Wir brauchen eine KI-Richtlinie. Was muss da rein?
Eine KI-Richtlinie ist nirgends vorgeschrieben. Sie ist trotzdem das praktischste Werkzeug, das Sie haben — weil sie mehrere Pflichten gleichzeitig bedient und weil sie, anders als eine Betriebsvereinbarung, keine Verhandlung braucht. Die Grenze dieses Vorteils ist allerdings scharf.
Warum eine Richtlinie, wenn es keine Pflicht dazu gibt
Die Frage ist berechtigt, und die ehrliche Antwort lautet: Die Richtlinie ist kein Selbstzweck, sondern das Mittel mit dem besten Verhältnis von Aufwand zu Wirkung. Drei Gründe, in der Reihenfolge ihrer praktischen Bedeutung.
1. Sie macht den Einsatz sichtbar
Der häufigste Zustand im Mittelstand ist nicht „KI ist verboten" und nicht „KI ist geregelt", sondern niemand weiß, was läuft. Eine Richtlinie, die eine Positivliste und einen Freigabeweg benennt, erzeugt den ersten verlässlichen Mechanismus, über den neue Werkzeuge überhaupt bekannt werden.
2. Sie bedient die Kompetenzpflicht
Artikel 4 der KI-Verordnung verlangt seit Februar 2025 ausreichende KI-Kompetenz des Personals. Eine externe Schulung ist dafür nicht vorgeschrieben — verständliche Leitlinien und dokumentierte Einweisung sind ein gangbarer Weg. Die Richtlinie ist genau dieses Dokument.
Quelle: Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4, anwendbar seit 2. Februar 2025. Artikel 50 (Transparenz- und Kennzeichnungspflichten), anwendbar seit 2. August 2026. · Stand Oktober 2026
3. Sie ist einseitig erlassbar
Anders als eine Betriebsvereinbarung braucht eine Richtlinie keine Einigung. Das ist ihr Vorteil — und zugleich die Stelle, an der sie überschätzt wird. Dazu unten mehr.
Was hineingehört
Neun Abschnitte, jeder mit einem Zweck. Ein Abschnitt ohne erkennbaren Zweck wird beim ersten Kürzen gestrichen, und erfahrungsgemäß ist es der, der später gebraucht wird.
Der häufigste Fehler: Richtlinie statt Vereinbarung
Hier liegt das eigentliche Risiko dieses Instruments. Eine Richtlinie ist eine Weisung des Arbeitgebers. Sie bindet die Beschäftigten — aber sie ersetzt kein Mitbestimmungsrecht.
Wo Mitbestimmung besteht, kann eine Richtlinie die Einführung nicht tragen. Sie regelt dann etwas, das ohne Einigung gar nicht hätte starten dürfen.
Der praktisch wichtigste Fall ist § 87 Abs. 1 Nr. 6 BetrVG: Ist ein Werkzeug geeignet, Verhalten oder Leistung der Beschäftigten zu erfassen, besteht ein echtes Mitbestimmungsrecht — und zwar bereits bei objektiver Eignung, ohne dass eine Überwachungsabsicht vorliegen müsste. Viele KI-Werkzeuge erfüllen das als Nebenprodukt, etwa wenn sie Bearbeitungszeiten oder Sprechanteile protokollieren.
Die saubere Reihenfolge ist deshalb nicht „Richtlinie statt Vereinbarung", sondern:
- Richtlinie für das Verhalten im Umgang mit freigegebenen Werkzeugen — sofort umsetzbar.
- Prüfung je Werkzeug, ob ein Beteiligungsrecht greift.
- Betriebsvereinbarung für die Systeme, bei denen es greift.
Wer Schritt 2 überspringt, hat eine Richtlinie, die ordentlich aussieht und im Konfliktfall nicht hält.
Was eine Richtlinie nicht leistet
Das ist der Teil, der in Vorlagen fehlt. Eine Richtlinie ist ein Verhaltensdokument. Sie beantwortet Fragen der Form „was darf wer" — und keine der folgenden:
| Frage | Richtlinie | Wo sie hingehört |
|---|---|---|
| Welche KI-Systeme setzen wir ein? | Nein | Register |
| Wer ist für dieses System verantwortlich? | Nur als Rolle, nicht je System | Register |
| Welche Fassung galt im März? | Nein | Änderungshistorie |
| Wer wurde wann eingewiesen? | Nein | Nachweise |
| Was legen wir einem Kunden vor? | Die Richtlinie ist ein Baustein, nicht die Antwort | Nachweispaket |
Das ist keine Kritik an dem Instrument, sondern eine Arbeitsteilung. Eine Richtlinie, die zusätzlich eine Systemliste enthält, veraltet im Takt der Systemliste — und muss dann jedes Mal neu erlassen werden. Beides zu trennen ist der Grund, warum das Register ein eigenes Objekt ist und nicht ein Anhang.
Wie Sie anfangen
- Bestand klären. Ohne Liste der tatsächlich genutzten Werkzeuge schreiben Sie eine Richtlinie gegen eine Vermutung. Shadow AI sichtbar machen ist hier der Vorschritt.
- Positivliste festlegen. Drei bis fünf freigegebene Werkzeuge genügen für den Anfang. Eine kurze Liste, die gilt, ist besser als eine vollständige, die niemand pflegt.
- Datenverbote konkret benennen. „Keine sensiblen Daten" wird unterschiedlich gelesen. „Keine Personaldaten, keine Gesundheitsdaten, keine Kundendaten, keine Zugangsdaten" wird es nicht.
- Freigabeweg mit Frist versehen. Ohne benannte Frist wird der Weg umgangen statt eingehalten.
- Beteiligung prüfen, bevor Sie die Richtlinie in Kraft setzen.
- Überprüfungstermin eintragen. Ein Datum, kein Vorsatz.
Was Regovio dazu beiträgt
Zur Abgrenzung: Regovio liefert keine Richtlinienvorlage und keinen Mustertext. Wir halten Vorlagen in diesem Feld für ein zweischneidiges Angebot — eine übernommene Richtlinie, die nicht zum eigenen Bestand passt, erzeugt Papier und kein Verhalten. Was Regovio abdeckt, ist die Faktenlage, auf die eine Richtlinie sich beziehen muss.
| Anforderung | Regovio | Stand |
|---|---|---|
| Bestand erfassen, auf den die Richtlinie sich bezieht | Register mit Typ, Einsatzkontext und Anbieter | heute verfügbar |
| Freigaben dokumentieren | Append-only Audit-Log mit Akteur und Zeitpunkt | heute verfügbar |
| Menschliche Aufsicht je System festhalten | Feld in der strukturierten Bewertung | heute verfügbar |
| Einweisungsnachweise führen | Nachweise mit Typ, Quelle, Gültigkeit, Versionen | heute verfügbar |
| Offene Punkte sichtbar machen | Lückenlisten und Governance Score je Dimension | heute verfügbar |
| Richtlinientext verwalten, Versionen der Richtlinie | Als Nachweisobjekt ablegbar, aber kein Redaktionswerkzeug | teilweise |
| Vorlagen, Mustertexte, Textgenerator | Nicht enthalten und nicht geplant | auf der Roadmap — heute nicht enthalten |