle: https://gerlinger.ai/ki-richtlinie-unternehmen Stand: 2026-10-09 ## KI-Richtlinie für Unternehmen: Dein Team weiß, was mit KI erlaubt ist. Eine KI-Richtlinie für Unternehmen schreibt die EU-KI-Verordnung nicht vor, einen KI-Beauftragten auch nicht. Vorgeschrieben ist seit dem 2. Februar 2025 etwas anderes: Wer KI im Betrieb einsetzt, muss nach Artikel 4 Maßnahmen ergreifen, die die KI-Kompetenz seiner Mitarbeiter unterstützen. Eine kurze schriftliche Richtlinie ist dafür ein naheliegender Baustein, weil sie festhält, welche Werkzeuge freigegeben sind, welche Daten nicht hineingehören und wer bei Fragen entscheidet. gerlinger.ai, die KI- und Software-Einheit der JANGER GmbH aus Backnang, schult Mitarbeiter in Unternehmen mit 5 bis 250 Mitarbeitern genau an diesen Regeln. Diese Seite ist eine organisatorische Orientierung, keine Rechtsberatung. Rechtsstand 29. September 2026. Die rechtliche Bewertung für deinen Betrieb übernimmt dein Anwalt oder dein Datenschutzbeauftragter. Auswahl aus über 200 Projekten seit 2007, überwiegend Handel und E-Commerce. ### Artikel 4 verlangt Maßnahmen zur KI-Kompetenz und lässt die Form offen. Die Pflicht hängt an der Nutzung, nicht an der Betriebsgröße. Wer im Büro ein Chatwerkzeug für Angebote oder Mails einsetzt, ist Betreiber eines KI-Systems im Sinne der Verordnung. Wie du die Kompetenz deiner Mitarbeiter unterstützt, legt das Gesetz nicht fest. Eine KI-Richtlinie ist ein internes Regelwerk für den Einsatz künstlicher Intelligenz im Betrieb. Sie legt fest, welche Werkzeuge mit welchem Zugang genutzt werden dürfen, welche Daten tabu sind, wer Ergebnisse prüft und an wen sich Mitarbeiter bei Fragen oder Fehlern wenden. - Werkzeuge - Daten - Prüfung - Zuständigkeit Seit dem 27. Juli 2026 gilt Artikel 4 in der Fassung der [Verordnung (EU) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj?locale=de): Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und aller zu unterstützen, die in ihrem Auftrag KI-Systeme betreiben und nutzen. Ein bestimmtes Kompetenzniveau muss dabei für niemanden garantiert werden. Die Pflicht zu handeln bleibt. Keine Rechtsberatung. Wir beschreiben die Rechtslage nach den genannten Quellen, die Prüfung für deinen Fall macht dein Anwalt. ### Zwei von drei Unternehmen halten die KI-Kompetenz ihrer Mitarbeiter für gering. Die Zahlen stammen aus derselben Bitkom-Umfrage vom September 2026. Sie zeigen, wo es im Alltag hakt: Die Werkzeuge sind da, die Unsicherheit darüber, was erlaubt ist, auch. - **66 %** der Unternehmen schätzen die KI-Kompetenzen ihrer Beschäftigten als gering ein (Quelle: Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, 14. September 2026, https://www.bitkom.org/Presse/Presseinformation/Erstmals-nutzt-Mehrheit-Unternehmen-KI) - **56 %** der Unternehmen, die KI einsetzen, nennen rechtliche Verunsicherung als Hemmnis (Quelle: Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, 14. September 2026, https://www.bitkom.org/Presse/Presseinformation/Erstmals-nutzt-Mehrheit-Unternehmen-KI) - **25 %** der Unternehmen bieten keinerlei KI-Schulungen an, im Vorjahr waren es 43 Prozent (Quelle: Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, 14. September 2026, https://www.bitkom.org/Presse/Presseinformation/Erstmals-nutzt-Mehrheit-Unternehmen-KI) Bitkom Research hat für den Digitalverband Bitkom 603 Unternehmen ab 20 Beschäftigten in Deutschland telefonisch befragt, in den Kalenderwochen 28 bis 33 des Jahres 2026. Laut derselben Umfrage setzen 