Eine Seite, die mehr schützt als dreißig: Der KI-Nutzungsstandard für den Mittelstand

In den meisten mittelständischen Unternehmen sieht der Umgang mit KI heute so aus: Die Mitarbeiter nutzen ChatGPT, Copilot oder Gemini längst — und niemand hat geregelt, was dabei erlaubt ist. Das ist keine Unterstellung, das sind die Zahlen. 80 Prozent der Beschäftigten in Deutschland setzen KI-Tools im Job ein, aber nur 21 Prozent fühlen sich dafür gerüstet. Und bei der Frage nach klaren Vorgaben wird es ernüchternd: 38 Prozent berichten, dass die Regeln je nach Team oder Vorgesetztem unterschiedlich sind, 14 Prozent haben gar keine.

Diese Lücke ist gefährlich — und sie lässt sich mit erstaunlich wenig schließen. Nicht mit einem dreißigseitigen Regelwerk, das in einem Ordner verstaubt. Sondern mit einer Seite, an die sich Menschen tatsächlich halten. Ich habe genau diese eine Seite gebaut und stelle sie am Ende dieses Beitrags als Vorlage zum Download bereit. Vorher erkläre ich, warum sie so aussieht, wie sie aussieht — und warum das Thema 2026 keinen Aufschub mehr verträgt.

Warum jetzt: Aus „nice to have“ ist eine Pflicht geworden

Lange war eine KI-Richtlinie eine Frage der Ordnung. Seit 2025 ist sie eine Frage des Rechts. Der entscheidende Hebel heißt Artikel 4 der EU-KI-Verordnung — die Pflicht zur KI-Kompetenz. Und hier räume ich gleich mit dem häufigsten Irrtum auf: Diese Pflicht gilt nicht erst ab August 2026, sondern bereits seit dem 2. Februar 2025. Wer glaubt, noch Zeit zu haben, verwechselt Artikel 4 mit den späteren Transparenzpflichten.

Konkret verlangt Artikel 4, dass Unternehmen für ein „ausreichendes Maß an KI-Kompetenz“ ihrer Mitarbeiter sorgen. Das klingt weich, und tatsächlich ist die Vorschrift nicht mit einem eigenen Bußgeld bewehrt. Trotzdem hat sie Zähne — über drei Wege. Erstens die Sorgfaltspflicht: Entsteht durch fehlerhafte KI-Bedienung ein Schaden, kann fehlende Schulung als Versäumnis der Geschäftsführung gewertet werden. Zweitens die Beweislast: Im Streitfall muss das Unternehmen nachweisen, dass es Maßnahmen ergriffen hat — ohne Dokumentation gelingt das nicht. Drittens der Anknüpfungspunkt: Löst ein unbedachter Prompt einen Datenschutzvorfall aus, schaut die Aufsichtsbehörde sehr genau hin, ob überhaupt Regeln existierten.

Dazu kommt ab dem 2. August 2026 die Transparenzpflicht aus Artikel 50: KI-Interaktionen und Deepfakes müssen gekennzeichnet werden. Und im Hintergrund steht durchgehend die DSGVO, die sich um KI nicht schert — sie gilt, sobald personenbezogene Daten ins Spiel kommen. Genau das ist der Punkt, an dem die meisten Betriebe ungeschützt sind.

Der wunde Punkt: Was in die KI hineingeht

Die größte Gefahr im Mittelstand ist nicht die KI-Antwort, sondern die KI-Eingabe. Wenn ein Mitarbeiter eine Kundenliste, einen Vertragsentwurf oder Bewerberunterlagen in ein kostenloses ChatGPT kopiert, passieren zwei Dinge auf einmal.

Erstens datenschutzrechtlich: Sobald personenbezogene Daten verarbeitet werden, braucht es einen Auftragsverarbeitungsvertrag. Die kostenlosen und privaten Tarife — ChatGPT Free oder Plus etwa — bieten keinen solchen Vertrag. Im beruflichen Kontext mit Personenbezug sind sie damit schlicht nicht zulässig. Erlaubt sind die Business- und Enterprise-Varianten mit Vertrag, etwa Microsoft 365 Copilot, ChatGPT Team/Enterprise oder Google Workspace mit Gemini.

Zweitens beim Geschäftsgeheimnis: Wer Interna in ein öffentliches Tool eingibt, kann den rechtlichen Schutz als Geschäftsgeheimnis verlieren — denn der setzt „angemessene Geheimhaltungsmaßnahmen“ voraus, und die Eingabe in ein offenes System ist das Gegenteil davon. Das gilt für Quellcode genauso wie für Kalkulationen oder Strategiepapiere. Deshalb steht im Zentrum meiner Vorlage kein Paragrafenkatalog, sondern eine simple Ampel — das eine Werkzeug, das eine Richtlinie überhaupt brauchbar macht.

Das Herzstück: die Daten-Ampel

Die Logik passt auf drei Zeilen, und genau das ist der Punkt. Niemand muss sie nachschlagen, jeder hat sie nach einmaligem Lesen im Kopf. Grün steht für unbedenklich: öffentliche Informationen, allgemeine Recherche, nicht-sensible Arbeitsentwürfe — das darf in jedes freigegebene Tool. Gelb steht für internes ohne Personenbezug, etwa Prozessbeschreibungen oder Statusberichte — nur in freigegebene Business-Tools mit Vertrag. Und rot ist die Linie, die nie überschritten wird: personenbezogene Daten, Kunden- und Bewerberdaten, Verträge, Gesundheits- und Gehaltsdaten, Geschäftsgeheimnisse, Quellcode, Passwörter. Diese Dinge gehören in kein externes KI-Tool — unabhängig vom Anbieter und unabhängig vom Tarif.

