Eine KI-Policy legt verbindlich fest, wie dein Startup künstliche Intelligenz nutzt: welche Tools erlaubt sind, welche Daten nicht hineingehören, wie Ergebnisse geprüft und gekennzeichnet werden. Gerade junge Unternehmen profitieren von KI, weil sie Prozesse von Anfang an effizient aufsetzen können. Ohne klare Regeln drohen aber Datenlecks, Bußgelder und Reputationsschäden.
In vielen kleinen Teams wird KI längst genutzt, oft ohne dass jemand weiß, welche Tools mit welchen Daten im Einsatz sind. Eine kurze, verständliche Policy schafft hier Klarheit, ohne das Team auszubremsen.
In diesem Artikel erfährst du, welche Risiken ohne Regeln entstehen, welche Punkte jede KI-Policy enthalten sollte, wie du zwischen Cloud-Diensten und selbst gehosteten Modellen abwägst und wie du die Policy in fünf Schritten einführst. Ein Praxisbeispiel zeigt, wie das in einem kleinen Team aussehen kann.
Risiken ohne KI-Policy
Das häufigste Problem ist Schatten-KI: Mitarbeitende nutzen private Accounts oder kostenlose Tools, weil sie schnell sind und gerade verfügbar. Dabei landen Kundendaten, Vertragsentwürfe oder Quellcode bei Anbietern, mit denen das Unternehmen keinen Vertrag hat. Das kann gegen die DSGVO verstoßen und Geschäftsgeheimnisse gefährden.
Hinzu kommt Unsicherheit darüber, wie Cloud-Dienste mit Eingaben umgehen. Je nach Tarif und Einstellung können Anbieter Chats speichern, für Training oder Qualitätskontrolle nutzen und Nutzungsdaten wie IP-Adressen verarbeiten. Bei Business-Tarifen ist das Training mit Kundendaten meist ausgeschlossen, bei kostenlosen Varianten oft nicht.
Weitere Risiken sind fehlerhafte Ergebnisse, die ungeprüft an Kunden gehen, unklare Urheberrechte an generierten Inhalten und Verstöße gegen die Transparenzpflichten des EU AI Act. Wenn alle im Team die Regeln kennen, sinken diese Risiken deutlich.
Die wichtigsten Punkte einer KI-Policy
Geltungsbereich und freigegebene Tools
Lege fest, wer die Policy einhalten muss: Beschäftigte, Werkstudierende, Freelancer und Dienstleister. Nenne die freigegebenen KI-Tools samt Firmenlizenzen, die erlaubten Zwecke und die Tools, die tabu sind. Ein Satz wie „Das geht mit unserem Business-Account nicht, ich mache das schnell privat“ sollte im Team nicht vorkommen. Das kostet im Alltag manchmal etwas Zeit, verhindert aber unkontrollierten Datenabfluss und stärkt das Vertrauen von Kunden in ein junges Unternehmen.
Datenschutz und Vertraulichkeit
Teile deine Daten in Klassen ein: öffentlich, intern, vertraulich, personenbezogen. Lege für jede Klasse fest, ob und in welchem Tool sie verarbeitet werden darf. Praktische Regeln sind etwa: Namen und Kontaktdaten vor der Eingabe entfernen, Trainingsnutzung in den Einstellungen deaktivieren, Chatverläufe regelmäßig löschen. Mit externen Anbietern brauchst du für personenbezogene Daten in der Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Datenschutzkonferenz hat dazu eine Orientierungshilfe zu KI und Datenschutz veröffentlicht.
Transparenz und Kennzeichnung
Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 der EU-KI-Verordnung. Wer zum Beispiel einen Chatbot einsetzt, muss Nutzer darüber informieren, dass sie mit einer KI kommunizieren. Deepfakes und bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse sind zu kennzeichnen. Anbieter generativer Systeme müssen ihre Ausgaben zudem maschinenlesbar markieren.
Die großen Anbieter reagieren darauf: Anthropic hat im August 2026 angekündigt, Texte und Bilder seines Chatbots Claude mit einem unsichtbaren Wasserzeichen in den Metadaten zu versehen, wie ZDFheute berichtet. Für dein Unternehmen heißt das: Rechne damit, dass KI-Inhalte erkennbar sein können, und regle in der Policy, wann ihr KI-Unterstützung gegenüber Kunden offenlegt.
Qualitätskontrolle und Verantwortung
KI-Ergebnisse können falsch, veraltet oder einseitig sein. Lege fest, dass alles, was an Kunden geht, veröffentlicht oder für Entscheidungen genutzt wird, von einer verantwortlichen Person geprüft wird. Die Verantwortung für das Ergebnis liegt immer beim Menschen, nicht beim Tool.
Schulung und Ansprechperson
Seit Februar 2025 verlangt Art. 4 der KI-Verordnung, dass Unternehmen die KI-Kompetenz ihrer Beschäftigten fördern. Eine kurze Einführung in die Policy, ein Ansprechpartner für Fragen und eine Dokumentation der Schulungen reichen für kleine Teams oft aus. Die rechtlichen Hintergründe vertieft der Beitrag KI-Richtlinie für Unternehmen.
KI selbst hosten oder aus der Cloud beziehen?
