KI-Richtlinie im Unternehmen: ChatGPT-Nutzung regeln

In eine KI-Richtlinie gehören klare Antworten auf die Fragen, die im Alltag tatsächlich auftauchen. Die DSK empfiehlt, dokumentiert festzulegen, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen – am besten mit konkreten Beispielen für erlaubte und verbotene Einsätze. Diese acht Bausteine haben sich bewährt:

• Erlaubte Tools: eine Positivliste mit Version bzw. Tarif, etwa nur der Business-Tarif, nicht die Gratis-Version.
• Datenklassen: Was darf in welches Tool – öffentlich, intern, vertraulich, personenbezogen? Und was ist grundsätzlich tabu?
• Kennzeichnung: Wann muss KI-Unterstützung intern oder gegenüber Kunden offengelegt werden?
• Prüfpflicht: KI-Ergebnisse sind Entwürfe. Fakten, Zahlen, Zitate und Quellen werden vor der Weitergabe geprüft, weil Sprachmodelle Inhalte erfinden können (Halluzinationen).
• Urheberrecht: keine fremden geschützten Werke hochladen, KI-Bilder und -Texte nicht ungeprüft als eigene Werke verwerten.
• Verantwortliche: eine Ansprechperson für Fragen, Tool-Freigaben und Vorfälle.
• Schulung: wer vor der Nutzung welche Einweisung erhält und wie das dokumentiert wird.
• Verstöße: was bei einer versehentlichen Eingabe sensibler Daten zu tun ist und welche Folgen bewusste Verstöße haben.

Zur Kennzeichnung gibt es seit dem 2. August 2026 auch eine gesetzliche Untergrenze: Nach Art. 50 Abs. 4 der KI-Verordnung müssen Betreiber Deepfakes als künstlich erzeugt offenlegen, ebenso KI-Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden – es sei denn, ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung. Ihre Richtlinie darf strenger sein.

Eine brauchbare Vorlage passt auf zwei bis drei Seiten und folgt dieser Gliederung. Kopieren Sie die Tabelle, ersetzen Sie die Platzhalter in eckigen Klammern und streichen Sie, was bei Ihnen nicht zutrifft:

Die Formulierungen sind ein Ausgangspunkt, keine geprüfte Rechtsvorlage. Gerade bei Abschnitt 10 und arbeitsrechtlichen Konsequenzen sollten Sie die Richtlinie im Zweifel rechtlich prüfen lassen.

Das hängt vom konkreten Tool und seiner Einbindung ab. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Nr. 1 betrifft zusätzlich Fragen der Ordnung des Betriebs.

Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) ein Mitbestimmungsrecht für ChatGPT verneint. Entscheidend war: Die Beschäftigten nutzten das Tool über den Browser mit privaten Accounts, der Arbeitgeber erhielt keine Nutzungsdaten, und die Browsernutzung war bereits per Konzernbetriebsvereinbarung geregelt. Fachleute warnen davor, das zu verallgemeinern. Stellen Sie dienstliche Accounts bereit – wie es die DSK empfiehlt – oder ist das Tool in Ihre Office-Umgebung integriert, kann der Arbeitgeber Protokolle einsehen. Dann spricht viel für ein Mitbestimmungsrecht.

Mein Rat: Beziehen Sie den Betriebsrat früh ein, auch die DSK empfiehlt das. Eine Betriebsvereinbarung schafft für beide Seiten Klarheit. Ob ein Mitbestimmungsrecht in Ihrem Fall besteht, sollten Sie im Zweifel rechtlich prüfen lassen.

Am besten in fünf Schritten, und zwar gemeinsam mit den Menschen, die KI täglich nutzen. Eine Richtlinie, die nur in der Schublade liegt, ändert nichts an der Schatten-KI.

1. Bestandsaufnahme: Fragen Sie offen und ohne Sanktionsandrohung, welche Tools wofür genutzt werden.
2. Tools auswählen: Legen Sie fest, welche Tarife Sie bereitstellen. Die Datenschutzseite dazu beschreibe ich im Artikel KI DSGVO-konform nutzen.
3. Entwurf abstimmen: Datenschutzbeauftragte, Betriebsrat und zwei bis drei Vielnutzer lesen gegen.
4. Schulen: Erklären Sie die Regeln an echten Beispielen, nicht per Rundmail.
5. Überprüfen: Planen Sie eine feste Überarbeitung ein, etwa halbjährlich (Richtwert), und immer dann, wenn neue Tools hinzukommen.

Indem Sie den erlaubten Weg zum bequemsten machen. Wer ein gutes, freigegebenes Tool mit dienstlichem Account hat, greift seltener zum privaten Gratis-Zugang. Verbote ohne Alternative treiben die Nutzung dagegen nur weiter in den Schatten.

Ebenso wichtig ist Verständnis: Wer weiß, warum Personaldaten nicht in ein Gratis-Tool gehören und wie Halluzinationen entstehen, hält sich aus Überzeugung an die Regeln. Genau das ist der Kern meiner KI-Schulungen und Workshops: Wir arbeiten an echten Aufgaben Ihres Teams und klären dabei die Leitplanken. Auf Wunsch bringe ich eine Vorlage für Ihre interne KI-Richtlinie mit. Wo Sie gerade stehen, zeigt Ihnen der kostenlose Bedarfscheck.