So schreiben Sie eine unternehmensweite KI-Nutzungsrichtlinie

Gewinne:

• Erstellen Sie einen Entwurf mithilfe der achtteiligen Richtlinienvorlage
• Schreiben Sie Nutzungsregeln basierend auf der Datenklassifizierung auf vier Ebenen
• Umsetzung der Richtlinie und Befolgen der Checkliste zur Durchsetzung

Wenn die Aufgabe, „eine KI-Richtlinie zu entwerfen, die am nächsten Freitag dem Vorstand vorgelegt werden soll“, auf dem Schreibtisch eines Compliance-Beauftragten landet, fürchten viele, dass das Blatt leer ist. Eine gute KI-Richtlinie ist jedoch architektonisch standardisiert: Sie verfügt über ein vorhersehbares achtteiliges Framework. In dieser Einheit bauen wir Abschnitt für Abschnitt dieses Grundgerüst auf, vertiefen uns in die Datenklassifizierung, die sein Herzstück ist, und sehen uns die Schritte zur Umsetzung des Entwurfs an. Ziel ist es, ein konkretes Dokument zu erstellen, das am Freitag vorgelegt werden kann.

Die goldene Regel beim Verfassen von Richtlinien

Der Ein-Satz-Test einer guten Richtlinie lautet: „Kann ein Mitarbeiter dieses Dokument in 10 Minuten lesen und die Frage ‚Was kann ich tun und was nicht?‘ klar beantworten?“ Wenn das Dokument 30 Seiten lang, in juristischer Sprache verfasst ist und keine konkreten Beispiele enthält, schlägt der Test fehl. Die Politik sollte kurz, vorbildlich und handlungsorientiert sein.

Achtteiliges Skelett

Die folgende Tabelle ist ein bewährter KI-Richtlinienrahmen. Jede Institution passt dies an ihren eigenen Kontext an.

#

Abschnitt

Welche Antworten?

1

Zweck und Umfang

Wen und welche Werkzeuge deckt die Police ab?

2

Definitionen

Was bedeuten Begriffe wie KI, Schatten-KI, personenbezogene Daten?

3

Rollen und Verantwortlichkeiten

Wer genehmigt, wer prüft, wer ist verantwortlich?

4

Datenklassifizierungs- und Nutzungsregeln

Welche Daten können in welches Tool eingegeben werden?

5

Zugelassene Fahrzeuge und Genehmigungsprozess

Welche Fahrzeuge sind kostenlos, wie wird ein Neuwagen zugelassen?

6

Verbotene Verwendungen

Was sollte auf keinen Fall getan werden?

7

Menschliche Inspektion und Verifizierung

Wie kontrolliert man die Ausgabe, wer ist verantwortlich?

8

Verstoß, Sanktion und Durchsetzung

Was passiert, wenn die Regel verletzt wird? Wann wird das Dokument aktualisiert?

Tipp: Versuchen Sie, die Richtlinie zunächst mit diesen acht Überschriften auf einer Seite unterzubringen. Posten Sie den Link, um Details hinzuzufügen (Liste der genehmigten Fahrzeuge, Klassifizierungsleitfaden). Je kürzer der Haupttext, desto besser lesbar.

Herz: Datenklassifizierung auf vier Ebenen

Der kritischste Teil der Richtlinie ist die Datenklassifizierung, die bestimmt, welche Art von Daten in welches KI-Tool eingegeben werden können. Vier Stufen sind üblich und ausreichend:

Ebene

Beispieldaten

Nutzungsregel in der KI

offen (öffentlich)

Veröffentlichte Broschüre, Pressemitteilung

Kostenlos; Es kann jedes zugelassene Fahrzeug angemeldet werden

im Haus

Interner Ablauf, Besprechungsnotiz (persönlich/nicht vertraulich)

