Prüfbericht KI-Richtlinie · 12. August 2026
KI-Richtlinie im Unternehmen: was hineingehört und was reine Beschäftigung ist
Eine KI-Richtlinie ist kein Selbstzweck, und für die meisten Betriebe ist sie auch nicht vorgeschrieben. Sie ist aus einem anderen Grund nützlich: Sobald mehr als zwei Leute KI benutzen, macht es jeder anders, und irgendwann landen Kundendaten in einem Werkzeug, von dem die Geschäftsführung nichts weiß. Eine Seite Text verhindert das. Zwanzig Seiten verhindern nichts, weil sie niemand liest.
Zuerst das Wichtigste. Wir sind keine Rechtsanwaltskanzlei und geben keine Rechtsberatung. Was wir können: die Regel in prüfbare Schritte übersetzen und Ihnen sagen, was sie für einen Betrieb Ihrer Größe praktisch heißt. Für eine verbindliche Auskunft brauchen Sie einen Anwalt, dafür gibt es uns nicht.
Was geprüft ist
Kontrolliert am 12. August 2026 am Verordnungstext. Wir trennen dabei sauber zwischen dem, was die Verordnung verlangt, und dem, was aus Erfahrung sinnvoll ist. Beides zu vermischen ist der häufigste Fehler in Richtlinien-Vorlagen.
Die EU-KI-Verordnung schreibt kleinen Betrieben keine schriftliche KI-Richtlinie vor.
Was sie verlangt, sind konkrete Dinge: Transparenz nach Artikel 50 und die Förderung von KI-Kompetenz nach Artikel 4. Ein umfassendes Governance-System ist für Anbieter von Hochrisiko-Systemen vorgesehen, und deren Regeln gelten ohnehin erst ab Dezember 2027. Wer Ihnen heute eine Compliance-Suite für einen Zwölf-Mann-Betrieb verkauft, verkauft Ihnen die falsche Größe.
Quelle: artificialintelligenceact.euDie Hochrisiko-Regeln wurden verschoben: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028.
Das ist die wichtigste Entlastung des Digital Omnibus vom 27. Juli 2026. Wenn Sie im letzten Jahr von einem Berater gehört haben, dass 2026 alles kommt: Das stimmt für die Transparenz, aber nicht für den schweren Teil. Sie haben mehr Zeit, als Ihnen gesagt wurde.
Quelle: gibsondunn.comWas wirklich hineingehört, passt auf eine Seite: welche Werkzeuge erlaubt sind, was nie hineingehört, und wer bei Zweifeln entscheidet.
Erlaubte Werkzeuge namentlich, nicht als Kategorie. Verbotene Eingaben konkret: Kundendaten, Personaldaten, Preiskalkulationen, alles aus laufenden Ausschreibungen. Und ein Name. Eine Person, die man fragen kann, wenn ein Fall nicht in der Liste steht. Ohne diesen Namen bleibt jede Richtlinie theoretisch.
Eigene Erfahrung aus dem Aufbau in fünf Betrieben, keine Rechtsvorschrift
Der praktische Anlass ist selten das Gesetz, sondern ein konkreter Vorfall, meist derselbe.
Jemand kopiert ein Angebot mit Kundendaten in ein kostenloses KI-Werkzeug, um es umformulieren zu lassen. Das ist kein Verstoß gegen die KI-Verordnung, sondern gegen den Datenschutz, und es passiert ohne böse Absicht. Genau dafür schreibt man die eine Seite.
Eigene Beobachtung, keine Statistik
Wir haben selbst keine ausformulierte KI-Richtlinie als Dokument, und das ist bei zwei Gründern ehrlich gesagt auch nicht nötig.
Bei uns steht die Regel im Code und in der Arbeitsanweisung: welche Modelle verwendet werden, was nie in einen Prompt gehört, und dass jede KI-Ausgabe an Kunden durch einen Menschen geht. Ab etwa zehn Leuten reicht das nicht mehr, weil man sich nicht mehr über den Tisch zuruft. Wir sagen das hier, weil es unehrlich wäre, Ihnen ein Dokument zu verkaufen, das wir selbst nicht führen.
Eigener Stand am 12. August 2026
Der Entwurf gehört Ihnen, auch wenn daraus nichts weiter wird.
Die eine Seite, die reicht
Vier Absätze. Wenn Ihre Richtlinie länger wird als eine Seite, wird sie nicht gelesen, und dann ist sie wirkungslos, egal wie gut sie ist.
01
Erlaubt ist, was hier steht
Nennen Sie die Werkzeuge beim Namen, mit Version und Konto. „KI-Tools sind erlaubt" ist keine Regel. Alles, was nicht auf der Liste steht, wird vorher gefragt. Das ist der ganze Mechanismus.
02
Das geht nie hinein
Kundendaten, Personaldaten, Kalkulationen, Vertragsentwürfe, alles aus laufenden Vergaben. Schreiben Sie es als Aufzählung von Dingen, nicht als Grundsatz. Die Leute erkennen Dinge wieder, keine Grundsätze.
03
Was rausgeht, hat ein Mensch gelesen
Der wichtigste Satz. Er erfüllt nebenbei die Ausnahme aus Artikel 50 Absatz 4 für KI-Texte und verhindert die Peinlichkeiten, für die es keine Vorschrift braucht.
04
Im Zweifel fragt man diese Person
Ein Name, eine Nummer. Nicht „die Geschäftsführung", sondern ein Mensch. Damit steht und fällt, ob die Seite im Alltag benutzt wird.
Wer das hier schreibt
Wir haben die Transparenzpflicht auf unserer eigenen Website umgesetzt, bevor sie am 2. August anwendbar wurde: KI-erzeugte Bilder tragen seit dem 20. Juli den sichtbaren Hinweis, echte Bildschirmfotos ausdrücklich nicht.
