KI-Richtlinie im Unternehmen: Was auf eine Seite gehört

Ein Kunde beschwert sich per E-Mail über eine verspätete Lieferung. Der Mitarbeiter im Innendienst kopiert die Nachricht mit Name, Anschrift und Auftragsnummer in ChatGPT, lässt sich eine höfliche Antwort formulieren und schickt sie nach einem kurzen Blick ab. Das Konto hat er sich irgendwann privat angelegt. In der Antwort steht ein neuer Liefertermin, den im Lager niemand bestätigt hat.

Ob das erlaubt war, hätte im Betrieb niemand sagen können.

Der Fall ist ausgedacht, die Lage dahinter nicht. Das Team nutzt KI längst, jeder mit eigenem Konto, eigenen Einstellungen und einer eigenen Vorstellung davon, was in einen Prompt darf. Eine KI-Richtlinie schließt diese Lücke, und für einen Betrieb mit zehn oder dreißig Leuten reicht dafür eine Seite.

Was eine KI-Richtlinie im kleinen Betrieb leisten muss

Wer nach „KI-Richtlinie“ sucht, findet vor allem Musterrichtlinien von Datenschutzverbänden, Kammern, Kanzleien und Compliance-Anbietern. Für die Rechtsfragen sind sie ein brauchbarer Ausgangspunkt. Für den Alltag zählt allerdings zuerst, dass das Team die Regeln kennt, denn vor dem Fall vom Anfang schützt keine Klausel, die niemand gelesen hat. Die Seite, um die es hier geht, beantwortet deshalb nur vier Fragen: was in einen Prompt darf, welche Konten und Einstellungen gelten, wer prüft, bevor etwas das Haus verlässt, und was die EU-KI-Verordnung von einem kleinen Betrieb verlangt.

Als durchgehendes Beispiel dienen unsere eigenen Hausregeln. Wir arbeiten jeden Tag mit KI-Agenten, in der Entwicklung, im Vertrieb und in der Verwaltung. Die Regeln dafür stehen in einer Datei, die jede Sitzung unserer Agenten vor der Arbeit lädt, und sie beantworten dieselben vier Fragen. Eine Einschränkung gehört an den Anfang: Dieser Artikel ist keine Rechtsberatung. Wo es um Gesetze und Anbieterbedingungen geht, nennen wir die Quelle und den Stand vom 5. Oktober 2026. Setzen Ihre Branche oder Ihre Kundenverträge strengere Regeln, gehen diese vor.

Was in einen Prompt darf

Die wichtigste Grenze ziehen personenbezogene Daten. Die DSGVO versteht darunter alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Artikel 4 Nummer 1). Dazu gehört der Name im Absender ebenso wie die Auftragsnummer, über die sich der Kunde zuordnen lässt. Wer eine solche E-Mail in ein KI-Werkzeug kopiert, gibt diese Daten an den Anbieter weiter. Dafür braucht es eine Rechtsgrundlage für genau diesen Zweck und ein Konto mit einem Vertrag, der den Anbieter bindet; um das Konto geht es im nächsten Abschnitt. Unabhängig vom Konto gilt der Grundsatz der Datenminimierung aus Artikel 5, also nur so viel, wie der Zweck erfordert. Für den Entwurf einer Antwort auf die Reklamation braucht das Modell den Sachverhalt und den gewünschten Ton, aber weder den Namen noch die Anschrift. Ganz so einfach ist es allerdings nicht, denn die Datenschutzkonferenz weist in ihrer Orientierungshilfe zu KI und Datenschutz vom Mai 2024 darauf hin, dass es regelmäßig nicht reicht, Namen und Anschriften zu entfernen, weil sich eine Person oft aus dem Zusammenhang erkennen lässt.

Auf der Seite genügt eine Einteilung in drei Stufen.

• Frei: öffentliche Informationen, eigene Texte ohne Namen, allgemeine Fachfragen und anonymisierte Beispiele.
• Nur im Firmenkonto, nur für freigegebene Aufgaben und nur so weit nötig: Kundenkorrespondenz, Angebote, Auftragsdaten und interne Unterlagen.
• Gar nicht: Zugangsdaten, Personalakten, Bewerbungen, Gesundheitsdaten und Unterlagen, die Sie unter einer Geheimhaltungsvereinbarung erhalten haben.

