Ist eine KI-Richtlinie Pflicht?

Das Wort Richtlinie steht in keinem Gesetz. Art. 4 KI-Verordnung verlangt Maßnahmen zur KI-Kompetenz, und eine schriftliche Regel mit Schulung ist die Maßnahme, die sich am einfachsten nachweisen lässt. Ohne Regel bleibt nur die Hoffnung, dass alle alles richtig machen.

Muss der Betriebsrat der KI-Richtlinie zustimmen?

Nicht, wenn die Richtlinie nur regelt, wie gearbeitet wird. Das ArbG Hamburg hat am 16.01.2024 (24 BVGa 1/24) entschieden, dass Regeln zur Nutzung von ChatGPT über private Accounts im Browser die Art und Weise der Arbeitserbringung betreffen und damit nicht nach § 87 Abs. 1 Nr. 1 BetrVG mitbestimmt sind. Anders, sobald ein Werkzeug Verhalten oder Leistung überwachen kann.

Wie lang sollte die Richtlinie sein?

Zwei bis vier Seiten. Eine Richtlinie, die niemand liest, schützt niemanden. Die Werkzeugliste gehört in einen Anhang, der ohne Neufassung gepflegt werden kann.

Reicht eine Vorlage aus dem Netz?

Als Gerüst ja, als Richtlinie nein. Die Verbotsliste muss Ihre Daten nennen, die Werkzeugliste Ihre Werkzeuge, der Verantwortliche Ihren Namen. Eine Vorlage ohne diese drei Stellen ist im Vorfall nicht zu gebrauchen.

Wie oft muss sie aktualisiert werden?

Die Werkzeugliste laufend, die Richtlinie selbst einmal im Jahr und bei jeder Rechtsänderung. Die letzte war der 27. Juli 2026 (Neufassung von Art. 4 KI-Verordnung).

Akte · Ratgeber · KI-Verordnung

KI-Richtlinie im Unternehmen: Aufbau, Muster-Gliederung, typische Fehler.

Die KI-Richtlinie ist die Maßnahme, die Art. 4 KI-Verordnung von jedem Betreiber verlangt, und zugleich das Dokument, das im Datenschutzvorfall entscheidet, ob das Unternehmen organisiert oder fahrlässig war. Hier steht, was hineingehört, was nicht, und wann Sie statt einer Richtlinie eine Betriebsvereinbarung brauchen.

Rechtsgrundlage: Art. 4 KI-VO, § 87 und § 90 BetrVG
Umfang: 2 bis 4 Seiten plus Werkzeugliste
Mitbestimmung: meist nicht, Ausnahme Überwachung
Bearbeiter: Dominik Wawra, Geschäftsführer/Rechtsanwalt
Stand: 21.09.2026

Bl. 01 lexmandat · Akte

Warum die Richtlinie die Maßnahme ist, die das Gesetz meint.

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind [...]."

Quelle: Art. 4 Abs. 1 Satz 1 Verordnung (EU) 2024/1689 in der Fassung seit 27.07.2026, dejure.org, abgerufen am 21.09.2026

Das Gesetz sagt "Maßnahmen", nicht "Schulung" und nicht "Richtlinie". Die EU-Kommission empfiehlt in ihren FAQ, "an internal record of trainings and/or other guiding initiatives" zu führen. Eine Richtlinie ist so eine "guiding initiative", und sie ist die einzige, die man einem Prüfer in die Hand geben kann. Die Schulung vermittelt sie, die Aufzeichnung belegt sie.

Bl. 02 lexmandat · Akte

Zehn Punkte, die hineingehören.

