KI-Richtlinien für KMU legen fest, wer welche KI-Werkzeuge für welche Aufgaben, mit welchen Daten und unter welcher menschlichen Kontrolle verwenden darf. Eine klare KI-Policy begrenzt Risiken, schützt Betriebswissen und beantwortet Deinem Team eine konkrete Frage: „Darf ich diese Aufgabe mit KI bearbeiten – und wenn ja, unter welchen Bedingungen?“
Gerade in einem Familienbetrieb oder kleinen Team beginnt die Nutzung oft ohne zentrale Abstimmung: Eine Mitarbeiterin testet einen Textassistenten, ein Kollege erstellt über ein privates Konto eine Kalkulation, und eine weitere Person verbindet ein kostenloses Werkzeug mit dem E-Mail-Postfach. Dadurch entstehen Risiken für Datenschutz, Betriebsgeheimnisse und Qualität.
Aus meiner Arbeit mit KMU kenne ich zwei problematische Reaktionen: vollständige Ablehnung aus Unsicherheit und ungeprüfte Nutzung aus Zeitdruck. Beides ist betrieblich nicht sinnvoll. Besser ist ein überschaubarer KI-Verhaltenskodex für die Unternehmenspraxis, der zum tatsächlichen Risiko, zu den Prozessen und zur Größe Deines Teams passt. Ein solcher KI-Leitfaden für Mitarbeiter schafft klare Grenzen, ohne sinnvolle Anwendungen pauschal zu verhindern.
Eine KI-Policy soll verantwortungsvolle Nutzung ermöglichen. Eine reine Verbotsliste erhöht dagegen das Risiko, dass Mitarbeitende private Konten und nicht dokumentierte Nebenwege verwenden.
Was KI-Richtlinien für KMU konkret regeln müssen
Eine betriebliche KI-Policy ist eine verbindliche interne Regelung für die Auswahl, Nutzung und Kontrolle von KI-Systemen. Sie sollte mindestens fünf Fragen eindeutig beantworten:
- Werkzeuge: Welche Anwendungen sind erlaubt, eingeschränkt erlaubt oder verboten?
- Daten: Welche Informationen dürfen eingegeben, hochgeladen oder über Schnittstellen verarbeitet werden?
- Aufgaben: Für welche Arbeitsschritte darf KI eingesetzt werden?
- Kontrolle: Wer prüft Ergebnisse und wer erteilt die Freigabe?
- Verantwortung: Wer entscheidet über neue Werkzeuge, Vorfälle und Ausnahmen?
Eine AI-Policy im Familienbetrieb muss kein umfangreiches juristisches Handbuch sein. Für ein Unternehmen mit bis zu 20 Mitarbeitenden kann ein verständliches Grunddokument mit Anlagen für Werkzeugliste, Datenklassen und Freigabeprozess ausreichen. Entscheidend ist, dass die Regelungen im Arbeitsalltag verstanden, eingehalten und regelmäßig aktualisiert werden.
Der Schnellstart für kleine Teams
Wenn Du kurzfristig klare Grenzen brauchst, beginne mit fünf Entscheidungen. Diese ersten KI-Richtlinien für KMU ersetzen keine vollständige Prüfung, reduzieren aber akute Risiken:
- Nur zentral freigegebene und dokumentierte Konten verwenden.
- Keine personenbezogenen Daten, Betriebsgeheimnisse oder vertraulichen Dokumente ohne vorherige Prüfung und Freigabe eingeben.
- Jedes relevante Ergebnis durch eine fachlich verantwortliche Person kontrollieren lassen.
- KI-Inhalte nicht ungeprüft an Kunden senden oder veröffentlichen.
- Unsichere Ausgaben, Datenabflüsse und verdächtige Systemreaktionen sofort melden.
Erfasse anschließend, welche Anwendungen Dein Team bereits nutzt. Ein pragmatischer KI-Reifegrad-Check hilft Dir, neben der Technik auch Prozesse, Daten und Fähigkeiten zu beurteilen.
Erlaubte, eingeschränkte und verbotene Nutzung unterscheiden
Die Werkzeugliste ist die zentrale Arbeitsgrundlage Deiner KI-Policy. Eine Aufzählung erlaubter KI-Tools reicht jedoch nicht. Halte für jedes Werkzeug auch den freigegebenen Zweck, die zulässigen Daten, die verantwortliche Rolle und die erforderliche Qualitätskontrolle fest.
