KI-Richtlinien im Unternehmen: Regeln in Governance einbetten

Eine Richtlinie im betrieblichen Kontext

Eine KI-Richtlinie kann Regeln, Hinweise zu Daten und Ansprechpartner festhalten. Damit Mitarbeitende sie im Alltag anwenden können, braucht es außerdem klare Zuständigkeiten, Beratung und Abläufe für konkrete Fälle.

Wenn Nutzungen, Tools oder Funktionen nicht erfasst sind, kann eine Richtlinie an der tatsächlichen Praxis vorbeigehen. Ein Verzeichnis von Anwendungen und ein erreichbarer Prüfprozess können helfen, Lücken sichtbar zu machen.

Das muss nicht auf mangelnde Disziplin einzelner Personen zurückgehen. Unklare Regeln, fehlende Beratung oder nicht definierte Entscheidungen können ebenso eine Rolle spielen; Ursache und Umfang müssen im jeweiligen Unternehmen geprüft werden.

Warum reine Nutzungsrichtlinien scheitern

Eine KI-Richtlinie kann zum Beispiel zulässige Nutzungen, den Umgang mit Daten, Kennzeichnung, Ansprechpersonen und Eskalationswege beschreiben. Welche Regeln sinnvoll oder erforderlich sind, hängt von eingesetzten Systemen und Zwecken ab.

Ein Dokument kann schwierige Einzelfallentscheidungen nicht immer vorwegnehmen. Es sollte daher mit Beratung und Prozessen verbunden sein, über die offene Fälle geprüft und neue Entwicklungen aufgenommen werden.

Keine dieser Annahmen trifft zu.

Systeme und Funktionen können sich ändern. Prüfen Sie deshalb, ob Richtlinien auch Drittanbieterdienste und KI-Funktionen in bereits genutzter Software erfassen, und legen Sie fest, wann eine Überprüfung ausgelöst wird.

Einzelfälle können von Daten, Zweck und Folgen abhängen: etwa ob eine Angebotsvorlage mit einem externen Dienst bearbeitet wird oder ob erzeugte Produkttexte veröffentlicht werden. Richtlinien sollten angeben, welche Faktoren zu prüfen sind und an wen Beschäftigte unklare Fälle weitergeben können.

Die fehlende Verbindung zu Prozessen und Zielen

Richtlinien können auf neue Fragen oder Risiken reagieren. Sie sollten außerdem mit den Geschäftsprozessen und den übrigen Risikokontrollen verbunden werden. NIST empfiehlt, KI-Risikoprozesse mit organisatorischen Zielen, bestehenden Kontrollen und klaren Rollen abzustimmen (NIST AI RMF, Govern).

Eine reine Verbotsliste kann offenlassen, wie zulässige Nutzungen geprüft oder neue Anwendungsfälle eingebracht werden. Ergänzende Hinweise, Schulungen und Ansprechwege können Mitarbeitenden dabei Orientierung geben.

Für Mitarbeitende ist dann möglicherweise unklar, wie sie ein Werkzeug regelkonform nutzen oder eine neue Anwendung prüfen lassen können.

Wie Beschäftigte darauf reagieren, ist unterschiedlich. Unternehmen können Rückmeldungen und Nutzungsmuster beobachten, um zu prüfen, ob die Regeln verständlich und die vorgesehenen Abläufe praktikabel sind.

Nicht genehmigte Nutzung sichtbar machen

Als Schatten-IT werden hier nicht genehmigte oder nicht erfasste Anwendungen bezeichnet. Ob und in welchem Umfang KI-Werkzeuge so genutzt werden, muss das Unternehmen anhand seiner eigenen Informationsquellen und Prozesse feststellen.

Aus einer Verbotsregel allein lässt sich nicht ableiten, ob Nutzung verhindert, offengelegt oder verlagert wird. Ergänzen Sie sie um einen gangbaren Prüf- und Beratungsweg und prüfen Sie, ob Nutzungen tatsächlich erfasst werden.

Klare Regeln können wichtig sein. Bei unklaren oder neuen Fällen sollte zusätzlich erkennbar sein, welche zugelassenen Alternativen es gibt und wie eine Prüfung beantragt werden kann.

Governance verbindet Anforderungen und Kontrollen mit definierten Rollen, inventarisierten Anwendungen und Verfahren für neue oder geänderte Einsätze.

Was Richtlinien nicht leisten können

Richtlinien können Ziele, Regeln und Ansprechwege festhalten. Sie ersetzen nicht die Entscheidungen, Kontrollen und Schulungen, die für ihre Anwendung erforderlich sein können.

Was Richtlinien leisten können:

• Unternehmensregeln und Erwartungen kommunizieren
• Zuständigkeiten und Eskalationswege beschreiben
• Anwendbare rechtliche und interne Anforderungen dokumentieren
• Hinweise zu erlaubten oder zu prüfenden Nutzungen geben

Was Richtlinien nicht leisten können:

• Alle Einzelfälle oder künftigen Systemänderungen abschließend vorwegnehmen
• Allein durch ihre Existenz die Einhaltung der Regeln sicherstellen
• Fachliche Beratung, technische Prüfungen oder Schulungen ersetzen
• Für sich genommen den Nutzen einer Anwendung belegen

Wie die EU-Kommission erläutert, verpflichtet Artikel 4 des AI Act Anbieter und Betreiber von KI-Systemen, Maßnahmen zur KI-Kompetenz ihrer Beschäftigten zu unterstützen. Die Bestimmung gilt seit dem 2. Februar 2025; Aufsichts- und Durchsetzungsregeln gelten seit dem 3. August 2026. Ein bestimmtes Kompetenzniveau schreibt Artikel 4 nicht pauschal vor (EU-Kommission: FAQ zu KI-Kompetenz). Die konkrete Anwendbarkeit weiterer Pflichten hängt vom System, der Rolle und dem Einsatzzweck ab.

