Eine KI-Nutzungsrichtlinie, an die sich Ihr Team wirklich hält

Die meisten Teams, die 2026 mit KI arbeiten, gehören zu einem von zwei Lagern. Entweder haben sie überhaupt keine Richtlinie, das heißt jeder improvisiert und hofft, dass nichts schiefgeht, oder sie haben eine Richtlinie, die niemand liest, irgendwo auf einem gemeinsamen Laufwerk abgelegt zwischen den Spesenregeln von 2023 und einem veralteten Organigramm. Beides ist nicht akzeptabel, wenn Datenlecks, halluzinierte Analysen in Board-Unterlagen und regulatorische Risiken unter Regelwerken wie dem EU AI Act auf dem Spiel stehen.

Der Grund für das Scheitern von Richtlinien ist fast nie der Inhalt. Es ist der Prozess, aus dem sie entstanden sind. Ein Dokument, das die Rechtsabteilung im Alleingang schreibt, die IT prüft und das als PDF an die Belegschaft gemailt wird, ist keine Richtlinie. Es ist ein Artefakt. Was Sie brauchen, ist ein kurzes, brauchbares Dokument, an dem die Leute mitgewirkt haben, das die Fragen beantwortet, die sie tatsächlich haben, und das aktualisiert wird, wenn sich die Realität ändert.

Eine Richtlinie aufbauen, die funktioniert: die Reihenfolge

Beginnen Sie mit einem Nutzungsaudit, nicht mit einer leeren Vorlage

Bevor Sie eine einzige Regel formulieren, nehmen Sie sich zwei Wochen Zeit, um zu erfassen, was Ihr Team mit KI bereits macht. Führen Sie eine kurze anonyme Umfrage durch. Fragen Sie, welche Tools die Leute nutzen, für welche Aufgaben und was sie in Prompts hineinkopieren. Sie werden mit hoher Wahrscheinlichkeit feststellen, dass manche Mitarbeitenden Kundendaten durch ChatGPT-Accounts in der Consumer-Version laufen lassen, dass andere sich still und leise Workarounds mit Tools wie Notion AI oder Copilot gebaut haben und dass Ihre offizielle Position nichts mit dem tatsächlichen Verhalten zu tun hat.

Dieses Audit ist keine Überwachungsübung. Es ist die Grundlage für eine Richtlinie, die in der Realität verankert ist. Bei Klarna zeigten interne Daten aus 2024, dass KI-Assistenten Aufgaben im Kundenservice, in der juristischen Textarbeit und im Financial Reporting gleichzeitig übernahmen, lange bevor eine formale Richtlinie nachzog. Ein ehrliches Bild früh zu bekommen verhindert, dass Sie eine Richtlinie schreiben, die verbietet, worauf die halbe Firma schon angewiesen ist.

Schreiben Sie für Use Cases, nicht für abstrakte Prinzipien

Allgemeine Regeln wie „KI verantwortungsvoll nutzen“ bringen nichts. Strukturieren Sie Ihre Richtlinie nach den tatsächlichen Aufgaben Ihres Teams. Beantworten Sie für jeden wichtigen Use Case (Kundenkommunikation entwerfen, Recherchen zusammenfassen, Code schreiben, Daten analysieren) vier Fragen: welche Tools sind freigegeben, welche Daten dürfen hinein, wer prüft den Output vor der Verwendung, und was wird geloggt.

Halten Sie das gesamte Dokument unter drei Seiten. Wird es länger, schreiben Sie eine Richtlinie für Juristen, nicht für Praktiker. Die interne Responsible Scaling Policy von Anthropic ist als strukturelle Referenz nützlich, auch wenn sie für ein KI-Labor gedacht ist und nicht für eine typische Unternehmensfunktion. KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ürzen Sie sie auf Ihren Kontext herunter.

Definieren Sie Datenkategorien explizit

Der häufigste und teuerste Fehler in der KI-Governance ist ein unklarer Umgang mit Daten. Sie brauchen mindestens drei Stufen: Informationen, die öffentlich oder rein intern sind und in jedes freigegebene Tool dürfen; Daten, die vertraulich sind (Personalakten, noch nicht veröffentlichte Finanzzahlen, PII von Kunden) und Enterprise-Tools mit Auftragsverarbeitungsverträgen erfordern; und Informationen, die in kein KI-System dürfen (Geschäftsgeheimnisse unter NDA, regulierte Gesundheitsdaten, alles, was einem Litigation Hold unterliegt).

