KI-Richtlinie im Unternehmen: So regeln Sie den Einsatz von ChatGPT, Copilot und Co.

Künstliche Intelligenz ist in vielen Unternehmen längst Teil des Arbeitsalltags. Beschäftigte lassen Texte überarbeiten, E-Mails formulieren, Bilder erstellen, Tabellen auswerten oder Programmcode prüfen. Häufig geschieht dies jedoch, ohne dass verbindlich geregelt ist, welche Werkzeuge verwendet werden dürfen, welche Daten eingegeben werden können und wer die Ergebnisse vor einer Veröffentlichung kontrolliert.

Spätestens mit den neuen Transparenzpflichten des europäischen AI Acts reicht es nicht mehr aus, KI-Werkzeuge lediglich technisch bereitzustellen. Unternehmen, Onlineshops, Agenturen und redaktionelle Webseiten benötigen nachvollziehbare Abläufe. Dabei geht es unter anderem um die Frage, wann Verantwortliche KI-Inhalte kennzeichnen müssen. Mindestens ebenso wichtig ist jedoch, wie solche Inhalte erstellt, geprüft, freigegeben und dokumentiert werden.

Eine interne KI-Richtlinie schafft dafür einen verlässlichen Rahmen. Sie soll die Nutzung künstlicher Intelligenz nicht verhindern, sondern dafür sorgen, dass Mitarbeiter die neuen Werkzeuge sicher und nachvollziehbar einsetzen können.

Warum Unternehmen eine eigene KI-Richtlinie benötigen

In vielen Betrieben beginnt die Nutzung generativer KI nicht mit einem offiziellen Softwareprojekt. Einzelne Mitarbeiter testen frei zugängliche Dienste und verwenden sie anschließend für berufliche Aufgaben. So entstehen sogenannte Schattenanwendungen: Werkzeuge, die zwar betrieblich genutzt werden, aber weder von der IT-Abteilung geprüft noch von der Geschäftsführung freigegeben wurden.

Das kann zunächst harmlos wirken. Problematisch wird es beispielsweise, wenn Beschäftigte vertrauliche Kundendaten, unveröffentlichte Produktinformationen oder interne Kalkulationen in ein öffentliches KI-System eingeben. Ebenso riskant ist es, automatisch erzeugte Inhalte ungeprüft auf einer Unternehmenswebseite zu veröffentlichen.

Eine schriftliche Regelung beantwortet daher mindestens folgende Fragen:

• Welche KI-Anwendungen dürfen beruflich verwendet werden?
• Welche Daten dürfen Beschäftigte in diese Anwendungen eingeben?
• Für welche Aufgaben ist der KI-Einsatz erlaubt?
• Welche Anwendungen oder Nutzungsarten sind ausgeschlossen?
• Wer muss Ergebnisse kontrollieren und freigeben?
• Wie werden KI-generierte Texte, Bilder, Audiodateien und Videos behandelt?
• Wann ist ein Hinweis auf den Einsatz künstlicher Intelligenz erforderlich?
• Wie werden Fehler, Beschwerden oder Sicherheitsvorfälle gemeldet?

Ohne solche Vorgaben entscheidet jeder Mitarbeiter nach eigenem Ermessen. Dadurch können sich widersprüchliche Abläufe entwickeln. Während eine Abteilung sämtliche Ergebnisse sorgfältig prüft, übernimmt eine andere Abteilung generierte Texte möglicherweise unverändert.

Am Anfang steht eine Bestandsaufnahme

Bevor eine KI-Richtlinie geschrieben wird, sollte das Unternehmen erfassen, an welchen Stellen bereits künstliche Intelligenz eingesetzt wird. Dabei reicht es nicht aus, nur offiziell beschaffte Programme zu betrachten. Auch Browserdienste, Erweiterungen, Smartphone-Apps und KI-Funktionen innerhalb bereits vorhandener Software sollten berücksichtigt werden.

Typische Einsatzbereiche sind:

• Formulierung und Überarbeitung von E-Mails
• Erstellung von Blogartikeln, Produktbeschreibungen und Werbetexten
• Übersetzung fremdsprachiger Inhalte
• Erzeugung oder Bearbeitung von Bildern
• Zusammenfassung von Dokumenten und Besprechungen
• Auswertung von Tabellen und Datensätzen
• Programmierung und Fehlersuche
• Erstellung von Präsentationen
• Bearbeitung von Kundenanfragen durch Chatbots
• Automatisierte Erstellung von Social-Media-Beiträgen
• Recherche und Ideensammlung

Für jede Anwendung sollte festgehalten werden, welcher Anbieter dahintersteht, welche Beschäftigten sie nutzen, welche Daten verarbeitet werden und welche Ergebnisse daraus entstehen. Auf diese Weise wird sichtbar, wo dringender Regelungsbedarf besteht.

