Ein Kalkulationsmitarbeiter nutzt einen frei verfügbaren KI-Chat, um ein Angebot schneller zu formulieren. Dafür kopiert er Auszüge aus einer Kundenanfrage in das Tool. Die Absicht ist sinnvoll, der Zeitgewinn real. Ohne klare Regeln kann der Vorgang jedoch vertrauliche Daten betreffen, fehlerhafte Aussagen erzeugen und später schwer nachvollziehbar sein. Wer nach einem „KI Richtlinie Praxisbeispiel Mittelstand“ sucht, steht meist genau vor dieser Aufgabe: nützliche Anwendungen ermöglichen, ohne Datenschutz, Qualität und Verantwortung dem Zufall zu überlassen.
Eine KI-Richtlinie muss dafür kein juristisches Papier mit zwanzig Seiten sein. Sie muss im Betrieb funktionieren. Mitarbeiter müssen verstehen, was sie einsetzen dürfen, wer entscheidet und an welcher Stelle eine Prüfung erforderlich ist. Das folgende Beispiel zeigt, wie ein mittelständischer Handwerksbetrieb seine ersten Regeln aufbaut.
Praxisbeispiel: KI-Richtlinie im Mittelstand
Betrachten wir die fiktive Metallbau Keller GmbH mit 62 Beschäftigten. Das Unternehmen fertigt Sonderkonstruktionen, erstellt Angebote, plant Projekte und dokumentiert Baustellen. In einzelnen Bereichen wird bereits KI eingesetzt: im Büro für Textentwürfe und Übersetzungen, in der Konstruktion zur Recherche und bei der Arbeitsvorbereitung für Checklisten. Die Geschäftsführung will den Einsatz nicht verbieten. Sie will ihn kontrolliert ausweiten.
Zu Beginn gab es zwei typische Probleme. Erstens verwendeten Beschäftigte unterschiedliche, teils private Zugänge zu KI-Tools. Zweitens war unklar, welche Inhalte in Eingaben zulässig sind. Ein Bauleiter ging davon aus, dass eine anonymisierte Baustellenbeschreibung unkritisch sei. Die Vertriebsleitung befürchtete dagegen, dass selbst technische Details Rückschlüsse auf Kunden oder Projekte zulassen könnten. Beide Sichtweisen können je nach Fall berechtigt sein. Genau deshalb braucht der Betrieb eine nachvollziehbare Entscheidungssystematik statt pauschaler Verbote.
Die Geschäftsführung benennt einen KI-Verantwortlichen aus der Kombination von Qualitätsmanagement und IT. Dieser führt keine Einzelkontrolle jeder Anfrage durch. Seine Aufgabe ist es, zugelassene Anwendungen zu verwalten, Fragen zu bündeln, Schulungen zu organisieren und die Richtlinie regelmäßig zu aktualisieren. Entscheidungen zu besonders sensiblen Einsatzfällen trifft er gemeinsam mit Geschäftsführung, Datenschutz und den jeweiligen Fachbereichen.
Erst die Anwendungsfälle, dann die Regeln
Vor der Formulierung der Richtlinie erfasst Metallbau Keller die tatsächlichen Einsatzfälle. Das verhindert eine Regelung, die an der Praxis vorbeigeht. Für jeden Fall werden Zweck, verwendetes Tool, eingegebene Daten, Ergebnis und menschliche Prüfung festgehalten.
Ein KI-Textassistent für allgemeine Formulierungsvorschläge wird anders bewertet als ein System, das Bewerbungen vorsortiert oder Arbeitsleistungen bewertet. Auch eine automatische Bilderkennung zur Qualitätsprüfung kann andere Auswirkungen haben als ein Tool, das interne Besprechungsnotizen zusammenfasst. Entscheidend ist nicht allein der Name des Produkts, sondern die konkrete Verwendung im Betrieb.
Im Beispiel entstehen drei Kategorien. Anwendungen mit allgemeinem, geringem Risiko dürfen nach einer kurzen Unterweisung genutzt werden, etwa für neutrale Textentwürfe oder Ideensammlungen. Anwendungen mit internen Informationen brauchen eine Freigabe und eine datenschutzkonforme Konfiguration. Anwendungen, die Personen bewerten, sicherheitsrelevante Entscheidungen beeinflussen oder verbindliche fachliche Aussagen erzeugen, werden vor dem Einsatz gesondert geprüft. Sie dürfen nicht einfach als Produktivitätstool eingeführt werden.
