KI-Richtlinie für Mitarbeitende: Was muss rein?

Eine KI-Richtlinie schafft Klarheit, bevor Unsicherheit oder Shadow AI entstehen. Sie sagt Mitarbeitenden nicht einfach «Seid vorsichtig», sondern beantwortet konkrete Fragen: Welche Tools darf ich nutzen? Welche Daten darf ich nie eingeben? Wann muss ich Ergebnisse prüfen? Und an wen wende ich mich bei Unsicherheit?

Eine Richtlinie allein verändert jedoch noch keinen Arbeitsalltag. Erst wenn du sie mit Schulung, verständlichen Beispielen und sichtbarer Führung verbindest, wird sie zur hilfreichen Orientierung.

Warum braucht dein Unternehmen eine KI-Richtlinie?

Generative KI ist oft schneller im Unternehmen als formelle Prozesse. Mitarbeitende testen Tools, übernehmen Ergebnisse in Dokumente oder geben Informationen ein, ohne genau zu wissen, was erlaubt ist. Das Risiko entsteht nicht durch Neugier, sondern durch fehlende Leitplanken.

Eine gute KI-Nutzungsrichtlinie hilft auf drei Ebenen:

• Sie schützt vertrauliche Informationen und Personen.
• Sie schafft Sicherheit für produktive, erlaubte Nutzung.
• Sie macht Verantwortlichkeiten und Eskalationswege transparent.

Sie ist damit kein Bremsklotz. Im Gegenteil: Klare Regeln machen es leichter, KI sinnvoll einzusetzen.

Was gehört in eine KI-Richtlinie?

1. Zweck und Geltungsbereich

Beschreibe in wenigen Sätzen, wozu die Richtlinie dient und für wen sie gilt. Beziehe Mitarbeitende, temporäre Kräfte und externe Personen ein, soweit sie mit Unternehmensinformationen arbeiten.

2. Erlaubte und nicht erlaubte Tools

Liste die freigegebenen Tools und Zugangswege verständlich auf. Regle zugleich, wie neue Tools geprüft und freigegeben werden. Eine lange Liste technischer Details gehört eher in einen Anhang; Mitarbeitende brauchen eine klare Alltagsantwort.

3. Datenschutz und Eingabeverbote

Dieser Abschnitt muss besonders konkret sein. Definiere, welche Inhalte nicht in externe KI-Systeme eingegeben werden dürfen, beispielsweise:

• Personen- und besonders schützenswerte Personendaten
• Kunden-, Vertrags- und Finanzinformationen
• Geschäftsgeheimnisse und interne Strategiepapiere
• Zugangsdaten, Sicherheitshinweise oder Quellcode, sofern nicht ausdrücklich freigegeben

Für Schweizer Unternehmen ist das Datenschutzgesetz ein wichtiger Rahmen. Die praktische Regel lautet: Daten nur dann eingeben, wenn Zweck, Tool, Schutzmassnahmen und Berechtigung geklärt sind.

4. Prüfen, Kennzeichnen und Urheberschaft

KI-Ergebnisse können falsch, unvollständig oder verzerrt sein. Die fachliche Verantwortung bleibt beim Menschen. Regle daher:

• Ergebnisse vor externer oder entscheidungsrelevanter Nutzung prüfen
• Quellen und Fakten kontrollieren
• KI-Unterstützung dort kennzeichnen, wo Transparenz erforderlich oder sinnvoll ist
• keine urheberrechtlich geschützten Inhalte unzulässig übernehmen

5. Verantwortlichkeiten

Mitarbeitende brauchen eine eindeutige Kontaktstelle. Lege fest, wer Richtlinie, Toolfreigaben, Datenschutzfragen, Schulung und Vorfälle verantwortet. Verteilte Verantwortung ist sinnvoll; unklare Verantwortung nicht.

6. Schulung und Kompetenz

Die Richtlinie muss mit einer Einführung verbunden sein. Alle Betroffenen sollten die Regeln nicht nur gelesen, sondern anhand konkreter Situationen verstanden haben. Für Organisationen mit Bezug zum EU-Markt ist zudem Artikel 4 des EU AI Acts relevant: Er verlangt ein ausreichendes Mass an KI-Kompetenz für Personen, die KI-Systeme einsetzen. Dazu führen wir klassische Teamschulungen vor Ort durch und begleiten dich auf Wunsch auch beim unternehmensweiten Rollout mit einem E-Learning.

