Richtlinie für ChatGPT im Unternehmen: Vorlage und Praxis

Wahrscheinlich nutzen Ihre Mitarbeiterinnen und Mitarbeiter ChatGPT längst — nur weiß niemand genau, wofür und mit welchen Daten. Eine interne Richtlinie macht aus einem unkontrollierten Graubereich klare, sichere Bahnen. Sie muss nicht lang sein und braucht keine Juristensprache. Wichtig ist, dass sie zu Ihrem Betrieb passt und im Alltag tatsächlich gelesen wird.

Der Begriff Richtlinie klingt nach dickem Handbuch und Betriebsrat. In der Praxis ist es ein kurzes, verständliches Dokument, das drei Fragen beantwortet: Was darf ich mit KI-Werkzeugen tun, was nicht, und wen frage ich im Zweifel? Genau darum geht es in diesem Beitrag. Sie bekommen eine erprobte Struktur, die typischen Inhalte und eine Vorlage, die Sie an Ihren Betrieb anpassen können.

Darf man ChatGPT im Unternehmen überhaupt nutzen?

Ja — die Nutzung ist grundsätzlich erlaubt, sie ist nur an Bedingungen geknüpft. Kritisch wird es nicht durch das Werkzeug an sich, sondern durch die Daten, die hineinwandern. Wer Kundennamen, Rechnungen, Bewerbungsunterlagen oder Vertragsentwürfe in ein kostenloses KI-Tool kopiert, gibt möglicherweise personenbezogene und vertrauliche Informationen aus der Hand. Und genau hier wird die DSGVO relevant.

Der Punkt ist: Ohne interne Regeln entscheidet jeder Mitarbeiter selbst, was er eingibt — meist ohne böse Absicht, aber auch ohne Überblick über die Folgen. Eine Richtlinie verschiebt diese Entscheidung von der Bauchebene auf eine gemeinsame, nachvollziehbare Grundlage. Das schützt Ihren Betrieb rechtlich und Ihre Mitarbeiter davor, aus Versehen einen Fehler zu machen. Hinzu kommt ein oft unterschätzter Nebeneffekt: Klare Regeln nehmen dem Team die Unsicherheit. Wer weiß, was erlaubt ist, traut sich, die Werkzeuge produktiv zu nutzen, statt aus Angst vor einem Fehltritt lieber ganz die Finger davon zu lassen. Eine gute Richtlinie wirkt damit nicht als Bremse, sondern als Erlaubnis mit Leitplanken.

Ein zweiter Grund ist die Nachvollziehbarkeit. Kommt es einmal zu einer Frage — etwa von einem Kunden, wie mit seinen Daten umgegangen wird — können Sie auf ein dokumentiertes Vorgehen verweisen. Das schafft Vertrauen nach außen und Sicherheit nach innen. Gerade in Branchen mit sensiblen Daten ist dieser Punkt bares Gold wert.

Was eine ChatGPT-Richtlinie regeln sollte

Eine gute Richtlinie deckt einige wenige, aber entscheidende Bereiche ab. Sie muss nicht jeden Sonderfall vorwegnehmen — sie muss die 90 Prozent des Alltags klar machen. Diese Bausteine gehören hinein:

• Geltungsbereich: Für wen gilt die Richtlinie (alle Mitarbeiter, bestimmte Abteilungen, auch freie Mitarbeiter) und für welche Werkzeuge.
• Zugelassene und nicht zugelassene Tools: Welche KI-Dienste sind freigegeben, welche ausdrücklich nicht.
• Umgang mit Daten: Welche Informationen dürfen eingegeben werden, welche niemals — das Herzstück der Richtlinie.
• Verantwortung für Ergebnisse: Wer prüft und verantwortet, was die KI ausgibt, bevor es nach außen geht.
• Kennzeichnung: Wann und wie KI-generierte Inhalte intern oder gegenüber Kunden kenntlich gemacht werden.
• Ansprechpartner: An wen man sich bei Unsicherheit oder für die Freigabe neuer Tools wendet.
• Konsequenzen und Schulung: Wie Verstöße behandelt werden und dass Mitarbeiter im Umgang geschult werden.

