KI im Unternehmen einführen: Warum Richtlinien allein nicht reichen

Ein Dokument, das niemand liest

In vielen Unternehmen existiert mittlerweile eine KI-Richtlinie. Manchmal ist es ein zweiseitiges PDF, manchmal ein umfangreicheres Dokument mit Verhaltensregeln, Verboten und Hinweisen zum Datenschutz. Die Richtlinie wurde erstellt, kommuniziert, vielleicht sogar geschult.

Und trotzdem passiert, was nicht passieren sollte: Mitarbeitende nutzen ChatGPT mit Kundendaten. Abteilungen testen Tools ohne Rücksprache. Niemand weiß genau, welche KI-Anwendungen bereits im Einsatz sind. Die Richtlinie steht im Intranet. Die Realität sieht anders aus.

Das ist kein Versagen der Mitarbeitenden. Es ist ein strukturelles Problem. Denn KI-Richtlinien im Unternehmen scheitern nicht an mangelnder Disziplin, sondern an einem grundlegenden Konstruktionsfehler: Sie regeln Verhalten, ohne die Entscheidungen dahinter zu klären.

Warum reine Nutzungsrichtlinien scheitern

Eine typische KI-Richtlinie beschreibt, was Mitarbeitende tun oder lassen sollen. Sie verbietet bestimmte Datentypen in externen Tools, fordert Kennzeichnung von KI-generierten Inhalten, mahnt zur Vorsicht bei sensiblen Themen. Das klingt vernünftig.

Das Problem liegt nicht im Inhalt, sondern in der Logik dahinter. Solche Richtlinien setzen voraus, dass Mitarbeitende in jeder Situation selbst einschätzen können, ob ihr Verhalten regelkonform ist. Sie setzen voraus, dass die beschriebenen Regeln auf alle relevanten Fälle anwendbar sind. Und sie setzen voraus, dass sich die technische Landschaft nicht verändert.

Keine dieser Annahmen trifft zu.

KI-Anwendungen entwickeln sich schneller als Richtlinien aktualisiert werden. Neue Tools entstehen, bestehende verändern ihre Funktionen, Drittanbieter integrieren KI in Produkte, die das Unternehmen bereits nutzt. Eine Richtlinie, die ChatGPT adressiert, sagt nichts über KI-Funktionen in der bestehenden CRM-Software.

Hinzu kommt: Viele Situationen sind nicht eindeutig. Darf ein Vertriebsmitarbeiter eine Angebotsvorlage mit KI erstellen, wenn keine Kundennamen enthalten sind? Darf die Marketingabteilung Produkttexte generieren lassen? Ab wann ist ein Text „KI-generiert" und ab wann nur „KI-unterstützt"? Richtlinien, die solche Fragen nicht beantworten, überlassen die Entscheidung dem Einzelnen. Das führt zu Unsicherheit – oder zu Umgehung.

Die fehlende Verbindung zu Prozessen und Zielen

Der tiefere Grund für das Scheitern liegt in der Entstehung solcher Dokumente. KI-Richtlinien werden oft reaktiv erstellt: Ein Vorfall passiert, eine Anfrage kommt, der Datenschutzbeauftragte fragt nach. Dann wird ein Dokument verfasst, das die unmittelbaren Risiken adressiert.

Was dabei fehlt, ist die Verbindung zu den eigentlichen Geschäftsprozessen. Die Richtlinie beschreibt, was nicht passieren soll. Sie beschreibt nicht, wie KI sinnvoll eingesetzt werden könnte. Sie definiert Grenzen, aber keine Möglichkeiten. Sie schützt, aber sie befähigt nicht.

Für Mitarbeitende entsteht dadurch ein Vakuum. Sie sehen, dass KI-Werkzeuge ihre Arbeit erleichtern könnten. Sie wissen, dass es eine Richtlinie gibt. Aber sie finden darin keine Antwort auf die Frage, die sie eigentlich haben: Wie kann ich dieses Werkzeug für meine Aufgabe nutzen, ohne gegen Regeln zu verstoßen?

