Benötigt Ihr Unternehmen eine KI-Richtlinie? Was das Gesetz tatsächlich vorschreibt
Rasmus Kjaer Damgaard, Co-founder ·
Dieser Artikel wurde mit KI‑Unterstützung erstellt und von einer Person geprüft. Rasmus Kjaer Damgaard trägt die redaktionelle Verantwortung für den Inhalt.
TL;DR: Kein EU-Gesetz schreibt ein Dokument mit der Bezeichnung „KI-Richtlinie“ vor. Was das Gesetz jedoch seit dem 2. Februar 2025 verlangt, ist, dass Unternehmen die KI-Kompetenz der Mitarbeitenden, die mit KI arbeiten, fördern (Art. 4, durch das Digital Omnibus im Juli 2026 von „sicherstellen“ zu „fördern“ abgeschwächt), und dass sie seit dem 2. August 2026 die Transparenzpflichten nach Artikel 50 erfüllen, die für ihre Nutzung gelten. Eine schriftliche Richtlinie ist das praktische Instrument für beides, und der Abschnitt mit dem tatsächlichen Gewicht ist das Register der zugelassenen Tools. Sie können eine vollständige, zitierbasierte Richtlinie in zehn Minuten mit unserem kostenlosen KI-Richtlinien-Generator zusammenstellen.
Was das Gesetz genau verlangt
Drei rechtliche Anknüpfungspunkte sind für ein gewöhnliches Unternehmen, das KI-Tools einsetzt, maßgeblich:
- Art. 4 KI-Kompetenz (seit 2. Februar 2025 in Kraft): Förderung eines ausreichenden Niveaus an KI-Kompetenz bei Mitarbeitenden, die KI-Systeme bedienen, unter Berücksichtigung deren technischer Kenntnisse und des Nutzungskontexts. Das Digital Omnibus hat das operative Verb im Juli 2026 von „sicherstellen“ zu „fördern“ geändert; für Hochrisiko-Einsätze bleibt eine verpflichtende Aufsichtsschulung bestehen. Es gibt keine vorgeschriebene Methode: Eine Richtlinie plus Schulungen ist der übliche Weg, dies nachzuweisen.
- Art. 50 Transparenz (seit 2. August 2026): Die vier Pflichten, die in unserem Leitfaden zu Artikel 50 beschrieben werden, gelten je nach Rolle und Nutzung, nicht für alle gleichermaßen.
- DSGVO, die weiterhin gilt: Das Einfügen personenbezogener Daten in ein KI-Tool stellt eine Verarbeitung dar, es sind Auftragsverarbeitungsvereinbarungen erforderlich (Art. 28), und eine Verletzung kann die 72-Stunden-Meldepflicht auslösen (Art. 33).
Alles andere, was üblicherweise in KI-Richtlinien zu finden ist (Ethik-Erklärungen, Prüfungsgremien), ist eine Frage der Unternehmensführung, nicht eine gesetzliche Vorgabe. Eine gute Richtlinie trennt diese beiden Aspekte klar voneinander.
Was eine tatsächlich funktionierende Richtlinie enthält
Aus unserer Forschung zu Vorlagen und Generatoren für KI-Richtlinien in Europa sind die Abschnitte mit Relevanz:
| Abschnitt | Warum er wichtig ist |
|---|---|
| Register der zugelassenen Tools | Die operative Kontrolle gegen Shadow AI: Welche Tools, welcher Genehmigungsstatus, welche Daten in jedes Tool eingegeben werden dürfen |
| Datenklassifizierung + verbotene Eingaben | Ein Ampelmodell, das Mitarbeitende in Sekunden anwenden können, sowie eine „Nie-Liste“ |
| Regeln für menschliche Prüfung | KI-Ergebnisse gelten als Entwurf, bis eine Person sie geprüft hat; Vier-Augen-Prinzip für alles Veröffentlichte |
| Transparenzpflichten | Die spezifischen Findings zu Artikel 50 für Ihre Nutzung, keine Standardformulierungen |
| Private Konten + Meldungen | Ein Meldeweg, der schützend und nicht bestrafend wirkt, sodass Shadow-Use sichtbar wird, statt sich zu verstecken |
| Schulungen | Der Anknüpfungspunkt zu Art. 4 mit einer regelmäßigen Wiederholung |
| Vorfälle | Wen Sie informieren müssen, wie schnell und warum Schnelligkeit wichtiger ist als absolute Gewissheit (DSGVO: 72 Stunden) |
| Verantwortliche:r + Auslöser für Überprüfungen | Eine benannte Ansprechperson und konkrete Auslöser, nicht nur ein jährliches Datum |
Das Register ist der Abschnitt, den die meisten Vorlagen vernachlässigen. Eine Richtlinie, die besagt „Nutzen Sie KI verantwortungsvoll“, regelt nichts; ein Register, das festhält „Diese fünf Tools, diese Datentypen, Anträge für neue Tools gehen hier ein“, regelt alles – und genau hier wird das Shadow-AI-Problem gelöst, der Grund, warum die meisten Unternehmen überhaupt eine Richtlinie erstellen.
