KI-Nutzungsrichtlinie für KMU: Vorlage mit 10 Regeln

Eine KI-Nutzungsrichtlinie legt fest, welche KI-Werkzeuge die Mitarbeitenden für welche Daten nutzen dürfen, wer die Ergebnisse prüft und wer im Unternehmen dafür zuständig ist. Die Vorlage ist für KMU mit 20 bis 500 Mitarbeitenden, in denen ChatGPT, Copilot oder Gemini längst im Arbeitsalltag laufen – oft über private Konten und ohne Regel.

In Österreich hat das erst eine Minderheit geregelt: 2025 nutzten 30 % der Unternehmen ab 10 Beschäftigten KI, aber nur jedes dritte davon (33,5 %) hatte Richtlinien zum Umgang mit KI – bei Unternehmen mit 10 bis 49 Beschäftigten 27 %, bei solchen mit 250 und mehr 69 %. So weist es die Erhebung „IKT-Einsatz in Unternehmen 2025“ von Statistik Austria aus.

Die Vorlage unten hat zehn Regeln und passt auf zwei Seiten. Angepasst wird sie in drei Schritten: Werkzeugliste und Ansprechperson eintragen, die Datenklassen an die eigenen Unterlagen anpassen, verabschieden und alle, die KI nutzen, einmal einführen. Eine ausführlichere Mustervorlage mit Online-Generator bietet die Wirtschaftskammer mit den „KI-Guidelines für KMU“ (3. Auflage, April 2026) – erschienen vor der Neufassung von Art. 4 im Juli 2026; diese Vorlage hier zitiert die Rechtsgrundlagen im geltenden Wortlaut.

Warum eine Richtlinie: vier Gründe

• ▸KI-Kompetenz: Unternehmen, die KI einsetzen, müssen nach Art. 4 der KI-Verordnung Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen – seit 27. Juli 2026 in dieser abgeschwächten Fassung, ohne ein bestimmtes Niveau garantieren zu müssen. Das gilt schon für Werbetexte und Übersetzungen: Als Beispiel nennt die Europäische Kommission ausdrücklich Mitarbeitende, die ChatGPT für Werbetexte oder Übersetzungen nutzen; sie sollen über Risiken wie erfundene Antworten Bescheid wissen. Ein Zertifikat braucht es nicht, und die KI-Servicestelle der RTR hält es für sinnvoll, die Ausrichtung des Unternehmens „auch in einer internen KI-Richtlinie abzubilden“.
• ▸Datenschutz: Wer personenbezogene Daten in ein KI-Werkzeug eingibt, lässt sie von einem Auftragsverarbeiter verarbeiten – und das braucht nach Art. 28 DSGVO einen Vertrag. Welche Tarife von ChatGPT, Claude und Gemini einen haben, zeigt der Vergleich der Auftragsverarbeitungsverträge. Die Datenschutzbehörde empfiehlt, interne Regeln aufzustellen, welche Daten mit dem System verarbeitet werden dürfen.
• ▸Vertraulichkeit: Angebote, Kalkulationen und Kundenunterlagen sind Geschäftsgeheimnisse; Kanzleien unterliegen zusätzlich der beruflichen Verschwiegenheit. Was in einem Werkzeug ohne Vertrag landet, ist aus der Hand gegeben.
• ▸Qualität und Verantwortung: KI-Werkzeuge formulieren überzeugend, auch wenn der Inhalt falsch ist. Wer ein Ergebnis weitergibt, verantwortet es – deshalb legt die Richtlinie fest, dass vorher ein Mensch prüft.

Was Unternehmen mit KI-Richtlinie darin regeln

Statistik Austria hat 2025 auch gefragt, was in den vorhandenen Richtlinien steht. Die Vorlage deckt alle sieben Themen ab:

Die Vorlage: zehn Regeln

Zum Übernehmen – in eckigen Klammern steht, was Sie für Ihr Unternehmen einsetzen.

