Eine KI-Richtlinie, die im Alltag auch gelesen wird

Wer eine Vorlage sucht, sucht die falsche Sache.

Die häufigste Anfrage zu diesem Thema lautet: Haben Sie eine Muster-Richtlinie? Die Absicht dahinter ist verständlich — niemand schreibt gern ein Regelwerk von Null. Nur regelt eine übernommene Richtlinie einen Betrieb, der nicht der eigene ist.

Das fällt nicht sofort auf, sondern erst im Alltag. Der Text nennt Werkzeuge, die im Haus niemand verwendet, und schweigt zu dem, das täglich offen ist. Er verweist auf eine Rechtsabteilung, die es nicht gibt. Er verbietet einen Anwendungsfall, der in einer Abteilung gerade die halbe Arbeitszeit trägt — und wird deshalb ignoriert, still und vollständig.

Die zweite Fehlerart ist unauffälliger und häufiger: der Text, der nichts entscheidet. Er hält fest, dass KI „verantwortungsvoll“ und „im Einklang mit dem Datenschutz“ zu verwenden ist, dass „Vorsicht geboten“ sei und Ergebnisse „kritisch zu hinterfragen“ sind. Jeder Satz stimmt. Nur beantwortet keiner davon die Frage, vor der jemand am Dienstagvormittag sitzt: Darf dieses Angebot mit Namen und Preisen in dieses Fenster hinein oder nicht? Wo eine Richtlinie das offenlässt, entscheidet jede Person selbst — und der Betrieb hat vierzig verschiedene Regeln statt einer.

Eine Richtlinie ist deshalb kein Dokument, das man beschafft, sondern das Ergebnis von etwa einem Dutzend Entscheidungen. Die Entscheidungen sind die Arbeit. Der Text ist danach schnell geschrieben.

Und noch eine Reihenfolge ist wichtig: Zuerst das Lagebild, dann die Regel. Wer festlegt, was erlaubt ist, ohne zu wissen, was ohnehin passiert, schreibt eine Regel gegen die Wirklichkeit. Sie verliert.

Zehn Bereiche, die in einer Richtlinie vorkommen.

Es gibt für Österreich eine brauchbare Gliederung, und sie kommt nicht von einem Beratungshaus. Die Wirtschaftskammer Österreich hat für kleine und mittlere Unternehmen KI-Guidelines veröffentlicht und nennt darin zehn Bereiche, die in einer Vereinbarung zur KI-Nutzung berücksichtigt werden sollen — angepasst an die Erfordernisse des jeweiligen Unternehmens:

1. Rahmenbedingungen zur Nutzung schaffen — ob, in welchem Umfang und mit welchen Werkzeugen KI dienstlich verwendet werden darf.
2. Grenzen von KI, der Mensch als wichtigste Instanz — welche Entscheidungen nicht an ein System abgegeben werden.
3. Kundenbezogene Daten und KI — was aus Kundenunterlagen überhaupt in ein System darf.
4. Unternehmensbezogene Daten und Geheimhaltung — welche internen Inhalte gesperrt bleiben.
5. KI und rechtliche Rahmenbedingungen — welche Vorgaben für die eigene Branche gelten.
6. Sicherheit und Qualität von Daten — wie geprüft wird, bevor ein Ergebnis weiterverwendet wird.
7. Ethik, Vielfalt, Inklusion — wo Ergebnisse Menschen benachteiligen könnten.
8. Transparenz und Kennzeichnungen — wann offengelegt wird, dass KI beteiligt war.
9. Schulungen und Weiterbildungen — wer befähigt wird und wie das festgehalten ist.
10. KI-generierte externe Kommunikation — was für Texte gilt, die das Haus verlassen.

Diese Liste ist deshalb so nützlich, weil sie zeigt, wie schmal der Teil ist, den die meisten für das Ganze halten. „Welches Werkzeug ist erlaubt“ ist ein Punkt von zehn. Die anderen neun betreffen Zuständigkeit, Prüfung, Vertraulichkeit und Befähigung — also Fragen der Organisation, nicht der Technik.