Nur für Firmen-(Vertrags-)Fahrzeuge

Vertraulich

Kundenliste, Vertrag, Finanzdaten

Zugelassenes Firmenfahrzeug + nur Maskierung; Privatfahrzeuge verboten

Speziell/kritisch

Gesundheit, Rasse, Religion, Biometrie, kriminelle Daten

Eine Eintragung erfolgt in der Regel nicht; nur mit besonderer Genehmigung und Rechtsgrundlage

Besondere personenbezogene Daten sind die Kategorie sensibler Daten, für die KVKK zusätzlichen Schutz bietet: Gesundheit, Sexualleben, Rasse, ethnische Zugehörigkeit, politische Meinung, philosophische Überzeugung, Religion, Sekte, Kleidung, Vereins-/Stiftungs-/Gewerkschaftsmitgliedschaft, strafrechtliche Verurteilung und biometrische/genetische Daten. Die Verarbeitung dieser Daten unterliegt deutlich strengeren Voraussetzungen; Der Einbruch in ein KI-Tool erfordert fast immer besondere rechtliche Überlegungen.

Drei Minifälle: Klassifizierungsentscheidungen

Fall 1 – Gehaltsabrechnung. Der HR-Spezialist will die Gehaltsabrechnungen von 120 Mitarbeitern einer KI übergeben, damit diese „einen Gehaltsungleichheitsbericht analysieren und erstellen“ kann. Die Lohn- und Gehaltsabrechnung ist vertraulich und enthält personenbezogene Daten, da sie Vor- und Nachnamen enthält. Richtige Entscheidung: Daten anonymisieren (Codenamen wie „Mitarbeiter-001“, Abteilung beibehalten), nur in freigegebenes Unternehmenstool eingeben. Anonymisierte 120 Analysezeilen werden mit Zuversicht durchgeführt; Die reine Lohn- und Gehaltsabrechnung landet niemals im Privatfahrzeug.

Fall 2 – Patientengeschichte. Eine Krankenschwester in einer Gesundheitseinrichtung möchte KI nutzen, um die Krankengeschichte eines Patienten zusammenzufassen. Es handelt sich um Daten von besonderer Qualität. Gemäß den Richtlinien ist diese Art von Daten in einem Privatfahrzeug strengstens verboten; Die Verarbeitung kann jedoch nur in einem von der Einrichtung genehmigten System erfolgen, das über eine besondere vertragliche und gesetzliche Grundlage für Gesundheitsdaten verfügt. Die Klassifizierungstabelle zeigt diese Unterscheidung auf einen Blick.

Fall 3 – Pressemitteilung. Das Marketing gibt AI eine veröffentlichte Pressemitteilung, um „in 5 verschiedene Versionen für soziale Medien umzuwandeln“. Da die Daten offen sind, gibt es keine Einschränkungen; Der Mitarbeiter arbeitet bedenkenlos im zugelassenen Fahrzeug. Eine gute Klassifizierung vermeidet zudem unnötige Reibungen: Bei offenen Daten heißt es nicht „Nein“, sondern bei privaten Daten ein klares „Stopp“.

Achtung: Bei der Klassifizierung von Daten stellt sich die Frage: „Enthält sich überhaupt ein einziges personenbezogenes Datenelement darin?“ und „Wird es der Institution schaden?“ Stellen Sie gemeinsam Ihre Fragen. Wenn ein Dokument aus geschäftlicher Sicht eindeutig ist, aber einen Kundennamen enthält, enthält dieses Dokument nun personenbezogene Daten und wird aktualisiert.

Abschnitt „Verbotene Verwendungen“.

Der meistgelesene Teil der Richtlinie sind normalerweise die Verbote. Es sollte konkret und vorbildlich sein. Typische Verbote:

• Ohne Genehmigung sensible persönliche Daten (Gesundheit, Biometrie usw.) in das Fahrzeug eingeben.
• Eingabe vertraulicher Daten oder Firmengeheimnisse in individuelle/persönliche KI-Konten.
• Nutzung von KI-Ergebnissen für rechtliche, medizinische und finanzielle Entscheidungen, ohne sie zu überprüfen.
• Überlassen Sie Entscheidungen, die Menschen betreffen, wie Einstellung, Beförderung und Kreditwürdigkeit, ausschließlich der KI.
• Verwendung von KI, um sich als eine Person auszugeben und falsche Inhalte oder irreführende Informationen zu produzieren.
• Das Produzieren und Veröffentlichen urheberrechtlich geschützter Inhalte ohne Genehmigung.