57 Prozent der Unternehmen KI ein, im Vorjahr waren es 36 Prozent. Der zweite Wert bezieht sich nur auf Unternehmen, die KI bereits nutzen. Betriebe unter 20 Beschäftigten sind in der Erhebung nicht enthalten. ### Vorgeschrieben sind nur Maßnahmen zur KI-Kompetenz, Richtlinie, Beauftragter und Zertifikat bleiben freiwillig. Die Bundesnetzagentur hat im Juni 2025 in ihrem [Hinweispapier KI-Kompetenzen nach Artikel 4 KI-Verordnung](https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/_functions/Hinweispapier.pdf?__blob=publicationFile&v=2) aufgelistet, was für Artikel 4 nicht vorgeschrieben ist. Die EU-Kommission bestätigt das in ihren [Fragen und Antworten zur KI-Kompetenz](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers), Stand 27. Juli 2026. #### Vorgeschrieben - Maßnahmen zur KI-Kompetenz aller, die in deinem Auftrag mit KI arbeiten, seit dem 2. Februar 2025 - die Maßnahmen an Vorwissen, Aufgabe und Einsatzzweck auszurichten - bei Hochrisiko-KI die menschliche Aufsicht an kompetente, befugte Personen zu übertragen (Artikel 26, für Systeme nach Anhang III ab dem 2. Dezember 2027) - ein Datenschutzbeauftragter, wenn in der Regel mindestens 20 Personen ständig personenbezogene Daten automatisiert verarbeiten (§ 38 BDSG), unabhängig von KI #### Nicht vorgeschrieben - eine schriftliche KI-Richtlinie - ein KI-Beauftragter oder ein KI-Gremium - ein Zertifikat, eine Prüfung oder ein bestimmter Anbieter - ein bestimmtes Schulungsformat oder eine Mindestdauer - ein garantiertes Kompetenzniveau je Person Quellen: [Verordnung (EU) 2026/1744 vom 8. Juli 2026](https://eur-lex.europa.eu/eli/reg/2026/1744/oj?locale=de), im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit dem 27. Juli 2026, dort auch die neuen Geltungstermine für Hochrisiko-KI; [Verordnung (EU) 2024/1689, Artikel 26](https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=de); [§ 38 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__38.html). Seit dem 29. Juli 2026 gilt in Deutschland das [KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG)](https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html). Nach dessen § 2 ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt. Die Bußgeldvorschrift in § 15 KI-MIG nennt Artikel 4 nicht. Die EU-Kommission weist trotzdem darauf hin, dass Verstöße gegen Artikel 4 nach nationalem Recht geahndet werden können, und die Bundesnetzagentur schreibt, ein Mangel an KI-Kompetenz könne als Verletzung der Sorgfaltspflicht gelten, besonders wenn ein Schaden entsteht. ### Acht Punkte gehören in eine KI-Richtlinie für Unternehmen. Die Gliederung folgt den Empfehlungen der Datenschutzkonferenz aus ihrer [Orientierungshilfe Künstliche Intelligenz und Datenschutz vom 6. Mai 2024](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf) und dem Hinweispapier der Bundesnetzagentur. Sie ist ein Muster für den Aufbau, keine fertige Richtlinie. #### Zweck und Geltungsbereich Für wen die Richtlinie gilt, also Mitarbeiter, Auszubildende, Aushilfen und Freie, die in deinem Auftrag arbeiten. Und für welche Art von Werkzeugen: Chatprogramme, KI-Funktionen in vorhandener Software, Übersetzer, Bild- und Spracherkennung. #### Freigegebene Werkzeuge und Zugänge Eine kurze Liste der erlaubten Werkzeuge, jeweils mit betrieblichem Zugang. Die Datenschutzkonferenz empfiehlt betriebliche Konten, damit Mitarbeiter nicht mit privaten Zugängen arbeiten. Dazu die Regel, wer ein neues Werkzeug prüft und freigibt. #### Daten, die