Eine KI-Richtlinie legt fest, welche KI-Tools dein Team nutzen darf, welche Daten tabu sind und wer für Ergebnisse geradesteht. Für Startups und KMU ist das längst keine Formalie mehr: KI-Assistenten helfen bei Marktrecherche, Texten und Code, und kleine Teams können damit deutlich mehr leisten. Wer sie aber ohne Leitlinien einsetzt, riskiert Datenschutzverstöße, den Verlust von Geschäftsgeheimnissen und Pflichtverletzungen nach dem EU AI Act.
Seit August 2026 gelten zusätzliche Transparenzpflichten aus der KI-Verordnung, gleichzeitig wurden einige Fristen für Hochrisiko-Systeme verschoben. Umso wichtiger ist es, die Rechtslage nicht nach Halbwissen einzuschätzen.
In diesem Artikel erfährst du, welche rechtlichen Anforderungen 2026 gelten, was in eine KI-Richtlinie für Unternehmen gehört, wie eine Muster-Gliederung aussehen kann und wie du Zuständigkeiten und Know-how im Team aufbaust. Der Beitrag ersetzt keine Rechtsberatung.
Datenschutz und Geschäftsgeheimnisse
Die größte Schwachstelle im Alltag ist die Eingabe sensibler Informationen. Sobald Beschäftigte personenbezogene Daten, vertrauliche Kundeninformationen, Finanzdaten oder proprietären Code in externe KI-Dienste eingeben, entstehen Datenschutz-, Geheimnisschutz- und Vertragsrisiken. Die Nutzung eines externen Tools ist nicht automatisch unzulässig. Du musst aber vorab prüfen, welche Daten verarbeitet werden, wo sie gespeichert werden, ob der Anbieter Eingaben zum Training nutzt und welche vertraglichen und technischen Schutzmaßnahmen bestehen.
Prüfe außerdem, ob für einen Anwendungsfall eine interne Freigabe nötig ist und ob der gewählte Tarif oder die Einstellungen eine Nutzung der Eingaben zur Modellverbesserung ausschließen.
Besonders kritisch sind personenbezogene Daten, besondere Kategorien personenbezogener Daten wie Gesundheitsdaten, Geschäftsgeheimnisse sowie Informationen, die vertraglichen Vertraulichkeitspflichten unterliegen. Werden personenbezogene Daten verarbeitet, brauchst du eine belastbare Rechtsgrundlage, eine klare Rollenverteilung mit dem Anbieter, geeignete technische und organisatorische Maßnahmen und, wo nötig, einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums kommen die Regeln für Drittlandtransfers hinzu.
Was der EU AI Act 2026 verlangt
Die KI-Verordnung der EU folgt einem risikobasierten Ansatz: Je stärker ein KI-System Sicherheit, Gesundheit oder Grundrechte beeinträchtigen kann, desto strenger sind die Anforderungen. Für Startups und KMU sind vor allem diese Punkte relevant (Stand Oktober 2026):
| Pflicht | Seit wann | Was das für dich bedeutet |
|---|---|---|
| Verbotene Praktiken (Art. 5) | 2. Februar 2025 | Bestimmte Anwendungen wie manipulative Systeme oder Social Scoring sind untersagt. |
| KI-Kompetenz (Art. 4) | 2. Februar 2025 | Wer KI einsetzt, muss die Kompetenz der beteiligten Beschäftigten fördern, praktisch heißt das dokumentierte Schulungen. |
| Transparenzpflichten (Art. 50) | 2. August 2026 | Kennzeichnung etwa bei Chatbots, Deepfakes und bestimmten KI-generierten Texten zu Themen von öffentlichem Interesse. |
| Hochrisiko-Systeme nach Anhang III | verschoben auf 2. Dezember 2027 | Etwa KI in Personalauswahl, Bildung oder Kreditwürdigkeitsprüfung: Risikomanagement, Dokumentation, menschliche Aufsicht. |
Die Verschiebung der Hochrisiko-Fristen geht auf die Digital-Omnibus-Verordnung zurück, die laut der Kanzlei FGS am 27. Juli 2026 in Kraft getreten ist. Die Transparenzpflichten nach Art. 50 blieben davon unberührt. Bei Verstößen gegen Art. 50 drohen Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, für KMU gilt jeweils der niedrigere Betrag.
