Das Wichtigste in Kürze
- Eine KI-Richtlinie sollte Mitarbeitenden konkrete Handlungsregeln geben, nicht nur vor möglichen Risiken warnen.
- Unterscheiden Sie zwischen interner Recherche, externer Kommunikation und Aufgaben mit sensiblen Daten.
- Regeln für KI-Agenten müssen auch festlegen, worauf ein Agent zugreifen darf und welche Schritte eine menschliche Freigabe erfordern.
- Benennen Sie Verantwortliche, einen Weg zur Meldung von Problemen und eine Prüfpflicht für KI-Ergebnisse.
- Stimmen Sie die Richtlinie mit Datenschutz, IT-Sicherheit und bestehenden Abläufen ab und überprüfen Sie sie, wenn sich Werkzeuge oder Funktionen ändern.
Worum es geht
Eine KI-Richtlinie im Unternehmen soll Mitarbeitenden Orientierung im Arbeitsalltag geben. Sie beantwortet praktische Fragen: Welches Werkzeug darf ich für diese Aufgabe verwenden? Welche Informationen darf ich eingeben? Muss das Ergebnis geprüft oder als KI-unterstützt gekennzeichnet werden?
Bei einem KI-Agenten reichen Regeln zur Texteingabe oft nicht aus. Ein Agent kann je nach Einrichtung Informationen abrufen, Inhalte bearbeiten oder weitere Arbeitsschritte auslösen. Deshalb sollte die Richtlinie beschreiben, welche Aufgaben freigegeben sind, welche Daten und Systeme der Agent nutzen darf und wann eine Person den nächsten Schritt bestätigen muss.
Die Richtlinie ist dabei kein Ersatz für eine technische Prüfung oder eine rechtliche Bewertung. Sie übersetzt abgestimmte Vorgaben in verständliche Arbeitsregeln. Datenschutz, IT-Sicherheit und zuständige Fachbereiche sollten sie mitentwickeln; Anforderungen sind im jeweiligen Einzelfall zu prüfen.
Typische Ausgangslage
Stellen Sie sich ein Unternehmen vor, in dem Mitarbeitende ein KI-Werkzeug für interne Recherchen nutzen. Einige fragen damit nach allgemeinen Informationen, andere fügen interne Unterlagen ein oder lassen Antwortentwürfe für Kundinnen und Kunden erstellen. Für einen Agenten wurde außerdem ein Zugriff auf ausgewählte interne Informationen eingerichtet.
Eine allgemeine Warnung wie „Geben Sie keine vertraulichen Daten ein“ lässt viele Fragen offen: Was gilt als vertraulich? Welche freigegebene Alternative gibt es? Darf ein Agent Inhalte nur suchen oder auch verändern? Wer kontrolliert einen Entwurf, bevor er nach außen geht? Fehlen konkrete Antworten, entstehen uneinheitliche Praktiken – selbst wenn die Mitarbeitenden vorsichtig sein wollen.
So gehen Sie vor
-
Aufgaben erfassen. Sammeln Sie, wofür Mitarbeitende KI bereits nutzen oder nutzen möchten. Trennen Sie zum Beispiel interne Recherche, Entwürfe für externe Kommunikation und Aufgaben mit sensiblen Informationen. So richten Sie Regeln an tatsächlichen Abläufen aus.
-
Werkzeuge und Einsatzbereiche zuordnen. Halten Sie fest, welche freigegebenen Werkzeuge für welche Aufgaben vorgesehen sind. Beschreiben Sie auch, welche Alternativen Mitarbeitende nutzen können, wenn ein Werkzeug oder ein Anwendungsfall nicht freigegeben ist. Eine Regel wird eher anwendbar, wenn sie einen nächsten Schritt anbietet.
-
Datenzugriff festlegen. Bestimmen Sie, welche Informationsarten ein Werkzeug verarbeiten darf und auf welche Daten ein Agent zugreifen kann. Beschränken Sie den Zugriff auf das, was für die freigegebene Aufgabe erforderlich ist. Prüfen Sie außerdem, ob der Agent Informationen nur lesen oder auch ändern, weitergeben oder andere Aktionen auslösen kann.
-
Freigaben und Prüfpflichten beschreiben. Legen Sie fest, welche Ergebnisse vor einer Verwendung geprüft werden müssen und wer dafür zuständig ist. Bei externer Kommunikation oder folgenreichen Aktionen sollte klar sein, ob eine menschliche Freigabe erforderlich ist. Die prüfende Person sollte die relevanten Informationen beurteilen können und nicht lediglich einen Vorschlag bestätigen.
-
Kennzeichnung und Meldung regeln. Beschreiben Sie, wann KI-Unterstützung kenntlich gemacht werden soll. Nennen Sie außerdem eine zuständige Anlaufstelle und einen einfachen Meldeweg für fehlerhafte Ausgaben, unerwartete Aktionen oder einen möglichen Datenvorfall. Mitarbeitende sollten wissen, was sie bis zur Klärung tun sollen.
-
Verantwortung und Aktualisierung zuweisen. Benennen Sie Rollen für Freigaben, technische Einstellungen und die Pflege der Richtlinie. Überprüfen Sie die Regeln, wenn sich Werkzeuge, Zugriffsrechte, Aufgaben oder relevante interne Abläufe ändern. Halten Sie Änderungen nachvollziehbar fest.
