KI-Richtlinie im Unternehmen: Leitfaden + was Artikel 4 wirklich verlangt

In den meisten Unternehmen ist die Lage identisch: Der Vertrieb schreibt Angebote mit ChatGPT, das Marketing generiert Bilder, die Entwickler nutzen Copilot. Gefragt hat niemand, geregelt ist nichts. Das ist keine Anklage, sondern der Normalzustand. Problematisch wird er aus drei Gründen: Die KI-Verordnung verlangt seit Februar 2025 Maßnahmen zur KI-Kompetenz (Artikel 4), ab dem 2. August 2026 greifen die Transparenzpflichten (Artikel 50), und Großkunden fragen in Lieferantenaudits zunehmend als Erstes: „Haben Sie eine KI-Richtlinie?"

Die gute Nachricht: Eine brauchbare KI-Richtlinie ist kein 40-Seiten-Projekt. Dieser Leitfaden zeigt, was Artikel 4 tatsächlich verlangt und welche sechs Bausteine in die Richtlinie gehören.

Was Artikel 4 wirklich verlangt

Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und betrifft alle Unternehmen, die KI-Systeme anbieten oder einsetzen, unabhängig von der Risikoklasse.

Bis zum Inkrafttreten des Omnibus verlangt der geltende Wortlaut, ein „ausreichendes Maß an KI-Kompetenz" des Personals nach besten Kräften sicherzustellen. Der im Juni 2026 beschlossene Digital Omnibus schwächt diese Formulierung ab: Sobald er nach der Amtsblatt-Veröffentlichung in Kraft tritt, verlangt Artikel 4 nur noch Maßnahmen, die die Entwicklung der KI-Kompetenz der Mitarbeiter unterstützen. Die Pflicht bleibt bestehen, die Messlatte wird niedriger.

Drei Dinge sollte man dabei nüchtern einordnen:

1. Es gibt keine Zertifikatspflicht. Die Verordnung schreibt kein bestimmtes Schulungsformat vor. Maßnahmen müssen zum Kontext passen: Wer nur einen Text-Assistenten nutzt, braucht anderes Training als ein Team, das ein Bewerber-Screening betreibt.
2. Es gibt keine eigene Bußgeldposition für Artikel 4. Der Sanktionskatalog des Artikels 99 nennt Artikel 4 nicht ausdrücklich. Wer deshalb „Artikel 4 ignorieren" ableitet, übersieht den praktischen Punkt: KI-Kompetenz ist Standardfrage in Audits und Fragebögen, und dokumentierte Maßnahmen sind die Antwort.
3. Ohne Nachweis existiert die Maßnahme nicht. „Wir haben mal ein Webinar gemacht" überzeugt weder Auditoren noch Einkäufer. Was zählt: benannte Maßnahmen, Teilnahmenachweise, ein Datum.

Die KI-Richtlinie ist das Fundament dafür. Sie legt fest, was gilt, und sie ist gleichzeitig das Dokument, das Sie vorzeigen können.

Die sechs Bausteine einer KI-Richtlinie

1. Geltungsbereich

Für wen gilt die Richtlinie und für welche Werkzeuge? Die ehrliche Antwort muss auch private Accounts erfassen, mit denen dienstlich gearbeitet wird. Genau dort entsteht Schatten-KI: Der Mitarbeiter, der Kundendaten in seinen privaten ChatGPT-Account kopiert, ist das Szenario, das die Richtlinie verhindern soll.

2. Erlaubte Tools und Freigabeprozess

Eine Positivliste schlägt ein Totalverbot. Verbote ohne Alternative erzeugen Umgehung, nicht Sicherheit. Listen Sie die freigegebenen Tools auf (mit Kontotyp: Business-Account, nicht privat) und definieren Sie einen leichtgewichtigen Freigabeprozess für neue Tools: wer entscheidet, anhand welcher Kriterien, wie schnell. Wenn die Freigabe sechs Wochen dauert, nutzen die Leute das Tool vorher.