Nicht jede KI-Nutzung ist gleich riskant

Eine Rechtschreibkorrektur für einen internen Text ist anders zu bewerten als ein Chatbot, der verbindliche Auskünfte an Kunden erteilt. Deshalb empfiehlt es sich, die betrieblichen Anwendungsfälle in einfache interne Risikostufen einzuordnen.

Anwendungsbereich	Beispiel	Interner Prüfbedarf
Niedrig	Ideensammlung, Gliederungen oder sprachliche Überarbeitung interner Texte	Kurze Kontrolle durch den Nutzer
Mittel	Blogartikel, Newsletter, Produktbeschreibungen oder Social-Media-Inhalte	Fachliche und redaktionelle Prüfung vor Veröffentlichung
Hoch	Rechtliche, medizinische, finanzielle oder sicherheitsrelevante Aussagen	Freigabe durch eine fachlich verantwortliche Person
Besonders sensibel	Entscheidungen über Bewerber, Beschäftigte, Kredite oder andere Personen	Gesonderte rechtliche und technische Prüfung

Diese interne Einteilung ersetzt keine rechtliche Bewertung nach dem AI Act. Sie hilft aber dabei, strengere Kontrollen dort einzuführen, wo fehlerhafte Ergebnisse einen größeren Schaden verursachen können.

Klare Regeln für die Eingabe von Daten

Generative KI-Systeme funktionieren nur, wenn Nutzer ihnen Informationen übermitteln. Genau hier liegt eine der größten Fehlerquellen. Mitarbeiter kopieren beispielsweise eine vollständige Kundenmail in einen Chatbot, um eine Antwort formulieren zu lassen. Dabei können Namen, Telefonnummern, Vertragsnummern oder andere personenbezogene Angaben übertragen werden.

Eine KI-Richtlinie sollte deshalb verständlich festlegen, welche Informationen nicht in frei zugängliche Systeme eingegeben werden dürfen. Dazu können gehören:

• personenbezogene Kundendaten
• Gesundheitsdaten und andere besonders schützenswerte Angaben
• Passwörter und Zugangsdaten
• interne Finanzzahlen
• unveröffentlichte Geschäftsberichte
• vertrauliche Vertragsunterlagen
• Quellcode mit sicherheitsrelevanten Bestandteilen
• Geschäftsgeheimnisse
• personenbezogene Mitarbeiterdaten
• Informationen, die einer Verschwiegenheitspflicht unterliegen

Eine bloße Anweisung wie „Keine vertraulichen Daten eingeben“ ist für den Arbeitsalltag oft zu ungenau. Besser sind konkrete Beispiele. Mitarbeiter sollten erkennen können, ob sie einen Text vollständig anonymisieren müssen oder ob eine Aufgabe nur mit einem freigegebenen Unternehmenszugang bearbeitet werden darf.

Private Konten und kostenlose KI-Dienste begrenzen

In einer verbindlichen Regelung sollte außerdem stehen, ob Beschäftigte private Benutzerkonten für berufliche Aufgaben verwenden dürfen. Aus organisatorischer Sicht ist dies meist ungünstig. Das Unternehmen kann dann weder Zugriffsrechte verwalten noch nachvollziehen, welche Daten übertragen wurden.

Sinnvoller sind zentral eingerichtete Geschäftskonten. Sie erleichtern die Verwaltung von Benutzern, die Sperrung ausgeschiedener Mitarbeiter und die einheitliche Konfiguration der verwendeten Dienste. Vor der Freigabe eines Werkzeugs sollten unter anderem folgende Punkte geprüft werden:

• Wo werden eingegebene Daten verarbeitet und gespeichert?
• Werden Eingaben zum Training des Systems verwendet?
• Lässt sich eine solche Verwendung deaktivieren?
• Welche Löschmöglichkeiten bietet der Dienst?
• Kann das Unternehmen Benutzer und Zugriffsrechte zentral verwalten?
• Gibt es Protokolle über Anmeldungen oder administrative Änderungen?
• Welche Unterauftragnehmer werden eingesetzt?
• Wie werden Daten nach Vertragsende behandelt?