Wir haben aber, wie oben offen steht, selbst kein ausformuliertes Richtlinien-Dokument. Wir schreiben das hin, weil eine Seite über Ehrlichkeit, die an der eigenen Lücke vorbeigeht, ihren eigenen Punkt widerlegt.
Jede Architektur und jede Strategie kommt von Fabio Fornaro persönlich. Erst danach bauen über sechzig spezialisierte Agenten, jeder für genau eine Aufgabe. Unser erster Kunde sind wir selbst: Jedes System lief zuerst im eigenen Betrieb. Dahinter stehen 25 Jahre Vertrieb und Unternehmertum. Und den Betrieb kennen wir aus der Praxis: Jahre auf der Baustelle, lange bevor wir Software gebaut haben.
Der Entwurf gehört Ihnen, auch wenn daraus nichts weiter wird.
Was Sie jetzt wahrscheinlich denken
„Brauche ich das überhaupt?"
Gesetzlich vorgeschrieben ist es für einen kleinen Betrieb nicht. Praktisch wird es ab dem Punkt nützlich, an dem mehr als zwei Leute KI benutzen und Sie nicht mehr mitbekommen, was sie hineinschreiben.
„Ich habe keine Zeit für Papierkram."
Eine Seite, vier Absätze, eine Stunde. Wenn jemand Ihnen dafür ein mehrtägiges Projekt anbietet, ist das ein Angebot für ein Unternehmen mit fünfhundert Leuten.
„Kann ich nicht einfach eine Vorlage nehmen?"
Können Sie, und für den Aufbau ist das auch sinnvoll. Nur die Werkzeugliste und der Name der zuständigen Person lassen sich nicht aus einer Vorlage übernehmen, und das sind genau die zwei Teile, an denen die Wirkung hängt.
„Und wenn sich das Gesetz wieder ändert?"
Es hat sich gerade geändert, am 27. Juli 2026, und zwar zu Ihren Gunsten. Deshalb steht auf dieser Seite ein Prüfdatum. Wenn sich der Stand ändert, ändern wir die Seite und schreiben das Datum dazu, statt es still zu tun.
„Warum sollte ich euch fragen und nicht meinen Steuerberater?"
Für die rechtliche Bewertung ist ein Anwalt zuständig, nicht wir und auch nicht der Steuerberater. Wir helfen bei dem Teil danach: dass die Regel im Arbeitsalltag technisch überhaupt einhaltbar ist.
Wenn Sie die eine Seite nicht selbst schreiben wollen
Schicken Sie uns die Liste Ihrer Werkzeuge und wer bei Ihnen womit arbeitet. Wir schreiben Ihnen den Entwurf für die eine Seite und sagen dazu, welche Punkte bei Ihrer Größe wegfallen können. Ohne Termin, ohne Verkaufsgespräch.
Der Entwurf gehört Ihnen, auch wenn daraus nichts weiter wird.
Häufige Fragen
Ist eine KI-Richtlinie gesetzlich vorgeschrieben?+
Für kleine und mittlere Betriebe als Anwender von KI schreibt die EU-KI-Verordnung kein umfassendes Governance-System und keine schriftliche KI-Richtlinie vor. Vorgeschrieben sind die Transparenzpflichten nach Artikel 50, anwendbar seit dem 2. August 2026, und die Förderung von KI-Kompetenz nach Artikel 4, anwendbar seit dem 2. Februar 2025. Ein Risikomanagementsystem verlangt die Verordnung von Anbietern von Hochrisiko-Systemen; deren Pflichten gelten ab dem 2. Dezember 2027 beziehungsweise dem 2. August 2028.
Was muss in einer KI-Richtlinie stehen?+
Vier Dinge reichen für einen Betrieb mit 5 bis 50 Leuten: erstens die namentlich erlaubten Werkzeuge, zweitens eine konkrete Aufzählung dessen, was nie in ein KI-Werkzeug eingegeben wird (Kundendaten, Personaldaten, Kalkulationen, Unterlagen aus laufenden Vergaben), drittens die Regel, dass jedes Ergebnis vor der Veröffentlichung von einem Menschen gelesen und verantwortet wird, und viertens der Name einer Person, die bei Zweifelsfällen entscheidet.
Wie lang sollte eine KI-Richtlinie sein?+
Eine Seite. Der Zweck ist, dass sie im Alltag gelesen und befolgt wird. Eine zwanzigseitige Richtlinie erfüllt formal mehr und praktisch weniger, weil sie niemand aufschlägt, wenn es schnell gehen muss.
Was ist der Unterschied zwischen KI-Governance und KI-Compliance?+
Governance meint die eigenen Spielregeln: wer darf was, mit welchem Werkzeug, wer entscheidet im Zweifel. Compliance meint die Einhaltung äußerer Vorgaben, also vor allem der EU-KI-Verordnung und des Datenschutzrechts. Für einen kleinen Betrieb ist Governance die nützlichere Hälfte, weil sie den häufigsten realen Vorfall verhindert: Kundendaten in einem nicht freigegebenen Werkzeug.
Habt ihr selbst eine KI-Richtlinie?+
Kein ausformuliertes Dokument. Bei zwei Gründern stehen die Regeln in der Arbeitsanweisung und im Code: welche Modelle verwendet werden, was nie in einen Prompt gehört, und dass jede Ausgabe an Kunden durch einen Menschen geht. Ab etwa zehn Mitarbeitern reicht das nicht mehr. Wir sagen das offen, statt ein Dokument zu empfehlen, das wir selbst nicht führen.
Ebenfalls geprüft
Geprüft am 12. August 2026 · Quelle neben jeder Aussage · keine Rechtsberatung