KI-Richtlinie für Unternehmen: Muster für klare KI-Regeln

ChatGPT, Copilot, Programmierassistenten, Bildgeneratoren und Transkriptionswerkzeuge gehören zunehmend zum Arbeitsalltag.

Die entscheidende Frage lautet deshalb nicht mehr nur, ob Mitarbeitende KI einsetzen, sondern unter welchen Voraussetzungen dies zulässig ist.

Eine KI-Richtlinie, auch KI-Nutzungsrichtlinie genannt, beantwortet die zentralen Fragen von Rechtsabteilung, Datenschutz, Informationssicherheit, Compliance und Geschäftsleitung:

• Welche KI-Tools sind zugelassen?
• Dürfen private Konten beruflich genutzt werden?
• Welche Informationen dürfen in ein KI-System eingegeben werden?
• Wie sind personenbezogene Daten, Kundendaten und Quellcode zu behandeln?
• Welche KI-Anwendungen müssen gemeldet oder vorab genehmigt werden?
• Wann ist eine menschliche Aufsicht erforderlich?
• Wie werden KI-bezogene Vorfälle gemeldet und behandelt?
• Wer ist für KI-Governance und die laufende Überwachung verantwortlich?

Eine anpassbare Richtlinienvorlage

Dastra stellt Ihnen ein vollständiges Muster für eine KI-Richtlinie zur Governance und ethischen Nutzung von KI im editierbaren Word-Format bereit.

Die Vorlage ist darauf ausgelegt, an Ihre Organisation angepasst zu werden. Zu ergänzende Angaben sind klar gekennzeichnet, und für die wichtigsten Governance-Entscheidungen stehen praktikable Optionen zur Verfügung.

Die Vorlage umfasst insbesondere:

KI-Governance

Definieren Sie:

• das für die Genehmigung der Richtlinie zuständige Gremium;
• die verantwortliche Person für KI-Governance;
• Verantwortliche für einzelne KI-Systeme;
• die Rollen von Datenschutz, Informationssicherheit, Rechtsabteilung und Einkauf;
• Verfahren für Genehmigung und Überprüfung von KI-Anwendungen.

Risikoklassifizierung und Bewertung

Ordnen Sie KI-Anwendungen nach ihrem Risikoniveau und legen Sie fest, welche Prüfungen vor Einführung eines neuen KI-Tools oder KI-Systems erforderlich sind.

Die Vorlage berücksichtigt unter anderem:

• den Verwendungszweck;
• die verwendeten Daten;
• die erwartete Genauigkeit;
• mögliche Verzerrungen;
• Verpflichtungen des Anbieters;
• menschliche Aufsicht;
• Bedingungen für Beendigung und Rückbau.

Zugelassene und verbotene KI-Tools

Wählen Sie das für Ihre Organisation passende Modell:

• strikte Positivliste zugelassener Tools;
• Meldeverfahren für neue Tools;
• verpflichtende Unternehmenskonten;
• ausdrücklich verbotene Tools und Nutzungen.

Anschließend können Sie die zugelassenen KI-Tools und die jeweils geltenden Bedingungen direkt dokumentieren.

Regeln nach Informationsart

Die Richtlinie unterscheidet zwischen:

• öffentlichen Informationen;
• internen Informationen;
• vertraulichen Informationen;
• personenbezogenen Daten;
• sensiblen Daten;
• Kundendaten und Kundendokumenten;
• Quellcode und technischen Assets;
• Passwörtern, API-Schlüsseln und anderen technischen Geheimnissen.

Für jede Kategorie kann Ihre Organisation das passende Schutzniveau festlegen.

Meldung von KI-Anwendungsfällen

Die Vorlage enthält ein Verfahren zur Meldung neuer, wiederkehrender oder wesentlicher KI-Anwendungen.

Die gemeldeten Informationen können anschließend in das Verzeichnis der KI-Systeme und/oder das Verarbeitungsverzeichnis (VVT) übernommen werden.

Umgang mit KI-Vorfällen

Die Richtlinie sieht außerdem ein Meldeverfahren für Situationen vor wie:

• unbeabsichtigte Offenlegung von Informationen;
• offensichtlich fehlerhafte Ausgaben mit tatsächlichen Auswirkungen;
• Verdacht auf Bias oder Diskriminierung;
• unerwartetes Verhalten eines Systems;
• Ausgabe von Informationen, auf die kein Zugriff bestehen sollte.

Menschliche Aufsicht und Überprüfung

Die Vorlage enthält praktische Vorgaben für Nutzer:

• KI-generierte Inhalte müssen überprüft werden;
• Fakten, Referenzen und Quellen müssen verifiziert werden;
• bei Entscheidungen mit Auswirkungen auf Personen muss eine wirksame menschliche Beteiligung bestehen;
• betroffene Personen sind über den KI-Einsatz zu informieren, soweit dies erforderlich ist.

KI-Kompetenz und Sensibilisierung

Die Richtlinie definiert Erwartungen an Mitarbeitende und Führungskräfte und unterstützt damit den Aufbau einer praktisch wirksamen KI-Kompetenz nach Art. 4 der KI-Verordnung statt einer reinen Verbotskultur.

Orientierung an zentralen KI-Governance-Rahmenwerken

Die Vorlage orientiert sich unter anderem an:

• der Verordnung (EU) 2024/1689 über künstliche Intelligenz;
• der DSGVO;
• dem NIST AI Risk Management Framework 1.0;
• ISO/IEC 42001:2023;
• ISO/IEC 23894:2023;
• behördlichen Empfehlungen zum Einsatz von KI;
• den OECD-Grundsätzen für künstliche Intelligenz.

Ein eigener Anhang ordnet wesentliche Abschnitte der Richtlinie den wichtigsten Governance-Rahmenwerken zu.

So verwenden Sie die Vorlage

Die Vorlage unterstützt Sie dabei, schnell aus einem allgemeinen Muster eine interne Richtlinie für Ihre Organisation zu erstellen.

1. Ergänzen Sie die gekennzeichneten Felder.
2. Wählen Sie Ihr Verfahren zur Freigabe von KI-Tools.
3. Legen Sie Regeln für personenbezogene Daten, Kundendaten und Quellcode fest.
4. Stimmen Sie die Richtlinie mit bestehenden Vorgaben zu Informationssicherheit, Datenschutz und IT-Nutzung ab.
5. Lassen Sie die Richtlinie durch Recht, Datenschutz und die zuständigen operativen Funktionen prüfen.
6. Lassen Sie die Endfassung durch das zuständige Gremium genehmigen.
7. Überprüfen Sie die Richtlinie regelmäßig und bei wesentlichen Änderungen Ihrer KI-Nutzung oder des regulatorischen Rahmens.

Was Sie erhalten

Eine vollständige und editierbare Word-Vorlage für eine Richtlinie zur Governance und ethischen Nutzung von KI, die Sie unmittelbar an Ihre Organisation anpassen können.

KI-Nutzungsrichtlinie herunterladen

Laden Sie das Muster für Ihre KI-Richtlinie herunter und passen Sie es an Ihre Tools, Teams und Governance-Struktur an.