KI-Ergebnisse sind keine verlässliche Wissensquelle

Sprachmodelle erzeugen Antworten auf der Grundlage statistischer Wahrscheinlichkeiten. Sie können überzeugend formulierte Aussagen liefern, die unvollständig, veraltet oder frei erfunden sind. Auch scheinbar genaue Zahlen, Studien, Urteile, Produktbezeichnungen und Quellenangaben können falsch sein.

Eine interne Vorgabe sollte deshalb ausdrücklich festhalten, dass KI-Ausgaben nicht allein wegen ihrer professionellen Formulierung als richtig gelten. Der Mitarbeiter, der einen Inhalt nutzt oder veröffentlicht, bleibt für dessen Kontrolle verantwortlich.

Für veröffentlichte Texte bietet sich ein mehrstufiges Prüfverfahren an:

1. Tatsachen prüfen: Namen, Daten, Zahlen, Produktmerkmale und andere überprüfbare Angaben werden mit zuverlässigen Unterlagen abgeglichen.
2. Quellen öffnen: Von der KI genannte Quellen werden nicht ungeprüft übernommen. Die verlinkte Seite oder das Dokument muss tatsächlich existieren und die Aussage tragen.
3. Fachliche Kontrolle durchführen: Inhalte aus sensiblen Bereichen werden von einer entsprechend qualifizierten Person geprüft.
4. Aktualität kontrollieren: Softwareversionen, Gesetze, Preise, Termine und Zuständigkeiten können sich kurzfristig ändern.
5. Sprache überarbeiten: Übertriebene Versprechen, Wiederholungen und unklare Aussagen werden entfernt.
6. Freigabe dokumentieren: Bei wichtigen Veröffentlichungen wird festgehalten, wer den Inhalt kontrolliert hat.

Der Mensch muss tatsächlich redaktionell eingreifen

Eine menschliche Prüfung darf nicht nur auf dem Papier stehen. Es genügt nicht, einen KI-Text zu öffnen, kurz zu überfliegen und unmittelbar zu veröffentlichen. Eine redaktionell verantwortliche Person sollte den Inhalt verstehen, überprüfen und gegebenenfalls verändern.

Besonders bei Texten über Themen von öffentlichem Interesse ist dieser Punkt auch für die Transparenzpflichten des AI Acts bedeutsam. Für bestimmte KI-generierte oder manipulierte Texte sieht die Verordnung eine Ausnahme von der Offenlegungspflicht vor, wenn der Text einer menschlichen Prüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung übernimmt.

Diese Ausnahme sollte nicht als Freibrief verstanden werden. Unternehmen müssen nachvollziehbar darlegen können, dass tatsächlich eine verantwortliche Prüfung stattgefunden hat. Ein rein automatisierter Veröffentlichungsprozess ohne redaktionelle Freigabe lässt sich damit nicht gleichsetzen.

Ein sinnvoller redaktioneller Arbeitsablauf

Unternehmen, Agenturen und Webseitenbetreiber können für KI-unterstützte Inhalte einen festen Ablauf einführen:

1. Ein Mitarbeiter erstellt einen Entwurf oder eine genaue Aufgabenbeschreibung.
2. Das freigegebene KI-Werkzeug erzeugt einen Vorschlag.
3. Der Mitarbeiter überarbeitet Aufbau, Tonalität und Inhalt.
4. Tatsachen und Quellen werden geprüft.
5. Urheberrechtlich oder markenrechtlich problematische Bestandteile werden entfernt.
6. Eine zweite Person kontrolliert sensible oder öffentlich relevante Aussagen.
7. Es wird entschieden, ob eine Kennzeichnung erforderlich ist.
8. Der finale Inhalt wird veröffentlicht und die Freigabe bei Bedarf dokumentiert.

Bei umfangreichen Webprojekten lässt sich dieser Ablauf direkt in das Redaktionssystem integrieren. Ein Beitrag kann beispielsweise die Statusstufen „KI-Entwurf“, „fachlich geprüft“, „redaktionell freigegeben“ und „veröffentlicht“ durchlaufen.