01
Geltungsbereich: Für wen die Richtlinie gilt (alle Beschäftigten, freie Mitarbeiter, Praktikanten) und für welche Werkzeuge (Chatbots, Übersetzer, Transkription, Fachsoftware mit KI-Funktion).
02
Erlaubte Werkzeuge: Eine Liste mit Namen. Was nicht auf der Liste steht, ist nicht freigegeben. Die Liste wird gepflegt, nicht die Richtlinie.
03
Verbotene Eingaben: Personenbezogene Daten, Geschäftsgeheimnisse, Mandanten-, Patienten- und Kundendaten, Zugangsdaten. Konkret, mit Beispielen aus dem eigenen Haus.
04
Prüfpflicht: Kein KI-Ergebnis verlässt das Haus ungeprüft. Wer prüft, steht dabei. Für Schriftsätze, Verträge und Zahlen gilt das Vier-Augen-Prinzip.
05
Kennzeichnung: Wann KI-Erzeugtes gekennzeichnet wird, nach innen und nach außen. Art. 50 KI-Verordnung verlangt das für bestimmte Fälle ohnehin.
06
Verantwortliche: Eine Person, die Werkzeuge freigibt, Fragen beantwortet und Vorfälle entgegennimmt. Mit Vertretung.
07
Schulung und Aufzeichnung: Wer wann geschult wird, wo die Aufzeichnung liegt, wann aufgefrischt wird. Das ist der Teil, der Art. 4 KI-Verordnung erfüllt.
08
Vorfälle: Was passiert, wenn doch Daten in ein Werkzeug gelangt sind: sofort melden, nicht vertuschen, Datenschutzbeauftragten einbinden.
09
Betriebsrat: Ob und wie der Betriebsrat beteiligt wurde. Bei reiner Weisung zur Arbeitsweise reicht Unterrichtung nach § 90 BetrVG, bei Überwachungsfunktion braucht es § 87.
10
Aktualisierung: Datum, Version, nächster Prüftermin. Eine Richtlinie ohne Datum ist im Streitfall wertlos.

Bl. 03 lexmandat · Akte

Richtlinie, Betriebsvereinbarung, Vertragsklausel oder nichts.

Instrument	Betriebsrat	Aufwand	Wann das die falsche Wahl ist
KI-Richtlinie (Weisung des Arbeitgebers)	Nur Unterrichtung und Beratung (§ 90 BetrVG), solange sie die Art der Arbeit regelt und nicht überwacht	2 bis 4 Seiten, ein Tag	Wenn das Werkzeug Leistung oder Verhalten auswerten kann. Dann greift § 87 Abs. 1 Nr. 6 BetrVG und die Weisung allein reicht nicht.
Betriebsvereinbarung	Mitbestimmt, verhandelt mit dem Betriebsrat	Wochen bis Monate	Für Betriebe ohne Betriebsrat, oder wenn nur Chatbots im Browser genutzt werden. Dann verhandeln Sie etwas, das keiner Mitbestimmung unterliegt.
Klausel im Arbeitsvertrag	Keine, aber nur für neue Verträge wirksam	Gering, aber lückenhaft	Fast immer. Werkzeuge ändern sich monatlich, Arbeitsverträge nicht. Der Bestand bleibt ungeregelt.
Keine Regelung	Keine	Null	Immer. Art. 4 verlangt Maßnahmen, und ohne Regel gibt es im Datenschutzvorfall keine Entlastung.

Grundlage für die Spalte Betriebsrat: § 87 Abs. 1 Nr. 6 BetrVG (Mitbestimmung bei "technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen") und § 90 Abs. 1 Nr. 3 BetrVG (Unterrichtung über "Arbeitsverfahren und Arbeitsabläufe einschließlich des Einsatzes von Künstlicher Intelligenz"). Der Beschluss des ArbG Hamburg vom 16.01.2024, 24 BVGa 1/24, ordnet Regeln zur ChatGPT-Nutzung über den Browser der mitbestimmungsfreien Art und Weise der Arbeitserbringung zu (Bericht bei LTO vom 27.02.2024, Nachweis bei dejure). Die Beteiligungsrechte im Einzelnen stehen im Ratgeber KI und Betriebsrat.

Bl. 04 lexmandat · Akte

Was wir empfehlen. Und was wir nicht empfehlen.

