Zwei Sätze zum Datenschutz galten 2024 als unsere KI-Richtlinien; heute, mitten in der Wirkung des EU AI Act 2026, ist daraus ein lebendes Dokument geworden, das ich als HR-Verantwortliche in einem KMU jede Woche neu anfasse. Der Unterschied zwischen einer Richtlinie, die tatsächlich benutzt wird, und einer, die in der Schublade verstaubt, liegt für mich nicht im Umfang des Textes, sondern darin, ob sie mit dem Betrieb mitwächst. Genau diesen Weg will ich hier zeigen — mit allem, was dabei schiefgelaufen ist.
Mein Büro liegt im Verwaltungstrakt, mit einer Glasscheibe zum Flur ohne Vorhang, sodass jeder, der vorbeigeht, die zwei Monitore nebeneinander sieht — links der Firmenrechner, rechts der Dienstlaptop mit dem aufgeklappten Verordnungstext. Auf der Fensterbank liegt der ausgedruckte AI Act, gelb und orange vollgekritzelt, und an der Pinnwand neben der Tür hängt eine handgeschriebene Übersicht, wann welcher Teil der Verordnung greift. Genau dort ist der erste ernsthafte Rückschlag passiert.
KW 3: Die Liste, die nie kam
Anfang des Jahres bat ich Tobias aus der IT-Abteilung um eine vollständige Liste aller KI-Tools, die im Unternehmen im Einsatz sind — eine Art Schatten-KI-Inventur, bevor ich überhaupt wusste, dass es dafür einen Fachbegriff gibt. Er nickte, sagte, das sei in einer Stunde erledigt, und verschwand wieder in seinem Serverraum. Die Liste kam nie. Nicht nach einer Woche, nicht nach zwei.
Tobias hatte gute Gründe: Die Tools wechseln schneller, als er sie dokumentieren kann, und niemand in der Fertigung meldet freiwillig, welchen Bildgenerator er für technische Skizzen nutzt oder welcher Transkriptions-Bot in den Meetings mitläuft. Also drehte ich den Spieß um und bat stattdessen jede Abteilung, mir selbst zu sagen, was sie nutzt — mit der Zusage, dass niemand dafür Ärger bekommt. Das brachte in zwei Tagen mehr zutage als Tobias' Vollständigkeitsanspruch in drei Wochen.
Warum die alte Verbots-Kultur nicht mehr funktionierte
Unsere Regeln von 2024 waren wie ein löchriger Zaun: Sie verboten Dinge, die längst überall genutzt wurden. Wer ein Tool verbietet, das die Arbeit spürbar erleichtert, bekommt keine Enthaltung, sondern ein privates Handy unter dem Schreibtisch. Das ist für den Datenschutz das schlechteste aller Szenarien. Also musste eine Leitplanken-Logik her, etwas, das auch dann noch trägt, wenn nächste Woche das nächste Tool auf den Markt kommt.
Was fehlte, war ein System, mit dem auch jemand ohne Jura-Hintergrund einordnen kann, wie riskant ein Werkzeug ist. Die Risikoklassifizierung aus dem AI Act liefert dafür die Grundlage, auch wenn ich sie hier nur streife. Das ausführliche Regelwerk dazu gehört in einen eigenen Eintrag. Für unseren Alltag musste daraus etwas Einfacheres werden.
Grün, Gelb, Rot: Die Ampel für den Büroalltag
Mittwochabends, nach der Yoga-Stunde, kam mir die Idee auf der Matte: Niemand liest ein Handbuch, bevor er über eine Kreuzung fährt, also brauchen wir für KI keine Regelsammlung, sondern eine Ampel. Grün steht bei uns für Tools zum Formulieren, zur Rechtschreibprüfung oder zum Brainstorming, solange keine Kundendaten oder Geschäftsgeheimnisse eingegeben werden. Hier zählt gesunder Menschenverstand, verbunden mit der Pflicht, offen zu sagen, dass ein Text oder eine Zeichnung mit KI-Unterstützung entstanden ist. Diese Kennzeichnungspflicht wird oft übersehen, dabei ist sie einer der Punkte, die im AI Act konkret nachlesbar sind.
Gelb betrifft Tools, die Daten verarbeiten oder Tabellen auswerten. Hier muss Tobias einmal draufschauen und die Lizenz freigeben, kein Schatten-Account mit der privaten E-Mail-Adresse. Eine Frage der Daten-Governance, die bei uns inzwischen genauso selbstverständlich abläuft wie eine Urlaubsfreigabe. Rot ist alles, was Entscheidungen über Menschen trifft oder in einen Hochrisiko-Bereich fällt, etwa unsere Recruiting-Software. Da darf nichts ohne mein ausdrückliches Go und eine saubere Dokumentation laufen, und genau da wird die menschliche Aufsicht zur Pflicht und nicht zur Kür.
Frau Krüger aus der Fertigung wollte einmal ein System testen, das die Effizienz der Zerspanungsmechaniker anhand von Videodaten bewertet. Ich musste hart Nein sagen. Nicht nur wegen der Überwachung selbst, sondern weil solche Systeme leicht zu algorithmischer Diskriminierung führen, wenn niemand die Kriterien dahinter prüft. Es gehört zu den verbotenen KI-Anwendungen im EU AI Act, sobald es in Richtung Verhaltensüberwachung am Arbeitsplatz geht, und das war kein angenehmes Gespräch. Trotzdem hat genau diese Klarheit das Team überzeugt, denn Frau Krüger und die Kollegen aus der Werkstatt wussten danach sofort, woran sie sind. Wir haben die Ampel-Logik anschließend in einen KI-Führerschein für Mitarbeiter gegossen — erst wer die Farben verstanden hat, bekommt das Go für die gelben Tools.