Erlaubte Nutzung
Als erlaubt kannst Du Anwendungen und Tätigkeiten einstufen, deren Zweck, Konto, Vertragsbedingungen und Datenverarbeitung geprüft wurden. Typische Beispiele sind:
- Ideensammlung mit öffentlichen oder ausdrücklich freigegebenen Informationen,
- sprachliche Überarbeitung selbst verfasster, nicht vertraulicher Texte,
- Zusammenfassung öffentlicher Dokumente,
- Erstellung interner Entwürfe ohne Personen-, Kunden- oder Partnerdaten,
- Übersetzung freigegebener Inhalte mit anschließender menschlicher Prüfung.
Eingeschränkt erlaubte Nutzung
Eingeschränkt erlaubt sind Tätigkeiten, die nur unter definierten Bedingungen durchgeführt werden dürfen. Dazu können Vertragsentwürfe, Kalkulationen, Bewerbungsunterlagen, Gesundheitsinformationen, Kundendaten, Programmcode oder automatisierte Veröffentlichungen gehören. Diese Anwendungen benötigen mindestens eine dokumentierte Freigabe, passende Berechtigungen und einen fachlichen Prüfschritt.
Verbotene Nutzung
Eine verbotene Nutzung muss eindeutig benannt werden. Typische Verbote sind:
- Eingabe von Passwörtern, Zugangsdaten oder geheimen Schlüsseln,
- Hochladen vertraulicher Kunden-, Personal- oder Vertragsunterlagen ohne Freigabe,
- Nutzung privater KI-Konten für betriebliche Informationen,
- Installation ungeprüfter Browser-Erweiterungen oder Apps,
- Umgehung interner Berechtigungen und Freigaben,
- vollautomatische Veröffentlichung ohne fachliche Kontrolle,
- Entscheidungen über Menschen allein auf Grundlage einer KI-Ausgabe,
- Weitergabe ungeprüfter KI-Ergebnisse als bestätigte Fakten.
Auch kostenlose Werkzeuge müssen geprüft werden. Kostenlose Tarife können eingeschränkte Vertragsrechte, eine Nutzung von Eingaben zu Trainingszwecken oder fehlende Verwaltungsfunktionen vorsehen. Prüfe deshalb das konkrete Produkt, den Tarif, die Einstellungen, die Vertragsbedingungen und den vorgesehenen Einsatz.
Datenschutz und Datenklassen verständlich regeln
KI-Richtlinien für KMU sollten Daten nach ihrer Schutzbedürftigkeit unterscheiden. Für ein kleines Unternehmen reichen häufig vier Klassen:
- Öffentlich: Bereits veröffentlichte Informationen, die grundsätzlich in ein freigegebenes Werkzeug eingegeben werden dürfen.
- Intern: Arbeitsunterlagen ohne besondere Vertraulichkeit, deren Verarbeitung nur in betrieblich freigegebenen Konten zulässig ist.
- Vertraulich: Angebote, Kalkulationen, Strategien, Partnerdaten und nicht öffentliche Dokumente, die eine ausdrückliche Freigabe benötigen.
- Besonders geschützt: personenbezogene Daten, besondere Kategorien personenbezogener Daten, Zugangsdaten und zentrale Betriebsgeheimnisse. Ihre Verarbeitung mit KI ist grundsätzlich untersagt oder erst nach einer dokumentierten rechtlichen und technischen Prüfung zulässig.
Der Grundsatz lautet: Keine Eingabe ohne Freigabe und passende Rechtsgrundlage. Das gilt nicht nur für Namen oder E-Mail-Adressen. Auch Gesprächsnotizen, Lebensläufe, Kundenhistorien, Fotos, Bestelldaten oder Kombinationen scheinbar harmloser Angaben können personenbezogene Daten enthalten.
Wer personenbezogene Daten mit KI verarbeitet, muss insbesondere die Grundsätze aus Artikel 5, eine Rechtsgrundlage nach Artikel 6 beziehungsweise 9, die Vorgaben zur Auftragsverarbeitung nach Artikel 28 und die Sicherheitsanforderungen aus Artikel 32 der DSGVO berücksichtigen. Eine betriebliche Entscheidungshilfe findest Du in unserem Beitrag über DSGVO und KI für KMU.
