Richtlinie zur Nutzung von Künstlicher Intelligenz bei [Firma]
1. Zweck und Geltungsbereich
Diese Richtlinie regelt, wie Beschäftigte der [Firma] KI-Werkzeuge bei der Arbeit nutzen. Sie soll die Arbeit mit KI ermöglichen und dabei vertrauliche Informationen, personenbezogene Daten und die Rechte Dritter schützen.
Sie gilt für alle Beschäftigten, Auszubildenden, Praktikantinnen und Praktikanten sowie für externe Kräfte, die im Auftrag der [Firma] arbeiten. Sie gilt für jede dienstliche Nutzung, egal ob auf Firmengeräten, privaten Geräten oder im Browser.
KI-Werkzeuge im Sinne dieser Richtlinie sind alle Anwendungen, die mit künstlicher Intelligenz Texte, Bilder, Audio, Video oder Code erzeugen, übersetzen, zusammenfassen oder auswerten, etwa Chat-Assistenten, Schreib- und Übersetzungshilfen, Bildgeneratoren, Transkriptionsdienste und KI-Funktionen in vorhandener Software.
2. Erlaubte und verbotene KI-Tools
Dienstlich genutzt werden dürfen nur KI-Werkzeuge, die [freigebende Stelle, z. B. die IT-Abteilung] freigegeben hat. Die aktuelle Liste steht unter [Ablageort, z. B. Intranet-Seite] und ist Teil dieser Richtlinie.
Freigegeben sind derzeit:
– [Werkzeug 1]: für [Zweck], erlaubte Daten bis [Datenklasse]
– [Werkzeug 2]: für [Zweck], erlaubte Daten bis [Datenklasse]
Nicht erlaubt sind:
– KI-Werkzeuge ohne Freigabe, auch in kostenlosen Versionen
– private Konten bei KI-Diensten für dienstliche Aufgaben
– Browser-Erweiterungen und Apps mit KI-Funktion ohne Freigabe
– das Aufzeichnen oder Transkribieren von Gesprächen und Besprechungen mit KI, solange [freigebende Stelle] das Werkzeug nicht freigegeben hat und nicht alle Beteiligten vorher eingewilligt haben
Wer ein neues Werkzeug nutzen möchte, beantragt die Freigabe bei [freigebende Stelle]. Geprüft werden mindestens Datenschutz, Informationssicherheit, Vertragsbedingungen und die Frage, ob der Anbieter eingegebene Daten zum Training nutzt.
3. Vertrauliche und personenbezogene Daten
Welche Daten in welches KI-Werkzeug dürfen, richtet sich nach der Datenklasse:
– Öffentlich (z. B. veröffentlichte Texte, Website-Inhalte): in alle freigegebenen Werkzeuge.
– Intern (z. B. interne Abläufe, nicht vertrauliche E-Mails): nur in Werkzeuge, mit deren Anbieter [Firma] einen Vertrag mit Regeln zu Vertraulichkeit und Datenschutz geschlossen hat.
– Vertraulich (z. B. Geschäftsgeheimnisse, Angebote, Verträge, Quellcode, Finanzzahlen, Unterlagen von Kunden): nur in Werkzeuge, die ausdrücklich für diese Klasse freigegeben sind. [Alternativ: gar nicht.]
– Personenbezogene Daten von Kunden, Beschäftigten, Bewerbern oder Geschäftspartnern: nur, wenn das Werkzeug dafür freigegeben ist, eine Rechtsgrundlage besteht und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen wurde. Wo möglich, werden Namen und andere Angaben vorher entfernt oder ersetzt.
– Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten): grundsätzlich nicht. [Ausnahmen nur nach Freigabe durch die Datenschutzbeauftragte oder den Datenschutzbeauftragten.]
Passwörter, Zugangsdaten und Schlüssel werden nie in ein KI-Werkzeug eingegeben. Im Zweifel fragen Beschäftigte vorher [Ansprechperson Datenschutz].
4. Kennzeichnung von KI-Inhalten
KI-Inhalte werden gekennzeichnet, wenn das Gesetz es verlangt:
– Bilder, Audio- oder Videoinhalte, die echte Personen, Orte oder Ereignisse täuschend echt darstellen (Deepfakes), werden als künstlich erzeugt oder verändert offengelegt (Art. 50 Abs. 4 KI-Verordnung).
– Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, werden als KI-erzeugt offengelegt, es sei denn, ein Mensch hat sie redaktionell geprüft und [Firma] trägt die redaktionelle Verantwortung (Art. 50 Abs. 4 KI-Verordnung).
– Setzt [Firma] Chatbots oder andere KI-Systeme ein, die direkt mit Kunden sprechen oder schreiben, müssen sich diese als KI zu erkennen geben (Art. 50 Abs. 1 KI-Verordnung). [Zuständige Stelle] prüft das vor dem Start.
Darüber hinaus gilt bei [Firma]: [z. B. Texte und Bilder für Kunden, die überwiegend mit KI erstellt wurden, erhalten den Hinweis „Erstellt mit KI-Unterstützung“.] Intern legen Beschäftigte auf Nachfrage offen, ob und wie sie KI genutzt haben.
5. Verantwortlichkeiten und Freigabe
– Geschäftsführung: beschließt diese Richtlinie und stellt die nötigen Mittel bereit.