3. Verbotene Inputs

Der wichtigste und kürzeste Abschnitt: Was darf nie in ein KI-Tool eingegeben werden? Typische Liste: personenbezogene Daten von Kunden und Mitarbeitern, Geschäftsgeheimnisse, Verträge und Angebote mit Vertraulichkeitsbezug, Quellcode unter NDA, Zugangsdaten. Wer nur einen einzigen Absatz der Richtlinie schult, schult diesen.

4. Output-Kontrolle und Kennzeichnung

Zwei Regeln. Erstens: KI-Output verlässt das Haus nur nach menschlicher Prüfung. Der Mensch, der den Text versendet oder veröffentlicht, verantwortet ihn. Zweitens: Wo KI-Inhalte veröffentlicht werden, greifen ab dem 2. August 2026 die Transparenzpflichten aus Artikel 50, von der Chatbot-Offenlegung bis zur Kennzeichnung KI-generierter Inhalte. Die Richtlinie sollte festlegen, wer im Unternehmen für diese Kennzeichnung zuständig ist. Ob Ihre Systeme betroffen sind, klärt der kostenlose Artikel-50-Checker in drei Minuten.

5. Rollen und Schulung

Benennen Sie eine zuständige Person für KI-Fragen (in KMU realistisch: eine Rolle neben anderen, kein neuer Vollzeitjob) und legen Sie den Schulungsrhythmus fest. Hier zahlt die Richtlinie direkt auf Artikel 4 ein: Maßnahme definieren, durchführen, Teilnahme dokumentieren. Die Witness Academy bietet dafür kostenlose Schulungsmodule mit Abschlussnachweis, gebaut für genau diesen Zweck.

6. Verstöße und Review

Was passiert bei Verstößen, und wann wird die Richtlinie überprüft? KI-Tools ändern sich im Monatsrhythmus. Eine Richtlinie ohne festen Review-Termin (empfohlen: halbjährlich, mindestens jährlich) ist nach einem Jahr Dekoration. Ein kurzer Änderungsvermerk mit Datum macht das Dokument zusätzlich audit-tauglich: Man sieht, dass es lebt.

Was die Richtlinie nicht leisten muss

Genauso wichtig wie der Inhalt ist die Abgrenzung. Eine KI-Richtlinie für den Umgang mit generativen Tools ist keine Hochrisiko-Dokumentation. Wer ein KI-System für Bewerber-Screening, Kreditentscheidungen oder ähnliche Annex-III-Zwecke einsetzt, braucht ab Dezember 2027 deutlich mehr: Risikomanagement, technische Dokumentation, menschliche Aufsicht. Das gehört in ein eigenes Projekt, nicht in die einseitige Unternehmensrichtlinie.

Die Richtlinie muss auch keine Tool-Bewertungen im Detail enthalten und kein Datenschutz-Gutachten ersetzen. Sie regelt Verhalten. Alles andere referenziert sie nur. Wer unsicher ist, in welche Kategorie die eigenen Systeme fallen, klärt das vorab mit dem kostenlosen Klassifizierer: zehn Fragen, Risikoklasse und Rolle als Ergebnis.

Umsetzung: eine Seite schlägt null Seiten

Der häufigste Fehler ist Perfektionismus. Eine einseitige Richtlinie, die heute verabschiedet, kommuniziert und geschult wird, ist mehr wert als ein 30-Seiten-Entwurf, der seit Monaten „in Abstimmung" ist. Der pragmatische Fahrplan:

1. Sechs Bausteine auf eine Seite bringen (ein Nachmittag).
2. Geschäftsführung beschließen lassen, mit Datum.
3. Im Team vorstellen, 30 Minuten, Teilnahme dokumentieren.
4. Schulungsnachweise ergänzen, etwa über die Academy-Module.
5. Review-Termin in den Kalender.

Damit haben Sie drei Dinge auf einmal: eine gelebte Regel für den Alltag, einen Artikel-4-Nachweis und ein Dokument für den nächsten Lieferantenfragebogen. Genau in dieser Reihenfolge entsteht nachweisbare Compliance: erst die Regel, dann der Beleg, dann der Wettbewerbsvorteil.