Für die Praxis hilft eine Reihenfolge. Vier der zehn Bereiche tragen die übrigen sechs, weil sich aus ihren Antworten fast alles Weitere ergibt: welche Werkzeuge überhaupt zugelassen sind, was an Daten hinein darf, wer im Zweifel entscheidet und wer freigibt, bevor etwas hinausgeht. Sind diese vier geklärt, sind Transparenz, Qualitätsprüfung und Schulung eine Folge daraus und keine neue Debatte. Werden sie übersprungen, lässt sich der Rest nicht sinnvoll formulieren — man merkt es daran, dass die Diskussion immer wieder zur Werkzeugfrage zurückkehrt.

Wer beantwortet sie? Nicht eine Person allein. Die Geschäftsführung entscheidet über Zulassung und Zuständigkeit, die Fachbereiche wissen, welche Aufgaben tatsächlich anfallen, und die IT weiß, was technisch bereits möglich ist. Diese drei Sichtweisen einmal an einem Tisch zu haben, ist erfahrungsgemäß der kürzeste Weg durch die Liste.

Die Kammer stellt zu diesen Bereichen auch ein Online-Werkzeug bereit, mit dem sich ein erster, auf das eigene Unternehmen zugeschnittener Text erzeugen lässt. Wer die Antworten beisammen hat, kommt damit zügig zu einem Entwurf.

Quelle: Wirtschaftskammer Österreich, KI-Guidelines für KMU — Richtlinien für Mitarbeiterinnen und Mitarbeiter

Zwei Dokumente statt eines langen.

Der zweite Grund, warum Richtlinien ungeöffnet bleiben, ist ihre Länge. Ein Text, der zehn Bereiche vollständig behandelt, wird mehrseitig. Mehrseitige Dokumente werden einmal unterschrieben und nie wieder aufgeschlagen.

Bewährt hat sich eine Trennung:

• Die Richtlinie ist das Nachschlagewerk.Sie darf ausführlich sein, weil sie nicht für den täglichen Gebrauch gedacht ist, sondern für den Zweifelsfall — und für den Nachweis, dass es eine Regel gibt.
• Der Aushang ist die Alltagsfassung.Eine Seite, sichtbar am Arbeitsplatz, die nur die Frage beantwortet, die sich täglich stellt: Darf das hinein oder nicht?

Die Alltagsfassung ist die wirksamere von beiden. Sie erreicht Menschen in dem Moment, in dem die Entscheidung fällt — und nicht drei Monate vorher in einer Betriebsversammlung. Genau für diesen Zweck haben wir die Daten-Ampel als Aushang gebaut; sie deckt Bereich drei und vier der obigen Liste ab.

Das meiste ist bei Ihnen schon geregelt.

Ein Punkt, der die Arbeit deutlich verkürzt und regelmäßig übersehen wird: Ein großer Teil dessen, was eine KI-Richtlinie regeln soll, ist in Ihrem Betrieb bereits geregelt — nur an anderer Stelle und ohne das Wort KI.

Verschwiegenheit steht in Dienstverträgen. Der Umgang mit personenbezogenen Daten ist datenschutzrechtlich vorgezeichnet. Wer ein Angebot freigibt, bevor es hinausgeht, ist im Qualitätsablauf festgelegt. Wer im Zweifel entscheidet, ergibt sich aus der Organisation.

Daraus folgt eine praktische Regel: Die KI-Richtlinie verweist, wo es geht, und regelt nur, wo wirklich Neues auftritt. Das hält sie kurz und verhindert das gefährlichere Problem — zwei Dokumente, die dasselbe unterschiedlich regeln. Widersprechen sich Betriebsvereinbarung und KI-Richtlinie, gewinnt im Alltag keine von beiden; es gewinnt die Gewohnheit.

