KI-NutzungWer entscheidet, welche KI-Werkzeuge erlaubt sind?

Die Vertriebsleiterin lässt sich Angebote von einem KI-Assistenten vorformulieren. Ein Kollege aus der Buchhaltung lädt eine Lieferantenliste in einen kostenlosen Chatbot, weil das Sortieren so schneller geht.

Die Geschäftsführung weiß von beidem nichts. Alles läuft gut, bis ein Kunde anruft und fragt, warum in seinem Angebot eine Rabattstaffel steht, die es nie gab.

Dann beginnt die Suche nach der Person, die den Einsatz des Werkzeugs erlaubt hat. Meist stellt sich heraus, dass es diese Person nicht gibt. Niemand hat entschieden, also hat jeder für sich entschieden.

Warum KI-Freigaben oft zufällig entstehen

In vielen kleinen und mittleren Unternehmen gibt es für KI-Werkzeuge keine klare Zuständigkeit. In der Praxis zeigen sich zwei Muster. Beide haben eines gemeinsam: Sie funktionieren, solange nichts passiert. Wenn doch etwas passiert, fehlt die Antwort auf die einfachste Frage: Wer hat das eigentlich entschieden?

Fall 1: Die IT entscheidet allein

Jede Anfrage zu einem neuen Werkzeug landet bei der IT-Leitung oder beim externen Dienstleister. Dort wird geprüft,

• ob das Werkzeug sicher ist und
• wo die Daten gespeichert werden.

Ob es für die Aufgabe im Vertrieb oder in der Personalabteilung überhaupt passt, kann die IT kaum beurteilen. Sie trägt damit still eine Verantwortung, die eigentlich bei der Unternehmensleitung liegt.

Viele IT-Verantwortliche spüren diesen Druck. Sie wollen nicht diejenigen sein, die alles verbieten, und auch nicht diejenigen, die später für einen Fehler geradestehen müssen.

Fall 2: Niemand entscheidet

In diesem Fall gibt es überhaupt keine Regel.

• Die Beschäftigten nutzen KI-Werkzeuge trotzdem, oft über private Konten kostenloser Dienste. Viele tun das mit einem unguten Gefühl, weil ihnen nie jemand gesagt hat, was erlaubt ist.
• Die Führungskräfte ahnen es und sprechen das Thema nicht an, weil sie selbst unsicher sind.

Fachleute nennen diesen Zustand Schatten-KI. Das Risiko liegt vor allem in den Daten, denn Kundendaten oder interne Kalkulationen landen bei Anbietern, mit denen das Unternehmen keinen Vertrag hat.

Was der EU AI Act dazu sagt

Wer KI-Systeme im Unternehmen einsetzt, gilt nach dem EU AI Act als Betreiber. Seit Februar 2025 verlangt Artikel 4 von Betreibern Maßnahmen zur KI-Kompetenz ihrer Beschäftigten.

Mit der sogenannten Digital-Omnibus-Verordnung wurde diese Pflicht im Sommer 2026 abgeschwächt. Unternehmen müssen seitdem nicht mehr sicherstellen, dass jede einzelne Person ein bestimmtes Kompetenzniveau erreicht. Wie weit die Pflicht im Einzelnen noch reicht, wird in der Fachwelt unterschiedlich bewertet.

Für die Praxis ändert das weniger, als viele denken. Die Verbote bestimmter KI-Praktiken nach Artikel 5 gelten unverändert. Daneben bleiben die Pflichten aus anderen Gesetzen bestehen, vor allem aus dem Datenschutzrecht.

Wer personenbezogene Kundendaten in einen Chatbot eingibt, ohne mit dem Anbieter einen Vertrag zur Auftragsverarbeitung zu haben, riskiert einen Verstoß gegen die DSGVO. Das gilt ganz unabhängig vom EU AI Act. Und wenn eine fehlerhafte KI-Auskunft einem Kunden schadet, haftet das Unternehmen.

Der wichtigste Punkt ist ein anderer: Das Gesetz regelt nicht, wer im Unternehmen für KI zuständig ist.

Die Verantwortung für die Organisation liegt bei der Geschäftsführung. Sie kann Aufgaben übertragen, etwa an die IT oder an einen externen KI‑Beauftragten. Die Verantwortung selbst kann sie nicht abgeben.

Gerade weil der Gesetzgeber die Kompetenzpflicht gelockert hat, liegt es jetzt noch stärker beim Unternehmen selbst, klare Regeln zu schaffen.

Ein Rollenmodell für KI-Fragen

Klarheit entsteht, wenn jede Rolle eine eigene Frage beantwortet. Für ein mittelständisches Unternehmen reichen dabei vier Rollen. In kleinen Betrieben übernimmt eine Person oft mehrere davon.

Die wichtigste Rolle ist die KI‑Koordination. Diese Person muss keine Technikexpertin sein. Sie braucht vor allem Zeit und einen direkten Draht zur Geschäftsführung.

Zu ihren Aufgaben gehört ein einfaches Verzeichnis aller genutzten KI-Werkzeuge:

• welches Werkzeug,
• wofür,
• mit welchen Daten und
• von wem freigegeben.

Nicht jedes Unternehmen hat eine Person, die diese Aufgabe neben ihrer eigentlichen Arbeit übernehmen kann. Gerade kleinere Betriebe vergeben die KI-Koordination deshalb auch an externe Fachleute, ähnlich wie es beim Datenschutzbeauftragten seit Jahren üblich ist.

Eine externe Person verfolgt die Entwicklung von Recht und Werkzeugen ohnehin und bringt Erfahrung aus anderen Unternehmen mit. Die Verantwortung bleibt auch dann bei der Geschäftsführung.

