KI-Regel für den Betrieb: Was auf die eine Seite gehört

Kurz gesagt: Eine KI-Regel für den Betrieb passt auf eine Seite und beantwortet sechs Fragen. Welche Werkzeuge sind erlaubt? Welche Daten dürfen rein, welche nie? Wer prüft Ergebnisse, bevor sie rausgehen? Wie und wann wird KI-Einsatz gekennzeichnet? An wen wendet man sich bei Fragen? Und was passiert, wenn etwas schiefgeht? Mehr braucht ein Betrieb mit fünf, zehn oder dreißig Leuten nicht. Weniger allerdings auch nicht.

Warum eine Seite und kein Handbuch

Wir haben Leitlinien zu KI gesehen, die zwanzig Seiten lang waren. Gelesen hat sie in der Regel die Person, die sie geschrieben hat. Eine Regel wirkt nur, wenn sie im Kopf ist, während die Anmeldung morgens eine Mail vorformulieren will. Dafür muss sie kurz sein, in Alltagssprache, und sichtbar hängen: am Brett, im Teamordner, als erste Seite in der Vorlagensammlung.

Die Seite ist keine Rechtsakte. Sie ist die Arbeitsanweisung für euren Alltag. Datenschutzhinweise für die Website oder ein Auftragsverarbeitungsvertrag sind andere Dokumente. Die Regel verweist höchstens darauf.

Werkzeuge und Daten

Nenne die erlaubten Werkzeuge beim Namen, mit Tarif. „ChatGPT“ ist keine Angabe, „ChatGPT im Team-Tarif über das Betriebskonto“ ist eine. Der Unterschied liegt in Trainingsausschluss und Vertrag: Kostenlose Versionen haben beides in der Regel nicht, Geschäftstarife für etwa 20 bis 30 € je Nutzer im Monat meist schon. Was nicht auf der Liste steht, ist nicht erlaubt. Das klingt streng, spart aber die Diskussion, ob die Gratis-App auf dem privaten Handy „doch kurz mal“ geht.

Der Datenabschnitt ist der wichtigste, und er darf der längste sein. Personenbezogene Daten in ein KI-Werkzeug zu geben ist Verarbeitung im Sinn der DSGVO. Das braucht eine Rechtsgrundlage und bei fremden Anbietern einen Auftragsverarbeitungsvertrag. Gesundheitsdaten, Mandantendaten und Schülerdaten sind besonders geschützt, für Berufsgeheimnisträger kommt § 203 StGB dazu.

Praktisch heißt das: eine kurze Liste „darf rein“ (Stichworte, Textbausteine, allgemeine Fachinformationen, eigene Vorlagen) und eine kurze Liste „darf nie rein“ (Namen von Kunden oder Patienten, Diagnosen, Akteninhalte, Zugangsdaten, Gehälter). Bei uns lautet die zweite Liste: keine Kundendaten in fremde Systeme, ohne Ausnahme. Das ist unsere praktische Einschätzung, keine Rechtsberatung. Bei Unsicherheit entscheidet dein Anwalt oder Datenschutzbeauftragter.

Prüfung und Kennzeichnung

Ein Sprachmodell erzeugt plausible Texte, keine geprüften. Deshalb steht in der Regel, dass nichts ungelesen den Betrieb verlässt, und wer für welche Art von Text die Freigabe gibt. Bei Mails ist das meist die Person, die sie verschickt. Bei Angeboten, Verträgen oder Texten mit Zahlen ist es oft eine zweite Person. Wie du dabei vorgehst, steht in unserem Artikel Ergebnisse prüfen.

Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung. Für die meisten kleinen Betriebe heißt das: Realistisch wirkende KI-Bilder, -Videos und -Audios müssen als solche erkennbar sein, und wer mit einem Chatbot spricht, muss das wissen. Für Texte, die ein Mensch geprüft und verantwortet hat, ist keine Kennzeichnung vorgeschrieben. Die Regel legt fest, wie ihr es intern und gegenüber Kunden handhabt, damit nicht jeder anders entscheidet. Genauer erklären wir das unter KI-Inhalte kennzeichnen.

Ansprechperson und Fehler

Eine Person im Betrieb ist zuständig. Nicht als IT-Leitung, sondern als die, die man fragt, bevor man etwas Neues probiert, und die die Regel aktuell hält. Ohne Namen bleibt die Regel Papier.

Und Fehler passieren: Ein Kundenname landet doch im Werkzeug, eine erfundene Fundstelle geht raus. Die Regel sagt, was dann zu tun ist: melden, nicht vertuschen, gemeinsam anschauen, ob die Regel eine Lücke hat. Wer Fehler bestraft, bekommt keine gemeldet.

Eine Gliederung zum Anfangen

Als Stichpunkte für euren eigenen Entwurf, nicht als Muster zum Kopieren:

• Was gilt hier: Betrieb, Datum der letzten Änderung
• Erlaubte Werkzeuge mit Tarif und Konto
• Darf rein, darf nie rein
• Prüfung: Wer liest, wer gibt frei
• Kennzeichnung: intern, gegenüber Kunden, bei Bildern
• Ansprechperson mit Namen
• Wenn etwas schiefgeht

Jeder Punkt braucht zwei bis vier Sätze, keinen Absatz. Wenn die Seite voll ist, ist sie fertig.

Was wir selbst machen

KI ist bei uns seit Jahren tägliches Werkzeug, und unsere eigene Regel haben wir zuerst für uns geschrieben: Geschäftstarife mit Trainingsausschluss und Auftragsverarbeitung, keine Kundendaten in fremde Systeme, alles wird gelesen, bevor es rausgeht, Kennzeichnung nach Regel. Sie passt auf eine Seite, und sie hat sich seit dem ersten Entwurf mehrfach geändert.

Fazit

Die KI-Regel ist kein Projekt, sondern ein Nachmittag. Bei der KI-Einführung schreiben wir sie gemeinsam mit dir, in der KI-Schulung entsteht der Entwurf mit dem Team. Wie du die Regel ins Team bringst, ohne dass sie als Verbot ankommt, steht in KI im Team einführen.