Besondere Regeln für KI-generierte Bilder

KI-Bildgeneratoren eröffnen Unternehmen viele neue Möglichkeiten. Sie können Illustrationen, Hintergrundbilder, Produktumgebungen oder Entwürfe für Werbemittel erzeugen. Gleichzeitig besteht die Gefahr, dass Betrachter eine synthetische Darstellung für eine echte Fotografie halten.

Vor der Veröffentlichung sollten daher mehrere Punkte geprüft werden:

• Zeigt das Bild eine reale Person oder eine künstlich erzeugte Figur?
• Werden bekannte Personen, Orte, Produkte oder Ereignisse täuschend echt nachgebildet?
• Könnte ein Betrachter das Bild irrtümlich als dokumentarische Aufnahme verstehen?
• Sind Marken, Logos oder geschützte Gestaltungen sichtbar?
• Entstehen falsche Erwartungen an ein angebotenes Produkt?
• Muss das Bild als KI-generiert oder KI-bearbeitet gekennzeichnet werden?

Ein Onlineshop sollte beispielsweise kein vollständig künstlich erzeugtes Produktfoto verwenden, wenn Kunden dadurch einen falschen Eindruck von Material, Größe oder Ausstattung erhalten könnten. Wird ein echtes Foto lediglich freigestellt oder farblich korrigiert, ist dies wiederum anders zu bewerten als eine umfassende Veränderung des dargestellten Produkts.

Deepfakes benötigen besondere Aufmerksamkeit

Besonders sensibel sind Bilder, Audioaufnahmen und Videos, die reale Personen, Gegenstände, Orte oder Ereignisse täuschend echt nachbilden. Solche Inhalte können beim Publikum den Eindruck erwecken, authentisch zu sein, obwohl sie künstlich erzeugt oder wesentlich verändert wurden.

Der AI Act verpflichtet die Anwender entsprechender Systeme grundsätzlich dazu, Deepfake-Inhalte offenzulegen. Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke gelten besondere Regeln. Auch dort muss die Information jedoch auf angemessene Weise erfolgen, ohne die Nutzung oder Darstellung des Werkes unnötig zu beeinträchtigen.

Unternehmen sollten deshalb festlegen, dass realistisch wirkende Darstellungen bekannter Personen nicht ohne gesonderte Freigabe erstellt oder veröffentlicht werden dürfen. Das gilt ebenso für künstlich erzeugte Stimmen von Geschäftsführern, Mitarbeitern, Kunden oder Prominenten.

Chatbots müssen als solche erkennbar sein

Auch automatisierte Kundenkommunikation gehört in die KI-Richtlinie. Besucher einer Webseite sollten erkennen können, wenn sie nicht mit einem Menschen, sondern mit einem KI-System kommunizieren. Ein Hinweis kann beispielsweise direkt beim Öffnen des Chatfensters angezeigt werden.

Zusätzlich sollte geregelt werden, welche Auskünfte der Chatbot erteilen darf. Unproblematisch können Hinweise zu Öffnungszeiten, Versandmöglichkeiten oder häufig gestellten Fragen sein. Verbindliche Vertragsänderungen, individuelle Rechtsauskünfte oder Entscheidungen über Reklamationen sollten dagegen nicht ohne menschliche Kontrolle erfolgen.

Ein guter Kundenservice bietet außerdem eine leicht auffindbare Möglichkeit, zu einem menschlichen Ansprechpartner zu wechseln. Kunden sollten nicht gezwungen sein, wiederholt mit einem automatisierten System zu kommunizieren, wenn dieses ihre Anfrage nicht versteht.

Urheberrecht und Marken bei KI-Ausgaben prüfen

Der Umstand, dass ein Text oder Bild von einer KI erzeugt wurde, bedeutet nicht automatisch, dass das Ergebnis ohne weitere Prüfung verwendet werden kann. Generierte Inhalte können geschützten Werken ähneln, bekannte Figuren darstellen oder Markenbestandteile enthalten.

Bei Texten können längere Passagen ungewöhnlich stark an bereits veröffentlichte Inhalte erinnern. Bei Bildern können Logos, charakteristische Produktformen oder bekannte Kunststile auftauchen. Auch künstlich erzeugte Musik und Stimmen können Rechte Dritter berühren.

Die KI-Richtlinie sollte daher vorsehen, dass Mitarbeiter verdächtige Übereinstimmungen prüfen. Besonders aufmerksam ist vorzugehen, wenn die Eingabe ausdrücklich verlangt, den Stil einer lebenden Künstlerin, eines bekannten Fotografen oder einer bestimmten Marke nachzuahmen.

