Muster KI Richtline für Unternehmer: Was man wissen sollte

April 2026 | Künstliche Intelligenz

Wer im Unternehmen ChatGPT, Microsoft Copilot, Google Gemini oder Claude einsetzt, steht längst mitten im Anwendungsbereich des europäischen KI-Rechts. Die Verordnung (EU) 2024/1689 – besser bekannt als KI-Verordnung, KI-VO oder AI Act – ist am 1. August 2024 in Kraft getreten und gilt seitdem stufenweise. Der zentrale Stichtag für die meisten mittelständischen Unternehmen ist der 2. August 2026: Ab dann greifen die Transparenzpflichten aus Art. 50 KI-VO und die vollen Anforderungen an Hochrisiko-KI-Systeme.

Die Praxis in deutschen Unternehmen sieht oft anders aus: Mitarbeitende laden vertrauliche Kundendaten in ChatGPT, Marketing-Abteilungen veröffentlichen KI-generierte Bilder ohne Kennzeichnung, und niemand weiß so recht, wer die redaktionelle Verantwortung trägt. Genau hier setzt eine professionelle KI-Richtlinie an – sie ist das zentrale Compliance-Werkzeug, mit dem Sie Art. 4 KI-VO, Art. 50 KI-VO, DSGVO und urheberrechtliche Anforderungen in einem Dokument bündeln.

Als Fachanwalt für IT-Recht berate ich seit Jahren Unternehmen bei der Einführung von KI-Tools und erstelle KI-Richtlinien, die nicht nur rechtlich wasserdicht, sondern auch im Alltag anwendbar sind. In diesem Beitrag erkläre ich, warum Sie jetzt handeln sollten – und welche Bausteine in eine gute KI-Richtlinie gehören.

Was ist eine KI-Richtlinie – und was nicht?

Eine KI-Richtlinie ist eine interne Arbeitsanweisung, die verbindlich festlegt, wie Mitarbeitende KI-Systeme im beruflichen Kontext einsetzen dürfen. Sie ist kein juristisches Selbstzweck-Dokument, sondern ein praktisches Steuerungsinstrument, das:

Abzugrenzen ist die KI-Richtlinie von allgemeinen IT-Sicherheitsrichtlinien, Datenschutzkonzepten und Betriebsvereinbarungen zum KI-Einsatz – sie kann diese ergänzen, ersetzt sie aber nicht.

Rechtliche Grundlagen: Warum Sie jetzt eine KI-Richtlinie brauchen

1. Art. 4 KI-VO: Die KI-Kompetenzpflicht (seit 02.02.2025! )

Seit dem 2. Februar 2025 verpflichtet Art. 4 KI-VO Anbieter und Betreiber von KI-Systemen dazu, sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Norm ist bewusst offen formuliert – der Umfang richtet sich nach technischen Vorkenntnissen, dem Einsatzkontext und den betroffenen Personengruppen.

Praktisch bedeutet das: Jedes Unternehmen, das KI nutzt (und das sind heute nahezu alle), muss nachweisen können, dass die Mitarbeitenden geschult wurden. Das Bundesministerium für Digitales (BMDS) und die Bundesnetzagentur (in ihrem Hinweispapier zur KI-Kompetenz vom Juni 2025) empfehlen ausdrücklich die Einführung schriftlicher Richtlinien und Verhaltenskodizes als Kernmaßnahme zur Umsetzung.

Auch wenn Verstöße gegen Art. 4 KI-VO nicht unmittelbar bußgeldbewehrt sind, drohen mittelbare Sanktionen – und vor allem zivilrechtliche Haftung: Wenn durch fehlerhafte KI-Nutzung Schäden entstehen, prüfen Gerichte regelmäßig, ob das Unternehmen seine Organisations- und Schulungspflichten erfüllt hat. Eine gut dokumentierte KI-Richtlinie ist hier das wichtigste Entlastungsbeweismittel.

