Eine KI-Richtlinie für kleine Unternehmen: Eine Seite reicht

Hinweis Dieser Beitrag beschreibt eine praktikable Grundstruktur und ersetzt keine Rechtsberatung. Ob für euch weitergehende Pflichten bestehen – etwa aus dem AI Act, aus Branchenvorgaben oder aus Kundenverträgen – ist im Einzelfall zu prüfen.

Das Wichtigste in Kürze

Sechs Abschnitte auf einer Seite reichen: Zugänge, verbotene Eingaben, Prüfpflicht, Verantwortung, Ausschlussfälle, Ansprechperson.
Der wichtigste Abschnitt ist der über Ausschlussfälle – konkret formuliert, nicht als allgemeine Warnung.
Ein Verbot ohne bereitgestellten Geschäftszugang führt zu privaten Zugängen, nicht zu weniger Nutzung.
Die Richtlinie gehört an den Anfang der Einführung, nicht ans Ende.

Warum eine Seite

Ein umfangreiches Regelwerk wird einmal freigegeben und danach nicht mehr gelesen. Eine Seite wird tatsächlich gelesen – und nur was gelesen wird, wirkt.

Die Kürze zwingt außerdem zu Entscheidungen: Wer alles regeln will, regelt nichts verbindlich. Sechs Abschnitte decken die Fälle ab, die im Alltag tatsächlich auftreten.

Die sechs Abschnitte

1. Welche Zugänge

Namentlich benannte Geschäftszugänge, bereitgestellt vom Unternehmen. Private Zugänge sind für dienstliche Zwecke ausgeschlossen.

Begründung im Text: In Geschäftstarifen ist die Verwendung der Eingaben für das Training üblicherweise ausgeschlossen, in Privattarifen nicht immer.

2. Was nicht eingegeben wird

Personenbezogene Kundendaten ohne geklärte Grundlage, Zugangsdaten und Schlüssel, unveröffentlichte Geschäftszahlen, Unterlagen unter Vertraulichkeitsvereinbarung.

Konkret statt allgemein: Beispiele aus eurem Alltag nennen, nicht Kategorien.

3. Was immer geprüft wird

Jede überprüfbare Angabe vor der Verwendung: Zahlen, Studien, Gesetzesangaben, Fristen, Preise, Zitate, Namen.

Wichtiger Zusatz: Der sichere Tonfall einer Antwort sagt nichts über ihre Richtigkeit.

4. Wer verantwortet

Wer etwas veröffentlicht oder versendet, verantwortet den Inhalt – unabhängig davon, wie er entstanden ist. Wie bei jedem anderen Text auch.

5. Wo gar nicht eingesetzt wird

Fünf konkrete Fälle aus eurem Feld. Der wichtigste Abschnitt – und der einzige, der nicht kopiert werden kann.

Beispiele: rechtliche Auskünfte an Kunden ohne Prüfung durch eine Fachperson; Themen ohne eigene Fachkenntnis im Haus; alles, wo ein Fehler nicht auffallen würde.

6. Wen man fragt

Eine namentlich benannte Person für Fragen und Grenzfälle. Ohne diese Zeile entscheidet jeder allein und unterschiedlich.

Wusstest du schon?

Abschnitt fünf ist der einzige, der sich nicht aus einer Vorlage übernehmen lässt – und genau deshalb der wertvollste. Er verlangt eine Entscheidung darüber, wo in eurem Betrieb ein Fehler nicht auffallen würde.

Diese Frage ist unbequem, weil sie voraussetzt, die eigenen blinden Flecken zu benennen. Sie ist aber der Kern jeder brauchbaren Richtlinie: Fast alle problematischen Fälle entstehen dort, wo niemand die fachliche Kompetenz hat, eine falsche Antwort als falsch zu erkennen.

Was nicht hineingehört

Nicht hinein	Warum
Eine Liste erlaubter Produkte	veraltet in Monaten; besser: benannte Zugänge
Prompt-Anleitungen	gehört in die Schulung, nicht in die Regel
Technische Erklärungen zur Funktionsweise	interessant, ändert kein Verhalten
Ein generelles Verbot ohne Alternative	führt zu privaten Zugängen statt zu weniger Nutzung
Kennzeichnungspflicht für jeden Einsatz	wird nicht eingehalten; besser: Verantwortung benennen

Aus der Praxis

Die häufigste Fehlkonstruktion ist die vierte Zeile: ein Verbot, ohne dass ein brauchbarer Geschäftszugang bereitsteht. Das Ergebnis ist nie weniger Nutzung – es ist Nutzung über private Zugänge, ohne Übersicht und unter anderen Bedingungen.

Wer die Datenlage ernst nimmt, stellt deshalb zuerst einen Zugang bereit und regelt danach. Die Reihenfolge ist entscheidend: Zugang, dann Regel, dann Schulung – nicht umgekehrt.

