KI und Datenschutz: Was Mitarbeiter in ChatGPT eingeben dürfen.

KI-NUTZUNGSRICHTLINIE
[Name des Unternehmens]
Version [1.0] · Stand: [TT.MM.JJJJ] · Verantwortlich: [Name, Funktion]

Hinweis zur Vorlage: Dies ist eine Vorlage, keine Rechtsberatung. Passen Sie alle Angaben in [eckigen Klammern] an Ihren Betrieb an und lassen Sie die Richtlinie vor der Einführung prüfen – etwa durch Ihren Datenschutzbeauftragten oder einen Anwalt. Gibt es einen Betriebsrat, beteiligen Sie ihn frühzeitig; die Einführung von KI-Werkzeugen kann mitbestimmungspflichtig sein.


1. ZWECK

Künstliche Intelligenz (KI) kann uns Routinearbeit abnehmen – etwa beim Formulieren von Texten, Zusammenfassen von Dokumenten oder Übersetzen. Diese Richtlinie legt fest, welche KI-Werkzeuge wir nutzen, welche Daten wir eingeben dürfen und wie wir mit den Ergebnissen umgehen. Sie schützt unsere Kunden, unsere Beschäftigten und unsere Betriebsgeheimnisse.


2. GELTUNGSBEREICH

Die Richtlinie gilt für alle Beschäftigten, Auszubildenden und Aushilfen von [Unternehmen] sowie für [freie Mitarbeiter / Dienstleister], soweit sie in unserem Auftrag mit KI-Werkzeugen arbeiten. Sie gilt für alle KI-Werkzeuge, die für die Arbeit genutzt werden – auch für KI-Funktionen, die in andere Programme eingebaut sind (z. B. in Office-Programme, E-Mail, Shop- oder Buchhaltungssoftware).


3. FREIGEGEBENE WERKZEUGE

Für die Arbeit dürfen nur diese KI-Werkzeuge genutzt werden, und zwar nur mit dem vom Unternehmen bereitgestellten Konto:

  - [Werkzeug 1, z. B. ChatGPT Business] – Zugang über: [Firmenkonto / Anmeldung]
  - [Werkzeug 2, z. B. Microsoft Copilot Chat mit Arbeitskonto]
  - [Werkzeug 3]

Private Konten und kostenlose Versionen von KI-Programmen dürfen für die Arbeit nicht genutzt werden. Neue Werkzeuge, Browser-Erweiterungen oder KI-Funktionen in bestehender Software werden erst nach Freigabe durch [Ansprechpartner] eingesetzt.


4. DATENAMPEL: WAS DARF IN EIN KI-WERKZEUG?

GRÜN – erlaubt in allen freigegebenen Werkzeugen:
  - allgemeine Fachfragen, Formulierungshilfen, Übersetzungen ohne Personenbezug
  - öffentlich zugängliche Informationen (z. B. eigene Website, Produktdatenblätter)
  - eigene Texte ohne Namen, Adressen oder interne Zahlen

GELB – nur in freigegebenen Werkzeugen mit Vertrag zur Auftragsverarbeitung, nur soweit für die Aufgabe nötig, möglichst ohne Namen:
  - Kundenanfragen und E-Mails (Namen und Kontaktdaten vorher entfernen, wo möglich)
  - interne Abläufe, Arbeitsanweisungen, Protokolle
  - Angebots- und Berichtsentwürfe
  - [weitere Beispiele aus Ihrem Betrieb]

ROT – nie in ein KI-Werkzeug eingeben (Ausnahmen nur mit schriftlicher Freigabe durch [Geschäftsführung] und [Datenschutzbeauftragten]):
  - Gesundheitsdaten, Personalakten, Bewerbungsunterlagen, Lohn- und Gehaltsdaten
  - Bankverbindungen, Ausweisnummern, Passwörter, Zugangsdaten
  - Betriebs- und Geschäftsgeheimnisse, z. B. Kalkulationen, Rezepturen, Konstruktionsdaten, vollständige Kundenlisten
  - Unterlagen, die wir Kunden oder Partnern gegenüber vertraulich behandeln müssen
  - [weitere Beispiele aus Ihrem Betrieb]

Im Zweifel gilt: Rot, bis [Ansprechpartner] etwas anderes sagt.