Erstellen Sie eine statt bei Null zu beginnen
Unser KI-Richtlinien-Generator setzt die oben beschriebene Richtlinie aus strukturierten Antworten zusammen: Ihre Rolle nach dem Gesetz (inklusive der White-Label-Falle), Ihre Tools mit datenbezogenen Grenzen pro Tool, Ihre Regeln und Ihre Governance. Jeder Abschnitt verweist auf die konkrete Pflicht dahinter, von den Vorgaben des KI-Gesetzes und der DSGVO bis hin zu den Kontroll-IDs der ISO/IEC 42001 und den Unterkategorien des NIST AI RMF GOVERN. Er läuft vollständig in Ihrem Browser, nichts von Ihren Eingaben verlässt Ihr Gerät, und kein KI-Modell schreibt Teile des Dokuments – was für ein rechtlich relevantes Artefakt ein entscheidender Vorteil ist. Wir haben ihn genutzt, um unsere eigene KI-Richtlinie zu erstellen.
Quellen
- Verordnung (EU) 2024/1689, Artikel 4
- Verordnung (EU) 2024/1689, Artikel 50
- FAQ der Kommission zu Artikel 50
- FAQ der Digitaliseringsstyrelsen zur KI-Verordnung
Häufig gestellte Fragen
Ist eine KI-Richtlinie in der EU gesetzlich vorgeschrieben?
Kein Gesetz nennt eine 'KI-Richtlinie' als verpflichtendes Dokument. Artikel 4 des KI-Gesetzes verlangt die Förderung der KI-Kompetenz bei Mitarbeitenden, und Artikel 50 schreibt Transparenzpflichten vor. Eine schriftliche Richtlinie ist der praktische Weg, um beide Anforderungen zu erfüllen und die Rechenschaftspflicht nachzuweisen, weshalb Aufsichtsbehörden und Prüfer eine solche erwarten.
Was sollte eine KI-Richtlinie mindestens enthalten?
Geltungsbereich, ein Register genehmigter Tools mit Datengrenzen pro Tool, verbotene Eingaben, Regeln für menschliche Überprüfung, die für Ihre Nutzung geltenden Transparenzpflichten, Regeln für private Konten mit Meldeweg, Schulungen, Vorfallsbehandlung sowie eine benannte Verantwortliche oder einen Verantwortlichen mit regelmäßiger Überprüfung.
Warum ist die Liste der genehmigten Tools der wichtigste Abschnitt?
Weil Schatten-KI das eigentliche Risiko darstellt: Mitarbeitende, die Unternehmensdaten in nicht genehmigte Tools einfügen. Eine Richtlinie ohne ein konkretes, gepflegtes Tool-Register mit Datengrenzen pro Tool hat keine Wirkung.
Können wir eine nutzbare Richtlinie erstellen lassen, statt sie selbst zu verfassen?
Ja. Unser kostenloser Generator erstellt eine solche deterministisch aus strukturierten Antworten, wobei jeder Abschnitt die gesetzliche Pflicht dahinter zitiert. Kein KI-Modell schreibt dabei einen Teil des Dokuments.