Eine KI-Richtlinie für das Unternehmen erstellt man, indem man zunächst Ziele und Anwendungsbereiche definiert, rechtliche Anforderungen wie die EU-KI-Verordnung berücksichtigt, Verantwortlichkeiten klar zuweist und die Richtlinie anschließend strukturiert im Unternehmen einführt. Die Grundlage bildet dabei ein dokumentiertes Regelwerk, das sowohl ethische Grundsätze als auch konkrete Verhaltenserwartungen für den KI-Einsatz festlegt. Die folgenden Fragen führen Schritt für Schritt durch alle wesentlichen Aspekte einer praxistauglichen KI-Richtlinie.

Was muss eine KI-Richtlinie im Unternehmen enthalten?

Eine KI-Richtlinie muss mindestens die Ziele des KI-Einsatzes, erlaubte und verbotene Anwendungsfälle, Verantwortlichkeiten, Datenschutzvorgaben, ethische Grundsätze sowie Verfahren für Ausnahmen und Abweichungen enthalten. Sie dient als verbindlicher Rahmen für alle Aktivitäten im Zusammenhang mit künstlicher Intelligenz im Unternehmen.

Konkret sollte eine vollständige KI-Richtlinie folgende Kernbereiche abdecken:

• Geltungsbereich: Welche Systeme, Abteilungen und Prozesse sind betroffen?
• Erlaubte KI-Anwendungen: Welche Tools und Einsatzszenarien sind genehmigt?
• Datenschutz und Informationssicherheit: Welche Daten dürfen in KI-Systeme eingegeben werden?
• Ethische Grundsätze: Wie werden Diskriminierung, Bias und Transparenz adressiert?
• Menschliche Kontrolle: Welche Entscheidungen darf KI nicht allein treffen?
• Umgang mit Abweichungen: Wie werden Verstöße gemeldet und behandelt?
• Schulungspflichten: Wer muss wie zum sicheren KI-Einsatz geschult werden?

Nach ISO 42001, dem internationalen Standard für KI-Managementsysteme, muss die KI-Politik dem Organisationszweck angemessen sein, dokumentiert werden, unternehmensweit kommuniziert werden und für alle relevanten Interessengruppen zugänglich sein. Darüber hinaus empfiehlt die Norm, themenspezifische Unterrichtlinien zu ergänzen, etwa zu KI-Ressourcen, Auswirkungsabschätzungen oder der Entwicklung eigener KI-Systeme. Eine gut strukturierte ISO-42001-konforme KI-Politik schafft damit nicht nur Orientierung, sondern auch eine belastbare Grundlage für spätere Zertifizierungen.

Welche rechtlichen Vorgaben beeinflussen eine KI-Richtlinie?

Die wichtigsten rechtlichen Vorgaben für eine KI-Richtlinie kommen aus der EU-KI-Verordnung (EU AI Act), der DSGVO, dem Urheberrecht, dem Arbeitsrecht sowie dem allgemeinen Haftungsrecht. Unternehmen, die Hochrisiko-KI-Systeme betreiben, unterliegen besonders strengen Pflichten.

Die EU-KI-Verordnung klassifiziert KI-Systeme nach ihrem Risikopotenzial. Für Betreiber von Hochrisiko-KI-Systemen gelten unter anderem folgende Pflichten, die sich direkt in der KI-Richtlinie widerspiegeln müssen:

• Implementierung menschlicher Überwachungsmechanismen
• Kontinuierliche Überwachung und Reporting an Anbieter
• Meldepflicht bei schwerwiegenden Vorfällen
• Sechsmonatige Aufbewahrungspflicht automatisierter Protokolle
• Informationspflicht gegenüber Betroffenen bei automatisierten Entscheidungen
• Datenschutz-Folgenabschätzung nach Art. 35 DSGVO

Auch jenseits von Hochrisiko-Systemen greift die Verordnung: KI-Systeme, die mit natürlichen Personen interagieren, müssen diese darüber informieren, dass sie mit einem KI-System kommunizieren. Synthetische Inhalte wie KI-generierte Texte oder Deep Fakes müssen klar gekennzeichnet werden. Hinzu kommen Anforderungen aus dem Datenschutzrecht, dem Urheberrecht beim Einsatz generativer KI sowie arbeitsrechtliche Mitbestimmungsrechte, wenn KI-Systeme Mitarbeitende überwachen oder Entscheidungen über sie treffen.