Datenschutz: welche Daten in ChatGPT dürfen — und welche nicht

Das ist der Teil, an dem sich alles entscheidet. Die einfachste und robusteste Regel lautet: Keine personenbezogenen und keine vertraulichen Daten in ein KI-Tool eingeben, solange es dafür keine ausdrückliche Freigabe gibt. Diesen Satz kann sich jeder merken, und er deckt die meisten Risiken ab. Konkreter wird es mit einer kleinen Ampel.

Der entscheidende Unterschied liegt in der Version des Werkzeugs. Kostenlose Konsumenten-Versionen können Eingaben grundsätzlich zur Verbesserung der Modelle verwenden — Daten verlassen also Ihren Einflussbereich. Geschäftliche Tarife (Team- oder Enterprise-Varianten) sichern vertraglich zu, dass Eingaben nicht zum Training genutzt werden. Für den Umgang mit echten Firmendaten ist das die Mindestvoraussetzung, damit man von einer DSGVO-konformen Nutzung sprechen kann.

Ein praktischer Tipp für den Alltag: Machen Sie das Anonymisieren zur Gewohnheit. Statt einen echten Kundenbrief mit Namen und Adresse in das Tool zu kopieren, ersetzen Sie die konkreten Angaben durch Platzhalter wie „Kunde" oder „Firma X". Für den Zweck — etwa eine höfliche Formulierung oder eine Zusammenfassung — spielt der echte Name meist gar keine Rolle. So gewinnen Ihre Mitarbeiter den Nutzen der KI, ohne unnötig Daten preiszugeben. Halten Sie genau diese kleine Routine in der Richtlinie fest, dann wird sie zum Reflex.

Kostenlose Version oder Business-Tarif?

Diese Frage sollte Ihre Richtlinie eindeutig beantworten, denn sie entscheidet über den erlaubten Umfang. Grob gilt: Für unverfängliche Textarbeit ohne echte Daten reicht oft auch die freie Version. Sobald aber Firmen- oder Kundendaten im Spiel sind, führt kein Weg an einer geschäftlichen Variante mit vertraglicher Absicherung vorbei.

• Freie Konsumenten-Version: geeignet für allgemeine Formulierungen, Recherche-Anstöße und Lernen — aber ohne echte personenbezogene oder vertrauliche Inhalte.
• Team- oder Business-Tarif: vertragliche Zusage, dass Eingaben nicht zum Training genutzt werden, zentrale Verwaltung der Zugänge, oft bessere Kontrolle über Datenaufbewahrung.
• Eigenes oder lokal betriebenes Modell: höchste Kontrolle, weil Daten das Haus nicht verlassen — sinnvoll bei besonders sensiblen Branchen. Mehr dazu unter KI on-premise.

Für Betriebe mit hohen Vertraulichkeitsanforderungen — etwa in der Beratung, im Gesundheitsbereich oder bei sensiblen Kundendaten — kann ein on-premise betriebenes KI-System die sauberste Lösung sein. Dann arbeiten Ihre Mitarbeiter mit KI, ohne dass ein Byte Ihrer Daten an einen externen Anbieter geht. Welche Variante zu Ihnen passt, lässt sich in einer kurzen KI-Beratung klären. Als Faustregel gilt: Je häufiger echte personenbezogene Daten im Spiel sind und je sensibler die Branche, desto stärker verschiebt sich die Antwort von der freien Version hin zu einem abgesicherten oder eigenen System.

