KI-Policy im Unternehmen — Pflichtinhalte und Vorlage

Viele Unternehmen nutzen KI bereits im Alltag — aber nur wenige haben schriftlich geregelt, wer was damit darf, welche Daten eingegeben werden dürfen und was passiert, wenn etwas schiefläuft.

Genau das wird zum Problem: Der EU AI Act, der seit August 2024 schrittweise in Kraft getreten ist, verpflichtet Unternehmen je nach eingesetztem KI-System zu konkreten internen Governance-Maßnahmen. Eine fehlende oder lückenhafte KI-Policy kann nicht nur regulatorische Konsequenzen haben — sie ist auch ein unterschätztes Haftungsrisiko. Dieser Artikel zeigt dir, was eine KI-Policy für dein KMU enthalten muss, wie die Vorlagenstruktur aussieht und wie du in wenigen Schritten startest.

Was ist eine KI-Policy und wann brauchst du sie?

Eine KI-Policy (auch: KI-Richtlinie oder KI-Nutzungsrichtlinie) ist ein internes Dokument, das regelt, wie dein Unternehmen KI-Systeme einsetzt, wer dafür verantwortlich ist und welche Grenzen gelten. Sie ist kein rein technisches Dokument, sondern ein verbindliches Regelwerk — vergleichbar mit einer Datenschutzrichtlinie oder einer IT-Sicherheitsrichtlinie. Sobald du im geschäftlichen Kontext KI-Systeme nutzt oder einführst, brauchst du eine solche Richtlinie. Für Hochrisiko-KI-Systeme ist sie nach EU AI Act Art. 9 und Art. 26 ausdrücklich vorgeschrieben.

Pflichtinhalte nach EU AI Act — was rein muss

Der EU AI Act unterscheidet KI-Systeme nach Risikoklassen: unannehmbares Risiko (verboten), hohes Risiko, begrenztes Risiko und minimales Risiko. Je nach Klasse variieren die Pflichten — aber bestimmte Grundelemente gehören in jede KI-Policy, unabhängig vom Risikoniveau.

Quelle: Verordnung (EU) 2024/1689 (EU AI Act), eur-lex.europa.eu; ergänzt durch Empfehlungen des BfDI und BSI.

Ein besonderer Hinweis zu Art. 4 EU AI Act: Dieser Artikel verpflichtet Anbieter und Betreiber von KI-Systemen dazu, sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das bedeutet konkret: Deine KI-Policy muss festhalten, welche Schulungen du vorsiehst und wer sie absolvieren muss — und du musst das dokumentieren.

Vorlagenstruktur: So baust du deine KI-Policy auf

Die folgende Struktur ist als Orientierungsrahmen gedacht. Du passt sie an deine konkrete Situation an — Branche, Unternehmensgröße und eingesetzte KI-Systeme entscheiden, wie ausführlich die einzelnen Abschnitte werden.

Abschnitt 1 — Präambel und Geltungsbereich

Definiere, für wen das Dokument gilt (alle Mitarbeiter? Nur bestimmte Abteilungen?), welche KI-Systeme erfasst sind und welchen Zweck die Richtlinie verfolgt. Halte es kurz: Zwei Absätze reichen.

Abschnitt 2 — Begriffsbestimmungen

Erkläre zentrale Begriffe so, wie sie in deinem Unternehmen verstanden werden sollen: Was ist ein KI-System? Was ist ein KI-gestütztes Tool? Wo verläuft die Grenze zu einfacher Automatisierung? Der EU AI Act liefert in Art. 3 eine Legaldefinition, die du als Ausgangspunkt nutzen kannst.

Abschnitt 3 — Verzeichnis der eingesetzten KI-Systeme

Liste alle genutzten KI-Systeme auf — von allgemeinen KI-Textassistenten über KI-gestützte Buchhaltungssoftware bis hin zu Chatbots auf deiner Website. Halte für jedes System fest: Anbieter, Zweck, Risikoklasse, verantwortliche Person intern, Datum der Einführung. Dieses Verzeichnis ist auch für dein Verarbeitungsverzeichnis nach Art. 30 DSGVO relevant.

