KI-Nutzungsrichtlinie für ChatGPT & Copilot (mit Vorlage)

Inhalt in Kürze

• Sobald Ihre Mitarbeitenden ChatGPT, Copilot oder Gemini nutzen, brauchen Sie eine KI-Nutzungsrichtlinie – sonst entsteht unkontrollierte „Schatten-KI” mit Datenabfluss-Risiko.
• Eine gute Richtlinie regelt sieben Bereiche: Geltungsbereich, zugelassene Tools, Grundregeln, verbotene Nutzungen, Meldepflicht, Schulung und Verantwortlichkeiten.
• Die Richtlinie ist kein Selbstzweck: Sie stützt die KI-Kompetenzpflicht nach Art. 4 AI Act (gilt seit 2. Februar 2025) und die Vorbereitung auf den allgemeinen Geltungsbeginn ab 2. August 2026.
• Unten finden Sie eine strukturierte Vorlage zum direkten Nachbauen.

---

Künstliche Intelligenz ist im Mittelstand längst angekommen: Fast jedes zweite Unternehmen in Deutschland setzt KI aktiv ein, wie die Bitkom-Erhebung zur KI-Nutzung zeigt. Vor allem generative KI wie ChatGPT von OpenAI oder Microsoft Copilot ist in vielen Büros zum Alltagswerkzeug geworden. Das Problem dabei ist selten die Technik – sondern dass niemand die Regeln kennt. Genau hier setzt eine KI-Nutzungsrichtlinie an: ein internes Dokument, das festlegt, wer im Unternehmen welche KI-Systeme und KI-Tools wofür und mit welchen Daten nutzen darf. Sie schafft klare Leitplanken für die Nutzung von ChatGPT und vergleichbaren Diensten.

Lesetipp: Wie Sie KI im Unternehmen rechtssicher einführen – von der Toolauswahl bis zur Richtlinie – lesen Sie kompakt in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten). Jetzt herunterladen →

Warum jedes Unternehmen mit ChatGPT & Copilot eine KI-Nutzungsrichtlinie braucht

Der häufigste Fehler ist nicht der bewusste Regelverstoß, sondern das Fehlen jeder Regel. Mitarbeitende laden Kundendaten in ChatGPT, um eine E-Mail formulieren zu lassen. Sie fügen einen vertraulichen Vertragsentwurf in ein KI-Tool ein, um ihn zusammenfassen zu lassen. Meist mit den besten Absichten – und ohne zu wissen, dass solche Eingaben je nach Anbieter und Tarif zur Modellverbesserung weiterverarbeitet werden können.

Für diesen unkontrollierten Einsatz gibt es einen Begriff: Schatten-KI. Sie entsteht, wenn Beschäftigte KI-Systeme ohne Wissen und Freigabe der Geschäftsführung verwenden. Drei Risiken wiegen dabei besonders schwer:

• Datenabfluss: Personenbezogene oder vertrauliche Informationen verlassen unkontrolliert das Unternehmen – ein möglicher DSGVO-Verstoß und ein Bruch von Geheimhaltungspflichten.
• Qualitäts- und Haftungsrisiken: KI-Ausgaben enthalten Fehler („Halluzinationen”). Werden sie ungeprüft übernommen, haftet das Unternehmen für das Ergebnis.
• Fehlender Kompetenznachweis: Ohne Regeln und Schulung lässt sich die KI-Kompetenzpflicht nach Art. 4 AI Act nicht belegen.

Eine KI-Nutzungsrichtlinie verwandelt den unkontrollierten Umgang mit KI – die Schatten-KI – in einen dokumentierten, steuerbaren Prozess. Sie ist im EU AI Act (Verordnung (EU) 2024/1689) – der KI-Verordnung der EU – zwar nicht als eigenständige Pflicht genannt, doch sie hilft Ihnen, gleich mehrere reale Anforderungen an die Nutzung von KI-Systemen strukturiert zu erfüllen.

Was in eine KI-Nutzungsrichtlinie gehört

Eine praxistaugliche Richtlinie muss nicht lang sein, aber vollständig. Die folgenden Grundregeln bilden den fachlichen Kern:

Regelbereich	Was Sie festlegen sollten
Datenschutz	Welche Daten dürfen eingegeben werden? Keine personenbezogenen Daten in Tools ohne Auftragsverarbeitungsvertrag (AVV).
Vertraulichkeit	Betriebsgeheimnisse, Verträge und Quellcode nur in freigegebenen, abgesicherten Umgebungen.
Transparenz	KI-gestützt erstellte Inhalte kennzeichnen, wo es relevant ist – intern wie gegenüber Kunden.
Qualität	KI-Ausgaben sind Entwürfe. Fachliche Prüfung durch einen Menschen vor Veröffentlichung ist Pflicht.
Urheberrecht	Fremde Inhalte nicht ungeprüft übernehmen; Nutzungsrechte an generierten Werken vorab klären.

Neben den Grundregeln gehören zwei „harte” Bausteine hinein: verbotene Nutzungen – etwa das Eingeben von Gesundheits- oder Bewerberdaten, vollautomatische Entscheidungen ohne menschliche Kontrolle oder der Einsatz nicht freigegebener Tools. Solche Anwendungen sollten Sie ausdrücklich untersagen, um einen rechtssicheren und ethisch vertretbaren KI-Einsatz zu gewährleisten. Hinzu kommt eine klare Meldepflicht, damit Beschäftigte wissen, an wen sie sich bei einem Vorfall oder einer Unsicherheit wenden.

