KI Richtlinien Blaupause für Unternehmen

Es gibt keine allgemeine Vorschrift, die von jedem Unternehmen ein Dokument mit der Überschrift „KI-Richtlinie“ verlangt. Sobald KI im Betrieb eingesetzt wird, müssen aber bestehende Pflichten praktisch erfüllt werden. Die DSGVO verlangt unter anderem einen festgelegten Zweck, eine Rechtsgrundlage, Datenminimierung, Sicherheit und nachweisbare Verantwortlichkeit[3]. Die KI-Verordnung verlangt von Anbietern und Betreibern Maßnahmen zur Unterstützung der KI-Kompetenz ihrer Mitarbeitenden und weiterer Personen, die in ihrem Auftrag mit KI-Systemen arbeiten[6].

Eine Richtlinie ist dafür ein organisatorischer Baustein. Sie verhindert keine Verstöße von allein. Sie schafft jedoch einen verbindlichen Rahmen für Werkzeuge, Daten, Freigaben, menschliche Kontrolle und Meldungen. Genau diese Klarheit fehlt bei Schatten-KI: Mitarbeitende wollen eine Aufgabe lösen, finden aber keine freigegebene Alternative und keine verständliche Grenze.

Pauschale Verbote werden im Alltag häufig umgangen. Eine zu offene Formulierung wie „KI darf verantwortungsvoll genutzt werden“ hilft dagegen niemandem. Die Blaupause teilt typische Fälle in drei Stufen ein und verbindet jede Stufe mit einer klaren Handlung.

Die Farbe bewertet nicht das Produkt als Ganzes, sondern den konkreten Anwendungsfall. Dasselbe Werkzeug kann für einen Entwurf mit öffentlichen Informationen grün und für die Analyse von Personalakten gelb oder rot sein.

Die Frage „Dürfen personenbezogene Daten in KI?“ ist zu grob. Vor jeder Verarbeitung müssen Zweck und Rechtsgrundlage feststehen. Zusätzlich sind Rollen zwischen Unternehmen und Anbieter, Verträge, Speicherorte, mögliche Drittlandübermittlungen, Löschmöglichkeiten und die Nutzung der Eingaben für Anbieterzwecke zu prüfen. Die DSK empfiehlt außerdem zu klären, ob der Zweck ohne personenbezogene Daten erreicht werden kann und ob Betroffenenrechte praktisch umgesetzt werden können[1].

Auch ein angeblich anonymes Modell darf nicht ungeprüft als anonym behandelt werden. Der Europäische Datenschutzausschuss verlangt eine Einzelfallbetrachtung. Für Anonymität muss es sehr unwahrscheinlich sein, Personen aus dem Modell direkt oder indirekt zu identifizieren oder ihre Daten durch Abfragen zu extrahieren[5].

Eine Richtlinie kann einen ungeeigneten Dienst nicht nachträglich reparieren. Vor der Freigabe sollten Unternehmen mindestens prüfen, ob ein Auftragsverarbeitungsvertrag erforderlich und verfügbar ist, welche Daten der Anbieter für eigene Zwecke nutzt, ob Training mit Ein- und Ausgaben deaktiviert werden kann, welche Unterauftragnehmer beteiligt sind und wie Löschung sowie Zugriffssteuerung funktionieren. Das Bayerische Landesamt für Datenschutzaufsicht nennt für KI-Cloud-Dienste ausdrücklich den Vertrag zur Auftragsverarbeitung, den Ausschluss eigener Anbieterzwecke und geschulte Beschäftigte als zentrale Prüfpunkte[7].

Technische und organisatorische Maßnahmen gehören ebenfalls in die Freigabe. Die DSK nennt unter anderem Verschlüsselung, Protokollierung, Rollen- und Berechtigungskonzepte, Löschkonzepte sowie regelmäßige Schulung. Sie empfiehlt, Datenschutz bereits in Design, Entwicklung, Einführung und laufendem Betrieb zu berücksichtigen[4].