Die dritte Stufe halten wir bei Zugangsdaten ohne Ausnahme ein. Unsere Agenten lesen zu Beginn einer Sitzung denselben Wissensspeicher mit Kunden, Absprachen und Regeln, und unsere Hausregeln verbieten ausdrücklich, dort Geheimnisse abzulegen. Passwörter und Schlüssel liegen getrennt davon, und ein Agent bekommt nur die Zugänge, die seine Aufgabe braucht.

Welche Konten und Einstellungen gelten

Ein privates KI-Konto hat der Mitarbeiter mit dem Anbieter abgeschlossen, nicht Ihr Unternehmen. Die Datenschutzkonferenz empfiehlt deshalb in derselben Orientierungshilfe, dass Arbeitgeber für die berufliche Nutzung eigene Geräte und Konten bereitstellen. Wie groß der Unterschied ist, zeigen die Unterlagen der drei großen Anbieter.

• OpenAI verwendet Inhalte aus ChatGPT Business und ChatGPT Enterprise nach eigener Angabe standardmäßig nicht zum Training und schließt für diese Tarife einen Vertrag zur Auftragsverarbeitung ab. Bei den Tarifen für Privatpersonen kann OpenAI Inhalte zum Training nutzen, solange niemand die Einstellung „Improve the model for everyone“ abschaltet. Auch danach gibt eine Bewertung per Daumen das ganze Gespräch für das Training frei.
• Anthropic nutzt Eingaben aus den kommerziellen Angeboten wie Claude Team und Enterprise standardmäßig nicht zum Training. Bei Claude Free, Pro und Max entscheidet seit einer Änderung vom August 2025 der Nutzer, ob seine Chats ins Training gehen; stimmt er zu, bewahrt Anthropic sie fünf Jahre auf.
• Microsoft schützt Copilot Chat mit „Enterprise Data Protection“, wenn sich der Mitarbeiter mit seinem Firmenkonto über Microsoft Entra ID anmeldet. Eingaben werden dann nicht zum Training der Basismodelle verwendet, und es gelten Microsofts Datenschutznachtrag und Produktbedingungen. Das Verbraucherprodukt mit privatem Microsoft-Konto heißt ebenfalls Copilot.

Artikel 28 der DSGVO verlangt für eine solche Verarbeitung im Auftrag einen Vertrag, der den Anbieter bindet. Für ihre Geschäftstarife bieten die Anbieter diesen Vertrag an, für private Konten nicht. Daraus folgt die erste Regel der Seite: Firmendaten gehören nur in Konten, die das Unternehmen gekauft hat und verwaltet. Das Firmenkonto ist allerdings nur die Voraussetzung. Welche Kundendaten für welche Aufgabe hinein dürfen, entscheiden Sie einmal je Werkzeug, in heiklen Fällen zusammen mit Ihrem Datenschutzbeauftragten oder Ihrer Datenschutzberatung.

Mit dem Kauf ist die Frage nicht erledigt. Prüfen Sie einmal zentral, ob der Verlauf gespeichert wird, welche Verbindungen zu Postfach und Ablage erlaubt sind und wer neue Werkzeuge freischaltet; für Claude Cowork haben wir diese Schalter in unserem Artikel über Claude Cowork und ChatGPT Work beschrieben. Offen bleibt eine Frage, die kein Tarif beantwortet. OpenAI und Anthropic sitzen in den USA. Übermittlungen an zertifizierte US-Unternehmen stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023; welche Grundlage Ihr Anbieter nennt, steht in seinem Vertrag zur Auftragsverarbeitung. Der Beschluss gilt und wurde vom Gericht der EU im September 2025 bestätigt, liegt aber seit dem 31. Oktober 2025 als Rechtsmittel beim Europäischen Gerichtshof. Wie das ausgeht, ist nicht absehbar. Eine Speicherung der Inhalte in Europa bietet OpenAI laut seiner Dokumentation inzwischen auch für ChatGPT Business an, allerdings schrittweise und noch nicht für alle Kunden. Die gewählte Region gilt nur für die Speicherung und nicht für die Verarbeitung, und eine Kopie jeder Anfrage und Antwort bleibt zur Missbrauchsüberwachung zeitweise in den USA.

„In unserem eigenen Setup habe ich das Gedächtnis des Claude-Kontos ausgeschaltet. Bequem wäre es, aber es wäre ein weiterer Speicher beim Anbieter, den ich weder exportieren noch in unserer Versionsgeschichte nachvollziehen kann und den unsere anderen Werkzeuge nicht lesen. Was ein Agent über unsere Kunden und Absprachen wissen muss, steht deshalb in datierten Dateien, die uns gehören. Ich prüfe die Entscheidung neu, wenn die Anbieter diese Lücke schließen.“, sagt Sebastian Behler, Gründer von CERTAINCE.