In der Praxis sieht das so aus: Statt Verschwiegenheit neu zu formulieren, nennt die Richtlinie die Stelle, an der sie schon steht, und ergänzt nur den Umstand, der neu ist — dass eine Eingabe in ein KI-System eine Weitergabe an Dritte sein kann. Ein Satz, ein Verweis, fertig. Das ist zugleich der Grund, warum sich eine Richtlinie nicht sinnvoll aus einer Vorlage bauen lässt: Die Verweise gehen auf Ihre Dokumente, nicht auf die eines fremden Betriebs.

Wirklich neu ist meist nur dreierlei: dass Inhalte ein System außerhalb des Hauses erreichen können, dass eine Ausgabe überzeugend klingt und trotzdem falsch sein kann, und dass jemand festlegen muss, wer gegenliest.

Woran man merkt, dass eine Richtlinie gelesen wird.

Es gibt einen einfachen Prüfstein, und er hat nichts mit dem Dokument zu tun: Kommen Fragen? Eine Richtlinie, die niemand liest, erzeugt Ruhe. Eine, die gelesen wird, erzeugt Rückfragen — zu Grenzfällen, zu Werkzeugen, die nicht in der Liste stehen, zu einem Kundenprojekt, das nicht in das Schema passt.

Diese Fragen sind der Beweis, dass der Text angekommen ist. Deshalb braucht jede Richtlinie zwei Angaben, die in Vorlagen fast immer fehlen:

• Eine Anlaufstelle mit Namen.Nicht „die Geschäftsführung“, sondern eine Person, die im Zweifel innerhalb eines Arbeitstages antwortet. Ohne sie werden Zweifelsfälle nicht geklärt, sondern entschieden — von jeder Person anders.
• Ein Termin für die nächste Durchsicht.Werkzeuge, Funktionen und Vertragsbedingungen ändern sich schneller als Regelwerke. Ein Datum im Dokument sorgt dafür, dass die Richtlinie nicht schleichend zur Fiktion wird.

Und der dritte Punkt, den kein Dokument ersetzt: Regeln zu KI-Nutzung setzen voraus, dass die Begriffe darin verstanden werden. Wer nicht weiß, warum ein Sprachmodell nichts nachprüft, kann eine Prüfpflicht nicht sinnvoll erfüllen — er hält sie für Formalismus. Genau dort setzen unsere Lernwege an: erst Verständnis, dann Regel.

Wo dieser Beitrag aufhört und die Rechtsfrage beginnt.

Alles bisher Gesagte betrifft Vorarbeit: welche Fragen zu beantworten sind, in welcher Reihenfolge, und wie der Text im Alltag bestehen kann. Der verbindliche Wortlaut ist etwas anderes.

Sobald eine Richtlinie Pflichten für Mitarbeitende festschreibt, berührt sie Arbeits- und Datenschutzrecht, mitunter die Mitbestimmung des Betriebsrats. Ob ein bestimmter Satz in Ihrem Haus so formuliert werden darf, ob eine Vereinbarung oder eine Weisung das richtige Instrument ist und was daraus folgt, ist eine Rechtsfrage. Sie gehört zur Rechtsberatung, zur Wirtschaftskammer oder zu Ihrer Datenschutzstelle — nicht in einen Blogbeitrag und nicht in ein Seminar.

Wir halten diese Grenze bewusst ein. Was wir tun, ist der Teil davor und der Teil danach: das Lagebild erheben, die Entscheidungen ordnen, und die Menschen so weit befähigen, dass die fertige Regel im Alltag verstanden und angewendet wird.

Das Arbeitsblatt in der Seitenspalte hält genau diese Vorarbeit fest — zehn Bereiche, zehn Fragen, Platz für Ihre Antworten. Wer damit in ein Rechtsgespräch geht, braucht dafür deutlich weniger Zeit.