2. Art. 50 KI-VO: Transparenzpflichten ab 02.08.2026

Art. 50 KI-VO regelt die Kennzeichnungspflicht für KI-generierte Inhalte. Die Vorschrift gilt ab dem 2. August 2026 (nach derzeit diskutiertem Stand des Omnibus-Pakets könnte die Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 KI-VO erst ab 02.12.2027 wirksam werden – die Kennzeichnung für Deepfakes und öffentliche Texte nach Abs. 4 bleibt aber beim Stichtag).

Betroffen sind insbesondere:

  • Chatbots und Voicebots (Art. 50 Abs. 1 KI-VO): Nutzer müssen informiert werden, dass sie mit einer KI interagieren.
  • Synthetische Audio-, Bild-, Video- und Textinhalte (Art. 50 Abs. 2 KI-VO): Anbieter müssen maschinenlesbare Kennzeichnungen sicherstellen.
  • Deepfakes (Art. 50 Abs. 4 Var. 1): Der Betreiber muss offenlegen, dass Inhalte künstlich erzeugt oder manipuliert wurden – immer kennzeichnungspflichtig.
  • KI-generierte Texte zur öffentlichen Information (Art. 50 Abs. 4 Var. 2): Erfasst sind meinungsbildungsrelevante Beiträge in Politik, Wirtschaft, Gesellschaft und Kultur, die an ein breites Publikum gerichtet sind.

Wichtige Ausnahme: Für redaktionell geprüfte Texte mit klarer menschlicher Verantwortung entfällt die Kennzeichnungspflicht (Art. 50 Abs. 4 UAbs. 2 KI-VO). Die beiden Voraussetzungen – menschliche Überprüfung und übernommene redaktionelle Verantwortung – müssen kumulativ vorliegen.

Eine KI-Richtlinie ist das geeignete Instrument, diese Kennzeichnungspflichten abteilungsübergreifend – insbesondere in Marketing, PR und Kommunikation – einheitlich umzusetzen.

3. DSGVO: Der Klassiker bleibt

Jeder Einsatz von KI mit personenbezogenen Daten unterliegt weiterhin vollständig der DSGVO. Das betrifft vor allem die Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO), Zweckbindung (lit. b) und Transparenz (lit. a). Wer personenbezogene oder vertrauliche Daten in US-basierte KI-Tools ohne passende Verträge und ohne Rechtsgrundlage einspeist, begeht in der Regel einen Datenschutzverstoß – mit Bußgeldrisiken von bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO).

4. Allgemeine Organisations- und Sorgfaltspflichten

Geschäftsführer und Vorstände schulden ihrem Unternehmen eine ordnungsgemäße Organisation (§ 43 GmbHG, § 91 AktG). Wer den KI-Einsatz ungeordnet zulässt, riskiert persönliche Haftung – etwa wenn durch Halluzinationen falsche Entscheidungen getroffen, Geschäftsgeheimnisse abfließen oder urheberrechtlich geschütztes Material verwendet wird. Eine schriftliche KI-Richtlinie ist hier faktisch Teil einer ordnungsgemäßen Compliance-Organisation.

5. Urheberrecht

KI-Systeme generieren Inhalte aus Trainingsdaten, die urheberrechtlich geschützt sein können. Gleichzeitig genießen rein KI-generierte Outputs in Deutschland grundsätzlich keinen urheberrechtlichen Schutz, da § 2 Abs. 2 UrhG eine persönliche geistige Schöpfung verlangt. Beides sollte eine KI-Richtlinie adressieren – sowohl zur Vermeidung von Rechtsverletzungen durch Ihre Mitarbeitenden als auch zum Schutz Ihrer eigenen Werke.

Was muss ich im KI-Recht konkret tun? Die 7 Bausteine einer rechtssicheren KI-Richtlinie

Baustein 1: Einsatzbereiche und zugelassene Tools

Listen Sie abschließend auf, welche KI-Tools im Unternehmen erlaubt sind (z. B. ChatGPT Enterprise, Claude for Work, Microsoft Copilot, DeepL Write Pro, Canva AI, Notion AI, n8n). Wichtig: Schatten-KI ist der häufigste Verstoß gegen die KI-VO. Untersagen Sie ausdrücklich die Nutzung privater Accounts oder nicht freigegebener Tools.