1. 1.Geltungsbereich. Diese Richtlinie gilt für alle Mitarbeitenden von [Unternehmen] und für alle KI-Werkzeuge, die für die Arbeit genutzt werden – auch für KI-Funktionen in Programmen, die schon im Einsatz sind, etwa in Office, CRM oder Buchhaltung.
2. 2.Freigegebene Werkzeuge. Für betriebliche Inhalte sind nur die Werkzeuge auf der Freigabeliste erlaubt, jeweils mit Tarif und Konto: [z. B. ChatGPT Business über das Firmenkonto]. Private Konten und Gratis-Tarife sind für betriebliche Inhalte nicht freigegeben. Neue Werkzeuge gibt [Ansprechperson] frei.
3. 3.Datenklassen. Jede Information gehört zu einer Klasse – öffentlich, intern, vertraulich, personenbezogen, besondere Kategorien. Welche Klasse in welches Werkzeug darf, regelt die Tabelle unter den Regeln.
4. 4.Tabu. Nie eingegeben werden: Passwörter und Zugangsdaten; Gesundheitsdaten und die anderen besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO; Unterlagen, die einer beruflichen Verschwiegenheit unterliegen, ohne ausdrückliche Freigabe.
5. 5.Menschliche Prüfung. Ein KI-Ergebnis wird vor der Verwendung von einem Menschen geprüft – Zahlen, Namen, Zitate und Rechtsaussagen immer gegen die Quelle. Verantwortlich für ein Ergebnis ist, wer es verwendet, nicht das Werkzeug.
6. 6.Kennzeichnung. Ein Chatbot, der mit Kunden spricht, gibt sich als KI zu erkennen. Bilder, Audio und Video, die echte Personen, Orte oder Ereignisse vortäuschen, werden als KI-erzeugt gekennzeichnet; Details regelt Art. 50 der KI-Verordnung.
7. 7.Fremde Inhalte. Fremde Texte, Bilder und Unterlagen werden nur hochgeladen, wenn das Recht dazu besteht. KI-Ergebnisse, die veröffentlicht werden, werden vorher auf Übernahmen geprüft.
8. 8.Einführung. Wer KI für die Arbeit nutzt, bekommt vorher eine Einführung: freigegebene Werkzeuge, Datenklassen, typische Fehler wie erfundene Antworten, diese Richtlinie. Festgehalten werden je Person Art der Einführung, gegebenenfalls Veranstalter, Inhalte und Datum.
9. 9.Ansprechperson und Vorfälle. [Name] beantwortet Fragen, pflegt die Freigabeliste und nimmt Vorfälle auf – Daten im falschen Werkzeug, ein fehlerhaftes Ergebnis, das nach außen ging. Betrifft ein Vorfall personenbezogene Daten, entscheidet [Name] sofort über die Meldung an die Datenschutzbehörde: Die DSGVO verlangt sie unverzüglich und möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33 Abs. 1).
10. 10.Überprüfung. Die Richtlinie wird halbjährlich und bei jedem neuen Werkzeug überprüft: Freigabeliste, Datenklassen, Inhalte der Einführung. Stand: [Datum], verabschiedet von [Geschäftsführung].

Welche Daten in welches Werkzeug

Österreich: den Betriebsrat früh einbinden

Gibt es im Betrieb einen Betriebsrat, gehört die Richtlinie vor der Einführung auf seinen Tisch. Nach § 96a Abs. 1 Z 1 ArbVG braucht die Einführung von Systemen zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten des Arbeitnehmers, die über allgemeine Angaben zur Person und fachliche Voraussetzungen hinausgehen, seine Zustimmung; ersetzen kann sie nur die Schlichtungsstelle. Kontrollsysteme, die die Menschenwürde berühren, sind nach § 96 Abs. 1 Z 3 ArbVG ohne seine Zustimmung nicht rechtswirksam.

Ein KI-Werkzeug, das protokolliert, wer was eingegeben hat, kann darunter fallen. Am einfachsten regelt eine Betriebsvereinbarung Werkzeuge, Protokollierung und den Verzicht auf Leistungsauswertung zusammen mit dieser Richtlinie.

Was die Richtlinie nicht ersetzt

• ▸Den Vertrag mit dem Anbieter: Die Richtlinie regelt, wer was darf. Den Auftragsverarbeitungsvertrag mit dem Anbieter des Werkzeugs ersetzt sie nicht.
• ▸Die Datenschutz-Folgenabschätzung: Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, verlangt Art. 35 DSGVO vorab eine Abschätzung der Folgen – etwa bei einer systematischen Bewertung von Personen.
• ▸Die Prüfung von Hochrisiko-Fällen: KI in der Personalauswahl oder bei der Kreditvergabe ist nach Anhang III der KI-Verordnung ein Hochrisiko-Fall und hat ab 2. Dezember 2027 eigene Pflichten – mehr dazu im Überblick zum AI Act.
• ▸Die Rechtsberatung: Die Vorlage ist ein Ausgangspunkt. Ob ein konkreter Einsatz rechtlich trägt, beurteilt im Einzelfall Ihre Rechtsberatung.

Häufige Fragen zur KI-Nutzungsrichtlinie

Welche Werkzeuge bei Ihnen schon laufen, was davon unter die DSGVO und die KI-Verordnung fällt und was geregelt werden muss, klärt die KI-Beratung vor jedem Projekt.