Prüfe bei externen Anbietern außerdem, ob ein Vertrag zur Auftragsverarbeitung erforderlich ist, wo Daten verarbeitet werden, welche Unterauftragnehmer beteiligt sind, ob Eingaben für Trainingszwecke genutzt werden und wann Inhalte gelöscht werden. Diese Prüfung muss vor der Freigabe erfolgen.
Betriebsgeheimnisse und Familienwissen schützen
In Familienbetrieben liegt ein wichtiger Teil des Unternehmenswertes im Erfahrungswissen: Kalkulationslogiken, Lieferantenbeziehungen, Rezepturen, Produktionsdetails, Verhandlungsmuster oder Wissen über langjährige Kunden. Wird dieses Wissen unkontrolliert in private KI-Konten kopiert, verliert der Betrieb die Übersicht über Speicherorte, Zugriffe und mögliche Weiterverwendung.
Eine KI-Policy schützt deshalb nicht nur vor Datenabfluss. Die Dokumentation macht Entscheidungen und Arbeitsweisen auch für die nächste Generation nachvollziehbar. Sie verhindert, dass kritische Abläufe von einer einzelnen Person, einem privaten Konto oder einem nicht dokumentierten Prompt abhängen.
Urheberrecht, Quellen und Kennzeichnung
KI-Ausgaben können sachlich falsch sein, geschützte Bestandteile enthalten oder Nutzungsbedingungen unterliegen, die nicht zum vorgesehenen Einsatz passen. Lege deshalb fest, dass Mitarbeitende bei Texten, Bildern, Videos, Musik und Programmcode die Herkunft der Eingaben sowie erkennbare Rechte Dritter prüfen müssen.
Das EU-Recht enthält bislang keine besonderen unionsweit einheitlichen Regeln zum Urheberrechtsschutz von KI-Ausgaben. Rein maschinell erzeugte Inhalte ohne hinreichenden menschlichen schöpferischen Beitrag dürften nach dem auf menschlicher Kreativität beruhenden Werkbegriff regelmäßig nicht geschützt sein. Bei KI-unterstützten Werken kommt es auf den konkreten menschlichen Beitrag und das anwendbare Recht an.
Für die Unternehmenspraxis bedeutet das:
- Verwende nur Eingaben, für die ausreichende Rechte oder Erlaubnisse bestehen.
- Prüfe relevante Ergebnisse auf erkennbare Übernahmen und Rechte Dritter.
- Dokumentiere bei wichtigen Inhalten die verwendeten Werkzeuge und menschlichen Bearbeitungsschritte.
- Kläre Nutzungsrechte, bevor Du KI-generierte Bilder, Texte, Musik oder Programmcode kommerziell einsetzt.
- Kennzeichne KI-Unterstützung dort, wo Gesetze, Branchenregeln, Plattformvorgaben oder die konkrete Kommunikationssituation dies erfordern.
Die interne Dokumentation ist nicht mit einer öffentlichen Kennzeichnung gleichzusetzen. Beide Anforderungen müssen getrennt geprüft und geregelt werden.
Human-in-the-Loop als verbindlicher Qualitätsprozess
Human-in-the-Loop bedeutet in Deiner betrieblichen Policy: Eine fachlich verantwortliche Person kontrolliert ein KI-Ergebnis, bevor daraus eine relevante Entscheidung, Veröffentlichung oder Kundenkommunikation entsteht. Die Person muss über die notwendige Zeit, Kompetenz und Befugnis für eine tatsächliche Prüfung verfügen.
Der Prüfschritt sollte je nach Aufgabe folgende Punkte umfassen:
- Stimmen Fakten, Namen, Termine und Quellen?
- Sind Berechnungen und Schlussfolgerungen nachvollziehbar?
- Entspricht die Tonalität der Marke und der konkreten Situation?
- Enthält das Ergebnis Vorurteile, Benachteiligungen oder unangemessene Aussagen?
- Wurden Datenschutz, Vertraulichkeit und Urheberrecht berücksichtigt?
- Ist klar, wer die endgültige Freigabe erteilt?