Der entscheidende Denkfehler, den die Ampel verhindert: Ein freigegebenes Tool heißt nicht, dass jede Information hineindarf. Werkzeug-Freigabe und Daten-Freigabe sind zwei verschiedene Fragen. Die Ampel trennt sie sauber.

Warum eine Seite — und nicht dreißig

Hier liegt der eigentliche Kern, und er ist unbequem für alle, die gern gründlich sind: Die meisten KI-Richtlinien scheitern nicht an zu wenig Inhalt, sondern an zu viel. Sie sind zu lang, zu juristisch, und niemand liest sie. Ein Dokument, das niemand liest, schützt niemanden.

Der zweite verbreitete Fehler ist das pauschale Verbot. „KI ist bei uns untersagt“ klingt sicher, treibt die Nutzung aber in den Untergrund — in die private Schatten-KI auf dem eigenen Handy, wo Sie überhaupt keine Kontrolle mehr haben. Verbote funktionieren nicht; Ihre Leute nutzen die Tools ohnehin. Die Frage ist nur, ob mit Regeln oder ohne.

Der dritte Fehler ist der fehlende Verantwortliche. Eine Richtlinie ohne benannten Ansprechpartner ist tot, bevor sie startet. Es muss eine Person geben, an die man sich wendet, bevor man ein neues Tool einführt, und an die man einen Vorfall meldet. Deshalb hat meine Vorlage genau diese drei Dinge eingebaut: kurz genug, dass man sie liest; erlaubend statt verbietend; und mit einem klaren Namen für die Verantwortung. Alles andere — Kennzeichnungspflicht, das Verbot vollautomatischer Entscheidungen, die Pflicht zur menschlichen Prüfung — ergänzt diesen Kern, ohne ihn zu überfrachten.

Was die Vorlage nicht leisten kann

Damit wir ehrlich bleiben: Eine einseitige Vorlage ist der richtige erste Schritt für die breite Masse der Mittelständler, die KI für Texte, Recherche und Wissensarbeit nutzen. Sie ist nicht der letzte Schritt für jeden. Wer KI in eigenständigen Hochrisiko-Anwendungen einsetzt — automatisierte Bewerberauswahl, Kreditwürdigkeitsprüfung, biometrische Verfahren — braucht mehr: volle Hochrisiko-Compliance und eine Datenschutz-Folgenabschätzung. Und sie ersetzt keine individuelle Rechtsberatung. Aber für den Normalfall schließt sie genau die Lücke, die heute in den meisten Betrieben offen klafft.

Der erste Schritt ist der wichtigste

Bevor Sie irgendetwas ausfüllen, machen Sie eine Bestandsaufnahme: Welche KI-Tools nutzen Ihre Leute eigentlich schon? Diese eine Frage macht die Schatten-KI sichtbar und ist die Grundlage für alles Weitere. Danach benennen Sie einen Verantwortlichen, tragen die freigegebenen Tools und die Datenklassen ein, beschaffen die vertragsfähigen Tarife und schulen Ihr Team — nachweisbar, denn die Dokumentation ist Teil der Pflicht.

Das ist kein Großprojekt. Es ist eine Seite, ein Nachmittag, ein benannter Name. Und es ist der Unterschied zwischen „wir nutzen KI irgendwie“ und „wir nutzen KI verantwortlich“.

---

Die Vorlage zum Download: Ich habe den KI-Nutzungsstandard als zweiseitigen Leitfaden zum Ausfüllen aufbereitet — Seite 1 die fertige Richtlinie mit Daten-Ampel, Seite 2 die Ausfüllhinweise und die wichtigsten Rechtsgrundlagen auf einen Blick. → KI-Nutzungsrichtlinie als PDF herunterladen

Sie wollen den Standard nicht nur ausfüllen, sondern im Unternehmen verankern? Beim Ausrollen, bei der Schulung nach Artikel 4 und bei der Frage, welche Tools für Ihre Datenlage wirklich tragfähig sind, unterstütze ich Sie als TÜV-zertifizierter Datenschutzbeauftragter mit Marketing-Hintergrund. Schreiben Sie mir über das Kontaktformular.

Quellen

EU-KI-Verordnung (Verordnung (EU) 2024/1689): Art. 4 (KI-Kompetenz, anwendbar seit 2.2.2025), Art. 5 (verbotene Praktiken, bußgeldbewehrt seit 2.8.2025), Art. 50 (Transparenz, ab 2.8.2026) · DSGVO: Art. 28 (Auftragsverarbeitung), Art. 44 ff. (Drittlandtransfer; EU-US Data Privacy Framework, Angemessenheitsbeschluss vom 10.7.2023), Art. 22 (automatisierte Entscheidungen) · BSI: „Management Blitzlicht – Generative KI für Unternehmen“ (2024) · Bitkom: Presseinformation zur KI-Nutzung im Unternehmen (11.3.2026, Unternehmen ab 20 Beschäftigten) · Skillsoft: „Workforce Readiness Report: AI Edition“ (10.6.2026) · Datenschutzkonferenz (DSK): Orientierungshilfe „KI und Datenschutz“; HmbBfDI: Checkliste zum Einsatz LLM-basierter Chatbots.