Entscheidungskriterien und typische Fehler
Eine Richtlinie sollte zur Aufgabe und zum möglichen Schaden eines Fehlers passen. Bei einer internen Ideensammlung kann ein anderer Prüfaufwand angemessen sein als bei einem Text, der eine verbindliche Auskunft nach außen darstellt. Entscheidend ist, dass die Regel für Mitarbeitende erkennbar macht, wann sie selbst prüfen können und wann eine zuständige Person eingebunden werden muss.
Typische Fehler sind:
- nur Verbote zu formulieren, ohne freigegebene Werkzeuge und Alternativen zu nennen;
- Datenarten wie „vertraulich“ zu erwähnen, ohne den Begriff für den Arbeitsalltag verständlich zu machen;
- einem Agenten weitreichenden Zugriff zu geben, obwohl seine Aufgabe enger ist;
- eine menschliche Freigabe vorzusehen, aber unklar zu lassen, wer sie erteilt und was geprüft wird;
- eine Richtlinie zu veröffentlichen, ohne sie in die bestehenden Arbeitsabläufe einzubetten.
Vermeiden Sie auch Regeln, die so allgemein sind, dass sie jede Situation offenlassen. Beispiele für erlaubte und nicht erlaubte Anwendungen können dabei helfen. Sie sollten als Orientierung dienen und nicht den Eindruck erwecken, jeder Fall sei damit automatisch abgedeckt.
Grenzen und Risiken
Eine schriftliche Richtlinie verhindert nicht von selbst fehlerhafte Ergebnisse oder unpassende Zugriffe. Technische Einstellungen, Berechtigungen und Kontrollschritte müssen zu den beschriebenen Regeln passen. Wenn ein Agent Aktionen ausführen kann, sollte auch geklärt sein, wie diese Aktionen begrenzt, geprüft und bei Problemen gestoppt werden können.
Regeln müssen außerdem mit Datenschutz, IT-Sicherheit und bestehenden Abläufen abgestimmt werden. Eine pauschale Freigabe für alle Daten oder Aufgaben ist selten eine hilfreiche Orientierung. Prüfen Sie Anforderungen im Einzelfall; dieser Beitrag ersetzt keine Rechtsberatung.
Eine Richtlinie kann veralten, wenn sich Funktionen verändern. Weisen Sie deshalb Verantwortung für die Aktualisierung zu und informieren Sie betroffene Mitarbeitende über Änderungen. Halten Sie fest, an wen Fragen und Vorfälle gerichtet werden können.
Woran Sie den Nutzen erkennen
Prüfen Sie nicht nur, ob eine Richtlinie veröffentlicht wurde. Beobachten Sie, ob Mitarbeitende erklären können, welche Werkzeuge für ihre Aufgaben freigegeben sind, welche Informationen sie verwenden dürfen und wann eine Prüfung nötig ist. Ebenso relevant ist, ob sie den vorgesehenen Meldeweg kennen und nutzen können.
Ergänzend können Sie betrachten, ob freigegebene Werkzeuge tatsächlich genutzt werden und ob wiederkehrende Fragen oder Unsicherheiten abnehmen. Nutzen Sie Rückmeldungen aus dem Arbeitsalltag, um unklare Begriffe oder fehlende Beispiele zu erkennen. So wird die Richtlinie überprüfbar und kann gezielt angepasst werden, statt nur als formales Dokument zu bestehen.
Häufige Fragen
Muss eine KI-Richtlinie jedes Werkzeug einzeln nennen?
Sie sollte erkennen lassen, welche Werkzeuge freigegeben sind und für welche Aufgaben sie verwendet werden dürfen. Wie detailliert einzelne Werkzeuge beschrieben werden, hängt von ihren Funktionen, Datenzugriffen und Einsatzbereichen ab. Halten Sie die Zuordnung so aktuell, dass Mitarbeitende sie im Alltag verlässlich nutzen können.
Was sollte bei einem KI-Agenten zusätzlich geregelt sein?
Beschreiben Sie Aufgabe, erlaubte Daten und Systeme, mögliche Aktionen und die Grenzen des Zugriffs. Legen Sie fest, welche Schritte eine menschliche Freigabe benötigen, wer Ergebnisse kontrolliert und wie unerwartete Aktionen gemeldet werden.
Wer sollte die Richtlinie verantworten?
Die Zuständigkeit sollte im Unternehmen klar benannt sein. Je nach Thema wirken etwa Führung, Fachbereiche, Datenschutz und IT-Sicherheit mit. Wichtig ist, dass sowohl die fachliche Freigabe als auch die Pflege der Regeln und die Bearbeitung von Rückfragen geregelt sind.
Wie oft sollte die Richtlinie überprüft werden?
Legen Sie einen passenden internen Prüfablauf fest. Eine Überprüfung ist besonders wichtig, wenn neue Funktionen, zusätzliche Datenzugriffe oder veränderte Arbeitsabläufe hinzukommen. Auch Rückmeldungen und gemeldete Vorfälle können zeigen, dass eine Regel präzisiert werden sollte.