Aufbau der Vorlage: Abschnitt für Abschnitt

Eine gute Richtlinie folgt einer festen Reihenfolge, damit man beim Nachschlagen schnell findet, was man sucht. So sieht ein bewährtes Gerüst aus, das Sie eins zu eins übernehmen und ausfüllen können:

1. 1
   1. Zweck und Geltungsbereich

   Ein bis zwei Sätze, warum es die Richtlinie gibt und für wen sie gilt. Beispiel: gilt für alle Mitarbeiter und alle Einsätze von KI-Textwerkzeugen im dienstlichen Kontext.
2. 2
   2. Zugelassene Werkzeuge

   Eine namentliche Liste der freigegebenen KI-Dienste samt Tarif-Stufe. Alles, was nicht auf der Liste steht, gilt als nicht freigegeben, bis es geprüft wurde.
3. 3
   3. Erlaubte und verbotene Daten

   Die Datenampel aus dem vorigen Abschnitt in klaren Worten. Dieser Teil sollte konkret und mit Beispielen aus Ihrem Betrieb hinterlegt sein.
4. 4
   4. Prüfung der Ergebnisse

   Die Regel, dass KI-Ausgaben immer von einem Menschen kontrolliert werden, bevor sie an Kunden, Behörden oder in verbindliche Dokumente gehen. KI liefert Entwürfe, keine Endergebnisse.
5. 5
   5. Kennzeichnung und Transparenz

   Wann KI-Inhalte kenntlich gemacht werden — intern immer sinnvoll, gegenüber Kunden je nach Situation.
6. 6
   6. Ansprechpartner und Freigabeprozess

   Wer neue Tools freigibt und wer bei Fragen hilft. Ein einziger Name genügt, damit niemand im Zweifel allein entscheidet.
7. 7
   7. Schulung und Konsequenzen

   Der Hinweis, dass Mitarbeiter geschult werden und dass bewusste Verstöße arbeitsrechtliche Folgen haben können.

Vorlage: die wichtigsten Sätze zum Übernehmen

Damit Sie nicht bei null anfangen, hier eine kompakte Muster-Formulierung. Passen Sie Namen, Tools und Beispiele an Ihren Betrieb an — dann haben Sie den Kern Ihrer KI-Richtlinie in wenigen Minuten zusammen.

1. Diese Richtlinie regelt den Einsatz von KI-Textwerkzeugen im gesamten Betrieb und gilt für alle Mitarbeiterinnen und Mitarbeiter.
2. Für dienstliche Zwecke sind ausschließlich die vom Betrieb freigegebenen KI-Dienste in der jeweils genannten Tarif-Stufe zulässig.
3. Personenbezogene Daten, Kunden- und Geschäftsgeheimnisse, Zugangsdaten sowie interne Kalkulationen dürfen nur in ausdrücklich freigegebene, vertraglich abgesicherte Werkzeuge eingegeben werden.
4. In der frei zugänglichen Version werden keine echten personenbezogenen oder vertraulichen Informationen verarbeitet.
5. Alle von KI erzeugten Inhalte werden vor der Weitergabe an Dritte von einer verantwortlichen Person geprüft.
6. Die fachliche und rechtliche Verantwortung für ein Ergebnis trägt stets der Mensch, der es verwendet — nicht das Werkzeug.
7. Bei Unsicherheit über die Zulässigkeit einer Nutzung wird vorab die zuständige Ansprechperson kontaktiert.
8. Neue KI-Werkzeuge werden erst nach Prüfung und Freigabe eingesetzt.

Diese acht Sätze sind bewusst knapp gehalten. Sie bilden das Rückgrat, an das Sie so viele oder so wenige Erläuterungen hängen, wie Ihr Betrieb braucht. Ein kleines Handwerksunternehmen kommt vielleicht mit genau dieser Liste plus einer halben Seite Beispiele aus. Eine Kanzlei oder ein Betrieb mit Gesundheitsdaten wird jeden Punkt ausführlicher fassen und um branchenspezifische Vorgaben ergänzen. Beides ist richtig — Hauptsache, die Kernaussagen bleiben so klar, dass sie im Alltag hängen bleiben.

KI-Kompetenz: die neue Pflicht aus der EU-KI-Verordnung

Eine Richtlinie zu haben ist nicht nur guter Stil — es gibt inzwischen auch einen regulatorischen Rahmen. Die EU-KI-Verordnung verlangt, dass Betriebe für ein ausreichendes Maß an KI-Kompetenz bei allen Personen sorgen, die KI-Systeme einsetzen. Das bedeutet: Ihre Mitarbeiter sollen verstehen, was die Werkzeuge können, wo ihre Grenzen liegen und welche Risiken beim Umgang mit Daten bestehen.