KW 8: Ab dem 2. Februar wird es ernst
Mitte Februar wurde mir klar, dass die Schonfrist vorbei war. Bestimmte Pflichten aus dem AI Act sind seit dem 2. Februar 2026 scharf geschaltet, und ich saß eines Abends über den Texten und habe erstmal eine Viertelstunde fassungslos aus dem Fenster gestarrt. Es reicht nicht mehr zu dokumentieren, dass wir KI nutzen. Wir müssen auch zeigen, wie wir die Kompetenz der Mitarbeiter fördern. Die Dokumentationspflichten und die KI-Schulungspflicht laufen bei uns seitdem parallel, nicht nacheinander, was ich anfangs komplett falsch eingeschätzt hatte.
Stefan Roth, ein HR-Kollege bei einem anderen Maschinenbau-Zulieferer, schickte mir dazu einen Artikel über Kompetenznachweise, mit dem Kommentar, der sei bestimmt hilfreich, wobei ich ziemlich sicher bin, dass er ihn selbst nie gelesen hat. Trotzdem brachte mich der Gedanke weiter: Ob ein förmliches Zertifikat wirklich nötig ist oder ob eine dokumentierte interne Schulung reicht, ist für ein Unternehmen unserer Größe eine ganz eigene Abwägung, die ich an anderer Stelle ausführlicher aufgeschrieben habe.
Unterschreibt die Geschäftsführung das wirklich?
Vor der ersten Textzeile stand bei uns eine andere Frage, die ich unterschätzt hatte: die Mitbestimmung. Eine KI-Richtlinie ohne Beteiligung des Betriebsrats ist im Zweifel nicht wirksam. Deshalb steht die Mitbestimmungsfrage bei uns vor dem ersten Entwurf, nicht danach, wie ich es beim ersten Versuch gemacht hatte.
Als der finale Entwurf stand, war ich entsprechend nervös, als ich ins Büro der Geschäftsführung ging. Wasserdicht im Sinne einer juristischen Prüfung ist unser Dokument nicht, das hatte ich vorher offen kommuniziert. Wichtiger war mir, dass es im Alltag tatsächlich befolgt wird. Der Geschäftsführer las den Entwurf durch, stellte zwei Rückfragen zur Verantwortlichkeit — wer als Betreiber im Sinne des AI Act eigentlich haftet, wenn ein Mitarbeiter ein Tool falsch einsetzt — und unterschrieb dann ohne große Änderungen. Für mich war das kein kleiner Moment. Wer mehr darüber lesen will, was so eine interne Rolle im Alltag bedeutet, findet das in meinem Eintrag zu den Aufgaben als interne KI-Beauftragte.
So baust du deine eigene KI-Richtlinien-Vorlage
Falls du gerade vor einem leeren Dokument sitzt: Fang klein an. Schreib nicht das Gesetzbuch des Unternehmens, sondern eine Nutzungsvereinbarung auf zwei Seiten. Drei Punkte haben bei uns den Unterschied gemacht, und das ist die Essenz meiner eigenen HR-Praxis, nicht einer Kanzleivorlage: Transparenz bedeutet, dass Mitarbeiter offenlegen, wenn ein Text oder eine Zeichnung mit KI-Unterstützung entstanden ist, ohne dass daraus eine Strafe wird. Verantwortung bedeutet, dass der Mensch immer der letzte Prüfer bleibt. Wenn die KI Mist baut, haftet nicht das Tool, sondern wer das Ergebnis freigegeben hat. Und der Datenschutz-Check ist ein einziger Kasten am Ende der Richtlinie: Stopp, sind hier Kundennamen oder technische Patente enthalten, und wenn ja, IT fragen.
Mittwochabends in der vierten Woche saß ich wieder auf der Yogamatte, und zum ersten Mal seit Monaten kreiste kein einziger Fachbegriff aus der Verordnung durch meinen Kopf. Kein Hochrisiko, keine Konformitätsbewertung, nur die Anweisung der Trainerin, langsamer auszuatmen. Die Regeln liefen offenbar inzwischen im Hintergrund mit, ohne dass ich sie ständig aktiv abrufen musste.
Laura Schmidt, HR-Leiterin eines Sanitärunternehmens in Wuppertal, hatte mir nach einem früheren Eintrag geschrieben, dass sie mit genau demselben Schatten-IT-Problem kämpft wie wir. Seitdem schreibt sie hin und wieder, meistens mit einem eigenen Lösungsvorschlag im Anhang, bevor sie überhaupt fragt. Genau solche Rückmeldungen zeigen mir, dass dieses Tagebuch längst kein internes Dokument mehr ist, sondern für andere KMU im selben Boot nützlich sein kann.
Die Lektion, die bei mir hängengeblieben ist, lässt sich in einem Satz zusammenfassen: Eine Richtlinie muss nicht juristisch wasserdicht sein, um zu wirken. Sie muss ehrlich genug sein, dass die Leute sie tatsächlich benutzen. Wer heute an seiner eigenen Vorlage sitzt, sollte genau darauf zielen, nicht auf hundert Seiten ohne Lücken.