Baustein 2: Unterstützende Funktion und Qualitätskontrolle

Halten Sie fest, dass KI-Outputs nur unterstützend wirken. Die fachliche Prüfung und die finale Entscheidung müssen bei einem qualifizierten Menschen verbleiben. Dies ist zugleich die Grundlage für die Ausnahme der Kennzeichnungspflicht nach Art. 50 Abs. 4 UAbs. 2 KI-VO.

Baustein 3: Schulungen und Dokumentation (Art. 4 KI-VO)

Regeln Sie verbindlich: Welche Mitarbeitenden werden wie häufig geschult? Wer dokumentiert die Teilnahme? Wer pflegt das Schulungskonzept? Empfehlenswert ist ein modulares Schulungskonzept mit Grundlagenmodulen für alle Mitarbeitenden und Spezialmodulen für Führungskräfte, Entwickler und Recht/Compliance.

Baustein 4: Datenschutz und Geheimhaltung

Verankern Sie strikte Regeln für den Umgang mit personenbezogenen Daten, Geschäftsgeheimnissen und Kundendaten:

  • Keine Eingabe personenbezogener Daten in öffentliche KI-Tools ohne Rechtsgrundlage
  • Anonymisierung oder Pseudonymisierung vor der Nutzung
  • Keine Verarbeitung finaler Kundenarbeitsstände (Layouts, Verträge, Strategiepapiere)
  • Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO für alle genutzten Tools
  • Ggf. Datenschutzfolgenabschätzung und TIA
  • Anpassung der Verarbeitungsverzeichnisse

Baustein 5: Transparenz- und Kennzeichnungspflichten (Art. 50 KI-VO)

Legen Sie fest, wann und wie KI-generierte Inhalte gekennzeichnet werden. Standardformulierungen sollten vordefiniert sein, z. B.:

  • „Dieser Beitrag wurde unter Einsatz von KI-Tools erstellt und redaktionell geprüft.“
  • „KI-generiert: Die folgende Abbildung wurde mit einem KI-Bildgenerator erzeugt.“

Für Chatbots: klarer Hinweis auf die KI-Interaktion beim ersten Kontakt.

Baustein 6: Urheberrecht und IP

Regeln Sie den Umgang mit urheberrechtlich geschützten Trainings- und Outputdaten. Wichtig: KI-Outputs sollten zusätzlich menschlich bearbeitet werden, um urheberrechtlichen Schutz zu ermöglichen (§ 2 Abs. 2 UrhG).

Baustein 7: Verantwortlichkeiten, Eskalation und Evaluation

Benennen Sie eine zentrale Stelle – etwa einen AI Officer oder KI-Beauftragten – und legen Sie fest, wie Vorfälle gemeldet werden. Planen Sie eine jährliche Evaluation der Richtlinie, um auf technische und regulatorische Entwicklungen (z. B. das KI-Durchführungsgesetz/KI-MIG, das Omnibus-Paket) zu reagieren.

Was Sie an der klassischen Muster-KI-Richtlinie ergänzen oder anpassen sollten

1. Rollenklärung: Anbieter oder Betreiber?

Klassische Muster lassen offen, ob das Unternehmen als Anbieter oder Betreiber im Sinne der KI-VO agiert. Die Pflichten unterscheiden sich erheblich. Ergänzen Sie eine kurze Einordnung – besonders relevant, wenn Sie KI-Systeme unter eigenem Namen anbieten oder wesentlich anpassen (z. B. durch Fine-Tuning oder White-Label-Lösungen).

2. Regelungen zu Hochrisiko-KI

Fast alle Muster vernachlässigen den Umgang mit Hochrisiko-KI-Systemen nach Anhang III KI-VO – etwa in HR (Bewerberauswahl), Kreditvergabe, Bildung oder bei biometrischen Anwendungen.

Ergänzen Sie: Pflicht zur Meldung des geplanten Einsatzes an den KI-Beauftragten, Pflicht zur Durchführung einer Grundrechte-Folgenabschätzung nach Art. 27 KI-VO (bei bestimmten Betreibern) und Dokumentationspflichten nach Art. 26 KI-VO.