Kopierbare Vorlagen

VORLAGE 1 – Gliederung des Abschnitts „Zweck und Geltungsbereich“: „Schreiben Sie den Abschnitt „Zweck und Geltungsbereich“ einer KI-Richtlinie für ein [Branchen-]Unternehmen. Machen Sie deutlich, wen die Richtlinie abdeckt (alle Mitarbeiter, Berater) und welche Tools (generative KI, Code-Assistenten); geben Sie als Zweck „verantwortungsvolle und konforme Nutzung ermöglichen“ an. 150 Wörter oder weniger, einfache Sprache.“

VORLAGE 2 – Erstellen Sie eine Datenklassifizierungstabelle: „Klassifizieren Sie die folgenden Datentypen als öffentlich/lokal/vertraulich/proprietär und schlagen Sie für jeden eine KI-Verwendungsregel vor: [Datentypen auflisten]. Machen Sie die Ausgabe zu einer dreispaltigen Tabelle: Datentyp, Klasse, KI-Regel. Markieren Sie den Typ, bei dem Sie sich nicht sicher sind, mit „*rechtliche Bestätigung“.

VORLAGE 3 – Liste der verbotenen Verwendungen: „Schreiben Sie den Abschnitt „Verbotene Verwendungen“ Punkt für Punkt für eine Institution, die der KVKK unterliegt. Jeder Punkt sollte ein konkretes Beispiel enthalten („Zum Beispiel: ...“). Mindestens 8 Punkte. Ton: klar und zwingend, aber begründet.“

VORLAGE 4 – Mitarbeiterzusammenfassung (eine Seite): „Reduzieren Sie diese 20-seitige KI-Richtlinie in eine einseitige Zusammenfassung, die auf den Schreibtischen der Mitarbeiter hängt: Spalten „Das geht“ und „Das geht nicht“ + 5 goldene Regeln + Person, die Fragen stellt. Einfach, visuell, einprägsam.“

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

SCHWACH: „Schreiben Sie eine KI-Richtlinie für mein Unternehmen, sie sollte alles abdecken.“ -> Das Modell produziert 15 Seiten generischen Textes, den niemand liest und der nicht zur Organisation passt; Datenklassen und Genehmigungsverfahren bleiben unklar. STARK: „Wir sind ein E-Commerce-Unternehmen mit 80 Mitarbeitern, das Kundenadress- und Bestelldaten verarbeitet. Erstellen Sie eine 4-stufige Datenklassifizierungstabelle, 6 verbotene Artikel und eine einseitige Mitarbeiterzusammenfassung der KI-Richtlinie. Fügen Sie die Maskierungsregel für personenbezogene Daten hinzu. Kreuzen Sie die rechtlichen Punkte an, bei denen Sie sich nicht sicher sind, lassen Sie mich entscheiden.“ -> Das Modell liefert prägnante, anwendbare, kontextbezogene und überprüfbare Ergebnisse.

Schritte zur Umsetzung der Richtlinie

Schreiben ist die Hälfte davon; Die eigentliche Aufgabe besteht darin, die Politik in eine lebendige Regel umzuwandeln. Schritte:

1. Entwurf: Vervollständigen Sie acht Kapitel und bereiten Sie Anhänge vor.
2. Meinung der Stakeholder: Erhalten Sie schriftliches Feedback von der Rechts-, IT-, Personal- und Geschäftsabteilung.
3. Gesetzliche Genehmigung: Rechts-/Compliance-Unterschrift für KVKK und Einhaltung der Gesetze.
4. Genehmigung durch die Geschäftsleitung: Unterschrift, die das Dokument zu einer offiziellen Unternehmensrichtlinie macht.
5. Ankündigung und Aufklärung: Eine kurze Sitzung für alle; Verteilen Sie eine einseitige Zusammenfassung.
6. Genehmigungsprotokoll: Behalten Sie die „Ich habe gelesen, ich verstehe“-Genehmigung der Mitarbeiter im System.
7. Überprüfungsplan: Legen Sie mindestens alle 6 Monate ein Aktualisierungsdatum fest.