Empfehlung

Eine kurze Verbotsliste, eine lange Erlaubnisliste. Verbieten Sie Datenkategorien, nicht Werkzeuge. Erlauben Sie Werkzeuge namentlich und mit Konto des Unternehmens, nicht mit privaten Accounts. Schulen Sie die Richtlinie an dem Tag, an dem sie gilt, und schreiben Sie das Datum drauf.

Nicht empfohlen

"KI ist verboten." Das wird nicht befolgt, es verlagert die Nutzung in private Handys, und es nimmt Ihnen im Vorfall das Argument, Sie hätten den Umgang geregelt. Ebenso nicht empfohlen: eine Richtlinie ohne Verantwortlichen. Dann ist im Vorfall niemand zuständig.

Für wen unsere Empfehlung nichts ist: Unternehmen, die KI in Bewerbungsverfahren, Leistungsbewertung oder Kreditentscheidungen einsetzen. Dort reicht keine Richtlinie, dort greifen die Hochrisiko-Pflichten der KI-Verordnung (Anhang III) und die Mitbestimmung. Das ist ein anderes Projekt.

Bl. 05 lexmandat · Akte

Drei Fehler, die wir in Richtlinien immer wieder sehen.

1.
Die Werkzeugliste steht im Fließtext.
Jede neue Version eines Werkzeugs verlangt dann eine Neufassung mit Datum, Schulung und Kenntnisnahme. Werkzeuge gehören in einen Anhang.
2.
Die Verbotsliste ist abstrakt.
"Keine sensiblen Daten" versteht jeder anders. "Keine Namen, Adressen, Aktenzeichen, Gehälter, Diagnosen" versteht jeder gleich.
3.
Es gibt keine Aufzeichnung.
Die Richtlinie wurde per E-Mail verschickt, niemand weiß, wer sie gelesen hat. Im Vorfall ist das so gut wie keine Richtlinie.

Bl. 06 lexmandat · Akte

Häufige Fragen.

Ist eine KI-Richtlinie Pflicht?: Das Wort Richtlinie steht in keinem Gesetz. Art. 4 KI-Verordnung verlangt Maßnahmen zur KI-Kompetenz, und eine schriftliche Regel mit Schulung ist die Maßnahme, die sich am einfachsten nachweisen lässt. Ohne Regel bleibt nur die Hoffnung, dass alle alles richtig machen.
Muss der Betriebsrat der KI-Richtlinie zustimmen?: Nicht, wenn die Richtlinie nur regelt, wie gearbeitet wird. Das ArbG Hamburg hat am 16.01.2024 (24 BVGa 1/24) entschieden, dass Regeln zur Nutzung von ChatGPT über private Accounts im Browser die Art und Weise der Arbeitserbringung betreffen und damit nicht nach § 87 Abs. 1 Nr. 1 BetrVG mitbestimmt sind. Anders, sobald ein Werkzeug Verhalten oder Leistung überwachen kann.
Wie lang sollte die Richtlinie sein?: Zwei bis vier Seiten. Eine Richtlinie, die niemand liest, schützt niemanden. Die Werkzeugliste gehört in einen Anhang, der ohne Neufassung gepflegt werden kann.
Reicht eine Vorlage aus dem Netz?: Als Gerüst ja, als Richtlinie nein. Die Verbotsliste muss Ihre Daten nennen, die Werkzeugliste Ihre Werkzeuge, der Verantwortliche Ihren Namen. Eine Vorlage ohne diese drei Stellen ist im Vorfall nicht zu gebrauchen.
Wie oft muss sie aktualisiert werden?: Die Werkzeugliste laufend, die Richtlinie selbst einmal im Jahr und bei jeder Rechtsänderung. Die letzte war der 27. Juli 2026 (Neufassung von Art. 4 KI-Verordnung).

Bl. 07 lexmandat · Akte

Quellen. Alle am 21.09.2026 aufgerufen.

Bl. 08 lexmandat · Akte

Nächster Schritt.

In der Art.-4-Schulung bekommen Sie die Richtlinie als Vorlage mit, auf Wunsch individuell auf Ihr Haus geschrieben, vom Rechtsanwalt.

Zur Art.-4-Schulung mit Richtlinie Ratgeber Schulungspflicht