Die eigene Rolle klären
Frage dich nicht nur, welches Tool genutzt wird, sondern auch: Wofür wird es eingesetzt, wer kann betroffen sein und welche Rolle hat dein Unternehmen? Wer ein fremdes KI-System im eigenen Betrieb nutzt, ist in der Regel Betreiber. Wer ein KI-Produkt unter eigenem Namen entwickelt und vertreibt, gilt als Anbieter und trägt deutlich mehr Pflichten. Gerade Startups, die KI-Funktionen in ihre Software einbauen, sollten diese Einordnung früh vornehmen. Welche Rolle KI-Agenten dabei spielen, beschreibt der Beitrag KI-Agenten auf dem Vormarsch.
Verantwortung der Geschäftsleitung
Für Gründer und Geschäftsführer gilt: KI-Governance ist eine Leitungsaufgabe. Die Geschäftsleitung muss nicht jedes Tool selbst prüfen. Sie muss aber eine angemessene Organisation schaffen, Verantwortlichkeiten festlegen und sicherstellen, dass rechtliche, datenschutzrechtliche und operative Risiken erkannt und gesteuert werden.
Eine fehlende KI-Richtlinie führt nicht automatisch zu persönlicher Haftung oder einem Bußgeld. Sie kann im Einzelfall aber darauf hindeuten, dass angemessene Organisations-, Kontroll- und Dokumentationsmaßnahmen fehlen. Verletzt die Geschäftsleitung schuldhaft ihre Sorgfaltspflichten und entsteht der Gesellschaft dadurch ein Schaden, kann eine Innenhaftung gegenüber dem Unternehmen in Betracht kommen.
Was in eine KI-Richtlinie gehört
Eine gute Richtlinie ist kein langes Papier für die Schublade. Sie übersetzt rechtliche und organisatorische Anforderungen in konkrete Arbeitsregeln und beantwortet mindestens diese Fragen:
- Welche KI-Tools und Versionen sind offiziell freigegeben?
- Für welche Zwecke dürfen sie eingesetzt werden?
- Welche Daten dürfen eingegeben werden, und welche sind ausnahmslos ausgeschlossen?
- Wann ist vorher eine Freigabe durch Datenschutz, Informationssicherheit oder Fachverantwortliche nötig?
- Wie wird verhindert, dass vertrauliche Daten für Training oder andere Zwecke des Anbieters genutzt werden?
- Wie werden Ergebnisse auf Richtigkeit, Diskriminierungsrisiken, Urheberrechte und Vertraulichkeit geprüft?
- Bei welchen Entscheidungen ist eine menschliche Prüfung zwingend?
- Wer dokumentiert Anwendungsfälle, Vorfälle und Entscheidungen?
- Wer trägt die Verantwortung für das Endprodukt, und wer wird bei Unsicherheiten einbezogen?
Muster-Gliederung für die KI-Richtlinie
Als Ausgangspunkt kannst du diese Struktur verwenden und an dein Unternehmen anpassen:
- Zweck und Geltungsbereich (Beschäftigte, Freelancer, Dienstleister)
- Freigegebene Tools und Lizenzen, Verfahren für neue Tools
- Datenklassen: erlaubt, nur anonymisiert, verboten
- Erlaubte und verbotene Anwendungsfälle
- Prüf- und Freigabeprozesse für Ergebnisse
- Kennzeichnung von KI-Inhalten nach Art. 50 KI-VO
- Schulungen und Nachweise zur KI-Kompetenz
- Zuständigkeiten, Meldewege bei Vorfällen
- Überprüfung und Aktualisierung der Richtlinie
Ein Praxisbeispiel: Das Marketing-Team darf einen freigegebenen KI-Assistenten für Entwürfe und Ideensammlungen nutzen. Kundendaten, nicht veröffentlichte Geschäftszahlen, Bewerberdaten und vertrauliche Vertragsinhalte dürfen nicht eingegeben werden. Inhalte, die veröffentlicht oder für Entscheidungen genutzt werden, prüft vorher eine verantwortliche Person. Bei rechtlich, finanziell oder reputativ sensiblen Inhalten greift zusätzlich der interne Freigabeprozess. Wie du die Regeln im Alltag umsetzt, Schatten-KI vermeidest und Tools auswählst, zeigt der Beitrag KI-Policy für Startups.