Artikel 14 des EU AI Act enthält Anforderungen an die menschliche Aufsicht bei Hochrisiko-KI-Systemen. Daraus folgt keine pauschale gesetzliche Pflicht zu einem bestimmten Human-in-the-Loop-Verfahren für jede KI-Nutzung. Die gesetzliche Aufsicht bei Hochrisiko-KI und Dein betrieblicher Qualitätsprozess sollten deshalb begrifflich getrennt werden.
Unabhängig von der gesetzlichen Einstufung ist eine menschliche Qualitätskontrolle bei Kundenkommunikation, Angeboten, Kalkulationen und öffentlichen Inhalten betrieblich sinnvoll. KI kann Fachkompetenz unterstützen, übernimmt aber keine Verantwortung.
Verantwortlichkeiten klar zuweisen
In einem kleinen Betrieb kann eine Person mehrere Rollen übernehmen. Trotzdem müssen die Verantwortlichkeiten unterscheidbar bleiben:
- Geschäftsführung: genehmigt die KI-Policy, bestimmt das akzeptierte Risiko und stellt Zeit sowie Mittel bereit.
- KI-verantwortliche Person: führt die Werkzeugliste, koordiniert Prüfungen, dokumentiert Entscheidungen und organisiert Aktualisierungen.
- Datenschutzverantwortliche Person: beurteilt Verarbeitungen personenbezogener Daten und bindet bei Bedarf externe Fachleute ein.
- IT-Verantwortung: verwaltet Konten, Berechtigungen, Schnittstellen, Protokollierung und technische Sicherheitsmaßnahmen.
- Fachverantwortliche: prüfen Ergebnisse inhaltlich und geben sie für ihren Bereich frei.
- Mitarbeitende: halten die Regeln ein, dokumentieren relevante Nutzungen und melden Unsicherheiten oder Vorfälle.
Definiere zusätzlich eine Stellvertretung. In einem Familienbetrieb darf der gesamte Freigabeprozess nicht von einer Person abhängen, die zeitweise oder dauerhaft nicht verfügbar sein kann.
Technische Mindestmaßnahmen für kleine Unternehmen
Eine KI-Policy ohne technische Umsetzung ist nicht ausreichend. Für die meisten KMU sind folgende Maßnahmen ein sinnvoller Mindeststandard:
- betriebliche statt privater Benutzerkonten,
- Mehrfaktor-Authentifizierung für alle relevanten Konten,
- zentrale Vergabe und Entziehung von Berechtigungen,
- getrennte Rollen für Nutzung und Administration,
- regelmäßige Kontrolle aktiver Konten und Erweiterungen,
- Protokollierung wichtiger Schnittstellen und automatisierter Aktionen,
- keine unkontrollierten Verbindungen zu E-Mail, Cloud-Speicher oder Kundensystemen,
- regelmäßige Sicherung wichtiger Konfigurationen und Dokumentationen.
Prompt Manipulation und unzuverlässige Ausgaben
Prompt Manipulation, auch Prompt-Manipulation genannt, bezeichnet den Versuch, ein KI-System durch eingeschleuste Anweisungen zu unerwünschten Handlungen zu bewegen. Eine manipulierte Website, Datei oder E-Mail kann beispielsweise Anweisungen enthalten, die ein angebundener Assistent fälschlich als Arbeitsauftrag behandelt.
Je stärker ein System auf interne Daten, E-Mails oder Werkzeuge zugreifen darf, desto enger müssen Berechtigungen und Freigaben sein. Trenne Lesen, Schreiben und Ausführen, beschränke Zugriffe auf den notwendigen Umfang und lasse kritische Aktionen ausdrücklich bestätigen.
Browser-Erweiterungen und ungeprüfte Schnittstellen können ebenfalls Daten übertragen oder Aktionen auslösen. Sie müssen deshalb in den formalen Freigabeprozess einbezogen werden.
Was bei einem Sicherheitsvorfall zu tun ist
Ein Sicherheitsvorfall kann ein versehentlich hochgeladenes Kundendokument, ein kompromittiertes Konto, eine falsche Veröffentlichung oder ein unkontrollierter Schnittstellenzugriff sein. Deine Policy sollte einen kurzen Meldeweg enthalten:
- Nutzung stoppen und betroffene Verbindung trennen.
- Beweise, Protokolle und Nachrichten sichern und nicht löschen.