nicht hineingehören Personenbezogene Daten von Kunden und Kollegen, Gesundheitsdaten, Personalakten, Passwörter, Betriebsgeheimnisse. Am besten mit Beispielen aus dem eigenen Alltag, etwa: Die Kundenreklamation mit Name und Adresse bleibt draußen, die anonymisierte Fassung darf hinein. #### Erlaubte und untersagte Einsatzzwecke Wofür KI genutzt werden darf und wofür nicht. Die Datenschutzkonferenz rät ausdrücklich zu konkreten Beispielen für zugelassene und untersagte Szenarien. Heikel sind Entscheidungen über Menschen, etwa Bewerberauswahl oder Leistungsbewertung. #### Ergebnisse prüfen, bevor sie rausgehen KI-Ergebnisse können falsch sein, auch wenn sie überzeugend klingen. Die Richtlinie legt fest, bei welchen Aufgaben eine fachkundige Person gegenliest, bevor ein Text an Kunden geht oder eine Zahl in ein Angebot. Welche Kennzeichnungspflichten gelten, steht im Artikel [KI-Kennzeichnungspflicht für Unternehmen](https://gerlinger.ai/blog/ki-kennzeichnungspflicht-unternehmen). #### Zuständigkeiten und Ansprechpartner Wer die Werkzeuge verwaltet, wer Fragen beantwortet und wer entscheidet, wenn etwas unklar ist. Im kleinen Betrieb ist das oft eine einzige Person. Wichtig ist, dass jeder Mitarbeiter ihren Namen kennt. #### Schulung und Nachweis Wer welche Schulung bekommt, wann aufgefrischt wird und wo die Nachweise liegen. Die EU-Kommission nennt ein internes Verzeichnis der Schulungen als ausreichend, ein Zertifikat ist nicht nötig. Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren. #### Fehler melden und Richtlinie pflegen Ein klarer Weg, wenn doch einmal Kundendaten im falschen Werkzeug gelandet sind oder ein falsches Ergebnis rausging. Dazu ein Datum für die nächste Überprüfung und eine Versionsnummer, damit alle wissen, welche Fassung gilt. Wer eine Vorlage zum Ausfüllen sucht: Die IHK Schwaben stellt eine [Muster-KI-Richtlinie als Word-Datei](https://www.ihk.de/schwaben/produktmarken/digitalisierung/kuenstliche-intelligenz/ki-richtlinie-6644000) bereit, mit dem ausdrücklichen Hinweis, dass sie keine Rechtsberatung ist. Weitere Unterlagen zur Einführung liegen unter [Downloads](https://gerlinger.ai/downloads). ### Mit Betriebsrat ist die Richtlinie meist ein Mitbestimmungsthema. Eine Richtlinie regelt, wie sich Mitarbeiter im Betrieb verhalten sollen. Dafür kennt das Betriebsverfassungsgesetz ein Mitbestimmungsrecht in [§ 87 Abs. 1 Nr. 1 BetrVG](https://www.gesetze-im-internet.de/betrvg/__87.html). Kann ein eingesetztes KI-System Verhalten oder Leistung erfassen, etwa über Nutzungsprotokolle in einem Firmenzugang, kommt Nr. 6 dazu. Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) einen Sonderfall als mitbestimmungsfrei eingestuft: Mitarbeiter durften ChatGPT über private Konten nutzen, der Arbeitgeber hatte keinen Zugriff auf die Nutzungsdaten. Sobald du einen betrieblichen Zugang mit Verwaltungsfunktionen bereitstellst, sieht die Lage anders aus. Die Datenschutzkonferenz empfiehlt, Datenschutzbeauftragte und Betriebsrat früh einzubinden. Die Einzelheiten stehen im Artikel [Betriebsrat und KI: Wann Mitbestimmung Pflicht ist](https://gerlinger.ai/blog/betriebsrat-ki-mitbestimmung), die rechtliche Bewertung für deinen Betrieb übernimmt dein Anwalt. ### Im KMU reicht eine zuständige Person, ein KI-Beauftragter mit Titel ist dafür kein Muss. Einen KI-Beauftragten schreibt Artikel 4 nicht vor, weder mit Titel noch mit Meldung an eine Behörde. Jemand muss die Richtlinie trotzdem pflegen und Fragen beantworten. Wer