Wenn diese Frage unbeantwortet bleibt, entstehen zwei typische Reaktionen. Entweder vermeiden Mitarbeitende KI vollständig – auch dort, wo sie unbedenklich wäre. Oder sie nutzen Tools ohne Rücksprache, weil der Aufwand für Klärung zu hoch erscheint. Beides ist nicht im Interesse des Unternehmens.

Schatten-IT entsteht nicht trotz Verboten, sondern wegen ihnen

Der Begriff Schatten-IT beschreibt Technologien, die Mitarbeitende ohne offizielle Genehmigung einsetzen. Bei KI-Tools ist dieses Phänomen besonders ausgeprägt. Die Einstiegshürde ist niedrig, die Tools sind oft kostenlos oder günstig, und der wahrgenommene Nutzen ist unmittelbar.

Verbote ändern daran wenig. Sie erhöhen lediglich die Hemmschwelle, offen über die Nutzung zu sprechen. Das Ergebnis ist paradox: Je strenger die Richtlinie formuliert ist, desto weniger weiß das Unternehmen über die tatsächliche KI-Nutzung.

Das ist keine Kritik an Regeln. Regeln sind notwendig. Aber Regeln ohne Alternative schaffen keinen sicheren Rahmen – sie schaffen einen Anreiz zur Umgehung. Wer verbietet, ohne zu ermöglichen, verliert die Kontrolle, die er zu gewinnen versucht.

Eine wirksame KI-Governance erkennt diesen Mechanismus. Sie fragt nicht nur, was verhindert werden soll, sondern auch, was ermöglicht werden kann. Sie bietet Wege an, statt nur Sackgassen zu markieren.

Was Richtlinien nicht leisten können

Es lohnt sich, die Erwartungen an Richtlinien realistisch zu betrachten. Ein Dokument kann bestimmte Dinge leisten – andere nicht.

Was Richtlinien leisten können:

• Grundsätzliche Positionen des Unternehmens kommunizieren
• Klare Verbote für eindeutige Risikobereiche definieren
• Ansprechpartner und Eskalationswege benennen
• Rechtliche Mindestanforderungen dokumentieren

Was Richtlinien nicht leisten können:

• Entscheidungen in Graubereichen vorwegnehmen
• Neue Technologien automatisch einordnen
• Mitarbeitende befähigen, KI sinnvoll einzusetzen
• Die Frage beantworten, wo KI im Unternehmen Wert schaffen könnte

Wer von Richtlinien erwartet, dass sie alle diese Funktionen erfüllen, wird enttäuscht. Richtlinien sind ein Element von Governance. Sie sind nicht die Governance selbst.

Leitplanken statt Regelwerke

Ein anderer Ansatz unterscheidet zwischen Regeln und Leitplanken. Regeln sind binär: erlaubt oder verboten. Leitplanken definieren einen Korridor, innerhalb dessen Entscheidungen getroffen werden können.

Für KI im Unternehmen bedeutet das: Statt jeden Anwendungsfall einzeln zu regeln, definiert man Kriterien, nach denen Anwendungsfälle bewertet werden. Statt zu sagen „ChatGPT ist verboten für Kundendaten", definiert man, welche Datentypen welchen Schutz erfordern – unabhängig vom Tool.

Dieser Ansatz hat mehrere Vorteile. Er ist robuster gegenüber technologischem Wandel. Er befähigt Mitarbeitende, eigene Einschätzungen zu treffen. Und er macht transparent, nach welcher Logik das Unternehmen Entscheidungen trifft.

Leitplanken erfordern allerdings mehr Vorarbeit als einfache Verbote. Sie setzen voraus, dass das Unternehmen seine eigenen Prozesse kennt, seine Risikotoleranz definiert hat und weiß, welche Ziele es mit KI verfolgt. Ohne diese Grundlage bleiben auch Leitplanken abstrakt.