„Wir nutzen Anbieter X“ ist keine ausreichende Dokumentation. Verbraucherzugang, Enterprise-Version, eingebettete Office-Funktion und API desselben Herstellers können andere Verträge, Löschfristen, Administrationsrechte, Modelle und Datenflüsse haben. Die Freigabe bezieht sich deshalb immer auf Produktvariante, Konto, Funktion, Modell und Anwendungsfall.

Auch öffentlich bekannte Datenschutzversprechen gelten nicht automatisch für jede Variante. OpenAI erklärt beispielsweise, Geschäftsdaten in seinen Business-Produkten und der API standardmäßig nicht zum Modelltraining zu verwenden[13]. Microsoft nennt für seine Unternehmens-Copilots ein Data Protection Addendum und kein Training der Basismodelle mit Prompts, Antworten oder Graph-Daten, weist aber auf abweichende Datenflüsse einzelner Funktionen wie Websuche oder bestimmte Untermodelle hin[14]. Google erklärt, private Workspace-Dateien nicht für das Training seiner Basismodelle zu scannen[15]. Anthropic nennt für seine kommerzielle API standardmäßig eine andere Aufbewahrung als für Produkte mit gespeicherten Chats und Coding-Sitzungen[16]. Das sind Prüfansätze, keine pauschalen Freigaben; Vertrags- und Produkteinstellungen ändern sich.

Ein Auftragsverarbeitungsvertrag, kurz AVV, ist regelmäßig erforderlich, wenn der KI-Anbieter personenbezogene Daten ausschließlich nach Weisung des Unternehmens verarbeitet. Er regelt unter anderem Zweck und Dauer, Datenarten, Vertraulichkeit, Sicherheit, Unterauftragnehmer, Unterstützung bei Betroffenenrechten, Löschung und Kontrollrechte. Fehlt er trotz Auftragsverarbeitung, sollte der Dienst nicht mit personenbezogenen Daten genutzt werden.

Ein AVV macht einen KI-Einsatz nicht automatisch datenschutzkonform. Das Unternehmen braucht weiterhin einen zulässigen Zweck und eine Rechtsgrundlage, muss Daten minimieren, informieren, Risiken beherrschen und eine eventuelle Drittlandübermittlung absichern. Nutzt der Anbieter Inhalte für eigene Zwecke, kann er insoweit selbst Verantwortlicher sein; dann reicht die Einordnung als Auftragsverarbeiter nicht.

Eine API ist eine technische Schnittstelle. Statt dass Beschäftigte direkt in einem Chatfenster arbeiten, sendet eine eigene Anwendung Eingaben an den KI-Dienst und erhält eine maschinenlesbare Antwort. Dadurch lassen sich Daten filtern, Funktionen begrenzen und Prüfungen automatisieren. Die Übermittlung an den Anbieter bleibt jedoch bestehen.

• API-Schlüssel ausschließlich serverseitig in einem Secret-Management-System speichern – nie im Browsercode, Quelltext oder Prompt.
• Eingaben minimieren oder pseudonymisieren; Ausgaben vor Datenbankzugriffen, E-Mails, Zahlungen oder anderen Aktionen validieren.
• Zugriffe pro Anwendung und Umgebung trennen, Rechte begrenzen, Limits setzen und Schlüssel rotieren.
• Aufbewahrung, Missbrauchsprotokolle, Trainingsnutzung, Datenstandorte und Unterauftragnehmer prüfen.
• Fehlerfälle, menschliche Freigabe und einen sicheren Abbruchweg von Anfang an einplanen.

Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums übermittelt oder von dort zugänglich, braucht es neben der normalen Rechtsgrundlage ein Instrument für den Drittlandtransfer. Das kann etwa ein Angemessenheitsbeschluss, bei zertifizierten US-Empfängern das EU-US Data Privacy Framework, oder geeignete Garantien wie Standardvertragsklauseln sein. Zusätzliche technische Maßnahmen und eine dokumentierte Transferprüfung können erforderlich bleiben[9].