das im Betrieb übernimmt, hängt von der Größe ab. Drei Beispiele, keine Vorgabe: #### Bis etwa 20 Mitarbeiter Die Geschäftsführung übernimmt die Rolle selbst oder gibt sie an die Person im Büro, die ohnehin die Software verwaltet. Ein fester Termin, etwa einmal im Quartal, hilft, Werkzeugliste und Richtlinie aktuell zu halten. - entscheidet über neue Werkzeuge - beantwortet Fragen im Alltag - hält die Schulungsnachweise #### Mit Datenschutzbeauftragtem Ist ohnehin ein Datenschutzbeauftragter benannt, liegt es nahe, ihn einzubinden. Die EU-Kommission beantwortet die Frage, ob Datenschutzbeauftragter und KI-Verantwortlicher dieselbe Person sein können, mit dem Hinweis, dass Artikel 4 keine bestimmte Struktur vorgibt. - prüft Datenfragen bei neuen Werkzeugen - stimmt die Richtlinie mit dem Datenschutz ab - bleibt Ansprechpartner für Vorfälle #### Ab mehreren Abteilungen Eine Person koordiniert, in jeder Abteilung gibt es jemanden, der die Werkzeuge gut kennt und Kollegen weiterhilft. So bleibt die Richtlinie nah an den echten Aufgaben. - eine koordinierende Person - Ansprechpartner je Abteilung - fester Rhythmus für Aktualisierungen Zertifikate sind freiwillig. Die IHK bietet etwa den Lehrgang [Betriebliche/-r KI-Beauftragte/-r (IHK)](https://www.dihk-bildungs-gmbh.de/weiterbildung/ihk-zertifikate/zertifikatslehrgaenge/ki-beauftragter-ihk) mit 60 Lehrgangsstunden an (DIHK-Bildungs-GmbH, abgerufen am 29. September 2026, Angaben und Preise können sich ändern). Für die Pflicht aus Artikel 4 braucht es ihn nicht. ### Richtlinie und Schulung gehören zusammen. Ein Dokument allein ändert keine Arbeitsweise. In unserer KI-Schulung arbeiten deine Mitarbeiter an Aufgaben aus ihrem eigenen Alltag und lernen dabei die Regeln, die im Betrieb gelten sollen: welches Werkzeug, welche Daten, wer gegenliest. Am Ende stehen Unterlagen mit Agenda, Inhalten und Teilnehmerliste für deinen Nachweis. Die Richtlinie selbst schreiben wir nicht, und rechtlich prüfen wir sie auch nicht: Das gehört zu deinem Anwalt oder Datenschutzbeauftragten. Unser Teil ist, dass dein Team die Regeln im Alltag anwenden kann. Wie die Schulung abläuft, steht unter [KI-Schulung](https://gerlinger.ai/leistungen/ki-beratung/ki-schulung), was Artikel 4 für die einzelnen Gruppen im Betrieb bedeutet, unter [KI-Schulung für Mitarbeiter](https://gerlinger.ai/ki-schulung-fuer-mitarbeiter). Die ausführliche Rechtslage mit den vier Grundsteinen der Bundesnetzagentur steht im Artikel [KI-Schulungspflicht nach Artikel 4 EU AI Act](https://gerlinger.ai/blog/ki-schulungspflicht-eu-ai-act), warum private KI-Konten im Betrieb ein Risiko sind, unter [Schatten-KI im Unternehmen](https://gerlinger.ai/blog/schatten-ki-unternehmen). Wer zuerst wissen will, wo KI im Betrieb überhaupt ansetzt, beginnt mit der [KI-Beratung](https://gerlinger.ai/leistungen/ki-beratung). ### Häufige Fragen zur KI-Richtlinie und zum KI-Beauftragten. Die Antworten sind eine organisatorische Orientierung und keine Rechtsberatung. Deine Frage fehlt? [Schreib uns](mailto:hallo@gerlinger.ai), wir antworten innerhalb eines Werktags. #### Ist eine KI-Richtlinie für Unternehmen Pflicht? Die EU-KI-Verordnung schreibt keine schriftliche KI-Richtlinie vor. Sie verlangt seit dem 2. Februar 2025 in Artikel 4, dass Unternehmen, die KI einsetzen, Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeiter zu unterstützen. Eine Richtlinie ist ein naheliegender Teil dieser Maßnahmen, weil sie Werkzeuge, Daten und Zuständigkeiten festhält. Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe vom Mai 2024 klare, dokumentierte interne Regeln zum KI-Einsatz. Ob in deinem Betrieb aus anderen Gründen eine Regelung nötig ist, etwa wegen eines Betriebsrats oder branchenspezifischer Vorgaben, klärt dein Anwalt oder Datenschutzbeauftragter. #### Ist ein KI-Beauftragter Pflicht? Nein, nach Artikel 4 der KI-Verordnung nicht. Die Bundesnetzagentur zählt die Einführung eines KI-Beauftragten in ihrem Hinweispapier vom Juni 2025 ausdrücklich zu dem, was für Artikel 4 nicht vorgeschrieben ist. Die EU-Kommission schreibt in ihren Fragen und Antworten zur KI-Kompetenz, dass keine bestimmte Governance-Struktur verlangt wird. Sinnvoll ist trotzdem eine Person, die Fragen beantwortet, neue Werkzeuge prüft und die Richtlinie aktuell hält. #### Braucht ein KI-Beauftragter ein Zertifikat, zum Beispiel von der IHK? Nein. Die KI-Verordnung sieht keine Zertifizierungspflicht vor, das stellen die Bundesnetzagentur und die EU-Kommission klar. IHK-Zertifikatslehrgänge wie Betriebliche/-r KI-Beauftragte/-r (IHK) sind ein freiwilliges Weiterbildungsangebot. Sie können sinnvoll sein, wenn eine Person die Rolle dauerhaft übernimmt, sind aber keine Voraussetzung, um Artikel 4 zu erfüllen. #### Wie weisen wir die KI-Kompetenz unserer Mitarbeiter nach? Ein bestimmtes Nachweisformat gibt es nicht. Die EU-Kommission nennt als Möglichkeit ein internes Verzeichnis der Schulungen und sonstigen Maßnahmen. Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren, damit du im Schadensfall zeigen kannst, was du getan hast. Praktisch heißt das: Datum, Inhalt, Teilnehmer, die gültige Fassung der Richtlinie und die Liste der freigegebenen Werkzeuge an einem Ort ablegen. #### Reicht ein Muster als PDF aus dem Internet? Als Gliederung ist ein Muster hilfreich, etwa die Muster-KI-Richtlinie der IHK Schwaben. Ein Muster kennt aber weder eure Werkzeuge noch eure Daten noch eure Abläufe. Die IHK Schwaben weist selbst darauf hin, dass ihr Muster keine Rechtsberatung ist und vor der Anwendung rechtlicher oder fachlicher Rat eingeholt werden sollte. Ohne Anpassung bleiben genau die Fragen offen, die Mitarbeiter im Alltag entscheiden müssen. #### Muss der Betriebsrat einer KI-Richtlinie zustimmen? Oft ja. Regelt die Richtlinie das Verhalten der Mitarbeiter im Betrieb, kommt ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 BetrVG in Betracht. Kann ein eingesetztes KI-System Verhalten oder Leistung der Mitarbeiter erfassen, greift § 87 Abs. 1 Nr. 6 BetrVG. Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) einen Sonderfall mit privaten ChatGPT-Konten ohne Zugriff des Arbeitgebers als mitbestimmungsfrei eingestuft. Die Bewertung für deinen Betrieb übernimmt dein Anwalt. #### Gibt es ein Bußgeld, wenn wir keine KI-Richtlinie haben? Für das bloße Fehlen einer Richtlinie gibt es keine eigene Bußgeldvorschrift, weil die Richtlinie selbst nicht vorgeschrieben ist. Die deutsche Bußgeldvorschrift in § 15 KI-MIG nennt Artikel 4 nicht (Stand 29. September 2026). Die EU-Kommission weist darauf hin, dass Behörden Verstöße gegen Artikel 4 nach nationalem Recht ahnden können. Die Bundesnetzagentur schreibt, ein Mangel an KI-Kompetenz könne als Verletzung der Sorgfaltspflicht angesehen werden, besonders wenn ein Schaden entsteht. ### Kostenloses Analysegespräch In 45 Minuten schauen wir, welche KI-Werkzeuge in deinem Betrieb schon laufen, wer sie nutzt und welche Schulung dazu passt. Ehrlich, ohne Folien.