7. Umgang mit Shadow AI

Verbieten allein löst Shadow AI nicht, deine Mitarbeitenden nutzen KI sowieso. Frage dich, warum Mitarbeitende auf nicht freigegebene Tools ausweichen: Fehlen passende Zugänge? Dauert die Freigabe zu lange? Oder fehlt Wissen über erlaubte Alternativen?

Die Richtlinie sollte daher einen einfachen Meldeweg enthalten: «Wenn ein Tool für eine Aufgabe sinnvoll erscheint, melde den Bedarf an diese Stelle.» So wird aus verdeckter Nutzung ein steuerbarer Prozess.

Über dieses Thema haben wir im Artikel Warum Tool-Rollout ohne Schulung das Datenrisiko erst schafft genauer geschrieben.

Kopiervorlage: Gliederung einer KI-Nutzungsrichtlinie

1. Zweck und Ziel der Richtlinie
2. Geltungsbereich und Begriffe
3. Grundprinzipien der KI-Nutzung
4. Freigegebene Tools und Zugänge
5. Daten, Eingaben und Datenschutz
6. Prüfung, Qualität und Kennzeichnung von Ergebnissen
7. Verantwortlichkeiten und Freigabeprozesse
8. Schulung und Kompetenznachweis
9. Umgang mit Verstössen und Unsicherheiten
10. Aktualisierung und Versionierung

Diese Gliederung ist ein Startpunkt, keine Rechtsberatung. Stimme Detailregeln mit Datenschutz, IT-Sicherheit und gegebenenfalls Rechtsberatung auf deine Organisation und deine Tools ab.

Wie führst du die Richtlinie ein, ohne dass sie verschwindet?

Eine gute Einführung ist kurz, wiederholt und nah am Arbeitsalltag:

1. Führung erklärt das Warum. Nicht nur «Das ist neu», sondern: «Wir wollen KI nutzen – sicher und nützlich.»
2. Mitarbeitende üben an Beispielen. Was darf in den Prompt? Was nicht? Wann prüfen wir?
3. Teams erhalten eine handliche Kurzfassung. Die Vollversion bleibt verfügbar, die wichtigsten Regeln müssen aber schnell auffindbar sein.
4. Fragen werden sichtbar beantwortet. Ein zentraler FAQ-Kanal verhindert, dass jede Person eigene Regeln erfindet.
5. Die Richtlinie wird aktualisiert. Tools, Anwendungsfälle und Anforderungen verändern sich; eine Richtlinie ohne Review-Datum veraltet schnell.

Eine KI-Richtlinie wirkt nicht durch ihren Umfang, sondern durch ihre Verwendbarkeit. Sie gibt Mitarbeitenden klare Leitplanken und gleichzeitig die Erlaubnis, im sicheren Rahmen zu experimentieren. Mit Schulung, Beispielen und Führung wird sie zu einem echten Teil der KI-Adoption.

Nächster Schritt: Prüfe deine heutige Ausgangslage: Welche Tools werden bereits genutzt, welche Eingaben sind kritisch und welche Fragen stellen Mitarbeitende am häufigsten? Daraus entsteht die erste praxistaugliche Version deiner KI-Richtlinie.

Häufige Fragen

Braucht jedes Unternehmen eine eigene KI-Richtlinie?

Sobald Mitarbeitende KI-Tools für die Arbeit einsetzen oder einsetzen könnten, braucht es mindestens klare, dokumentierte Regeln. Umfang und Detailgrad richten sich nach eingesetzten Tools, Daten und Risiko.

Wie oft musst du eine KI-Richtlinie aktualisieren?

Mindestens dann, wenn sich eingesetzte Tools, Datenflüsse, Anwendungsfälle oder rechtliche Anforderungen wesentlich verändern. Ein fester Review-Rhythmus, beispielsweise jährlich, verhindert zudem, dass die Richtlinie still veraltet.