„Server in Deutschland“ beantwortet deshalb nur einen Teil der Prüfung. Relevant sind außerdem der Vertragspartner, Konzernstruktur, Unterauftragnehmer, tatsächliche Zugriffsmöglichkeiten, Verschlüsselung und Schlüsselkontrolle, Transparenzberichte sowie die Verpflichtung des Anbieters, unverhältnismäßige Anordnungen anzufechten.

Die Blaupause startet bewusst restriktiv. Alles, was nicht im Werkzeugregister freigegeben ist, bleibt gesperrt. Dadurch kann ein Unternehmen die Richtlinie einsetzen, bevor jeder denkbare Sonderfall bewertet ist. Der freigegebene Weg muss gleichzeitig leicht erreichbar sein, sonst entsteht neue Schatten-KI.

Eine Richtlinie ohne technische Durchsetzung bleibt lückenhaft. Unternehmen sollten freigegebene Konten über Single Sign-on und Mehrfaktor-Authentifizierung steuern, lokale Administratorrechte minimieren, KI-Websites und Erweiterungen risikobasiert über Browser, Endpoint, DNS, Proxy oder CASB kontrollieren, Datenklassifizierung und DLP einsetzen sowie Agenten- und API-Aktivitäten protokollieren. KI darf keine Rechte erhalten, die eine nutzende Person selbst nicht benötigt.

PowerShell einfach per Execution Policy zu „deaktivieren“ reicht nicht. Microsoft bezeichnet diese Einstellung ausdrücklich nicht als Sicherheitsgrenze, weil sie von entschlossenen Nutzenden umgangen werden kann[11]. Wenn Standardarbeitsplätze PowerShell nicht benötigen, kann die IT sie über App Control for Business oder eine vergleichbare Anwendungssteuerung sperren beziehungsweise in einen eingeschränkten Modus versetzen. Microsoft empfiehlt App Control gegenüber AppLocker; Regeln sollten vor der Erzwingung im Audit-Modus auf Abhängigkeiten getestet werden[12]. Für Administration bleiben benannte Rollen, kontrollierte Skripte, separate Konten und ein dokumentierter Notfallweg bestehen.

• Inventar aller KI-Systeme, eingebetteten Funktionen, Modelle, Agenten, APIs und Konnektoren
• Werkzeug- und Anwendungsfallregister mit Status, erlaubten Daten, Verantwortlichen und Prüfterminen
• Zweck, Rechtsgrundlage, Datenkategorien, betroffene Personen und Verzeichnis der Verarbeitungstätigkeiten
• AVV, Unterauftragnehmer, Transferinstrument, Transferprüfung und technische Zusatzmaßnahmen
• Datenschutz-Folgenabschätzung, Sicherheits- und Risikobewertung, Qualitäts- und Benachteiligungstests
• Administrationskonfiguration, Rollen, Berechtigungen, Löschfristen und relevante Protokolle
• Schulungsplan, Inhalte, Teilnahme, Wissenskontrolle sowie Änderungs-, Ausnahme- und Vorfallprotokoll

Alle Nutzenden brauchen vor der ersten Verwendung eine Basisschulung zu Funktionsgrenzen, Datenklassen, erlaubten Werkzeugen, sicheren Eingaben, Ergebnisprüfung und Meldewegen. Führungskräfte trainieren zusätzlich Freigaben und menschliche Aufsicht; IT und Administration Identität, Konfiguration, DLP, API-Schlüssel, Agenten und Vorfälle; Entwicklung Secure-AI-Development, Prompt Injection und Ausgabebegrenzung; HR, Recht und Datenschutz Beschäftigtendaten, Betroffenenrechte, Folgenabschätzung und Mitbestimmung. Die Teilnahme und eine kurze Wirksamkeitskontrolle werden dokumentiert. Eine Auffrischung erfolgt mindestens jährlich und bei wesentlichen Änderungen des Systems oder der Richtlinie.