Wie unterscheidet sich eine KI-Richtlinie von einer allgemeinen IT-Richtlinie?

Eine KI-Richtlinie unterscheidet sich von einer allgemeinen IT-Richtlinie dadurch, dass sie spezifisch auf die Risiken, Transparenzanforderungen und ethischen Implikationen von KI-Systemen eingeht, die klassische IT-Regelwerke nicht abdecken. Während IT-Richtlinien Nutzungsregeln für Software und Infrastruktur festlegen, regelt eine KI-Richtlinie auch Fragen der Entscheidungsautonomie, Nachvollziehbarkeit und gesellschaftlichen Verantwortung.

Konkrete Unterschiede zeigen sich in mehreren Bereichen:

• Entscheidungsverantwortung: KI-Systeme können eigenständig Empfehlungen oder Entscheidungen erzeugen. Die KI-Richtlinie muss festlegen, wann menschliche Kontrolle zwingend erforderlich ist.
• Bias und Diskriminierungsfreiheit: KI-Modelle können systematische Verzerrungen enthalten. IT-Richtlinien thematisieren das nicht, KI-Richtlinien müssen es.
• Transparenz und Erklärbarkeit: Nutzer haben in bestimmten Fällen ein Recht auf Erläuterung, wie eine KI-Entscheidung zustande kam.
• Regulatorischer Rahmen: Die EU-KI-Verordnung ist spezifisch auf KI-Systeme ausgerichtet und schafft Pflichten, die eine allgemeine IT-Richtlinie nicht erfüllen kann.

Eine bestehende IT-Richtlinie kann als Ausgangspunkt dienen, muss aber um diese KI-spezifischen Aspekte ergänzt werden. In vielen Unternehmen empfiehlt es sich, eine eigenständige KI-Richtlinie zu erstellen, die auf die allgemeine IT-Richtlinie verweist und sie gezielt ergänzt.

Wer ist für die Erstellung einer KI-Richtlinie verantwortlich?

Verantwortlich für die Erstellung einer KI-Richtlinie ist die oberste Unternehmensleitung, unterstützt durch einen KI-Beauftragten oder AI Officer. Die Führungsebene muss die KI-Politik aktiv verabschieden und kommunizieren, während der KI-Beauftragte die operative Umsetzung und Einhaltung sicherstellt.

Nach ISO 42001 muss die oberste Leitung die KI-Politik und die zugehörigen Ziele festlegen, an der Organisationsstrategie ausrichten und deren Erreichung sicherstellen. Konkret bedeutet das:

• Die Geschäftsführung trägt die formale Verantwortung und zeichnet die Richtlinie ab.
• Ein KI-Beauftragter koordiniert die Erstellung, überwacht die Einhaltung und berichtet an die Leitung.
• Rechts- und Datenschutzabteilungen prüfen die Konformität mit EU-KI-Verordnung und DSGVO.
• HR und Betriebsrat werden eingebunden, wenn KI-Systeme Mitarbeitende betreffen.
• IT und Fachabteilungen liefern den Überblick über eingesetzte und geplante KI-Systeme.

In kleineren Unternehmen ohne dedizierte KI-Funktion übernimmt häufig der IT-Leiter oder der Datenschutzbeauftragte die Koordination. Wichtig ist, dass die Richtlinie nicht allein von der IT-Abteilung erstellt wird, sondern als Querschnittsthema mit Beteiligung aller relevanten Funktionen entsteht. Gezielte Weiterbildung hilft dabei, die notwendige KI-Kompetenz in diesen Rollen aufzubauen.

