KI-Richtlinie für Unternehmen: Muster mit 12 Klauseln, Betriebsrat, Schulungspflicht [2026]

Eine KI-Richtlinie für Unternehmen ist das interne Regelwerk, das festlegt, welche KI-Werkzeuge Beschäftigte nutzen dürfen, welche Daten hinein dürfen, wer die Ergebnisse prüft und wer im Zweifel entscheidet. Kein Gesetz zwingt dich, eine zu haben. Drei Gesetze machen es sehr schwer, ohne eine konform zu sein: die DSGVO (personenbezogene Daten in Prompts), Artikel 4 der KI-Verordnung (dokumentierte KI-Kompetenz, in Kraft seit Februar 2025) und in Deutschland § 87 BetrVG (Mitbestimmung, sobald ein System Leistung überwachen könnte).

Der Grund, sie dieses Jahr zu schreiben, ist nicht die Aufsicht. Es ist, dass mehr als 60 % der Beschäftigten in Deutschland bereits KI bei der Arbeit nutzen, die meisten mit Werkzeugen, die der Arbeitgeber nie eingeführt hat. Eine Richtlinie ist der Weg, diese Schatten-Nutzung in erlaubte Nutzung zu verwandeln, ohne sie zu verbieten. Dieser Artikel gibt dir die zwölf Klauseln, die eine funktionierende Richtlinie braucht, mit Musterformulierungen, den Unterschied zwischen Richtlinie, Betriebsvereinbarung und Schulung, und die sieben Schritte bis zur Freigabe.

Eine KI-Richtlinie ist eine einseitige Anweisung des Arbeitgebers. Als Dokument ist sie nicht vorgeschrieben, aber sie ist der günstigste Weg, drei Pflichten zu erfüllen, die es sind: KI-Kompetenz nach Artikel 4 nachweisen, personenbezogene Daten nach DSGVO von nicht freigegebenen Verarbeitern fernhalten und für den Betriebsrat dokumentieren, was deine Systeme tun. Der Bitkom-Umsetzungsleitfaden zur KI-Verordnung und der Verband deutscher ArbeitsrechtsAnwälte beschreiben KI-Kompetenz als Organisationspflicht: KI-Inventar, Rollen- und Risikobewertung je Einsatz, zielgruppengerechte Schulung und klare Nutzungsregeln. Die Richtlinie ist der Ort für die Nutzungsregeln.

Eine Korrektur zu dem, was viele Beratungen schreiben: Ein Verstoß gegen Artikel 4 hat kein festes Bußgeld. Der Sanktionskatalog der KI-Verordnung nennt Artikel 4 nicht, und Deutschland hat keines ergänzt. Was im August 2026 beginnt, ist die Aufsicht durch die Marktüberwachung, also Anordnungen, Prüfungen, Beschwerden von Beschäftigten und zivilrechtliche Haftung, wenn ein ungeprüftes KI-Ergebnis Schaden anrichtet. Das ist Grund genug für die Unterlagen und kein Grund für das Panik-Marketing. Unser Leitfaden zur Schulungspflicht nach Artikel 4 deckt die Schulungsseite ab; dieser Artikel die Regeln.

Drei Dokumente werden ständig verwechselt, und die Verwechslung kostet Monate. Die Richtlinie schreibt der Arbeitgeber, sie bindet Beschäftigte über das Direktionsrecht. Die Betriebsvereinbarung wird mit dem Betriebsrat verhandelt und ist Pflicht, nicht Kür, sobald ein System abstrakt Verhalten oder Leistung überwachen könnte, was jede KI-Plattform mit Nutzungsprotokoll kann. Das Schulungsprogramm ist der Nachweis für Artikel 4. Die Tabelle zeigt, wer welches Dokument schreibt, wann es Pflicht ist und was hineingehört. Unsere Vorlage für die Betriebsvereinbarung behandelt das zweite Dokument im Detail; die Richtlinie ist das, was die meisten Unternehmen in zwei Wochen fertig haben.

Kopiere die Klauseln, behalte die Nummerierung und streiche, was nicht passt. Die Formulierungen sind bewusst schlicht: Eine Richtlinie, für die man einen Anwalt zum Lesen braucht, wird nicht gelesen. Jede Klausel nennt zuerst die Regel und dann den Grund, denn Leute halten sich an Regeln, die sie verstehen. Der Formulierungsvorschlag ist neutral gehalten, damit er unverändert in dein Dokument kann.

Klausel 3 ist die, die Leute tatsächlich am Arbeitsplatz brauchen, deshalb bekommt sie eine eigene Tabelle. Die Kategorien folgen dem, was DSGVO und die meisten Auftragsverarbeitungsverträge ohnehin unterscheiden; die Werkzeug-Spalten den drei Kontoarten, die die meisten Unternehmen haben. Die Checkliste DSGVO und KI-Verordnung erklärt die Rechtsgrundlage je Kategorie; die DSFA-Vorlage brauchst du, wenn gelbe Daten systematisch fließen.

Wenn du einen Betriebsrat hast, trägt die Richtlinie allein keinen KI-Einführung. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat die Mitbestimmung bei technischen Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung zu überwachen, und das Bundesarbeitsgericht lässt die abstrakte Eignung genügen. Eine KI-Plattform, die protokolliert, wer was gefragt hat, ist eine solche Einrichtung. Ab August 2026 ergänzt Artikel 26 Absatz 7 der KI-Verordnung eine Pflicht, die Arbeitnehmervertretung zu informieren, bevor ein Hochrisiko-System in Betrieb geht.