Achte bei externen KI-Tools darauf, ob ein Auftragsverarbeitungsvertrag (AVV) vorliegt, wo die KI-Verarbeitung tatsächlich stattfindet (EU-Serverstandort allein reicht nicht, wenn das KI-Modell auf US-Infrastruktur läuft) und ob der Anbieter dem Cloud Act unterliegt. Bevorzuge Anbieter mit nachweislichem EU-Serverstandort und EU-seitiger KI-Verarbeitung; bei US-Anbietern ist eine klare Risikoabwägung und rechtliche Prüfung vor Freigabe erforderlich.

Abschnitt 4 — Risikoklassifizierung

Weise jedem System im Verzeichnis seine Risikoklasse nach EU AI Act zu. Für die meisten KMU werden das Systeme mit minimalem oder begrenztem Risiko sein — aber prüfe genau, ob z. B. KI-gestützte Personalentscheidungen oder Kreditbewertungen in den Hochrisiko-Bereich fallen (vgl. Anhang III EU AI Act). Im Zweifel ziehe rechtlichen Rat hinzu.

Abschnitt 5 — Nutzungsregeln

Was dürfen Mitarbeiter mit KI-Tools tun, was ist verboten? Typische Regelungen:

• Keine Eingabe personenbezogener Daten in nicht freigegebene externe KI-Tools.
• KI-generierte Inhalte müssen vor Verwendung von einem Menschen geprüft werden.
• KI darf keine alleinige Grundlage für Entscheidungen mit erheblicher Auswirkung auf Personen sein.
• Nutzung ist auf freigegebene Systeme beschränkt (Schatten-KI vermeiden).

Abschnitt 6 — Verantwortlichkeiten

Benenne konkret: Wer ist KI-Verantwortlicher im Unternehmen? Wer ist Ansprechpartner für Rückfragen? Wer genehmigt neue KI-Systeme? Bei Hochrisiko-KI-Systemen schreibt Art. 26 EU AI Act vor, dass der Betreiber einen internen Ansprechpartner benennt.

Abschnitt 7 — Menschliche Aufsicht und Entscheidungsvorbehalt

Halte fest, in welchen Prozessen KI-Empfehlungen einer menschlichen Prüfung bedürfen, bevor sie umgesetzt werden. Art. 14 EU AI Act ist hier der Maßstab für Hochrisiko-Systeme — aber auch für andere Systeme ist ein klarer Entscheidungsvorbehalt gute Praxis.

Abschnitt 8 — Vorfallmeldung

Definiere: Was ist ein KI-Vorfall (Fehler, unerwartetes Verhalten, Datenpanne durch KI)? Wer ist zu informieren? Wie wird dokumentiert? Für schwerwiegende Vorfälle bei Hochrisiko-Systemen sieht Art. 73 EU AI Act eine Meldepflicht an die zuständige Marktüberwachungsbehörde vor.

Abschnitt 9 — Schulungen und KI-Kompetenz

Halte fest, welche Schulungen für welche Mitarbeitergruppen vorgesehen sind, wie oft sie stattfinden und wie die Teilnahme dokumentiert wird. Das ist die direkte Umsetzung von Art. 4 EU AI Act.

Abschnitt 10 — Versionierung und Review

Datum der letzten Überarbeitung, Versionsnummer, verantwortliche Person für den nächsten Review, geplantes Review-Datum. Kein Luxus, sondern Pflicht: Regulatorische Anforderungen ändern sich, dein Dokument muss mithalten.

Praxisbeispiel

Steuerberatung · 12 Mitarbeiter

Eine Steuerberatungskanzlei nutzt seit rund einem Jahr ein KI-gestütztes Tool zur automatischen Belegverarbeitung sowie einen allgemeinen KI-Textassistenten für die Mandantenkommunikation. Datenschutzrechtlich sind beide Tools relevant; das Belegverarbeitungstool fällt potenziell auch unter den EU AI Act, da es finanzrelevante Prozesse unterstützt.