3. Bezug auf ISO/IEC 42001 und nationale Standards

Bei Veröffentlichung harmonisierter Normen im Laufe des Jahres 2026 wird der internationale Standard ISO/IEC 42001 zum Referenzmaßstab für KI-Managementsysteme. Ergänzen Sie einen Verweis auf die ISO-Norm sowie auf die Qualitätskriterien des BSI (QUAIDAL).

4. Ausnahme von der Kennzeichnungspflicht klarstellen

Die Ausnahme des Art. 50 Abs. 4 UAbs. 2 KI-VO („menschliche Überprüfung + redaktionelle Verantwortung“) ist in vielen Mustern nur angedeutet. Regeln Sie präzise: Wer trägt redaktionelle Verantwortung, wie wird die Überprüfung dokumentiert (z. B. Freigabe-Workflow, Redaktionskonferenz-Protokoll) und welche Inhalte bleiben trotz Überprüfung kennzeichnungspflichtig (z. B. Deepfakes).

5. Arbeitsrechtliche und mitbestimmungsrechtliche Aspekte

Bei Unternehmen mit Betriebsrat ist der KI-Einsatz regelmäßig mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Eine gute KI-Richtlinie verweist auf die entsprechende Betriebsvereinbarung und regelt Leistungs- und Verhaltenskontrolle-Themen transparent.

6. Haftungs- und Versicherungsfragen

Ergänzen Sie einen Hinweis auf die vertraglich vereinbarte Haftungsverteilung (insbesondere gegenüber Kunden in Master Service Agreements) sowie auf bestehenden Versicherungsschutz (Cyber-, Vermögensschaden- und ggf. neue KI-Haftpflichtversicherungen).

7. Omnibus- und nationale Implementierung

Das KI-Durchführungsgesetz (KI-MIG) – vom Bundeskabinett am 11. Februar 2026 beschlossen – benennt die Bundesnetzagentur als zentrale Koordinierungsbehörde (KoKIVO). Ergänzen Sie Prozesse für den Kontakt zu Aufsichtsbehörden und Meldewege für Vorfälle nach Art. 73 KI-VO.

8. Konkrete Do’s und Don’ts für Mitarbeitende

Die beste juristische Formulierung nützt nichts, wenn Mitarbeitende sie nicht verstehen. Ergänzen Sie eine einseitige Kurzfassung mit klaren Beispielen:

  •  Sie dürfen anonymisierte Textentwürfe mit ChatGPT Enterprise zur Umformulierung nutzen.
  • ❌ Sie dürfen keine Kundendaten, Verträge, Personalunterlagen oder E-Mail-Inhalte mit Namen in öffentliche KI-Tools eingeben.
  • Vorsicht: Haben Sie z.B. als Agentur eine Geheimhaltungsvereinbarung / NDA mit Ihrem Auftraggeber im Master Service Agreement geschlossen? In diesem Fall unbedingt prüfen, ob diese Klausel die Nutzung von KI erlaubt, um hohe Vertragsstrafen zu vermeiden.
  • Ausnahme: Sie verwenden KI-Tools, die sich Ihnen gegenüber verpflichtet haben, die DSGVO und ggf. Geheimnisschutzvereinbarungen einzuhalten. Wir kennen bereits eine Reihe derartiger Produkte und beraten Sie dazu gerne.

Praxis-Checkliste: Was muss ich im KI-Recht jetzt tun?

