KI-Nutzungsrichtlinie · Art. 4 EU AI Act & DSGVO
Was in eine KI-Nutzungsrichtlinie gehört, warum die Vorlage aus dem Netz meistens nicht trägt und wie ihr sie an einem Nachmittag fertig bekommt. Neun Bausteine, drei Sätze zum Abtippen.
Art. 4
Die KI-Kompetenzpflicht gilt seit Februar 2025. Nachweisen müsst ihr sie — die schriftliche Regel ist der organisatorische Teil davon, nicht der ganze.
VO (EU) 2024/1689, Art. 4
Art. 32 DSGVO
Technische und organisatorische Maßnahmen: Eine verbindliche Regel, wie mit personenbezogenen Daten umgegangen wird, ist genau das — eine organisatorische Maßnahme.
VO (EU) 2016/679, Art. 32 Abs. 1 lit. b, Abs. 4
Die Praxis
Ohne Regel arbeiten Einzelne mit privaten Accounts weiter. Das ist der häufigste Befund im Erstgespräch und der unangenehmste, weil dabei kein AVV existiert.
Beobachtung aus Erstgesprächen, keine Erhebung
In dieser Reihenfolge entsteht sie auch im Workshop. Unter jedem Abschnitt steht, was ihr konkret eintragen müsst.
Für wen die Regel gilt. Wer nicht genannt wird, fühlt sich nicht gemeint — und das sind erfahrungsgemäß genau die Leute, die am freimütigsten mit Tools experimentieren.
Was reinkommt: Festangestellte, Aushilfen, Werkstudenten, Freie, Praktikanten, Geschäftsführung.
Namentlich und mit Lizenzstufe. „ChatGPT ist erlaubt“ ist keine Regel: Free, Plus und Business sind drei verschiedene Rechtslagen, und nur eine davon hat einen Auftragsverarbeitungsvertrag.
Was reinkommt: Werkzeug, Lizenzstufe, wer die Lizenz verwaltet, ob ein AVV vorliegt.
Die Liste, die im Alltag tatsächlich nachgeschlagen wird. Kurz halten und an euren Daten formulieren — abstrakte Kategorien helfen um 16 Uhr im Postfach niemandem.
Was reinkommt: Klarnamen, Adressen, Gesundheits- und Bewerberdaten, Zugangsdaten, komplette Verträge.
Wie ersetzt wird, bevor etwas ins Modell geht, und wo die Zuordnung bleibt. Das ist die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung — rund 30 Sekunden pro Vorgang.
Was reinkommt: Platzhalterschema ([KUNDE_01]), Ablageort der Zuordnungsliste, wer sie führt.
Was ein Mensch liest, bevor es das Haus verlässt. Die Anbieter schließen ihre Haftung für fehlerhafte Ausgaben weitgehend aus; was in eurem Namen rausgeht, verantwortet ihr.
Was reinkommt: Welche Ausgaben freigabepflichtig sind, wer freigibt, was vollautomatisch laufen darf.
Wo der Hinweis steht, wenn KI mit Menschen spricht oder Inhalte erzeugt. Art. 50 verlangt Erkennbarkeit, keine Einwilligung — meist genügt ein Satz an der richtigen Stelle.
Was reinkommt: Wortlaut für Chat-Widget, automatische Antworten und KI-erzeugte Inhalte.
Wer neue Werkzeuge freigibt und wer entscheidet, wenn ein Fall unklar ist. Mit Namen, nicht mit Abteilung: Eine Richtlinie, die auf „die IT“ verweist, landet im Zweifel bei niemandem.
Was reinkommt: Name für Freigaben, Name für Zweifelsfälle, Vertretung.
Der Meldeweg samt Fristen — und der Satz, dass eine Meldung keine Konsequenzen für die meldende Person hat. Ohne diesen Satz meldet niemand, und ihr erfahrt es zuletzt.
Was reinkommt: Sofort dokumentieren, binnen 24 Stunden intern, bei einer Datenpanne binnen 72 Stunden an die Aufsichtsbehörde.
Datum, Version und wer sie wann prüft. Ein Dokument ohne Datum lässt sich im Streitfall nicht datieren — und genau darum geht es beim Nachweis.
Was reinkommt: Versionsdatum, Prüfintervall, Auslöser für eine Zwischenprüfung.
Ausgangspunkt, keine Rechtsprüfung — aber näher an einer fertigen Richtlinie als jede Erklärung darüber.
Pseudonymisierung
Personenbezogene Daten werden vor der Eingabe in ein KI-System durch Platzhalter ersetzt ([KUNDE_01], [ADRESSE_01]). Die Zuordnungsliste wird ausschließlich lokal geführt und nicht an das KI-System übermittelt.
Freigabe
Von KI erzeugte Inhalte, die das Unternehmen verlassen, werden vor dem Versand von einer zuständigen Person fachlich geprüft und freigegeben. Die Verantwortung für den Inhalt bleibt bei dieser Person.
Kennzeichnung
Dieser Chat wird von einem KI-System beantwortet. Wenn Sie mit einer Mitarbeiterin oder einem Mitarbeiter sprechen möchten, schreiben Sie an [E-Mail-Adresse].
„Der Einsatz von KI ist untersagt“ ist in zwei Wochen Makulatur. Die Werkzeuge sind zu nützlich, und das Verbot verlagert die Nutzung nur dorthin, wo ihr sie nicht mehr seht.
Eine Vorlage, die eure Werkzeuge nicht kennt, beantwortet die einzige Frage nicht, die im Alltag gestellt wird: Darf ich das hier reinschreiben? Als Gerüst taugt sie, als Ergebnis nicht.
Nicht kommuniziert, nicht bestätigt, nicht auffindbar. Im Ernstfall zählt nicht, dass es sie gab, sondern dass das Team sie kannte — und das belegt ihr über die Kenntnisnahme.
Die Richtlinie ist Teil der KI-Schulung. Selbst schreiben könnt ihr sie mit den Bausteinen oben trotzdem.
Die KI-Standortbestimmung liefert die Liste der eingesetzten Werkzeuge samt Lizenzstufe. Ohne sie ist Baustein 02 geraten.
Am Ende des Schulungstags entsteht der Entwurf an euren echten Werkzeugen — nicht an einem Beispielunternehmen.
Binnen 48 Stunden kommt die unterschriftsreife Fassung zurück, zusammen mit den Zertifikaten und der Compliance-Dokumentation.
Einmal jährlich prüfen, bei einem Werkzeugwechsel sofort nachziehen und neuen Mitarbeitenden bei der Einarbeitung vorlegen.
Art. 4 verlangt zweierlei: die Regel und die Befähigung. Wer nur die Regel hat, hat ein Dokument, das niemand erklären konnte. Wer nur geschult hat, hat nichts, worauf sich im Alltag jemand berufen kann. Erst zusammen ergeben sie einen Nachweis, den man vorlegen kann.
Diese Seite enthält allgemeine, aufbereitete Informationen und ersetzt keine Rechtsberatung. Für den konkreten Einzelfall braucht es einen Fachanwalt oder euren Datenschutzbeauftragten. Stand der rechtlichen Aussagen: August 2026.
Im Abschluss-Workshop der KI-Schulung entsteht die Richtlinie an euren tatsächlichen Werkzeugen — unterschriftsreif binnen 48 Stunden, zusammen mit den Zertifikaten.