Eine schriftliche Richtlinie plus eine kurze Einführung für das Team ist ein sinnvoller erster Baustein, um dieser Anforderung nachzukommen. Sie dokumentiert, dass Sie sich mit dem Thema befasst und Ihre Leute in die Lage versetzt haben, verantwortungsvoll zu arbeiten. Die genauen Anforderungen und Fristen der Verordnung entwickeln sich weiter — den aktuellen Stand prüfen Sie am besten bei WKO oder der zuständigen Behörde.

Wichtig zu wissen: KI-Kompetenz bedeutet nicht, dass jeder Mitarbeiter zum Technik-Experten werden muss. Es geht um ein solides Alltagsverständnis — dass KI Texte plausibel erfinden kann, dass Eingaben Daten transportieren und dass am Ende immer ein Mensch verantwortlich bleibt. Genau diese Grundhaltung vermittelt eine gut geschriebene Richtlinie ganz nebenbei mit. Sie ist damit nicht nur ein Regelwerk, sondern auch ein Stück Weiterbildung im Kleinen.

So führen Sie die Richtlinie im Betrieb ein

Die beste Vorlage nützt nichts, wenn sie in einem Ordner verschwindet. Damit die Regeln tatsächlich ankommen, hat sich ein einfacher Ablauf bewährt:

1. Bestandsaufnahme: Fragen Sie im Team offen, wer welche KI-Tools bereits nutzt. Das zeigt, wo Regelungsbedarf wirklich besteht.
2. Entwurf anpassen: Nehmen Sie die Vorlage und ersetzen Sie die allgemeinen Beispiele durch Fälle aus Ihrem Betrieb.
3. Kurz besprechen: Stellen Sie die Richtlinie in einer kurzen Runde vor, statt sie nur per Mail zu verschicken. Fragen im Gespräch klären Missverständnisse sofort.
4. Freigeben und ablegen: Legen Sie die finale Version an einem für alle zugänglichen Ort ab und benennen Sie die Ansprechperson.
5. Regelmäßig aktualisieren: KI-Tools und Vorgaben ändern sich schnell. Ein kurzer Blick auf die Richtlinie ein- bis zweimal im Jahr genügt meist.

Wenn Sie merken, dass KI in Ihrem Betrieb mehr als ein gelegentliches Textwerkzeug werden soll, lohnt der Schritt vom Einzeltool zur eingerichteten Lösung. Vom KI-Chatbot für Ihre Website über den E-Mail-Assistenten bis zur durchdachten KI-Einführung im ganzen Unternehmen — dann steht die Richtlinie nicht mehr allein, sondern ist Teil eines klaren Konzepts.

Typische Fehler, die Sie vermeiden sollten

• Zu lang und zu abstrakt: Eine 20-seitige Richtlinie liest niemand. Halten Sie es auf zwei bis vier Seiten mit konkreten Beispielen.
• Pauschales Verbot: Es verlagert die Nutzung ins Verborgene, statt sie zu steuern.
• Keine Ansprechperson: Ohne klaren Kontakt bleibt jede Grauzone ungeklärt und wird nach Bauchgefühl entschieden.
• Einmal schreiben und vergessen: Ohne Aktualisierung passt die Richtlinie schon nach einem halben Jahr nicht mehr zu den Tools.
• Ergebnisse ungeprüft übernehmen: KI kann überzeugend klingen und trotzdem falsch liegen. Die Kontrolle durch den Menschen ist keine Formalität.

Häufige Fragen zur ChatGPT-Richtlinie

Eine Richtlinie ist der Anfang, nicht das Ziel. Wenn Sie KI im Betrieb wirklich nutzbar machen wollen, geht es danach um die Auswahl der passenden Werkzeuge, die saubere Einbindung in Ihre Abläufe und die Schulung Ihres Teams. Genau dabei begleiten wir Betriebe in Österreich — vom ersten Gespräch bis zur eingerichteten, sicheren Lösung.