Für kommerzielle Veröffentlichungen empfiehlt sich außerdem eine nachvollziehbare Ablage der verwendeten Eingaben, Zwischenschritte und Bearbeitungen. Dadurch kann das Unternehmen später besser erklären, wie ein Inhalt entstanden ist.

Produktbeschreibungen und Onlineshops

Onlineshops können mit generativer KI große Mengen an Produkttexten erstellen. Dadurch lässt sich das Sortiment schneller beschreiben, allerdings steigt das Risiko falscher Angaben. Ein Sprachmodell kann Eigenschaften ergänzen, die nicht in den Produktdaten enthalten sind.

Typische Fehler betreffen:

• Materialangaben
• Abmessungen und Gewicht
• Lieferumfang
• Kompatibilität
• Prüfsiegel und Zertifizierungen
• Garantieversprechen
• gesundheitsbezogene Aussagen
• Verfügbarkeit von Zubehör

Automatisch erzeugte Produkttexte sollten deshalb ausschließlich auf freigegebenen Stammdaten beruhen. Die KI darf fehlende Merkmale nicht eigenständig ergänzen. Bei großen Sortimenten können automatische Plausibilitätsprüfungen helfen, sie ersetzen jedoch nicht die stichprobenartige Kontrolle durch verantwortliche Mitarbeiter.

Prompts allein sind keine ausreichende Dokumentation

Manche Unternehmen speichern lediglich die Anweisung, die an das KI-System gesendet wurde. Für eine nachvollziehbare Dokumentation reicht das nicht immer aus. Die Ausgabe kann sich je nach Modellversion, Einstellungen und Zeitpunkt unterscheiden.

Bei wichtigen Inhalten sollten daher zusätzlich folgende Angaben gespeichert werden:

• verwendetes KI-Werkzeug
• Datum der Erstellung
• verwendete Modell- oder Produktversion, soweit erkennbar
• wesentliche Eingaben und bereitgestellte Unterlagen
• ursprüngliche KI-Ausgabe
• durchgeführte Änderungen
• Name oder Funktion der prüfenden Person
• Datum der Freigabe
• Entscheidung über eine Kennzeichnung

Nicht jeder kurze interne Formulierungsvorschlag benötigt eine umfangreiche Akte. Die Dokumentation sollte sich nach der Bedeutung des jeweiligen Einsatzes richten. Für veröffentlichte Fachinformationen, automatisierte Kundenkommunikation oder besonders realistisch wirkende Medieninhalte ist eine genauere Aufzeichnung sinnvoll.

Technische Kennzeichnungen dürfen nicht entfernt werden

Anbieter generativer KI-Systeme müssen für bestimmte Ausgaben maschinenlesbare Kennzeichnungen und technische Erkennungsmöglichkeiten bereitstellen. Diese können beispielsweise in Metadaten oder anderen technischen Merkmalen enthalten sein.

Unternehmen sollten vermeiden, solche Informationen bewusst zu entfernen. Das kann unbeabsichtigt geschehen, wenn Dateien mehrfach konvertiert, komprimiert, als Bildschirmfoto gespeichert oder über bestimmte Plattformen weiterverarbeitet werden.

Die interne Richtlinie kann deshalb vorgeben, dass Originaldateien archiviert und technisch erkennbare Herkunftsinformationen nach Möglichkeit erhalten werden. Vor der Einführung automatisierter Bild- oder Videoprozesse sollte geprüft werden, ob die eingesetzte Software entsprechende Metadaten entfernt.

Beschäftigte benötigen passende Schulungen

Seit dem 2. Februar 2025 verlangt der AI Act von Anbietern und Anwendern von KI-Systemen Maßnahmen für ein ausreichendes Maß an KI-Kompetenz der beteiligten Personen. Dabei gibt es kein einheitliches Schulungsprogramm, das für jedes Unternehmen gleichermaßen passt.

Ein Mitarbeiter, der eine KI lediglich zur sprachlichen Überarbeitung interner Texte verwendet, benötigt andere Kenntnisse als ein Entwickler, der ein KI-System in ein Kundenportal integriert. Schulungen sollten deshalb an den tatsächlichen Aufgaben ausgerichtet sein.