- Interne Ansprechperson sofort informieren.
- Betroffene Daten, Personen, Systeme und Zeitpunkte dokumentieren.
- Zugänge sperren oder ändern und aktive Sitzungen beenden.
- Datenschutz- und Benachrichtigungspflichten fachlich prüfen lassen.
- Ursache beheben und die Richtlinie anschließend aktualisieren.
Eine offene Meldekultur ist für eine schnelle Reaktion entscheidend. Wenn Mitarbeitende Sanktionen für jeden Fehler erwarten, werden Vorfälle häufig verspätet gemeldet. Bewusste Umgehungen und wiederholte Verstöße benötigen klare Konsequenzen; gutgläubig gemeldete Fehler sollten zur Verbesserung der Prozesse genutzt werden.
KI-Kompetenz und Mitarbeiter-Sensibilisierung
Nach Artikel 4 der Verordnung (EU) 2024/1689 müssen Anbieter und Betreiber von KI-Systemen nach besten Kräften Maßnahmen treffen, um bei ihrem Personal und weiteren in ihrem Auftrag mit KI-Systemen befassten Personen ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Die Vorschrift gilt seit dem 2. Februar 2025. Zu berücksichtigen sind unter anderem technisches Wissen, Erfahrung, Ausbildung und Nutzungskontext.
Für ein kleines Team muss daraus kein umfangreiches Schulungsprogramm entstehen. Eine kurze Pflichtschulung sollte mindestens vermitteln:
- welche Werkzeuge und Tätigkeiten freigegeben sind,
- welche Daten niemals ungeprüft eingegeben werden dürfen,
- wie KI-Ausgaben kontrolliert werden,
- wie Unsicherheit, Fehler und Vorfälle gemeldet werden,
- warum plausible Antworten sachlich falsch sein können,
- welche Regeln für Quellen, Urheberrecht und Kennzeichnung gelten.
Dokumentiere Datum, Inhalt, Teilnehmende und gegebenenfalls einen kurzen Praxistest. Wiederhole die Mitarbeiter-Sensibilisierung bei wesentlichen Änderungen, neuen Rollen und neuen Anwendungen. Ein versendetes Dokument allein ist kein belastbarer Nachweis der KI-Kompetenz.
Vorher und nachher: Beispiel eines Südtiroler Familienbetriebs
Das folgende Beispiel ist fiktiv: Ein Familienbetrieb mit zwölf Mitarbeitenden nutzt im Büro drei kostenlose Textassistenten über private Konten. Angebote werden zur Überarbeitung hochgeladen, Gesprächsnotizen zusammengefasst und Social-Media-Texte direkt veröffentlicht. Die Vertragsbedingungen wurden nicht geprüft, und bei einem Fehler ist unklar, wer verantwortlich ist.
Nach Einführung der KI-Policy arbeitet der Betrieb mit zwei freigegebenen Werkzeugen und betrieblichen Konten. Öffentliche Informationen dürfen für Entwürfe verwendet werden. Kundendaten, Angebote und interne Kalkulationen sind als vertraulich eingestuft und benötigen eine vorherige Freigabe.
Eine zuständige Person verwaltet Konten und Werkzeugliste. Die jeweiligen Fachverantwortlichen prüfen Inhalte, und ein klarer Meldeweg regelt Vorfälle. Damit bleiben Erfahrungswissen und Entscheidungen nachvollziehbar, auch wenn Verantwortlichkeiten an die nächste Generation übergehen.
Ein begrenztes KI-Pilotprojekt mit klaren Rollen ist meist sinnvoller als die sofortige Freigabe für den gesamten Betrieb.
Kopierbares Grundgerüst für Deine KI-Policy
KI-Richtlinien für KMU müssen an Rollen, Datenarten, Werkzeuge und Arbeitsabläufe des jeweiligen Betriebs angepasst werden. Das folgende Muster bietet dafür eine kompakte Grundlage. Die Vorlage ist keine individuelle Rechtsberatung.
1. Zweck: Diese Richtlinie ermöglicht die verantwortungsvolle Nutzung von KI und schützt Menschen, Unternehmenswissen, personenbezogene Daten und die Qualität unserer Arbeit.
2. Geltungsbereich: Die Richtlinie gilt für alle Mitarbeitenden, Führungskräfte, externen Personen und Systeme, die im Auftrag des Unternehmens KI verwenden.