Entscheidungslogik vor Dokumentation

Die Reihenfolge ist entscheidend. Viele Unternehmen beginnen mit der Dokumentation: Welche Regeln brauchen wir? Welche Formulierungen sind rechtssicher? Wie kommunizieren wir das?

Diese Fragen sind nicht unwichtig. Aber sie kommen zu früh. Bevor ein Dokument entsteht, müssen grundlegendere Fragen beantwortet sein:

• Welche Prozesse im Unternehmen könnten von KI profitieren?
• Welche Daten sind dabei betroffen, und wie sensibel sind sie?
• Wer soll über den Einsatz neuer Tools entscheiden?
• Wie werden Erfahrungen ausgewertet und geteilt?
• Welche Qualifikationen brauchen Mitarbeitende für einen verantwortungsvollen Umgang?

Erst wenn diese Fragen geklärt sind, ergibt eine Richtlinie Sinn. Dann dokumentiert sie nämlich nicht eine Absichtserklärung, sondern eine tatsächliche Entscheidungslogik.

Woran Sie erkennen, ob Ihre Richtlinie funktioniert

Es gibt einfache Indikatoren, die zeigen, ob eine KI-Richtlinie ihre Funktion erfüllt oder nur existiert.

Zeichen für eine funktionierende Governance:

• Mitarbeitende stellen Fragen zur Richtlinie und erhalten klare Antworten
• Neue Tools werden vor der Einführung über einen definierten Prozess geprüft
• Es gibt dokumentierte Anwendungsfälle, die als Referenz dienen
• Die Richtlinie wurde seit der Erstellung mindestens einmal substanziell angepasst

Zeichen für eine wirkungslose Richtlinie:

• Niemand fragt nach, obwohl KI-Tools genutzt werden
• Neue Anwendungen tauchen auf, ohne dass jemand informiert wurde
• Die Richtlinie wurde seit zwei Jahren nicht verändert
• Unterschiedliche Abteilungen interpretieren die Regeln unterschiedlich

Wenn die zweite Liste zutrifft, ist das Dokument nicht das Problem. Das Problem liegt in der fehlenden Grundlage, auf der es steht.

Der Weg zu pragmatischen Leitplanken

Unternehmen, die KI-Governance ernst nehmen, ohne in bürokratische Strukturen zu verfallen, folgen meist einem ähnlichen Muster.

Sie beginnen mit einer Bestandsaufnahme: Welche KI-Anwendungen werden bereits genutzt, offiziell oder inoffiziell? Welche Prozesse sind betroffen? Welche Risiken bestehen konkret?

Darauf aufbauend klären sie die Entscheidungslogik: Nach welchen Kriterien wird beurteilt, ob ein Tool eingesetzt werden darf? Wer ist zuständig für welche Entscheidung? Wie wird mit Unsicherheit umgegangen?

Erst dann entsteht Dokumentation: Eine Richtlinie, die diese Logik abbildet. Ergänzt durch praktische Hilfsmittel wie Checklisten, Beispielfälle oder Ansprechpartner.

Dieser Prozess ist aufwendiger als das Verfassen eines Dokuments. Aber er führt zu Ergebnissen, die tatsächlich wirken.

Fazit: Eine Richtlinie ist kein Ersatz für Klarheit

KI-Richtlinien im Unternehmen erfüllen eine wichtige Funktion. Sie setzen Grenzen, schaffen Verbindlichkeit und dokumentieren Positionen. Aber sie können nicht leisten, was ihnen oft abverlangt wird: Orientierung in einem Feld, das sich schnell verändert und voller Graubereiche ist.

Wer erwartet, dass ein Dokument alle Fragen beantwortet, wird feststellen, dass die wirklich schwierigen Fragen offenbleiben. Die Lösung liegt nicht in detaillierteren Regeln, sondern in einer klareren Entscheidungslogik.

Unternehmen, die diesen Weg gehen, schaffen keinen bürokratischen Apparat. Sie schaffen einen Rahmen, in dem Mitarbeitende handeln können, ohne ständig nachfragen zu müssen. Das ist anspruchsvoller als ein Verbot. Aber es ist auch wirksamer.