Tipp: Fügen Sie auf der letzten Seite der Police ein Feld „Version und Datum“ hinzu. KI und Gesetzgebung ändern sich sehr schnell; Zu wissen, welche Version gültig ist, kann bei einem Audit Leben retten.

Häufige Fehler

• Die Richtlinie in einer sehr langen und juristischen Sprache verfassen und sie unleserlich machen.
• Überspringen Sie die Datenklassifizierung und verwenden Sie vage Formulierungen wie „Seien Sie vorsichtig“.
• Verwechslung einer besonderen Datenkategorie mit normalen vertraulichen Daten.
• Verbote verfassen, ohne eine genehmigte Fahrzeugliste und einen Genehmigungsprozess zu erstellen.
• Verbote abstrakt formulieren, ohne konkrete Beispiele zu nennen.
• Den Schritt zur Mitarbeiterschulung und Genehmigungsregistrierung überspringen und sagen: „Ich habe es per E-Mail angekündigt.“
• Legen Sie keinen Prüfplan fest, schreiben Sie die Richtlinie nicht einmal und vergessen Sie sie dann.

Zusammenfassend

• Eine gute Richtlinie besteht aus acht Standardteilen; Es sollte kurz, beispielhaft und handlungsorientiert sein.
• Sein Herzstück ist die vierstufige Datenklassifizierung, die bestimmt, welche Daten in welches Tool gelangen.
• Besondere Kategorien personenbezogener Daten (Gesundheit, Biometrie usw.) unterliegen der strengsten Regelung; KI ist in der Regel nicht enthalten.
• Verbotene Verwendungen müssen konkret und vorbildlich sein; Es sollte zusammen mit den genehmigten Tools und dem Genehmigungsprozess definiert werden.
• Sobald die Richtlinie verfasst ist, wird sie durch die Meinung der Stakeholder, die Genehmigung von Rechts- und Verwaltungsbehörden, Schulungen und regelmäßige Überprüfungen am Leben gehalten.

Anwendungsaufgabe

Füllen Sie konkret mindestens drei Abschnitte des achtteiligen Grundgerüsts (Zweck und Umfang, Datenklassifizierung, verbotene Verwendungen) für eine Institution Ihrer Wahl aus. Erstellen Sie eine Datenklassifizierungstabelle mit vier Ebenen und platzieren Sie darin mindestens acht tatsächliche Datentypen, die Ihr Unternehmen verarbeitet. Schreiben Sie jeweils eine KI-Regel. Fassen Sie diese drei Abschnitte dann zu einer einseitigen „Sie können/Sie können nicht“-Zusammenfassung zusammen, die auf den Schreibtischen der Mitarbeiter ausgehängt werden kann. Beachten Sie abschließend, welche beiden Schritte zur Richtlinienumsetzung für Ihr Unternehmen am schwierigsten sind und wie Sie diese bewältigen können.

Checkliste

• [ ] Ich habe das achtteilige Rahmenwerk an meine Institution angepasst.
• [ ] Ich habe die vierstufige Datenklassifizierungstabelle ausgefüllt.
• [ ] Spezielle Daten habe ich an eine eigene und strengste Regel gebunden.
• [ ] Ich habe die verbotenen Verwendungen mit konkreten Beispielen beschrieben.
• [ ] Ich habe genehmigte Tools und den Genehmigungsprozess beschrieben.
• [ ] Ich habe eine einseitige Mitarbeiterzusammenfassung erstellt.
• [ ] Ich habe einen Zeitplan für die rechtliche Genehmigung und Überprüfung geplant.