– KI-Verantwortliche oder KI-Verantwortlicher [Name, Funktion]: pflegt die Liste freigegebener Werkzeuge, beantwortet Fragen und nimmt Meldungen entgegen.
– IT und Informationssicherheit: prüfen neue Werkzeuge technisch.
– Datenschutzbeauftragte oder Datenschutzbeauftragter [Name]: prüft die Verarbeitung personenbezogener Daten.
– Betriebsrat [falls vorhanden]: wird nach dem Betriebsverfassungsgesetz beteiligt, insbesondere vor der Einführung neuer KI-Werkzeuge.
– Führungskräfte: sorgen dafür, dass ihr Team die Richtlinie kennt und anwendet.
– Alle Beschäftigten: prüfen KI-Ergebnisse, bevor sie sie verwenden, und bleiben für ihre Arbeitsergebnisse verantwortlich, auch wenn KI sie unterstützt hat.
Ergebnisse, die an Kunden, Behörden oder die Öffentlichkeit gehen, gibt vor dem Versand ein Mensch frei. Entscheidungen, die Menschen rechtlich oder ähnlich erheblich betreffen, etwa über Bewerbungen, trifft keine KI allein (Art. 22 DSGVO).
6. KI-Kompetenz und Schulungen
Wer KI-Werkzeuge dienstlich nutzt, nimmt vorher an einer Einweisung teil [Format und Dauer, z. B. 90 Minuten online]. Sie vermittelt mindestens:
– wie die freigegebenen Werkzeuge funktionieren und wo ihre Grenzen liegen
– welche Daten hinein dürfen (Abschnitt 3)
– wie Ergebnisse geprüft werden (Abschnitt 8)
– was diese Richtlinie sonst regelt
Die Inhalte richten sich nach Aufgabe und Vorwissen: Wer KI für Kundentexte nutzt, braucht andere Kenntnisse als jemand, der damit Daten auswertet. [Firma] frischt die Schulungen [jährlich und bei jedem neuen Werkzeug] auf und dokumentiert Datum, Inhalt, Dauer und Teilnehmende.
Damit ergreift [Firma] Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten nach Art. 4 KI-Verordnung.
7. Urheberrecht und Rechte Dritter
– Eingaben: Fremde Texte, Bilder oder Code werden nur eingegeben, wenn [Firma] sie nutzen darf. Unterlagen, die Kunden oder Partner vertraulich überlassen haben, gelten als vertraulich (Abschnitt 3).
– Ergebnisse: Was eine KI ohne prägenden menschlichen Beitrag erzeugt, ist nach deutschem Recht in der Regel nicht urheberrechtlich geschützt, weil das Urheberrecht eine persönliche geistige Schöpfung eines Menschen voraussetzt (§ 2 Abs. 2 UrhG). [Firma] kann an solchen Ergebnissen meist keine exklusiven Rechte geltend machen.
– Vor der Veröffentlichung prüfen Beschäftigte, ob ein KI-Ergebnis erkennbar fremde Werke, Marken oder echte Personen nachbildet. Im Zweifel wird es nicht verwendet.
– [Optional: Keine Eingaben, die gezielt den Stil bestimmter lebender Künstlerinnen und Künstler nachahmen sollen.]
8. Umgang mit Fehlern und Halluzinationen
KI-Werkzeuge erzeugen mitunter Aussagen, die überzeugend klingen, aber falsch sind: erfundene Quellen, verwechselte Zahlen, eine veraltete Rechtslage. Deshalb gilt:
– Fakten, Zahlen, Zitate, Quellen und Rechtsaussagen aus KI-Ergebnissen werden vor der Verwendung an einer verlässlichen Quelle geprüft.
– Code aus KI-Werkzeugen wird geprüft und getestet wie jeder andere Code, bevor er in Produktivsysteme geht.
– Fehler, auffällige Ergebnisse (etwa diskriminierende Aussagen) und Datenpannen werden sofort an [Meldeweg, z. B. KI-Verantwortliche/r oder IT-Hotline] gemeldet.
– Wurden personenbezogene Daten unzulässig eingegeben, informiert [KI-Verantwortliche/r] sofort die Datenschutzbeauftragte oder den Datenschutzbeauftragten, denn es kann eine Pflicht bestehen, die Panne binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO).
Wer einen Fehler meldet, wird dafür nicht benachteiligt. Frühes Melden begrenzt den Schaden.
9. Verstöße
Verstöße gegen diese Richtlinie können je nach Schwere arbeitsrechtliche Folgen haben [bis hin zu Abmahnung und Kündigung]. Für externe Kräfte gelten die vertraglichen Regelungen.
Ziel dieser Richtlinie ist sichere Nutzung, nicht Strafe. Wer unsicher ist, ob eine Nutzung erlaubt ist, fragt vorher [Ansprechperson].
10. Überprüfung und Inkrafttreten
[KI-Verantwortliche/r] überprüft diese Richtlinie mindestens [alle sechs Monate], außerdem bei jedem neuen Werkzeug und bei Änderungen der Rechtslage, und schlägt der Geschäftsführung Anpassungen vor. Die jeweils gültige Fassung steht unter [Ablageort].
Diese Richtlinie tritt am [Datum] in Kraft.
[Ort, Datum], [Unterschrift Geschäftsführung]
Kenntnisnahme: Ich habe die Richtlinie gelesen und verstanden.
[Name, Datum, Unterschrift]