Aus der Praxis: Regeln schaffen erst die Freiheit

Wichtig ist der Zusammenhang zum EU AI Act: Die KI-Kompetenzpflicht nach Art. 4 der KI-Verordnung verpflichtet Betreiber seit dem 2. Februar 2025, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Eine Richtlinie plus dokumentierte Schulung ist ein pragmatischer Weg, diesen Nachweis zu führen. Zugleich lässt sich damit sicherstellen, dass Ihr Team generative KI verantwortungsvoll einsetzt – und sie ist die passende Grundlage, um sich auf den allgemeinen Geltungsbeginn ab dem 2. August 2026 vorzubereiten. Wie die konkreten Datenschutzfragen beim Einsatz von ChatGPT aussehen, haben wir im Beitrag EU AI Act und ChatGPT vertieft.

Vorlage: Gliederung einer KI-Nutzungsrichtlinie

Die folgende Struktur können Sie als Vorlage übernehmen und für Ihr Unternehmen ausfüllen. So wird aus der allgemeinen Idee eine konkrete KI-Richtlinie für Unternehmen jeder Größe. Sie deckt alle relevanten Bereiche in einer logischen Reihenfolge ab:

• 1. Zweck & Geltungsbereich. Für wen gilt die Richtlinie (alle Beschäftigten, Freelancer, Praktikanten) und für welche Tools und Einsatzzwecke?
• 2. Zugelassene Tools. Abschließende Liste freigegebener KI-Dienste inklusive Tarif-Variante (z. B. Copilot for Microsoft 365, ChatGPT Enterprise). Alles andere gilt als nicht freigegeben.
• 3. Grundregeln. Datenschutz, Vertraulichkeit, Transparenz, Qualitätsprüfung und Urheberrecht – konkret und mit Beispielen.
• 4. Umgang mit Daten. Welche Datenkategorien dürfen eingegeben werden, welche nie (personenbezogene, besondere Kategorien, Geschäftsgeheimnisse)?
• 5. Verbotene Nutzungen. Ausdrücklich untersagte Anwendungen, etwa vollautomatische Personalentscheidungen oder der Einsatz nicht freigegebener Tools.
• 6. Meldepflicht & Ansprechpartner. An wen wenden sich Beschäftigte bei Vorfällen, Datenpannen oder Zweifelsfragen?
• 7. Schulung & Verantwortlichkeiten. Verpflichtende Einweisung, benannte verantwortliche Person und Regelung zur regelmäßigen Aktualisierung der Richtlinie.

Fazit

Sobald KI-Tools im Unternehmen kursieren, ist die Frage nicht mehr ob, sondern wie geregelt sie genutzt werden. Eine KI-Nutzungsrichtlinie verwandelt Schatten-KI in einen sicheren, nachweisbaren Prozess: Sie schützt Ihre Daten, gibt den Teams Handlungssicherheit und stützt die KI-Kompetenzpflicht nach Art. 4 AI Act. Mit der Vorlage oben haben Sie die Struktur – den Rest füllen Sie mit Ihren konkreten Tools und Zuständigkeiten. Wer eine strukturierte Umsetzung sucht, findet mit unserem KI-Compliance-Modul Hugo KI einen roten Faden von der Toolauswahl bis zur dokumentierten Richtlinie.

---

Häufige Fragen (FAQ)

Ist eine KI-Nutzungsrichtlinie gesetzlich vorgeschrieben?

Eine KI-Nutzungsrichtlinie ist im EU AI Act nicht ausdrücklich als eigenständige Pflicht genannt. In der Praxis ist sie aber das zentrale Dokument, mit dem Sie die KI-Kompetenzpflicht nach Art. 4 AI Act nachweisen und den datenschutzkonformen Einsatz von ChatGPT, Copilot und Co. steuern.

Was gehört in eine KI-Nutzungsrichtlinie für ChatGPT und Copilot?

Geltungsbereich, eine Liste zugelassener Tools, Grundregeln zu Datenschutz, Vertraulichkeit, Transparenz, Qualität und Urheberrecht, ausdrücklich verbotene Nutzungen, eine Meldepflicht bei Vorfällen sowie die verpflichtende Schulung der Mitarbeitenden mit klaren Verantwortlichkeiten.

Darf man personenbezogene Daten in ChatGPT eingeben?

Nur, wenn das eingesetzte Tool vertraglich datenschutzkonform abgesichert ist – etwa über einen Auftragsverarbeitungsvertrag und eine Enterprise-Version mit deaktiviertem Training. In öffentlichen Gratis-Versionen sollten keine personenbezogenen oder vertraulichen Daten eingegeben werden.

Was ist Schatten-KI und warum ist sie ein Risiko?

Schatten-KI bezeichnet den Einsatz von KI-Tools durch Mitarbeitende ohne Wissen und Freigabe des Unternehmens. Das Risiko: unkontrollierter Datenabfluss, Verstöße gegen DSGVO und Geheimhaltungspflichten sowie ein fehlender Kompetenznachweis nach Art. 4 AI Act.

Wie hängt die KI-Nutzungsrichtlinie mit Art. 4 AI Act zusammen?

Art. 4 AI Act verpflichtet Betreiber seit dem 2. Februar 2025, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Die KI-Nutzungsrichtlinie legt die Regeln fest, an denen Sie Ihre Mitarbeitenden schulen – und dokumentiert damit einen Teil dieser Kompetenz.