Wie wird eine KI-Richtlinie im Unternehmen eingeführt und durchgesetzt?

Eine KI-Richtlinie wird eingeführt, indem sie zunächst von der Führungsebene verabschiedet, anschließend unternehmensweit kommuniziert und durch Schulungen, klare Prozesse sowie regelmäßige Überprüfungen verankert wird. Ohne aktive Durchsetzung und kontinuierliche Aktualisierung bleibt jede Richtlinie wirkungslos.

Ein bewährter Einführungsprozess umfasst folgende Schritte:

1. Verabschiedung durch die Unternehmensleitung: Die Richtlinie erhält formale Gültigkeit und Rückhalt von oben.
2. Kommunikation an alle Mitarbeitenden: Alle betroffenen Personen werden über Inhalt, Geltungsbereich und ihre Pflichten informiert.
3. Schulungen zum sicheren KI-Einsatz: Mitarbeitende werden befähigt, die Richtlinie im Alltag umzusetzen, insbesondere im Umgang mit KI-Tools, Datenschutz und technischer Sicherheit.
4. Integration in bestehende Prozesse: Die Richtlinie wird in Onboarding, Beschaffungsprozesse und Projektgenehmigungen eingebettet.
5. Meldemechanismen für Verstöße: Es werden klare Kanäle geschaffen, über die Abweichungen gemeldet werden können.
6. Regelmäßige Überprüfung: Da sich KI-Technologie und Regulierung schnell weiterentwickeln, muss die Richtlinie mindestens jährlich aktualisiert werden.

Besonders wichtig ist die Schulungskomponente. Mitarbeitende sollten KI-generierte Inhalte kritisch hinterfragen, KI-Tools nur für genehmigte Anwendungsfälle nutzen und automatisierte Entscheidungen stets einer menschlichen Prüfung unterziehen. Regelmäßige Weiterbildungen stellen sicher, dass das Wissen mit der Technologie Schritt hält und die KI-Richtlinie nicht nur auf dem Papier existiert.

So unterstützt mITSM bei der Einführung einer KI-Richtlinie

Wir bei mITSM begleiten Unternehmen dabei, das nötige Wissen aufzubauen, um eine fundierte und rechtskonforme KI-Richtlinie zu entwickeln und umzusetzen. Unser Schulungsangebot deckt alle relevanten Bereiche ab:

• KI-Governance und ISO 42001: Unsere Trainings vermitteln, wie ein KI-Managementsystem nach ISO/IEC 42001 aufgebaut, implementiert und zertifiziert wird.
• KI-Compliance und EU AI Act: Wir schulen Verantwortliche zu den Pflichten der EU-KI-Verordnung, zu Datenschutzanforderungen und zur risikobasierten Klassifizierung von KI-Systemen.
• KI-Manager-Ausbildung: Unser umfassendes Programm befähigt Fach- und Führungskräfte, KI-Strategien zu entwickeln, Risiken zu bewerten und Compliance-Strukturen aufzubauen. Abschlüsse werden über ICO-Cert als anerkannten Zertifizierungspartner für KI-Themen zertifiziert.
• Inhouse-Schulungen: Wir führen unsere Kursformate direkt beim Kunden vor Ort durch, damit ganze Teams gleichzeitig geschult werden können.

Als Spezialist für IT-Weiterbildung mit über 20 Jahren Erfahrung und Auszeichnung als bester Anbieter im Bereich Weiterbildung IT-Sicherheit durch die Süddeutsche Zeitung wissen wir, worauf es in der Praxis ankommt. Informieren Sie sich jetzt über unser Schulungsangebot zu KI-Themen oder nehmen Sie direkt Kontakt zu uns auf, um den passenden Einstieg für Ihr Unternehmen zu finden.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.