Richtlinien sind damit ein Element einer umfassenderen Governance, keine Garantie für sich allein.

Klare Regeln mit einem Prüfprozess verbinden

Klare Regeln und Kriterien für neue Anwendungsfälle ergänzen sich. Eine Richtlinie kann eindeutige Verbote enthalten und zugleich beschreiben, wie nicht geregelte Fälle geprüft werden.

Für KI im Unternehmen kann das bedeuten, gemeinsame Kriterien für Zweck, Daten, Risiken und Ergebnisprüfung festzulegen. Ergänzend lassen sich Regeln für bestimmte Systeme oder sensible Daten formulieren. So können Prinzipien und konkrete Kontrollen gemeinsam gelten.

Solche Kriterien können Entscheidungen nachvollziehbarer machen und bei neuen Funktionen helfen, solange sie regelmäßig auf ihre Eignung geprüft werden. Sie sollten Mitarbeitenden zudem sagen, wann eine eigene Einschätzung ausreicht und wann ein Fall eskaliert werden muss.

Die Kriterien sollten zu Prozessen, Daten und Risikoprofil des Unternehmens passen. Sie können schrittweise entwickelt und mit Erkenntnissen aus Tests und Rückmeldungen präzisiert werden.

Entscheidungslogik vor Dokumentation

Richtlinie und Entscheidungsprozesse lassen sich gemeinsam entwickeln. Bevor Regeln verbindlich gemacht werden, sollten die betroffenen Prozesse, Risiken, Zuständigkeiten und anwendbaren Anforderungen geklärt sein.

Nützliche Fragen dazu sind:

• Welche Prozesse im Unternehmen könnten von KI profitieren?
• Welche Daten sind dabei betroffen, und wie sensibel sind sie?
• Wer soll über den Einsatz neuer Tools entscheiden?
• Wie werden Erfahrungen ausgewertet und geteilt?
• Welche Qualifikationen brauchen Mitarbeitende für einen verantwortungsvollen Umgang?

Die Richtlinie kann diese Logik dokumentieren und zugleich offene Punkte sowie nächste Schritte benennen. Sie muss nicht warten, bis alle Prozesse vollständig ausgereift sind.

Richtlinie und Umsetzung überprüfen

Die folgenden Beobachtungen können Anlass sein, die Richtlinie und ihre Umsetzung zu überprüfen. Sie sind keine alleinigen Wirksamkeitsnachweise.

Zu prüfende Anzeichen für eine umsetzbare Richtlinie:

• Mitarbeitende stellen Fragen zur Richtlinie und erhalten klare Antworten
• Neue Tools werden vor der Einführung über einen definierten Prozess geprüft
• Es gibt dokumentierte Anwendungsfälle, die als Referenz dienen
• Änderungen an Systemen, Risiken oder Anforderungen lösen eine Überprüfung aus

Mögliche Hinweise auf Regelungslücken:

• Niemand fragt nach, obwohl KI-Tools genutzt werden
• Neue Anwendungen tauchen auf, ohne dass jemand informiert wurde
• Beschäftigte können relevante Nutzungen oder Zuständigkeiten nicht zuordnen
• Unterschiedliche Abteilungen interpretieren die Regeln unterschiedlich

Wenn solche Hinweise auftreten, prüfen Sie sowohl das Dokument als auch Schulung, Beratung, Zuständigkeiten und die gelebten Prozesse.

Wie Beschäftigte für den Umgang mit KI eingebunden werden können, beschreibt auch der Beitrag KI im Fachbereich einführen.

Der Weg zu pragmatischen Leitplanken

Ein möglicher, schrittweiser Ablauf ist:

Erfassen Sie zunächst bekannte KI-Anwendungen und Funktionen, betroffene Prozesse sowie wesentliche Risiken. Berücksichtigen Sie dabei, dass ein Inventar unvollständig sein kann und aktualisiert werden muss.

Legen Sie anschließend Kriterien, Zuständigkeiten und Wege zum Umgang mit Unsicherheit fest. NIST empfiehlt, KI-Inventare risikobasiert zu pflegen und Rollen sowie Überprüfungsverfahren nachvollziehbar zu dokumentieren (NIST AI RMF, Govern).

Dokumentieren Sie die beschlossenen Regeln und ergänzen Sie sie bei Bedarf durch Schulungen, Checklisten, Beispielfälle und Ansprechpersonen.

Überprüfen Sie anschließend, ob Regeln verstanden und Abläufe genutzt werden, und passen Sie sie bei neuen Risiken oder Anforderungen an.

Fazit: Richtlinien mit Zuständigkeiten und Abläufen verbinden

KI-Richtlinien können Regeln, Zuständigkeiten und Ansprechwege festhalten. Ihre Wirkung hängt auch davon ab, ob sie mit praktischen Prüf- und Beratungsprozessen, Schulung und einer regelmäßigen Überprüfung verbunden sind.

Ein Dokument kann nicht jeden späteren Einzelfall vorwegnehmen. Klare Kriterien und ein erreichbarer Weg für offene Fragen helfen, auch neue Situationen nachvollziehbar einzuordnen.

Der angemessene Umfang der Governance richtet sich nach Nutzung und Risiken. Ziel ist eine verständliche Orientierung, die klare Grenzen setzt und zugleich den Umgang mit neuen oder unklaren Fällen beschreibt.