KI-Richtlinie im Unternehmen: Was die GDD-Musterrichtlinie regelt und was 2026 dazukommt

In vielen mittelständischen Unternehmen hat sich eine paradoxe Situation entwickelt: Mitarbeitende nutzen längst KI-Werkzeuge wie ChatGPT, für E-Mail-Entwürfe, Recherchen oder Zusammenfassungen. Die Geschäftsführung weiß oft nicht genau, was dabei passiert. Die Folge ist Unsicherheit: Dürfen wir das überhaupt? Welche Daten landen wo? Wer trägt die Verantwortung, wenn etwas schiefgeht?

Eine KI-Richtlinie beantwortet diese Fragen schriftlich. Die Gesellschaft für Datenschutz und Datensicherheit (GDD) hat dafür im Mai 2025 eine frei verfügbare Musterrichtlinie für den betrieblichen Einsatz von Künstlicher Intelligenz veröffentlicht. Dieser Beitrag zeigt, was darin steht, wofür sie taugt und was eine Richtlinie mit Stand 2026 zusätzlich braucht.

Warum eine KI-Richtlinie?

Wir beobachten in der Praxis zwei typische Reaktionen auf KI: Entweder herrscht Aufbruchsstimmung, und jedes neue Werkzeug soll sofort getestet werden. Oder es dominiert die Vorsicht: lieber alles verbieten, bis Klarheit herrscht.

Beide Extreme sind nachvollziehbar, aber nicht zielführend. Ohne Spielregeln gelangen vertrauliche Daten in fremde Systeme, Ergebnisse werden ungeprüft übernommen, Verantwortlichkeiten bleiben offen. Ein pauschales Verbot wird dagegen oft stillschweigend umgangen.

Die Datenschutzkonferenz (DSK) erwartet, dass Unternehmen den Einsatz regeln. In ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 empfiehlt sie, interne Weisungen zu dokumentieren, mit Beispielen für erlaubte und verbotene Szenarien (Rn. 36). Für die berufliche Nutzung sollen Arbeitgeber Geräte und Konten bereitstellen (Rn. 41–42). Die Orientierungshilfe ist bis heute nicht überarbeitet worden.

Verbreitet sind solche Regeln noch nicht. Laut Bitkom hatten 2025 erst 23 Prozent der Unternehmen ab 20 Beschäftigten Regeln für den KI-Einsatz, 2024 waren es 15 Prozent (604 Unternehmen, Juli/August 2025).

Was die GDD-Musterrichtlinie regelt

Die Musterrichtlinie umfasst neun Seiten und ist als Vorlage zum Anpassen gedacht. Ihre wichtigsten Regelungen:

• Freigabe durch die Unternehmensleitung. Eine KI-Anwendung wird erst eingesetzt, wenn sie geprüft und freigegeben ist, unter anderem mit Blick auf verbotene Praktiken, Hochrisiko-Einstufung und Transparenzpflichten der KI-Verordnung.
• Abschließende Liste freigegebener Anwendungen. Erlaubt ist, was auf der Liste steht.
• Verbot privater Accounts. Dienstliche Nutzung nur über freigegebene, dienstliche Zugänge.
• Zweckbindung. Die Werkzeuge werden nur für die freigegebenen Zwecke genutzt.
• Vertrauliche Informationen werden grundsätzlich nicht eingegeben. Ein Training mit Unternehmensdaten ist nur mit anonymisierten Daten vorgesehen.
• Prüfung der Ergebnisse. KI-Ergebnisse werden geprüft, ausschließlich automatisierte Entscheidungen soll es nicht geben.
• Urheberrecht und Kennzeichnung. Rechte Dritter beachten, KI-Inhalte nach Artikel 50 der KI-Verordnung kennzeichnen, wo das nötig ist.
• Schulung der Mitarbeitenden, gestützt auf Artikel 4 der KI-Verordnung.
• Dokumentation, Haftung und Sanktionen, regelmäßige Überprüfung der Richtlinie selbst.

Was eine Richtlinie leistet und was nicht

Orientierung. Mitarbeitende wissen, was erlaubt ist, und handeln entsprechend. Ein Nebeneffekt, den wir oft sehen: Wer den Rahmen kennt, traut sich mehr.

Rechtlicher Rahmen. Die Richtlinie greift DSGVO, KI-Verordnung und Urheberrecht auf. Sie ersetzt keine rechtliche Prüfung im Einzelfall.

Ein Ausgangspunkt. Statt bei null anzufangen, bietet die GDD eine fundierte Gliederung. Die eigentliche Arbeit liegt darin, sie mit den eigenen Werkzeugen, Daten und Zuständigkeiten zu füllen.

Eine Richtlinie allein ändert noch nichts am Alltag. Sie wirkt, wenn die Regeln auch im Werkzeug stehen: freigegebene Konten, passende Datenschutzeinstellungen, Rechte für angebundene Systeme.

Stand 2026: Was eine KI-Richtlinie heute zusätzlich braucht

1. Artikel 4 in neuer Fassung

Abschnitt 4.8 der GDD-Musterrichtlinie formuliert eine Schulungspflicht nach der ursprünglichen Fassung von Artikel 4. Seit dem 27. Juli 2026 verlangt Artikel 4 Maßnahmen, die die Entwicklung der KI-Kompetenz „unterstützen“. Ein bestimmtes Niveau muss niemand garantieren (Verordnung (EU) 2026/1744). Die Bundesnetzagentur, seit dem 29. Juli 2026 zuständige Behörde, empfiehlt, die Maßnahmen zu dokumentieren und regelmäßig aufzufrischen (Bundesnetzagentur, KI-Kompetenz). Mehr dazu in unserem Beitrag zur KI-Kompetenzpflicht.

