Richtlinie zur Nutzung von KI für Mitarbeitende: was im Dokument stehen muss

Wo anfangen

In einer Unternehmensrichtlinie zur KI geht es nicht darum, die Technologie selbst zu beschreiben, sondern darum, wer die Werkzeuge nutzen darf, welche Daten nicht eingegeben werden dürfen und wann ein Mensch das Ergebnis prüfen muss. Laut AI TrustCERT ordnet ein solches Dokument die KI-Nutzung zwischen Abteilungen und begrenzt die Abweichung zwischen der Praxis der Mitarbeitenden und den Anforderungen der Organisation.

Mindestumfang, der im Dokument stehen sollte

Nach der Dokumentation von Acronis sowie Vorlagen für Richtlinien, die von GC AI und 30Elevate veröffentlicht wurden, sollte eine wirksame Richtlinie mehrere feste Elemente umfassen: Geltungsbereich, genehmigte Werkzeuge, verbotene Daten, menschliche Aufsicht, Meldung von Fehlern und Durchsetzung der Regeln.

• Geltungsbereich - das Dokument muss angeben, ob es nur für Vollzeitmitarbeitende gilt oder auch für Auftragnehmer, Praktikanten und andere Personen, die für das Unternehmen arbeiten, wie Acronis beschreibt.

• Genehmigte Werkzeuge und Konten - es ist sinnvoll, konkrete Anwendungen oder Typen von Lösungen zu benennen und festzulegen, ob nur Firmenkonten verwendet werden dürfen. IFeelTech betont, dass die Richtlinie sowohl eigenständige Werkzeuge als auch KI-Funktionen in bereits genutzter Software abdecken kann.

• Verbotene und sensible Daten - das Dokument sollte klar ausweisen, welche Informationen nicht in Prompts eingefügt werden dürfen. Laut AI TrustCERT und Acronis betrifft dies insbesondere vertrauliche oder geschützte Informationen und alles, was Geschäftsgeheimnisse offenlegen könnte.

• Menschliche Überprüfung - die Richtlinie sollte festlegen, welche KI-Ergebnisse vor der Nutzung, Veröffentlichung oder Weiterleitung an einen Kunden geprüft werden müssen. GC AI führt dies als eigenen Block "human review and verification" an.

Wie Regeln beschrieben werden, ohne das Dokument zu lang zu machen

Die von Promise Legal und Brainstorm Inc. beschriebene Praxis zeigt, dass die besten Richtlinien kurz, aber konkret sind: statt Allgemeinheiten verweisen sie auf Datenklassen, eine Liste genehmigter Werkzeuge, Eskalationswege und Konsequenzen bei Verstößen. Unter deutschen beziehungsweise mitteleuropäischen Bedingungen ist es besonders wichtig zu beschreiben, wer entscheidet, wenn ein Mitarbeitender ein neues Werkzeug nutzen oder an Unternehmensdaten anschließen möchte.

Es lohnt sich, drei Punkte hinzuzufügen, die ein nützliches Dokument von einem dekorativen unterscheiden:

• Wann ein Anwendungsfall vor der Umsetzung gemeldet werden muss.
• Wie ein Fehler, ein Vorfall oder ein Verdacht auf Fehlfunktion gemeldet wird.
• Wann die Lösung einer Neubewertung unterliegt, zum Beispiel nach einer Änderung des Datenumfangs oder einer Integration in ein Unternehmenssystem.

Was eine solche Gliederung in der Praxis bringt

Die nützlichste Richtlinie versucht nicht, alles auf einmal zu regeln. Stattdessen trennt sie Regeln für typische Aufgaben, wie das Erstellen von Textentwürfen oder Zusammenfassungen, von risikoreichen Aufgaben wie Kundenkommunikation, Verkaufsangeboten, Dokumenten mit Zahlen oder Integrationen mit E-Mail, Laufwerk oder CRM, die das Risiko der Datenverarbeitung erhöhen.

Wenn das Dokument im Geschäft funktionieren soll, sollte es so verfasst sein, dass ein Mitarbeitender vier Fragen beantworten kann: Ist dieses Werkzeug erlaubt, dürfen diese Daten verwendet werden, muss das Ergebnis geprüft werden und an wen meldet man eine Bedenken. Genau diese Entscheidungen sollten im Richtlinientext stehen, nicht nur allgemeine Erklärungen zur "verantwortungsvollen Nutzung von KI".

Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.