Eine grundlegende Unterweisung kann folgende Themen abdecken:

• Funktionsweise und Grenzen generativer KI
• Umgang mit fehlerhaften oder erfundenen Ausgaben
• zulässige und unzulässige Dateneingaben
• Prüfung von Fakten und Quellen
• Umgang mit personenbezogenen und vertraulichen Daten
• Regeln für Texte, Bilder, Audiodateien und Videos
• interne Freigabe- und Kennzeichnungsabläufe
• Meldung problematischer Ergebnisse

Unternehmen benötigen dafür nicht zwingend ein aufwendiges Zertifizierungsverfahren. Schulungen, interne Leitfäden und dokumentierte Einweisungen können miteinander kombiniert werden. Wichtig ist, dass die Maßnahmen zu den verwendeten Systemen und den Aufgaben der Beschäftigten passen.

Verantwortlichkeiten eindeutig zuweisen

Eine Richtlinie bleibt wirkungslos, wenn niemand für ihre Umsetzung zuständig ist. Deshalb sollten klare Rollen festgelegt werden. Je nach Unternehmensgröße können mehrere Aufgaben von derselben Person übernommen werden.

Rolle	Mögliche Aufgabe
Geschäftsführung	Genehmigung der Richtlinie und Entscheidung über besonders wichtige Anwendungen
IT-Verantwortliche	Prüfung, Einrichtung und Verwaltung der freigegebenen Werkzeuge
Datenschutzbeauftragte	Bewertung der Verarbeitung personenbezogener Daten
Redaktionsleitung	Festlegung der Prüf- und Freigabeabläufe für Veröffentlichungen
Fachabteilung	Kontrolle fachlicher Aussagen
Mitarbeiter	Einhaltung der Vorgaben und Meldung auffälliger Ergebnisse

Ein eigener KI-Beauftragter ist nicht in jedem Unternehmen erforderlich. Entscheidend ist, dass Beschäftigte wissen, an wen sie sich bei Fragen oder Problemen wenden können.

Beispiel für zentrale Regeln einer internen KI-Richtlinie

Eine kompakte Unternehmensrichtlinie kann unter anderem die folgenden Grundsätze enthalten:

1. Beruflich dürfen nur ausdrücklich freigegebene KI-Anwendungen verwendet werden.
2. Private Benutzerkonten dürfen nicht für vertrauliche betriebliche Aufgaben eingesetzt werden.
3. Personenbezogene, vertrauliche oder sicherheitsrelevante Daten dürfen nur in dafür geprüfte Systeme eingegeben werden.
4. KI-Ausgaben müssen vor ihrer Verwendung durch einen Menschen kontrolliert werden.
5. Fachliche, rechtliche, medizinische und finanzielle Aussagen benötigen eine besonders sorgfältige Prüfung.
6. KI-generierte Produktmerkmale dürfen nicht ohne Abgleich mit den freigegebenen Produktdaten veröffentlicht werden.
7. Realistisch wirkende künstliche Bilder, Audiodateien und Videos benötigen eine gesonderte Freigabe.
8. Erforderliche Hinweise auf KI-generierte oder manipulierte Inhalte müssen deutlich angebracht werden.
9. Technische Herkunftskennzeichnungen dürfen nicht absichtlich entfernt werden.
10. Fehlerhafte, diskriminierende oder sicherheitskritische Ergebnisse sind der zuständigen Stelle zu melden.

So lässt sich die Richtlinie im Unternehmen einführen

Die Einführung muss nicht mit einem umfangreichen Regelwerk beginnen. Gerade kleinere Unternehmen können schrittweise vorgehen.

1. Verwendete Anwendungen erfassen

Zunächst werden alle bekannten KI-Werkzeuge und Anwendungsfälle gesammelt. Dabei sollten Mitarbeiter ausdrücklich gefragt werden, welche Dienste sie bereits nutzen.

2. Dringende Risiken begrenzen

Besonders problematische Nutzungen werden sofort eingeschränkt. Dazu gehört beispielsweise die Eingabe vertraulicher Unterlagen in nicht geprüfte öffentliche Systeme.

3. Erlaubte Werkzeuge festlegen

Das Unternehmen erstellt eine übersichtliche Liste freigegebener Dienste. Zusätzlich sollte erkennbar sein, für welche Aufgaben das jeweilige Werkzeug eingesetzt werden darf.

4. Prüfverfahren einführen

Für Texte, Bilder, Produktdaten und Kundenkommunikation werden passende Kontrollschritte festgelegt. Sensible Inhalte erhalten ein Vier-Augen-Prinzip.

