Die KI-Richtlinie für kleine Teams, auf einer Seite
Zehn Schritte zu einer internen Regelung für zwei bis zehn Leute, die tatsächlich gelesen und befolgt wird. Mit Vorlage zum Abtippen.
Irgendwann kommt der Moment, an dem in Deinem Team nicht mehr nur Du mit KI arbeitest. Die Werkstudentin schreibt Angebote damit, der Freelancer lässt sich Code erklären, jemand lädt eine Kundenliste hoch um sie sortieren zu lassen. Meistens merkst Du das erst hinterher.
Eine Richtlinie ist die billigste Antwort darauf. Nicht weil ein Dokument irgendetwas verhindert, sondern weil ohne eine gemeinsame Grundlage jeder seine eigene erfindet. Und die Version, die sich jemand still selbst zurechtlegt, ist im Zweifel die riskanteste.
Was hier steht, ist eine Arbeitsvorlage, kein Rechtsrat. Welche Pflichten Dich konkret treffen, hängt an Deiner Branche und Deiner Rolle, dafür ist DACH-Legal, EU AI Act und DSGVO der richtige Einstieg. Hier geht es um das Betriebshandbuch daneben.
1. Auf eine Seite begrenzen
Die Versuchung ist, alles zu regeln. Zwölf Seiten, sauber gegliedert, mit Definitionen vorne. So ein Dokument wird einmal beim Onboarding überflogen und danach nie wieder geöffnet.
Setz Dir eine harte Grenze: eine Seite. Was nicht draufpasst, ist entweder nicht wichtig genug oder gehört in ein eigenes Dokument. In einem Team von drei bis zehn Leuten deckst Du damit locker neunzig Prozent der echten Fälle ab.
Der Test ist simpel. Wenn jemand neu anfängt, soll er das Ding in vier Minuten lesen und danach wissen was er tun darf.
2. Drei Freigabe-Stufen statt einer Verbotsliste
Verbotslisten veralten in dem Moment, in dem ein neues Tool erscheint. Stufen halten länger.
Grün, ohne Rückfrage. Alles ohne Personenbezug und ohne Kundenbezug. Texte formulieren, Ideen sammeln, öffentliche Informationen zusammenfassen, Code erklären lassen, eine Mail glattziehen die Du selbst geschrieben hast.
Gelb, mit Prüfung durch einen Zweiten. Alles was nach außen geht oder eine Entscheidung stützt. Angebote, Kundenmails, Zahlen in einer Präsentation, Bewerbungsantworten. Darf mit KI entstehen, geht aber nicht raus bevor ein Mensch draufgeschaut hat.
Rot, nur nach Rücksprache mit Dir. Alles mit Kundendaten, Personaldaten, Gesundheitsdaten, Verträgen, Zugangsdaten. Und jedes neue Tool, das noch niemand im Team benutzt hat.
Drei Stufen kann sich jeder merken. Fünf schon nicht mehr.
3. Die Datenliste konkret machen
"Keine sensiblen Daten" ist keine Regel, das ist ein Gefühl. Jeder zieht die Grenze woanders.
Schreib die Liste konkret hin, mit Beispielen aus Deinem Geschäft. Für eine kleine Agentur sieht das etwa so aus: keine Kundennamen in Kombination mit Umsätzen, keine Bewerbungsunterlagen, keine Rechnungen mit vollständigen Adressen, keine Zugangsdaten oder Schlüssel, keine Verträge im Original.
Und dann der wichtigere Teil, nämlich der Ausweg. Anonymisieren ist fast immer möglich. "Kunde A, Jahresumsatz mittlerer fünfstelliger Bereich" liefert für die meisten Fragen genauso gute Antworten wie der echte Name. Wenn Deine Richtlinie nur verbietet und keinen Weg zeigt, wird sie umgangen. Tiefer steigt Datenschutz mit KI-Tools ein.
4. Eine Positivliste der Tools führen
Nicht welche Tools verboten sind, sondern welche freigegeben sind. Drei bis fünf Namen, mehr braucht ein kleines Team nicht.
Dazu pro Tool eine Zeile mit dem was relevant ist: welcher Vertrag dahintersteht, ob es ein Geschäftskonto ist oder ein privates, und ob dort eingegebene Inhalte zum Training verwendet werden. Diese Punkte unterscheiden sich zwischen Privat- und Geschäftstarifen desselben Anbieters teils erheblich, und genau da liegt der häufigste stille Fehler.
Ein Satz dazu, wie ein Tool auf die Liste kommt. In einem Team Deiner Grösse reicht: neues Tool bedeutet einmal kurz mit Dir sprechen, dann steht es drauf oder eben nicht.
5. Die Haftungsfrage in einem Satz klären
Der wichtigste Satz der ganzen Richtlinie, und er ist kurz: Wer es abschickt, verantwortet es.
Nicht das Tool, nicht der Anbieter, nicht der Kollege der den Prompt geschrieben hat. Die Person, die auf Senden drückt.
Das klingt hart, ist aber die einzige Version, die funktioniert. Sie beendet die Diskussion "die KI hat aber gesagt" bevor sie anfängt, und sie sorgt ganz nebenbei dafür, dass Leute ihre Ergebnisse tatsächlich lesen statt sie durchzureichen. Wie man Behauptungen aus einer KI-Antwort systematisch prüft, steht in KI-Antwort faktenchecken.