Die Reihenfolge, die in der Praxis funktioniert: Zuerst die Richtlinie schreiben, weil sie dich zwingt, die Fragen zu beantworten, die der Betriebsrat stellen wird (welche Werkzeuge, welche Daten, welche Protokolle, welche Zwecke). Dann auf dieser Basis die Betriebsvereinbarung verhandeln; der Bitkom-Leitfaden zu KI und Mitbestimmung empfiehlt eine Rahmenvereinbarung mit einer Anlage je Werkzeug, damit ein neues Werkzeug nicht die ganze Verhandlung neu öffnet. Klausel 9 des Musters, keine Leistungskontrolle, ist der Satz, der die Verhandlung am meisten verkürzt. Was Beschäftigte tatsächlich fürchten, steht in warum Mitarbeitende KI am Arbeitsplatz misstrauen.

Die Richtlinie ist nicht für die Beschäftigten, die auf Erlaubnis warten. Sie ist für die Mehrheit, die bereits Kunden-E-Mails in einen privaten Chatbot kopiert, weil es ihnen hilft. Ein Verbot hält sie nicht auf, es verschiebt sie aufs Handy. Die Richtlinie, die funktioniert, bietet ihnen ein freigegebenes Werkzeug, das mindestens so gut ist, auf einem Firmenkonto, und sagt ihnen klar, wofür das private Konto noch genutzt werden darf (nichts mit Firmendaten).

Bevor du Anlage A schreibst, finde heraus, was tatsächlich in Gebrauch ist. Eine anonyme Umfrage bringt meist acht bis fünfzehn Werkzeuge ans Licht, die Hälfte davon der IT unbekannt. Diese Liste ist Whitelist-Kandidatenliste und Risikoregister in einem; das Schatten-KI-Audit beschreibt das vollständige Vorgehen.

Eine Richtlinie, die davon abhängt, dass Leute sich an sie erinnern, scheitert an der ersten Deadline. Die Klauseln, auf die es am meisten ankommt, Datenregeln, keine Leistungskontrolle, nur freigegebene Werkzeuge, kann stattdessen die Plattform durchsetzen: ein Berechtigungsmodell, das die KI nur lesen lässt, was die Nutzerin lesen darf, eine Whitelist, die die tatsächliche Liste der angebundenen Werkzeuge ist, und ein Protokoll, das festhält, worauf die KI zugegriffen hat, ohne ein Überwachungsinstrument für Vorgesetzte zu sein. Microsoft-Mandanten haben die Alternative über Copilot-Oversharing gelernt: Die Richtlinie sagte nur eigene Daten, der Index sagte etwas anderes.

Teamo AI setzt die harten Klauseln des Musters strukturell um: Die 7-Ringe-Berechtigungsarchitektur erzwingt Klausel 3 je Datensatz, Integrationen sind die Whitelist (aus dem Chat installiert, für den Admin sichtbar), drei getrennte Protokolle geben dem Betriebsrat den Nachweis für Klausel 9 und halten die Bewertung einzelner Personen außen vor, und die Plattform läuft in der EU mit AVV. Es ist ein Weg, ein KI-Betriebssystem im Unternehmen zu betreiben, in dem die Richtlinie eine Konfiguration ist, kein Aushang.

Die Regulierung bleibt in Bewegung: Kennzeichnung nach Artikel 50 ab August 2026, Hochrisiko-Pflichten 2027, die nationale Aufsicht findet sich. Eine Richtlinie als zweiseitiger Rahmen plus Anlage übersteht das alles mit einer Aktualisierung der Anlage. Eine Richtlinie als zwölfseitiger Vertrag wird jedes Mal neu verhandelt. Schreib den Rahmen einmal, halte Anlage A lebendig und lass die Plattform durchsetzen. Der KMU-Leitfaden zu KI-Verordnung und DSGVO zeigt dasselbe Prinzip für den Rest der Compliance-Pflichten.

Eine KI-Nutzungsrichtlinie für Mitarbeiter ist ein Dokument in einem Satz, und sie funktioniert nur, wenn der Rest des Satzes existiert. Vor der Richtlinie kommt die Plattformentscheidung, nach ihr die Durchsetzung. Die Richtlinie benennt, welche Werkzeuge erlaubt sind; das KI-Betriebssystem für Unternehmen ist die Schicht, die die erlaubten Werkzeuge zu den bequemen macht, mit Firmenkontext, Berechtigungen und Protokollen, auf die die Richtlinie verweisen kann. Wenn deine Auswahl in Wahrheit ChatGPT Enterprise oder Microsoft 365 Copilot lautet, zeigt der Vergleich Copilot vs. ChatGPT: Was ist besser?, was jedes von sich aus erzwingt und was die Richtlinie stattdessen abdecken muss. Unter 500 Leuten sortiert der Entscheidungsleitfaden KI für kleine Unternehmen die Optionen nach Mindestabnahmen und EU-Hosting.

Zwei weitere Entscheidungen prägen die Klauseln. Ob du den Assistenten selbst baust oder kaufst, verändert Klausel 3 und Klausel 9: Ein selbst gebauter Aufbau hat weder Berechtigungen je Datensatz noch ein Protokoll, solange du sie nicht selbst schreibst, wie der Leitfaden interne KI erstellen: bauen oder kaufen zeigt. Und sobald Agenten in deinen Werkzeugen handeln statt nur zu antworten, braucht die Richtlinie eine Freigabeklausel, erklärt in was ein agentisches Betriebssystem ist. Die technische Basis für all das, die Schicht, die dein Unternehmen kennt, ist der KI-Context-Layer; der rechtliche Rahmen darum ist unser Leitfaden zu KI-Governance und Compliance in der EU, und die Mitbestimmungsseite steht in Betriebsrat und KI.