Was in der KI-Richtlinie konkret stehen sollte
Die Richtlinie von Metallbau Keller umfasst fünf klare Regelungsbereiche. Sie ist bewusst in verständlicher Sprache verfasst und wird durch eine kurze Arbeitsanweisung für die tägliche Nutzung ergänzt.
- Zugelassene Werkzeuge: Beschäftigte verwenden nur Anwendungen, die auf einer internen Freigabeliste stehen. Private Accounts und nicht geprüfte Gratisversionen sind für betriebliche Inhalte ausgeschlossen.
- Erlaubte und verbotene Eingaben: Kunden-, Mitarbeiter- und Lieferantendaten, Angebote, Zeichnungen, Zugangsdaten sowie vertrauliche Projektinformationen dürfen nicht in öffentliche KI-Dienste eingegeben werden. Soweit interne Informationen verarbeitet werden sollen, gilt eine vorher definierte Freigabe.
- Prüfpflicht für Ergebnisse: KI-Ausgaben sind Entwürfe, keine verbindlichen Tatsachen. Fachlich verantwortliche Personen prüfen Inhalte auf Richtigkeit, Vollständigkeit, Urheberrechte, Tonalität und Eignung für den jeweiligen Zweck.
- Verantwortlichkeiten: Die Person, die ein KI-Ergebnis in ein Angebot, einen Prüfbericht oder eine Arbeitsanweisung übernimmt, trägt weiterhin die fachliche Verantwortung. KI verschiebt diese Verantwortung nicht auf den Softwareanbieter.
- Meldung von Auffälligkeiten: Falsche Ergebnisse, mögliche Datenabflüsse, diskriminierende Vorschläge oder ungewöhnliche Tool-Antworten werden an den KI-Verantwortlichen gemeldet. Ziel ist Verbesserung, nicht die Suche nach Schuldigen.
Diese Punkte sind kein Ersatz für Datenschutzvorgaben, Informationssicherheit oder bestehende Qualitätsprozesse. Sie verbinden diese Themen jedoch mit dem konkreten Arbeitsalltag. In einem ISO-9001-orientierten Managementsystem kann die KI-Richtlinie beispielsweise als gelenkte Information geführt werden. Freigaben, Versionsstände, Schulungsnachweise und Prüfergebnisse sind dann für interne Audits und externe Nachweise sauber verfügbar.
Ein Satz, der viele Fehler verhindert
Im Praxisbeispiel steht eine Regel besonders deutlich in der Richtlinie: „KI-generierte Ergebnisse dürfen nur nach fachlicher Prüfung und Freigabe für Kunden, Mitarbeiter oder externe Stellen verwendet werden.“
Dieser Satz wirkt schlicht, schafft aber eine wichtige Grenze. Ein Vorschlag für eine Angebotsformulierung darf nicht ungeprüft in einen Vertrag wandern. Eine KI-Zusammenfassung einer Norm ersetzt keine fachliche Auslegung. Und ein automatischer Bericht zur Qualitätsabweichung darf nicht dazu führen, dass Ursachen als geklärt gelten, obwohl die Datenbasis unvollständig ist.
Gerade im Handwerk und in technisch geprägten Betrieben zählt Erfahrung im Einzelfall. KI kann vorbereiten, strukturieren und sprachlich unterstützen. Sie kennt aber weder die tatsächliche Baustellensituation noch stillschweigende Kundenanforderungen oder den Zustand einer Maschine vor Ort.
AI Act: Die Richtlinie als Grundlage, nicht als Alibi
Der AI Act der Europäischen Union bringt je nach Einsatzgebiet unterschiedliche Pflichten mit sich. Für viele mittelständische Betriebe ist zunächst vor allem entscheidend, Transparenz über vorhandene KI-Anwendungen zu schaffen und Beschäftigte angemessen zu schulen. Wer KI nutzt, sollte nachvollziehen können, wo sie eingesetzt wird, welche Grenzen gelten und wie Mitarbeiter kompetent damit umgehen.