Die Word-Vorlage ist als interne Richtlinie und Praxisleitfaden aufgebaut. Sie enthält neunzehn Regelungsbereiche, eine konservative Standardkonfiguration, Anbieter- und Vertragserklärungen, Schulungsmatrix, technische Guardrails, Inkraftsetzung, Werkzeugregister, Anwendungsfallprüfung, Schnellcheck, Anbieterprüfung, Schulungsnachweis und Einführungscheck. Platzhalter markieren alle Stellen, die an Organisation und Prozesse angepasst werden müssen.

Die Blaupause ersetzt weder eine Datenschutz-Folgenabschätzung noch Auftragsverarbeitungsverträge, Datenschutzhinweise oder technische Sicherheitsmaßnahmen. Sie verbindet diese Bausteine über einen gemeinsamen Arbeitsprozess.

Braucht jedes Unternehmen eine KI-Richtlinie?
Nicht zwingend unter genau diesem Dokumenttitel. Unternehmen müssen aber ihre konkreten Datenschutz-, Sicherheits-, Transparenz-, Dokumentations- und Kompetenzpflichten erfüllen. Eine interne Richtlinie macht diese Anforderungen für Beschäftigte anwendbar.

Was gehört in eine AI Policy?
Mindestens Geltungsbereich, freigegebene Werkzeuge, erlaubte Daten, menschliche Prüfung, Entscheidungen über Personen, Kennzeichnung, Zuständigkeiten, Freigaben, Vorfälle, Schulung und regelmäßige Aktualisierung.

Dürfen personenbezogene Daten in KI-Tools eingegeben werden?
Nicht pauschal. Zweck, Rechtsgrundlage, Datenminimierung, Anbieterrolle, Verträge und Schutzmaßnahmen müssen zum konkreten Einsatz passen. Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein[3].

Reicht die Richtlinie für die DSGVO aus?
Nein. Je nach Einsatz kommen unter anderem das Verzeichnis von Verarbeitungstätigkeiten, Verträge, Datenschutzhinweise, Lösch- und Berechtigungskonzepte sowie eine Datenschutz-Folgenabschätzung hinzu.

Kann die Vorlage unverändert übernommen werden?
Nein. Werkzeuge, Datenklassen, Zuständigkeiten, Meldewege und Freigaben müssen zum Unternehmen passen. Vor Inkraftsetzung sollten Geschäftsführung, Datenschutz, IT-Sicherheit und gegebenenfalls die Beschäftigtenvertretung eingebunden werden.

Gibt der CLOUD Act US-Behörden Zugriff auf alle Daten in Europa?
Nein. Er schafft keinen freien Pauschalzugriff. Eine gültige US-Anordnung kann einen Anbieter unter US-Gerichtsbarkeit aber zur Herausgabe von Daten in seinem Besitz oder unter seiner Kontrolle verpflichten – auch bei Speicherung in Europa. Zusätzlich bleibt die DSGVO zu beachten.

Sollten Coding- und Cowork-KI pauschal verboten werden?
Die Blaupause setzt sie zunächst auf Rot. Das ist eine sichere Ausgangslage, kein unveränderliches Endergebnis. Ein klar begrenzter Anwendungsfall kann nach dokumentierter Datenschutz- und Sicherheitsprüfung als Ausnahme freigegeben werden.

Die KI Richtlinien Blaupause schafft einen gemeinsamen Standard für den täglichen KI-Einsatz. Entscheidend sind klare Werkzeuge, konkrete Datenregeln, echte menschliche Prüfung und ein funktionierender Freigabeweg. Die bearbeitbare Vorlage liefert dafür eine belastbare Ausgangsstruktur.