5. ERGEBNISSE PRÜFEN

KI-Werkzeuge können überzeugend formulierte, aber falsche Antworten liefern. Deshalb gilt:

  - Jedes KI-Ergebnis wird vor der Verwendung von einem Menschen geprüft – insbesondere Zahlen, Preise, technische Angaben, Fristen, Rechtsaussagen und Zitate.
  - Verantwortlich für einen Text, ein Angebot oder eine Auskunft ist immer die Person, die es verschickt oder freigibt – nicht das Werkzeug.
  - Entscheidungen über Menschen (z. B. Bewerbungen, Leistungsbeurteilungen, Kündigungen) werden nicht von KI getroffen oder vorsortiert.


6. KENNZEICHNUNG

  - KI-erzeugte Bilder, Videos oder Tonaufnahmen, die echte Personen, Orte oder Ereignisse täuschend echt darstellen, werden als KI-erzeugt gekennzeichnet.
  - Setzen wir einen KI-Chatbot im Kundenkontakt ein, ist für die Kunden erkennbar, dass sie mit einer KI kommunizieren.
  - [Optional: Weitere Kennzeichnungsregeln, z. B. für Social-Media-Beiträge oder Kundenberichte]


7. URHEBERRECHT UND RECHTE DRITTER

  - Fremde Texte, Bilder oder Unterlagen werden nur eingegeben, wenn wir sie dafür nutzen dürfen.
  - KI-Ergebnisse werden vor einer Veröffentlichung darauf geprüft, ob sie erkennbar fremde Werke, Marken oder Logos übernehmen.
  - Bei wichtigen Veröffentlichungen (z. B. Werbung, Website, Verpackung) entscheidet [Ansprechpartner], ob KI-Ergebnisse verwendet werden.


8. SCHULUNG UND KI-KOMPETENZ

Wer KI-Werkzeuge für die Arbeit nutzt, nimmt vorher an einer Einweisung oder Schulung teil und frischt sein Wissen bei neuen Werkzeugen auf. Neue Beschäftigte erhalten die Einweisung im Rahmen der Einarbeitung. [Ansprechpartner] dokumentiert Datum, Inhalte, Dauer und Teilnehmer der Maßnahmen (Nachweis nach Artikel 4 der EU-KI-Verordnung).


9. ANSPRECHPARTNER

Fragen zur KI-Nutzung, Freigaben neuer Werkzeuge und Meldungen:
  [Name, Funktion, E-Mail, Telefon]

Datenschutzfragen:
  [Name des Datenschutzbeauftragten oder Datenschutz-Ansprechpartners, Kontakt]


10. PANNEN UND VERSTÖSSE

  - Wurden versehentlich Daten der Stufe Gelb oder Rot in ein nicht freigegebenes Werkzeug eingegeben, melden Sie das bitte sofort an [Ansprechpartner]. Eine schnelle Meldung ist wichtig, weil Datenschutzpannen unter Umständen innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden müssen.
  - Wer offen meldet, hat keine Nachteile zu befürchten. Wiederholte oder vorsätzliche Verstöße gegen diese Richtlinie können arbeitsrechtliche Folgen haben.


11. STAND UND ÄNDERUNGEN

Diese Richtlinie wird mindestens einmal jährlich sowie bei neuen Werkzeugen oder Rechtsänderungen überprüft. Änderungen werden allen Beschäftigten mitgeteilt.

Version: [1.0]
In Kraft seit: [TT.MM.JJJJ]
Freigegeben durch: [Name, Geschäftsführung]

Zur Kenntnis genommen:
Name: ______________________   Datum: __________   Unterschrift: ______________________