3. Werkzeugliste: Verwendet werden dürfen ausschließlich die freigegebenen Werkzeuge [Werkzeuge eintragen] über betriebliche Konten und für die dokumentierten Zwecke.
4. Datenklassen: Daten werden als öffentlich, intern, vertraulich oder besonders geschützt eingestuft. Vertrauliche und besonders geschützte Daten dürfen nur nach dokumentierter Prüfung verarbeitet werden.
5. Verbotene Nutzung: Zugangsdaten, Betriebsgeheimnisse und personenbezogene Daten dürfen nicht ohne Freigabe in KI-Systeme eingegeben werden. Private Konten und ungeprüfte Erweiterungen sind für betriebliche Daten untersagt.
6. Qualitätskontrolle: Relevante Ergebnisse werden vor der Verwendung durch [Rolle eintragen] auf Fakten, Berechnungen, Tonalität, Rechte, Datenschutz und mögliche Benachteiligungen geprüft.
7. Dokumentation: Bei wichtigen Ergebnissen werden Werkzeug, Zweck, Datenklasse, verantwortliche Person, Prüfschritte und Freigabe festgehalten.
8. Vorfälle: Verdächtige Ausgaben, Datenabflüsse, kompromittierte Konten und Regelverstöße sind unverzüglich an [Kontakt eintragen] zu melden.
9. Schulung: Alle betroffenen Personen erhalten vor der Nutzung eine angemessene Einweisung. Schulungen und Aktualisierungen werden dokumentiert.
10. Überprüfung: Die Richtlinie wird mindestens halbjährlich sowie bei neuen Werkzeugen, Schnittstellen, Rechtsänderungen oder Sicherheitsvorfällen geprüft.
11. Verstöße: Bewusste oder wiederholte Verstöße werden entsprechend den internen Regeln behandelt. Gutgläubig gemeldete Fehler dienen der Verbesserung und führen nicht automatisch zu Sanktionen.
KI-Richtlinien für KMU in 30 bis 90 Tagen einführen
Tag 1 bis 10: Nutzung sichtbar machen
- Alle verwendeten KI-Anwendungen, Konten, Erweiterungen und Schnittstellen erfassen.
- Aufgaben, eingegebene Daten und beteiligte Personen dokumentieren.
- Offensichtlich riskante Nutzung bis zur Klärung pausieren.
Tag 11 bis 30: Risiken und Pilotregeln festlegen
- Datenklassen und verbotene Nutzung definieren.
- Ein bis zwei Werkzeuge und überschaubare Anwendungsfälle auswählen.
- Verantwortlichkeiten, Freigabeprozess und Vorfallsmeldung bestimmen.
- Technische Konten, Mehrfaktor-Authentifizierung und Berechtigungen einrichten.
Tag 31 bis 60: Im Alltag testen
- Regeln mit typischen Aufgaben erproben.
- Prüfschritte und Dokumentation auf den notwendigen Umfang begrenzen.
- Unklare Formulierungen gemeinsam mit dem Team überarbeiten.
Tag 61 bis 90: Verbindlich einführen
- Die Geschäftsführung lässt die finale Fassung fachlich prüfen und genehmigt sie.
- Die Mitarbeitenden erhalten eine kurze Pflichtschulung mit Praxisbeispielen.
- Teilnahme, Werkzeugfreigaben und Zuständigkeiten werden dokumentiert.
- Ein Termin für die nächste Überprüfung wird festgelegt.
Wenn Du Werkzeuge, Prozesse und Verantwortlichkeiten gemeinsam entwickeln möchtest, unterstützt Dich Berger+Team als Freelancer-Kollektiv aus Bozen mit Beratung zu KI und Digitalisierung. Die Ausarbeitung richtet sich nach den tatsächlichen Abläufen und Risiken Deines Betriebs.
Fragen und Antworten zur KI-Policy
Ist eine KI-Policy für jedes KMU gesetzlich verpflichtend?
Eine allgemeine Pflicht zu einem Dokument mit dem Titel „KI-Policy“ besteht nicht pauschal für jedes KMU. Pflichten aus Datenschutz, Informationssicherheit, Arbeitsorganisation und EU AI Act können eine dokumentierte Regelung dennoch betrieblich erforderlich machen.