5. Mitarbeiter unterweisen

Die Beschäftigten erhalten eine verständliche Einführung mit praktischen Beispielen aus ihrem Arbeitsbereich. Die Teilnahme wird intern festgehalten.

6. Richtlinie regelmäßig aktualisieren

KI-Anwendungen verändern sich schnell. Anbieter ergänzen Funktionen, ändern Vertragsbedingungen oder integrieren Modelle in bestehende Software. Die Richtlinie sollte daher in festen Abständen und bei größeren technischen Änderungen überprüft werden.

Häufige Fragen zur KI-Nutzung im Unternehmen

Muss jeder mit KI erstellte Text gekennzeichnet werden?

Nein. Der AI Act sieht keine pauschale Kennzeichnung sämtlicher Texte vor, bei deren Erstellung ein KI-Werkzeug beteiligt war. Besondere Vorgaben gelten unter anderem für KI-generierte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine menschliche Prüfung, redaktionelle Kontrolle und klar übernommene redaktionelle Verantwortung können dabei eine wichtige Ausnahme begründen.

Reicht es aus, einen KI-Text kurz durchzulesen?

Eine reine Sichtkontrolle ist insbesondere bei fachlichen oder öffentlich relevanten Inhalten nicht ausreichend. Tatsachen, Quellen, Zahlen und mögliche Rechte Dritter müssen tatsächlich geprüft werden. Die verantwortliche Person sollte den Text verstehen und die Veröffentlichung inhaltlich vertreten können.

Dürfen Mitarbeiter ChatGPT oder ähnliche Dienste beruflich verwenden?

Das hängt von den betrieblichen Vorgaben, dem verwendeten Konto, den eingegebenen Daten und dem jeweiligen Anwendungsfall ab. Unternehmen sollten festlegen, welche Dienste freigegeben sind und welche Informationen nicht eingegeben werden dürfen.

Benötigt jedes Unternehmen einen KI-Beauftragten?

Für die allgemeine KI-Kompetenz der Beschäftigten schreibt der AI Act keine bestimmte interne Organisationsform vor. Unternehmen sollten jedoch Zuständigkeiten festlegen. Je nach Größe können diese Aufgaben bei der Geschäftsführung, IT-Abteilung, Rechtsabteilung, Redaktion oder einer anderen verantwortlichen Stelle liegen.

Müssen KI-Chatbots auf Webseiten gekennzeichnet werden?

Nutzer müssen grundsätzlich darüber informiert werden, wenn sie unmittelbar mit einem KI-System kommunizieren, sofern dies nicht bereits aus den Umständen offensichtlich ist. Der Hinweis sollte gut erkennbar sein und möglichst vor oder zu Beginn der Unterhaltung erscheinen.

Kann eine KI die Endkontrolle selbst durchführen?

Ein zweites KI-System kann Hinweise auf mögliche Fehler liefern, ersetzt aber keine verantwortliche menschliche Prüfung. Auch die kontrollierende KI kann unzutreffende Aussagen erzeugen oder vorhandene Fehler übersehen.

Klare Abläufe schaffen Vertrauen

Der Einsatz künstlicher Intelligenz wird für Unternehmen zunehmend selbstverständlich. Entscheidend ist deshalb nicht mehr allein, ob Beschäftigte KI verwenden, sondern unter welchen Bedingungen dies geschieht.

Eine gute KI-Richtlinie verbindet technische Möglichkeiten mit klaren Zuständigkeiten. Sie regelt den Umgang mit Daten, verlangt eine echte menschliche Prüfung und legt fest, wie veröffentlichte Inhalte behandelt werden. Damit sinkt das Risiko, dass falsche Angaben, vertrauliche Informationen oder irreführende Medieninhalte unkontrolliert nach außen gelangen.

Unternehmen sollten die neuen Transparenzregeln daher nicht isoliert betrachten. Eine sichtbare Kennzeichnung ist nur der letzte Schritt eines längeren Arbeitsablaufs. Mindestens ebenso wichtig sind die Auswahl geeigneter Werkzeuge, geschulte Mitarbeiter, dokumentierte Kontrollen und eine Person, die für das veröffentlichte Ergebnis Verantwortung übernimmt.

Hinweis: Dieser Beitrag vermittelt allgemeine Informationen und ersetzt keine rechtliche Beratung im Einzelfall.

(35 votes, average: 4,20 out of 5)

Loading...