Wie erfolgt die Freigabe von KI-Werkzeugen?

Der Freigabeweg für ein neues Werkzeug lässt sich dann in wenigen Schritten beschreiben:

1. Ein Fachbereich meldet den Bedarf bei der KI-Koordination und beschreibt die Aufgabe.
2. IT und Datenschutz prüfen das Werkzeug und die Datenverarbeitung.
3. Die KI-Koordination fasst das Ergebnis zusammen und empfiehlt eine Entscheidung.
4. Die Geschäftsführung gibt frei oder lehnt ab. Bei Werkzeugen mit geringem Risiko kann sie diese Entscheidung auch dauerhaft an die KI-Koordination übertragen.
5. Das Werkzeug kommt in das Verzeichnis, und wer es nutzt, wird vorher eingewiesen.

Was eine KI-Nutzungsrichtlinie regeln sollte

Die Richtlinie ist das Dokument, das die Beschäftigten tatsächlich in die Hand bekommen. Von ihr hängt ab, ob die Regeln im Alltag ankommen.

Viele Richtlinien scheitern an ihrer Länge. Zwanzig Seiten Juristendeutsch landen im Intranet und werden nie geöffnet. Besser sind

• zwei bis drei Seiten,
• in verständlicher Sprache,
• mit Beispielen aus dem eigenen Arbeitsalltag.

Ein Beispiel zeigt den Unterschied. Der Satz „Die Eingabe personenbezogener Daten in nicht freigegebene KI-Systeme ist untersagt“ ist korrekt, hilft aber wenig.

Verständlicher ist:

„Kopieren Sie keine Kundennamen oder Vertragsdaten in ChatGPT oder ähnliche Dienste. Wenn Sie eine Kundenmail überarbeiten lassen wollen, ersetzen Sie den Namen vorher durch einen Platzhalter.“

Diesen Satz versteht jede Person im Betrieb beim ersten Lesen.

Checkliste: Zehn Fragen, die Ihre KI-Nutzungsrichtlinie beantworten sollte

• Welche KI-Werkzeuge sind freigegeben, und wo steht die aktuelle Liste?
• Wer entscheidet über die Freigabe neuer Werkzeuge?
• Welche Daten dürfen auf keinen Fall in ein KI-Werkzeug eingegeben werden?
• Dürfen private Konten kostenloser Dienste beruflich genutzt werden?
• Wer prüft KI-Ergebnisse, bevor sie das Haus verlassen?
• Wann muss gegenüber Kunden erkennbar sein, dass KI beteiligt war?
• Welche Schulung brauchen Beschäftigte, bevor sie ein Werkzeug nutzen, und wie wird sie dokumentiert?
• An wen wenden sich Beschäftigte, wenn sie unsicher sind oder ein Fehler passiert ist?
• Was geschieht bei einem Verstoß gegen die Richtlinie?
• Wann und von wem wird die Richtlinie überprüft?

Kann Ihre Richtlinie eine dieser Fragen nicht beantworten, ist das kein Grund zur Sorge. Es ist der Punkt, an dem Sie als Nächstes ansetzen.

Wie Sie die Regeln im Team einführen

Eine Richtlinie per Rundmail zu verschicken, ist der schnellste Weg, sie wirkungslos zu machen. Die Beschäftigten lesen sie nicht oder fühlen sich kontrolliert. Und wer bisher heimlich mit KI gearbeitet hat, fürchtet jetzt Ärger.

Besser funktioniert ein Gespräch. Laden Sie die Teams zu einer kurzen Runde ein und fragen Sie zuerst, welche Werkzeuge bereits genutzt werden.

Machen Sie dabei klar, dass es nicht um Schuld geht. Die meisten Beschäftigten haben KI eingesetzt, um ihre Arbeit besser zu machen. Wer das offen sagen darf, ist erleichtert, und Sie erfahren endlich, was im Unternehmen tatsächlich läuft. Diese Bestandsaufnahme ist zugleich der Grundstock für Ihr Verzeichnis.

Danach stellen Sie die Richtlinie vor und erklären die Gründe hinter den Regeln. Eine kurze Einweisung pro Werkzeug hilft mehr als eine allgemeine Schulung.

Dokumentieren Sie, wer wann eingewiesen wurde. So können Sie später belegen, dass Sie sich um die KI-Kompetenz Ihrer Beschäftigten gekümmert haben.

Nach drei bis sechs Monaten lohnt sich ein ehrlicher Blick zurück:

• Werden die freigegebenen Werkzeuge genutzt?
• Oder arbeiten viele weiter mit privaten Konten?
• Welche Fragen landen bei der KI-Koordination?

Die Antworten zeigen, wo die Richtlinie nachgeschärft werden muss. KI-Werkzeuge verändern sich schnell, deshalb gehört die Überprüfung als fester Termin in den Kalender.

Fazit

KI im Unternehmen braucht eine klare Zuständigkeit. Der EU AI Act schreibt nicht vor, wer das sein muss, und seit dem Digital Omnibus sind die Vorgaben zur KI-Kompetenz weniger streng.

Die Verantwortung der Geschäftsführung bleibt trotzdem bestehen.

Mit einem einfachen Rollenmodell und einer kurzen, verständlichen Richtlinie schaffen Sie Klarheit. Ihre Beschäftigten wissen dann, was erlaubt ist, und können KI ohne schlechtes Gewissen nutzen.

Und wenn der nächste Kunde mit einer merkwürdigen Rabattstaffel anruft, wissen Sie, wer die Antwort kennt.