Zuständigkeit und Know-how aufbauen
Regeln helfen nur, wenn das Team sie versteht. Um dein Startup erfolgreich aufzubauen, reicht es nicht, ein Dokument zu verteilen. Technik und Rechtslage entwickeln sich schnell, oberflächliches Wissen genügt nicht.
Sinnvoll ist eine benannte Ansprechperson, die KI-Anwendungen im Blick behält, Schulungen organisiert und Fragen klärt. Dafür gibt es verschiedene Weiterbildungen, zum Beispiel eine Ausbildung zum AI Compliance Officer, außerdem Seminare von Kammern, Verbänden oder Datenschutzberatern. Kleinere Unternehmen können die Rolle auch mit dem externen Datenschutzbeauftragten abstimmen. Wichtig ist, dass die verantwortliche Person Zeit und Rückendeckung bekommt, um sich laufend weiterzubilden.
Für die Mitarbeitenden genügen oft kurze, rollenbezogene Schulungen: Was darf ich eingeben? Wie prüfe ich Ergebnisse? Wann muss ich kennzeichnen? Halte Teilnahme und Inhalte schriftlich fest, um die Förderung der KI-Kompetenz belegen zu können. Ob dein Team grundsätzlich bereit für KI ist, kannst du mit dem Beitrag Reif für die KI? einschätzen.
Agilität bedeutet nicht Regellosigkeit
Schnell und flexibel zu arbeiten heißt nicht, fahrlässig zu handeln. Unternehmen, die KI verantwortungsvoll einsetzen, schaffen keine unnötige Bürokratie, sondern Orientierung. Eine pragmatische KI-Richtlinie, klare Zuständigkeiten, freigegebene Tools und geschulte Mitarbeitende ermöglichen es, Effizienzpotenziale zu nutzen und zugleich Datenschutz, Geschäftsgeheimnisse und regulatorische Anforderungen im Blick zu behalten. Wer zusätzlich IT-Sicherheitspflichten prüfen muss, findet Hinweise im Beitrag zu NIS2 für SaaS-Startups.
Häufige Fragen
Braucht jedes Unternehmen eine KI-Richtlinie?
Gesetzlich vorgeschrieben ist ein bestimmtes Dokument nicht. Wer KI einsetzt, muss aber Datenschutz, KI-Kompetenz und Transparenzpflichten erfüllen. Eine schriftliche Richtlinie ist der einfachste Weg, das zu organisieren und nachzuweisen.
Gibt es ein Muster für eine KI-Richtlinie im Unternehmen?
Verbände, Kammern und Beratungen bieten Vorlagen an. Nutze sie als Ausgangspunkt, aber passe Tools, Datenklassen und Freigabewege an deinen Betrieb an. Die Gliederung oben deckt die wichtigsten Punkte ab.
Ist eine KI-Schulung für Mitarbeitende Pflicht?
Art. 4 KI-VO verpflichtet Unternehmen, die KI-Kompetenz der Beschäftigten zu fördern. Eine bestimmte Zertifizierung ist nicht vorgeschrieben, Umfang und Form hängen vom Einsatzbereich ab. Dokumentierte Schulungen sind in der Praxis sinnvoll.
Wer ist für die Einhaltung verantwortlich?
Letztlich die Geschäftsleitung. Sie kann Aufgaben delegieren, muss aber für eine angemessene Organisation und Kontrolle sorgen.
Fazit
Eine KI-Richtlinie schützt dein Unternehmen vor Datenabfluss, Pflichtverletzungen und Haftungsrisiken, ohne Innovation auszubremsen. Kläre zuerst Datenschutz und deine Rolle nach dem AI Act, lege dann freigegebene Tools, Datenklassen und Prüfprozesse fest und benenne eine verantwortliche Person. Mit kurzen Schulungen und regelmäßiger Überprüfung bleibt die Richtlinie aktuell, auch wenn sich Technik und Recht weiter verändern.