Größere Unternehmen betreiben KI-Modelle teils auf eigener Infrastruktur, um die Kontrolle über Daten zu behalten. Mit leistungsfähigen Open-Source-Modellen ist das inzwischen auch für kleinere Firmen möglich, vor allem für Textaufgaben. Bild- und Videogenerierung erfordert dagegen oft teure Hardware. Die folgende Übersicht hilft bei der Abwägung:
| Variante | Vorteile | Nachteile | Geeignet für |
|---|---|---|---|
| Kostenlose Cloud-Tools | Sofort verfügbar, keine Kosten | Training mit Eingaben oft möglich, kein Vertrag zur Auftragsverarbeitung | Nur öffentliche, unkritische Inhalte |
| Business-Tarif eines Cloud-Anbieters | Verträge, Admin-Funktionen, meist kein Training mit Kundendaten | Laufende Lizenzkosten, Daten verlassen das Unternehmen | Die meisten Startups und KMU |
| Selbst gehostetes Open-Source-Modell | Volle Datenkontrolle | Technischer Aufwand, Hardware, Wartung, oft geringere Leistung | Sensible Daten, technikaffine Teams |
Egal, wo die KI läuft: Eine KI-Policy bleibt notwendig. Wer Cloud-KI nutzt, sollte auch an die Netzwerkebene denken. Welche Informationen allein deine IP-Adresse über deinen Standort verrät, zeigt ein kurzer Selbsttest wie Wie ist mein Standort?. Ein Business-VPN kann die Privatsphäre bei der Nutzung von Cloud-Diensten erhöhen und vor allem den Fernzugriff auf Firmendaten absichern. Ein VPN ersetzt aber keine Datenschutzprüfung des KI-Anbieters. Welche Hosting-Variante grundsätzlich zu dir passt, erklärt der Beitrag Managed Hosting oder eigener Server.
KI-Policy in fünf Schritten einführen
- Bestandsaufnahme: Frag im Team offen nach, welche KI-Tools wofür genutzt werden. Ohne Schuldzuweisung bekommst du ehrlichere Antworten.
- Tools auswählen: Entscheide dich für ein bis zwei freigegebene Tools mit Business-Vertrag und prüfe Datenschutzbedingungen und Speicherort.
- Regeln schreiben: Halte die Policy kurz, zwei bis vier Seiten reichen meist. Konkrete Beispiele sind hilfreicher als abstrakte Verbote.
- Schulen: Stelle die Policy in einem kurzen Termin vor und dokumentiere die Teilnahme.
- Überprüfen: Prüfe die Policy mindestens zweimal im Jahr, denn Tools und Rechtslage ändern sich schnell.
Praxisbeispiel: Agentur mit acht Personen
Ein Beispiel: Eine kleine Marketingagentur nutzt KI für Textentwürfe, Recherchen und Bildideen. Bisher hatte jede Person eigene Accounts. Die Geschäftsführung entscheidet sich für einen Business-Tarif eines Anbieters mit Vertrag zur Auftragsverarbeitung und schreibt eine dreiseitige KI-Policy.
Darin steht: Kundennamen und unveröffentlichte Kampagnendaten werden vor der Eingabe anonymisiert. Texte für Kunden werden immer von einer zweiten Person geprüft. Bilder mit realen Personen werden nicht generiert. Kunden werden im Angebot darüber informiert, dass KI-Werkzeuge zur Unterstützung eingesetzt werden. Eine Mitarbeiterin ist Ansprechpartnerin für Fragen und sammelt neue Tool-Wünsche. So bleibt der Effizienzgewinn erhalten, während die Risiken überschaubar sind. Wie du KI zum Beispiel zum Zusammenfassen von Dokumenten nutzt, zeigt der Beitrag PDF zusammenfassen mit KI.
Häufige Fragen
Was ist eine KI-Policy?
Eine KI-Policy ist eine interne Richtlinie, die regelt, welche KI-Tools im Unternehmen genutzt werden dürfen, welche Daten eingegeben werden dürfen und wie Ergebnisse geprüft, gekennzeichnet und verantwortet werden.
Ist eine KI-Policy gesetzlich vorgeschrieben?
Ein bestimmtes Dokument schreibt das Gesetz nicht vor. Datenschutzpflichten, die Förderung der KI-Kompetenz nach Art. 4 KI-VO und die Transparenzpflichten nach Art. 50 gelten aber. Eine Policy ist der praktischste Weg, sie umzusetzen und nachzuweisen.
Wie lang sollte eine KI-Policy sein?
Für Startups reichen meist zwei bis vier Seiten. Wichtiger als der Umfang ist, dass jede Person im Team die Regeln versteht und im Alltag anwenden kann.
Dürfen Mitarbeitende private KI-Accounts nutzen?
Das legst du in der Policy fest. Für Firmendaten ist es empfehlenswert, nur freigegebene Tools mit Unternehmensvertrag zuzulassen, weil private Accounts keine Kontrolle über Speicherung und Training erlauben.
Fazit
Eine KI-Policy ist für jedes Startup sinnvoll, das KI nutzt oder plant. Sie verhindert Schatten-KI, schützt Kundendaten und Geschäftsgeheimnisse und hilft, die Pflichten aus DSGVO und EU AI Act zu erfüllen. Starte mit einer Bestandsaufnahme, wähle wenige freigegebene Tools, schreibe kurze und konkrete Regeln und schule dein Team. Ob Cloud oder eigener Server: Klare Regeln sind in beiden Fällen die Grundlage.