Wer prüft, bevor etwas das Haus verlässt

Die dritte Frage betrifft das Ergebnis, und hier gehört eine Regel der Etikette auf die Seite. KI-Text entsteht in Sekunden, gelesen werden muss er trotzdem. Wer ihn ungeprüft weiterleitet, spart sich das Lesen und legt es dem Empfänger hin, der weniger Kontext hat, weil er nicht weiß, welche Stellen der Absender geprüft hat und welche Annahmen im Prompt standen. Gefährlich sind dabei vor allem plausible Fehler, etwa eine Zahl, die stimmen könnte, oder ein Termin im richtigen Format. Ob ein Modell unsichere Stellen kenntlich macht, hängt von Aufgabe und Anweisung ab, und verlassen können Sie sich darauf nicht. Bitten Sie das Werkzeug deshalb ausdrücklich, zu jedem Ergebnis seine Quellen und die Stellen zu nennen, die Sie prüfen sollten; das verkürzt die Prüfung, ersetzt sie aber nicht. Für den internen Gebrauch gilt deshalb: Was Sie weiterleiten, verantworten Sie. Jeder Satz ist gelesen, der Text ist auf die Antwort gekürzt, und ungeprüfte Angaben sind als ungeprüft markiert.

Nach außen kostet ein ungeprüfter Text mehr als Zeit. Der Liefertermin aus der Reklamation am Anfang ist, sobald er verschickt ist, eine Zusage des Unternehmens. Für alles, was Preise, Termine oder verbindliche Zusagen berührt, gehört deshalb eine menschliche Freigabe auf die Seite, auch wenn der Entwurf gut aussieht. Für einen neuen Mitarbeiter in den ersten Wochen gälte dieselbe Regel.

So halten wir es auch selbst. Wenn unsere Agenten E-Mails schreiben, legen sie Entwürfe im Postfach ab, und abgeschickt wird von Hand. Beim Vertriebsassistenten für MAFU-SHERPA gilt dieselbe Grenze: Das System recherchiert Unternehmen und entwirft eine passende Nachricht, der Vertriebsmitarbeiter prüft den Entwurf und sendet ihn mit einem Klick aus Outlook. Welche Schritte eines Ablaufs darüber hinaus eine Freigabe brauchen, ordnet die Delegationskarte je Prozessschritt ein.

Was die EU-KI-Verordnung von einem kleinen Betrieb verlangt

Die KI-Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln, und Betreibern, die sie „in eigener Verantwortung“ verwenden (Artikel 3 Nummer 4). Ein Betrieb, dessen Team ChatGPT für die Arbeit nutzt, ist Betreiber; ausgenommen ist nur die rein private Nutzung. Seit Ende Juli 2026 gilt die Verordnung in der Fassung des sogenannten Digital-Omnibus, der einige Pflichten abgeschwächt und andere verschoben hat.

Die Pflicht, die jeden Betrieb mit KI-Werkzeugen trifft, steht in Artikel 4 und gilt seit dem 2. Februar 2025. Betreiber ergreifen danach „Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals“ zu unterstützen. Seit der Änderung verlangt der Artikel ausdrücklich kein bestimmtes Kompetenzniveau mehr. Ob das auch für ein Team gilt, das mit ChatGPT Werbetexte schreibt oder übersetzt, beantwortet die EU-Kommission in ihren Fragen und Antworten zur KI-Kompetenz mit Ja; die Mitarbeiter sollten über die besonderen Risiken informiert sein, etwa über Halluzinationen. Ein Zertifikat ist nicht nötig, eine interne Aufzeichnung der Schulungen genügt. Die Bundesnetzagentur, nach § 2 KI-MIG in der Regel die zuständige Marktüberwachungsbehörde in Deutschland, empfiehlt, die Maßnahmen zu dokumentieren; einen KI-Beauftragten oder standardisierte Schulungen schreibt die Verordnung nach ihrer Lesart nicht vor. Beaufsichtigt wird die Pflicht von den nationalen Behörden seit dem 2. August 2026.