Besondere Aufmerksamkeit verdienen Systeme, die über Menschen mitentscheiden oder Entscheidungen maßgeblich vorbereiten. Das kann etwa die Vorauswahl von Bewerbern, die Bewertung von Beschäftigten, die Kreditwürdigkeit von Kunden oder bestimmte Sicherheitsanwendungen betreffen. Ob ein System rechtlich als Hochrisiko-KI einzuordnen ist, hängt von Funktion und Verwendung ab. Eine KI-Richtlinie ersetzt diese Einzelfallprüfung nicht. Sie sorgt aber dafür, dass solche Fälle früh erkannt werden, bevor ein Tool still in einen kritischen Prozess eingebaut wird.
Metallbau Keller führt deshalb ein einfaches KI-Register. Dort stehen nicht nur Produktname und Anbieter, sondern auch Fachbereich, Zweck, Datenarten, verantwortliche Person, Freigabestatus und Datum der letzten Prüfung. Das Register ist kein Selbstzweck. Es spart Zeit, wenn ein Kunde nachfragt, ein Audit ansteht oder ein neues Tool beantragt wird.
Einführung ohne Zusatzbürokratie
Die beste Richtlinie bleibt wirkungslos, wenn sie nur im Dokumentenordner liegt. Im Beispiel wird sie in einer 45-minütigen Unterweisung vorgestellt. Die Schulung arbeitet mit echten Situationen aus Angebotserstellung, Projektplanung und Baustellendokumentation. Mitarbeiter üben dabei, problematische Eingaben zu erkennen und KI-Ergebnisse kritisch zu prüfen.
Danach folgt eine vierwöchige Testphase mit den freigegebenen Anwendungen. Fragen werden gesammelt: Darf eine anonymisierte Reklamation zusammengefasst werden? Wie wird ein KI-generierter Text gekennzeichnet? Wer prüft eine automatisch erstellte Gefährdungsbeurteilung? Aus diesen Fragen entwickelt der Betrieb ergänzende Beispiele. So wächst die Richtlinie aus realen Arbeitsabläufen heraus.
Auch Kennzahlen helfen, den Nutzen und die Risiken im Blick zu behalten. Metallbau Keller misst nicht jede einzelne KI-Anfrage. Der Betrieb beobachtet vielmehr Bearbeitungszeiten bei Angeboten, Korrekturaufwand, gemeldete Auffälligkeiten und die Anzahl freigegebener Anwendungsfälle. Steigt die Geschwindigkeit, während Fehlerquote und Nacharbeit stabil bleiben oder sinken, ist das ein belastbareres Signal als bloße Nutzungszahlen.
Typische Fehler bei KI-Richtlinien
Ein häufiger Fehler ist das Totalverbot. Es kann bei akutem Sicherheitsrisiko notwendig sein, führt auf Dauer aber oft zu Schattennutzung. Beschäftigte verwenden KI dann privat oder ohne Rücksprache, weil sie sich sonst ausgebremst fühlen. Besser ist eine klare Freigabelogik mit sicheren Alternativen.
Der gegenteilige Fehler lautet: „Die Mitarbeiter sollen einfach verantwortungsvoll handeln.“ Verantwortung ohne konkrete Leitplanken ist keine Steuerung. Beschäftigte brauchen eindeutige Beispiele, insbesondere für personenbezogene Daten, Kundeninformationen und prüfpflichtige Ergebnisse.
Problematisch ist auch eine Richtlinie ohne Eigentümer. Tools, Rechtslage und betriebliche Prozesse verändern sich. Deshalb sollte mindestens jährlich und bei neuen kritischen Anwendungen geprüft werden, ob Regeln, Freigabeliste und Schulungsinhalte noch passen. Apexigma unterstützt Unternehmen dabei, diese Prüfung mit Qualitätsmanagement, Prozessanalyse und KI-Compliance sinnvoll zu verbinden.
Eine gute KI-Richtlinie nimmt dem Betrieb nicht die Entscheidung ab, wo KI sinnvoll ist. Sie schafft den Rahmen, damit diese Entscheidungen fachlich, wirtschaftlich und nachvollziehbar getroffen werden. Der beste erste Schritt ist daher selten das perfekte Dokument. Er besteht darin, die bereits genutzten Anwendungen offen auf den Tisch zu legen und für den nächsten konkreten Einsatzfall eine klare, praxistaugliche Regel zu schaffen.