Der Bezug zum AI Act

Für die meisten kleinen Unternehmen, die Sprachmodelle für Texte und Auswertungen nutzen, ergeben sich aus dem AI Act keine weitreichenden Pflichten – sie sind in aller Regel Anwender, nicht Anbieter eines KI-Systems.

Relevant wird es in drei Fällen: wenn ihr ein KI-System selbst anbietet oder wesentlich verändert, wenn ihr es in einem als hochriskant eingestuften Bereich einsetzt – etwa bei Personalentscheidungen –, oder wenn ihr Systeme betreibt, die unmittelbar mit Personen interagieren. In diesen Fällen gehört die Beurteilung zu einer Fachperson.

Unabhängig davon verlangt der AI Act von Anwendern ein Mindestmaß an Kompetenz im Umgang – was praktisch für die Schulung spricht, die ohnehin nötig ist.

Prompt

Hilf mir, eine KI-Richtlinie auf einer Seite für unser Unternehmen
zu formulieren.

Unsere Lage:
- Branche: [Angabe]
- Personen, die KI-Werkzeuge nutzen: [Anzahl und Rollen]
- Wofür sie eingesetzt werden sollen: [Aufgaben]
- Arbeiten wir mit Personendaten? [ja / nein / teilweise]
- Haben wir Kunden mit Vertraulichkeitsvereinbarungen? [ja/nein]
- Welche Zugänge stellen wir bereit? [Angabe oder "noch keine"]
- Fachgebiete, in denen wir selbst keine Kompetenz haben, aber
  Fragen bekommen: [Liste]

Aufgaben:
1. Formuliere die sechs Abschnitte: Zugänge, verbotene Eingaben,
   Prüfpflicht, Verantwortung, Ausschlussfälle, Ansprechperson.
   Zusammen höchstens eine Seite.
2. Formuliere Abschnitt 2 mit konkreten Beispielen aus unserer
   Branche, nicht mit allgemeinen Kategorien.
3. Formuliere Abschnitt 5 – wo gar nicht eingesetzt wird – als
   fünf konkrete Fälle. Nutze dafür meine Liste der Fachgebiete
   ohne eigene Kompetenz.
4. Falls wir noch keine Zugänge bereitstellen: Sag deutlich,
   warum eine Regel ohne bereitgestellten Zugang nicht wirkt.
5. Nenne die Punkte, bei denen wir wegen unserer Branche eine
   Fachperson hinzuziehen sollten.

Erfinde keine Gesetzesartikel und keine Fristen.

Fazit

Sechs Abschnitte, eine Seite, in fünf Minuten lesbar. Fünf davon lassen sich in einer halben Stunde formulieren; der sechste – wo gar nicht eingesetzt wird – verlangt eine ehrliche Betrachtung der eigenen blinden Flecken und ist der eigentliche Wert des Dokuments.

Und die Reihenfolge zählt: erst einen brauchbaren Zugang bereitstellen, dann regeln. Ein Verbot ohne Alternative verlagert die Nutzung nur dorthin, wo niemand sie sieht.

Häufige Fragen

Was gehört in eine KI-Richtlinie?

Sechs Abschnitte: welche Zugänge verwendet werden, was nicht eingegeben werden darf, was immer geprüft werden muss, wer den veröffentlichten Inhalt verantwortet, in welchen konkreten Fällen gar nicht eingesetzt wird, und wen man bei Grenzfällen fragt. Zusammen auf einer Seite.

Warum reicht eine Seite?

Weil nur wirkt, was gelesen wird. Ein umfangreiches Regelwerk wird einmal freigegeben und danach nicht mehr angesehen. Die Kürze zwingt außerdem zu Entscheidungen – wer alles regeln will, regelt nichts verbindlich.

Welcher Abschnitt ist der wichtigste?

Der über die Ausschlussfälle, weil er sich nicht aus einer Vorlage übernehmen lässt. Er verlangt die Entscheidung, wo im eigenen Betrieb ein Fehler nicht auffallen würde – und fast alle problematischen Fälle entstehen genau dort, wo niemand die Kompetenz hat, eine falsche Antwort als falsch zu erkennen.

Sollte man KI-Werkzeuge einfach verbieten?

Ein Verbot ohne bereitgestellten Geschäftszugang führt nicht zu weniger Nutzung, sondern zu Nutzung über private Zugänge – ohne Übersicht und unter anderen Bedingungen, etwa zur Verwendung der Eingaben für das Training. Sinnvoll ist die Reihenfolge Zugang, Regel, Schulung.

Was bedeutet der AI Act für kleine Unternehmen?

Wer Sprachmodelle für Texte und Auswertungen nutzt, ist in aller Regel Anwender und nicht Anbieter – weitreichende Pflichten entstehen daraus meist nicht. Relevant wird es beim eigenen Anbieten oder wesentlichen Verändern eines Systems, beim Einsatz in hochriskanten Bereichen wie Personalentscheidungen, und bei Systemen mit unmittelbarer Personeninteraktion. Diese Fälle gehören zu einer Fachperson.