Eine Kennzeichnungspflicht für KI-Text enthält Artikel 50 seit dem 2. August 2026 nur für Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Selbst dann entfällt sie, wenn der Text von einem Menschen geprüft oder redaktionell kontrolliert wurde und jemand die redaktionelle Verantwortung trägt. Für interne Texte, Angebote und normale Geschäftskorrespondenz greift sie nicht. Wir haben das am 14. August 2026 für unsere eigene Website geprüft. Keine Bestimmung aus Artikel 50 verpflichtet uns, und der Hinweis zum KI-Einsatz in unserem Impressum ist freiwillig. Die Prüfung hat trotzdem eine Regel hinterlassen, die über das Gesetz hinaus trägt. Die Ausnahme für geprüfte Texte hängt an einem Schritt, der verloren gehen kann: Würden unsere Texte eines Tages ohne menschliche Prüfung veröffentlicht, wäre sie weg. Deshalb ist der Prüfschritt bei uns fest in den Ablauf eingebaut. Jeder neue Artikel für diese Website durchläuft eine unabhängige Prüfung, und jede Änderung geht erst nach einer Freigabe durch den Gründer live.

Zwei Grenzen gehören außerdem auf die Seite. KI-Systeme, die dafür bestimmt sind, Bewerbungen zu sichten oder zu filtern oder Bewerber zu bewerten, gelten als hochriskant (Anhang III Nummer 4). Die Pflichten der Betreiber, darunter eine menschliche Aufsicht durch Personen mit der nötigen Kompetenz, gelten dafür nach der Verschiebung ab dem 2. Dezember 2027. Ob ein allgemeines Chat-Werkzeug darunter fällt, wenn jemand es für diese Aufgabe verwendet, ist eine Auslegungsfrage, die wir hier offen lassen. Verboten ist bereits seit dem 2. Februar 2025, mit KI die Emotionen von Mitarbeitern am Arbeitsplatz abzuleiten, außer aus medizinischen Gründen oder Sicherheitsgründen (Artikel 5 Absatz 1 Buchstabe f).

Die eine Seite zum Übernehmen

Aus den vier Abschnitten ergibt sich eine Seite, die Sie übernehmen und anpassen können. Tragen Sie an den markierten Stellen einen Namen ein, denn eine Regel ohne Zuständigen pflegt niemand.

1. Firmendaten kommen nur in KI-Konten, die das Unternehmen gekauft hat und verwaltet.
2. Zugangsdaten, Personalakten, Bewerbungen, Gesundheitsdaten und vertraulich erhaltene Unterlagen kommen in keinen Prompt.
3. Kundendaten nur für Aufgaben, die (Name eintragen) je Werkzeug freigegeben hat, und nur so weit, wie die Aufgabe sie braucht.
4. Was Sie weiterleiten, haben Sie gelesen und gekürzt. Ungeprüfte Angaben markieren Sie als ungeprüft.
5. Preise, Termine und verbindliche Zusagen gehen nur nach menschlicher Freigabe an Kunden.
6. Über Bewerber und Mitarbeiter entscheidet ein Mensch, nie ein KI-Ergebnis allein.
7. Neue Werkzeuge und Verbindungen zu Postfach oder Ablage gibt (Name eintragen) frei, bevor sie mit Firmendaten arbeiten.
8. Fragen und Fehler gehen an (Name eintragen). Die Seite wird zweimal im Jahr überprüft.

Gehen Sie die Seite einmal mit dem Team durch, am besten an einem echten Fall wie der Reklamation vom Anfang, und halten Sie fest, wer dabei war. Damit haben Sie auch einen ersten Nachweis einer Maßnahme nach Artikel 4, wie ihn die Bundesnetzagentur empfiehlt. Die Seite ist ein Anfang und kein Nachweis, dass alles erledigt ist; was Ihr Betrieb darüber hinaus braucht, hängt davon ab, wofür Ihr Team KI einsetzt. Unsere eigene Datei ist länger als diese Seite, weil Agenten mit Zugriff auf Systeme mehr Regeln brauchen als ein Team am Chatfenster. Der Kern ist derselbe.

Wenn Sie die Seite nicht allein aufsetzen möchten, ist der Enablement-Workshop der passende Schritt: Ihr Team lernt an eigenen Aufgaben, ganze Arbeitsschritte an Claude, ChatGPT oder Copilot zu übergeben und das Ergebnis zu prüfen, und ein fester Baustein zu Datenschutz und EU-KI-Verordnung endet mit einer Liste, was in Ihrem Betrieb in einen Prompt darf. Die Lizenzen kaufen Sie in der Regel direkt beim Anbieter; unsere Empfehlung für ein Werkzeug hängt nicht davon ab, wer sie verkauft.

Bringen Sie eine echte Aufgabe mit, etwa eine Reklamation wie die vom Anfang: Enablement-Workshop besprechen.