6. Kennzeichnung nach außen regeln
Hier gehen die Meinungen im Team am weitesten auseinander, deshalb gehört es geregelt. Sonst kennzeichnet einer jede Mail und ein anderer nie etwas.
Eine brauchbare Grundlinie: Wo ein Mensch inhaltlich verantwortet und die KI nur beim Formulieren geholfen hat, brauchst Du keinen Hinweis. Wo Inhalt im Wesentlichen maschinell entstanden ist, gehört er kenntlich gemacht. Und wo Kunden ausdrücklich mit einem Menschen sprechen wollen, sagst Du ehrlich wer oder was antwortet.
Details und die Abgrenzungen dazu stehen in KI-Inhalte erkennen und kennzeichnen.
7. Kundendaten gesondert behandeln
Sobald Daten Deiner Kunden in ein Tool gehen, ist das keine interne Angelegenheit mehr. Da hängen Zusagen dran, die Du gegenüber Deinen Kunden gemacht hast, oft in Verträgen die älter sind als die Tools.
Zwei Zeilen in der Richtlinie reichen für den Alltag. Erstens: Kundendaten gehen nur in Tools, für die die vertragliche Grundlage geklärt ist. Zweitens: im Zweifel anonymisieren oder fragen, niemals stillschweigend annehmen dass es passt.
Die Klärung selbst ist Deine Aufgabe als Inhaber, nicht die Deiner Leute. Was dafür nötig ist, gehört ins Legal-Playbook, nicht auf diese eine Seite.
8. Einen angstfreien Meldeweg festschreiben
Irgendwann lädt jemand versehentlich etwas hoch, das nicht hätte hochgeladen werden dürfen. Das ist keine Frage des Ob.
Was dann passiert, entscheidet über den Schaden. Wenn die Person es sofort sagt, kannst Du reagieren. Wenn sie Angst vor Ärger hat, erfährst Du es in drei Monaten von jemand anderem.
Also schreib es hin, in dieser Reihenfolge: sofort melden, gemeinsam schauen was zu tun ist, keine Konsequenzen für ehrliche Fehler. Der letzte Halbsatz ist der, der den Weg überhaupt erst benutzbar macht.
9. An drei echten Fällen testen
Bevor Du das Ding verteilst, nimm drei Situationen aus der letzten Woche und geh sie durch. Nicht ausgedachte, echte.
Etwa diese drei: Jemand will ein Angebot für einen Bestandskunden schreiben lassen. Jemand will eine Excel mit Umsatzzahlen auswerten lassen. Jemand will einen neuen Bildgenerator ausprobieren.
Für jeden Fall muss Deine Seite eine eindeutige Antwort liefern, in unter dreißig Sekunden. Wenn Du selbst überlegen musst, ist die Regel zu vage. Wenn zwei Leute im Team zu verschiedenen Ergebnissen kommen, erst recht.
10. Einen Platz und einen Rhythmus geben
Ein Dokument, das niemand findet, existiert nicht. Es gehört dorthin wo Dein Team ohnehin nachschaut, und der Link gehört ins Onboarding.
Dazu ein fester Überprüfungstermin. Zweimal im Jahr reicht in dieser Grösse. Zwanzig Minuten, drei Fragen: Welche Tools nutzen wir inzwischen, die nicht auf der Liste stehen. Welche Regel hat in der Praxis genervt. Was ist schiefgegangen und fehlt bisher.
Setz beim Schreiben ein Datum auf die Seite. Eine Richtlinie ohne Stand ist nach einem Jahr nicht mehr einzuordnen, und in diesem Feld ist ein Jahr eine lange Zeit.
Die Vorlage
Zum Abtippen und Anpassen:
KI-NUTZUNG BEI [FIRMA] Stand: [Datum]
FREIGABE-STUFEN
Grün ohne Rückfrage: keine Personen-, keine Kundendaten
Gelb ein Zweiter schaut drauf: alles was nach aussen geht
Rot vorher mit [Name] sprechen: Kunden-, Personaldaten,
Verträge, Zugangsdaten, neue Tools
NIE EINGEBEN
[eure konkrete Liste, 4 bis 6 Punkte]
Ausweg: anonymisieren ist fast immer möglich.
FREIGEGEBENE TOOLS
[Tool] | [Konto: geschäftlich/privat] | [Training: ja/nein]
VERANTWORTUNG
Wer es abschickt, verantwortet es.
KENNZEICHNUNG
[eure Grundlinie in zwei Sätzen]
WENN ETWAS SCHIEFGEHT
Sofort bei [Name] melden. Keine Konsequenzen für ehrliche Fehler.
ÜBERPRÜFUNG
Nächster Termin: [Datum]
Was Du danach hast
Eine Seite, die vier Minuten Lesezeit kostet und die drei häufigsten Streitfälle vorab entscheidet: was darf rein, wer haftet, was passiert bei einem Fehler.
Was sie nicht leistet: Sie ersetzt keine Prüfung Deiner konkreten Pflichten und keine vertragliche Klärung mit Deinen Kunden. Beides bleibt Deine Aufgabe, und beides wird durch eine klare interne Grundlage nur einfacher.
Der ehrlichste Gradmesser kommt in drei Monaten. Wenn Dich dann jemand fragt "ist das grün oder gelb", hat die Seite funktioniert. Wenn niemand mehr weiß, dass es sie gibt, war sie zu lang.