Konkrete Schritte

  • estandsaufnahme: Welche KI-Tools werden im Unternehmen aktuell genutzt – offiziell und inoffiziell?
  • Rollenklärung: Sind Sie Anbieter oder Betreiber im Sinne der KI-VO?
  • Risikoeinstufung: Liegt bei einzelnen Anwendungen Hochrisiko-KI vor (Anhang III)?
  • KI-Richtlinie aufsetzen oder aktualisieren – mit den oben genannten 7 Bausteinen.
  • Schulungskonzept umsetzen (Art. 4 KI-VO) – dokumentiert und rollenspezifisch.
  • Kennzeichnungsprozesse einrichten (Art. 50 KI-VO) – vor dem Stichtag 02.08.2026.
  • Verträge prüfen: AVV nach Art. 28 DSGVO, Datentransfer-Instrumente (SCC), Kundenverträge (MSA/NDA).
  • AI Officer benennen und Meldewege festlegen.
  • Jährliche Evaluation und Technologie-Scan installieren.
  • Anwaltliche Prüfung der finalen Richtlinie – insbesondere bei internationaler Tätigkeit, Hochrisiko-Einsatz oder regulierten Branchen (Pharma, Finanzen, HR).

Häufig gestellte Fragen (FAQ) zur KI-Richtlinie

Brauchen kleine Unternehmen und Start-ups auch eine KI-Richtlinie?

Ja. Art. 4 KI-VO und Art. 50 KI-VO gelten unabhängig von der Unternehmensgröße. Der Umfang der Maßnahmen kann jedoch an Ihre Ressourcen angepasst werden. Laden Sie hier die kostenlose Muster-KI-Richtlinie von Maisch.law herunter.

Reicht eine Betriebsvereinbarung zum KI-Einsatz aus?

Nein. Eine Betriebsvereinbarung regelt die mitbestimmungsrechtliche Komponente. Die rechtlichen Anforderungen aus KI-VO und DSGVO müssen zusätzlich in einer KI-Richtlinie adressiert werden.

Was passiert, wenn Mitarbeitende gegen die KI-Richtlinie verstoßen?

Arbeitsrechtlich sind Abmahnung und in schweren Fällen Kündigung möglich. Unternehmensintern schützt die dokumentierte Richtlinie die Geschäftsführung vor persönlicher Haftung.

Ist ChatGPT in der kostenlosen Version überhaupt DSGVO-konform nutzbar?

In der Regel nein – jedenfalls nicht für personenbezogene oder vertrauliche Daten. Für den beruflichen Einsatz sollten Business-/Enterprise-Versionen mit AVV und EU-Hosting gewählt werden.

Muss ich jeden Blogpost kennzeichnen, den ich mit KI-Unterstützung schreibe?

Nein – sofern Sie den Text redaktionell prüfen und als verantwortliche Person freigeben, greift die Ausnahme des Art. 50 Abs. 4 UAbs. 2 KI-VO. Dokumentieren Sie den Freigabeprozess.

Welches Bußgeld droht konkret bei fehlender Kennzeichnung?

Bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes nach Art. 99 Abs. 4 KI-VO.

Fazit: KI-Richtlinie ist Chefsache – und jetzt dringend

Der AI Act ist kein theoretisches EU-Projekt mehr, sondern geltendes Recht. Wer KI im Unternehmen einsetzt, ohne eine klare Richtlinie, handelt sorgfaltswidrig und riskiert empfindliche Bußgelder nach Art. 99 KI-VO, Datenschutzverfahren nach der DSGVO, Schadensersatzansprüche von Kunden und Dritten, persönliche Haftung der Geschäftsführung und erhebliche Reputationsschäden.

Gleichzeitig ist die KI-Richtlinie mehr als reine Pflichterfüllung – sie schafft Vertrauen bei Kunden, Mitarbeitenden und Investoren und gibt Ihrem Unternehmen eine klare Leitplanke für den Einsatz einer Technologie, deren Bedeutung weiter wachsen wird.

Anwaltliche Beratung zur KI-Richtlinie und KI-VO-Compliance

Als Kanzlei Maisch.law begleiten wir Unternehmen bei allen Fragen des KI-Rechts: Erstellung individueller KI-Richtlinien (auch mehrsprachig), KI-Audit und Risikoanalyse bestehender Tools, Gestaltung von Betriebsvereinbarungen zum KI-Einsatz, Prüfung von AVV und Vendor-Verträgen, Schulungen nach Art. 4 KI-VO (inhouse und online) sowie Vertretung gegenüber Bundesnetzagentur und Datenschutzaufsicht.

Haben Sie Fragen? Dann schreiben Sie uns oder machen einen Call aus.