Ordnen Sie Ihre Tools diesen Stufen zu. Microsoft 365 Copilot mit unterzeichnetem Enterprise-Vertrag gehört in eine andere Kategorie als ein privater Claude.ai-Account. Machen Sie das explizit. Die Leute werden es nicht selbst herausfinden, und sie sollten auch nicht raten müssen.

Machen Sie ein 30-minütiges Onboarding, kein Trainingsmodul

Pflicht-E-Learnings werden an einem Freitagnachmittag im 2x-Tempo durchgeklickt. Setzen Sie stattdessen eine einzige 30-minütige Teamsession an, in der Sie drei echte Beispiele aus dem Audit durchgehen: eines, das in Ordnung war, eines im Grenzbereich, eines, das klar falsch war. Lassen Sie Fragen zu. Das Gespräch in diesen 30 Minuten setzt Normen wirksamer als jedes schriftliche Dokument.

Benennen Sie pro Team eine Person als ersten Ansprechpartner für KI-Fragen. Kein Gatekeeper, einfach jemand, der die Richtlinie gut kennt und schnell antworten kann. Das senkt die Einstiegshürde, die dazu führt, dass Leute die Richtlinie komplett überspringen und einfach machen, was ihnen vernünftig erscheint.

Legen Sie einen Revisionszyklus fest

Setzen Sie sich eine Kalendererinnerung auf 90 Tage. Sammeln Sie dann die Fragen, die gestellt wurden, die Vorfälle, die aufgetreten sind, und die Tools, die seit dem Start dazugekommen sind. Aktualisieren Sie die Richtlinie entsprechend. Eine Richtlinie, die im Januar 2026 korrekt war, kann im Oktober deutlich falsch sein, gegeben das Tempo neuer Modelle und Tools.

Wo das schiefgeht

Der häufigste Fehler ist eine Richtlinie, die abbildet, was die Führung sich wünscht, statt was das Team tatsächlich tut. Wenn Sie Tools verbieten, die schon in Workflows eingebettet sind, ohne eine freigegebene Alternative anzubieten, verlagern Sie das Verhalten nur in den Untergrund.

Zweiter Fehler: Genehmigungsprozesse so langsam machen, dass sie zur Produktivitätssteuer werden. Wenn jeder neue KI-Use-Case eine Gremiumsprüfung und zwei Wochen Wartezeit braucht, fragt irgendwann niemand mehr. Bauen Sie einen schlanken Fast Track für Use Cases mit geringem Risiko, etwas, das eine Teamleitung innerhalb von 24 Stunden freigeben kann.

Achten Sie auf die Richtlinie, die erst nach einem Vorfall durchgesetzt wird. Zu warten, bis ein Datenleck oder eine halluzinierte Rechtsquelle in einem Kundendokument auftaucht, bevor Sie Ihre Regeln durchsetzen, signalisiert, dass die Richtlinie nie ernst gemeint war. Leichte, konsistente Bestärkung im Normalbetrieb macht eine Richtlinie glaubwürdig.

Und schließlich: Geben Sie das nicht vollständig an die IT oder die Rechtsabteilung ab. Diese Funktionen müssen eingebunden sein, aber die Richtlinie sollte den Menschen gehören, die die Arbeit machen, mit den Fachvorgesetzten in der Verantwortung für die Anwendung.

Quick Wins für diese Woche

• Führen Sie eine anonyme Umfrage mit fünf Fragen durch: welche KI-Tools nutzt Ihr Team und für welche Aufgaben. Blocken Sie zwei Stunden, um die Ergebnisse zu lesen, bevor Sie irgendetwas schreiben.
• Listen Sie jedes KI-Tool auf, das aktuell im Einsatz ist, und markieren Sie, für welche ein unterzeichneter Auftragsverarbeitungsvertrag mit Ihrer Organisation besteht. Die Lücken werden Sie überraschen.
• Identifizieren Sie einen konkreten Vorfall (einen Beinahe-Fehler, einen unangenehmen Output, eine Frage ohne klare Antwort) und nutzen Sie ihn als Ankerbeispiel für Ihre Onboarding-Session.
• Bestimmen Sie einen Verantwortlichen für die Richtlinie. Kein Gremium. Eine Person, die Fragen beantwortet und den Revisionszyklus steuert.

Eine Richtlinie hat Erfolg, wenn die Leute in dem Moment danach greifen, in dem sie unsicher sind, und nicht erst, wenn sie bei etwas Falschem erwischt werden. Das passiert nur, wenn die Richtlinie mit ihren tatsächlichen Fragen im Blick entstanden ist. Fangen Sie dort an.