2. Der Betriebsrat

Die Musterrichtlinie erwähnt ihn nicht, und auch in den übrigen frei verfügbaren Richtlinienmustern kommt er höchstens am Rande vor. Die GDD selbst hat dazu ein eigenes Kurzpapier zur Mitbestimmung (Juni 2025) veröffentlicht. Darin heißt es, dienstliche Accounts, bei denen der Arbeitgeber auf nutzerbezogene Protokolldaten zugreifen kann, seien anders zu bewerten als private Konten. Das Mittelstand-Digital Zentrum Berlin weist zudem darauf hin, dass eine Richtlinie keine Betriebsvereinbarung ersetzt („KI-Richtlinie in 7 Schritten“, Juli 2026). Ausführlich: KI und Betriebsrat.

3. Wer Gespräche einsehen kann

Firmenlizenzen geben Administratoren Einblick, je nach Tarif auch in Inhalte. Bei ChatGPT Business können Workspace-Admins laut OpenAI Gespräche „einsehen, darauf zugreifen, sie exportieren und löschen“ (OpenAI, Enterprise-Datenschutz). Bei Claude Team und Enterprise kann der Primary Owner die Gesprächsdaten der Organisation exportieren (Claude Help Center). Wer diese Rechte hat und wofür sie genutzt werden, gehört in die Richtlinie und sollte den Beschäftigten bekannt sein. Was Sie in den Firmenlizenzen sonst einstellen müssen, zeigen unsere Ratgeber zu Kosten und Datenschutz bei ChatGPT Business und zu Einrichtung und Rechten bei Claude Team und Enterprise.

4. Kennzeichnung nach Artikel 50

Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung für Unternehmen, die KI nutzen. Für Unternehmen, die KI nutzen, heißt das vor allem: Deepfakes offenlegen und veröffentlichte KI-Texte zu Angelegenheiten von öffentlichem Interesse kennzeichnen, sofern sie kein Mensch geprüft und redaktionell verantwortet hat. Werbetexte und Produktbeschreibungen fallen laut den Leitlinien der Kommission vom 20. Juli 2026 in der Regel nicht darunter, Aussagen etwa zu Gesundheit, Verbrauchersicherheit oder Nachhaltigkeit ausgenommen. Eine Rechtschreibprüfung oder eine flüchtige Freigabe zählt nicht als menschliche Prüfung. Die Richtlinie sollte festlegen, wer veröffentlichte KI-Texte prüft und verantwortet.

5. Weitere Muster zum Vergleich

Die GDD-Vorlage ist nicht die einzige. Frei verfügbar sind unter anderem:

An die neue Fassung von Artikel 4 ist nach unserer Prüfung keines dieser Muster angepasst. Gemeinsam ist ihnen ein Kern: Freigabe und Liste zugelassener Werkzeuge, Verbot privater Konten, Regeln für Eingabedaten, Prüfpflicht, Kennzeichnung, Schulung, Ansprechpartner und regelmäßige Überprüfung.

Eine realistische Einordnung

Eine Musterrichtlinie ist kein Allheilmittel. KI-Werkzeuge ändern sich schnell, der rechtliche Rahmen ebenfalls, wie das Jahr 2026 gezeigt hat. Eine Richtlinie braucht deshalb einen festen Termin zur Überprüfung. Das Muster schafft eine solide Grundlage und zeigt, dass geregelter KI-Einsatz und Vorsicht kein Widerspruch sind.

Konkrete nächste Schritte

1. Bestandsaufnahme: Welche KI-Werkzeuge werden genutzt, auch über private Konten? Welche Daten fließen hinein?
2. Muster wählen: Laden Sie die GDD-Musterrichtlinie oder eine der anderen Vorlagen herunter und prüfen Sie, welche Passagen zu Ihrer Größe und Branche passen.
3. Anpassen: Freigegebene Werkzeuge, erlaubte und verbotene Daten mit Beispielen, Admin-Rechte, Prüf- und Kennzeichnungsregeln, Schulung nach neuem Artikel 4.
4. Betriebsrat einbinden, falls vorhanden, bevor die Richtlinie gilt.
5. Im Werkzeug umsetzen: Firmenlizenz, Datenschutzeinstellungen und Rechte so einrichten, dass sie zur Richtlinie passen.
6. Kommunizieren und überprüfen: Die Richtlinie als Ermöglichung vorstellen, nicht als Einschränkung, und einen Termin für die nächste Überprüfung festlegen.

Schritt 3 und 5 gehören zusammen. Bei der Firmen-KI: ChatGPT oder Claude mit Ihren Daten einrichten entsteht die Nutzungsrichtlinie als Entwurf zum Verabschieden, und die Regeln werden zugleich im System hinterlegt.

Die GDD-Musterrichtlinie finden Sie hier: https://www.gdd.de/publikationen/ki-richtlinie-unternehmen/

Die entscheidende Frage ist nicht mehr, ob KI in Ihrem Unternehmen genutzt wird. Die Frage ist, ob das geregelt geschieht oder unkontrolliert.

Hinweis: Dieser Beitrag ordnet die Rechtslage ein und ist keine Rechtsberatung. Für Ihren Einzelfall wenden Sie sich an Ihre Datenschutzbeauftragten oder eine Rechtsanwältin oder einen Rechtsanwalt.

Eine Richtlinie wirkt, wenn sie auch im Werkzeug steht. Mit der Firmen-KI richten wir ChatGPT oder Claude mit Ihren Regeln ein und liefern die Nutzungsrichtlinie als Entwurf mit. Eine rechtliche Prüfung ersetzt das nicht.