Die Kanzlei hat keine schriftlichen Regeln, wer welche Daten eingeben darf — Mandantendaten landen teilweise in nicht freigegebenen externen Tools, ohne dass ein AVV vorliegt oder der Serverstandort der KI-Verarbeitung bekannt ist. Bei einer Datenschutzprüfung durch die zuständige Landesbehörde wird genau das zum Problem.

Mit einer KI-Policy von drei bis vier Seiten lässt sich das in einem halben Arbeitstag beheben: Verzeichnis der Tools mit Angabe zu Serverstandort und AVV, klare Nutzungsregeln (keine personenbezogenen Mandantendaten in externe Tools ohne geprüften Auftragsverarbeitungsvertrag und bestätigtem EU-Verarbeitungsort), Verantwortlichen benennen, Schulung der Mitarbeiter dokumentieren. Das Risiko ist damit nicht null — aber beherrschbar und nachweisbar gemanagt.

Das sagt Olga Reyes-Busch

“Viele KMU denken, eine KI-Policy sei etwas für Konzerne. Das Gegenteil ist wahr: Gerade kleine Unternehmen mit wenigen Ressourcen brauchen klare, schriftliche Regeln — weil dort ein einziger ungeregelter Vorfall viel mehr Schaden anrichten kann. Eine schlanke, ehrliche KI-Policy ist kein bürokratischer Akt, sondern das Fundament für verantwortungsvollen KI-Einsatz.”

— Olga Reyes-Busch, KI-Expertin für KMU · HeadUpHigh GmbH

In fünf Schritten zur fertigen KI-Policy

1. Bestandsaufnahme machen: Sammle alle KI-Systeme, die dein Unternehmen aktuell nutzt — auch die, die Mitarbeiter informell einsetzen. Nutze dafür eine einfache Tabelle mit den Spalten: Tool-Name, Anbieter, Zweck, Nutzerkreis, personenbezogene Daten ja/nein, AVV vorhanden ja/nein, Ort der KI-Verarbeitung.

2. Risikoklassen bestimmen: Prüfe für jedes System anhand der Anhänge des EU AI Act (insbesondere Anhang III für Hochrisiko-KI), in welche Kategorie es fällt. Beginne im Zweifel mit einer konservativen Einschätzung und hole bei Bedarf eine rechtliche Einschätzung ein.

3. Pflichtinhalte befüllen: Arbeite die Vorlagenstruktur aus diesem Artikel Abschnitt für Abschnitt durch. Schreibe in klarer Sprache, die deine Mitarbeiter verstehen — nicht in Juristendeutsch.

4. Abstimmen und freigeben: Lass das Dokument von deinem Datenschutzbeauftragten (falls vorhanden) und bei Bedarf von einem auf KI-Recht spezialisierten Anwalt prüfen. Verabschiede es formal — per Geschäftsführerbeschluss oder entsprechendem internem Prozess.

5. Einführen, schulen, dokumentieren: Kommuniziere die KI-Policy aktiv an alle Mitarbeiter. Führe eine Schulung durch und dokumentiere die Teilnahme. Lege einen Review-Termin fest — zum Beispiel in zwölf Monaten oder wenn ein neues KI-System eingeführt wird.

So bringt dich HeadUpHigh weiter

Eine KI-Policy ist nur so gut wie das Wissen, das dahintersteht. Wenn du sicherstellen willst, dass dein Team den EU AI Act versteht und die Richtlinie im Alltag wirklich lebt, schau dir die Inhouse-Schulung an — maßgeschneidert für dein Unternehmen und eure konkreten KI-Systeme.

Zuletzt geprüft

Dieser Artikel wurde am 22. Juli 2026 aktualisiert.

Sonnige Grüße, Olga

Fragen? Einfach melden — oder direkt ein kurzes Gespräch buchen.

Kurzes Gespräch buchen →