Wie lang sollte eine KI-Policy für einen Familienbetrieb sein?
Für kleine Teams ist eine verständliche Richtlinie von wenigen Seiten oft ausreichend. Ergänze das Hauptdokument um eine aktuelle Werkzeugliste, Datenklassen und kurze Prüfanweisungen.
Dürfen Mitarbeitende kostenlose KI-Werkzeuge verwenden?
Kostenlose Werkzeuge dürfen nur verwendet werden, wenn das konkrete Produkt, der Tarif, die Datenverarbeitung und der vorgesehene Zweck freigegeben wurden. Die Bekanntheit eines Anbieters ersetzt diese Prüfung nicht.
Dürfen personenbezogene Daten in ein KI-System eingegeben werden?
Nur wenn eine passende Rechtsgrundlage, ein klarer Zweck, erforderliche Verträge und angemessene Sicherheitsmaßnahmen vorliegen. Ohne dokumentierte Prüfung und Freigabe sollte Deine Policy die Eingabe untersagen.
Müssen KI-generierte Inhalte immer gekennzeichnet werden?
Eine pauschale Kennzeichnungspflicht für jede KI-Unterstützung besteht nicht. Prüfe gesetzliche Vorgaben, Branchenregeln, Plattformbedingungen und die konkrete Kommunikationssituation.
Wer trägt die Verantwortung für eine falsche KI-Ausgabe?
Ein KI-System übernimmt keine betriebliche Verantwortung. Deine Richtlinie muss festlegen, welche Person das Ergebnis fachlich prüft und wer die endgültige Freigabe für eine Veröffentlichung, Entscheidung oder Kundenkommunikation erteilt.
Was muss bei der Qualitätskontrolle geprüft werden?
Prüfe mindestens Fakten, Quellen, Berechnungen, Tonalität, Datenschutz, Urheberrecht und mögliche Diskriminierung. Bei fachlich oder wirtschaftlich wichtigen Ergebnissen sollte die Kontrolle dokumentiert werden.
Wie lässt sich KI-Kompetenz dokumentieren?
Dokumentiere Schulungsdatum, Inhalte, Teilnehmende, Rollenbezug und bei Bedarf einen kurzen Praxistest. Wiederhole die Schulung, wenn sich Werkzeuge, Risiken oder Aufgaben wesentlich ändern.
Wie oft sollten KI-Richtlinien für KMU aktualisiert werden?
Prüfe die Richtlinie mindestens halbjährlich. Eine zusätzliche Prüfung ist erforderlich, wenn neue Werkzeuge, Tarife, Schnittstellen, Datenarten, Rechtsvorgaben oder Sicherheitsvorfälle hinzukommen.
Was passiert bei einem Verstoß?
Stoppe zunächst die riskante Nutzung, sichere relevante Informationen und prüfe mögliche Folgen. Unterscheide anschließend zwischen einem gutgläubig gemeldeten Fehler und einer bewussten Umgehung, damit Vorfälle weiterhin frühzeitig gemeldet werden.
Wer sollte die KI-Policy rechtlich prüfen?
Bei personenbezogenen Daten, Beschäftigtendaten, automatisierten Entscheidungen oder vertraulichen Kernprozessen sollte eine geeignete Datenschutz- oder Rechtsberatung eingebunden werden. Eine Vorlage beschleunigt die betriebliche Abstimmung, ersetzt aber keine Prüfung des konkreten Einsatzes.
Fazit: Klare Regeln statt pauschaler Verbote
Wirksame KI-Richtlinien für KMU verbinden erlaubte KI-Tools, Datenklassen, Verantwortlichkeiten, Human-in-the-Loop, technische Sicherheit und Mitarbeiter-Sensibilisierung zu einem verständlichen betrieblichen System. Für KMU und Familienbetriebe entstehen dadurch weniger Unsicherheit, nachvollziehbare Entscheidungen und ein besserer Schutz des Erfahrungswissens.
Beginne mit den Anwendungen, die Dein Team tatsächlich nutzt. Lege klare Grenzen fest, erlaube geprüfte Einsatzbereiche und bestimme, wer Ergebnisse kontrolliert und freigibt. KI bleibt ein Werkzeug; Urteilskraft und Verantwortung bleiben beim Menschen.
