Was gehört in eine verständliche KI-Richtlinie?

Sammeln Sie vor dem Schreiben einige reale Aufgaben aus den Fachbereichen. Dazu können die Zusammenfassung öffentlicher Informationen, der Entwurf einer Kundenantwort oder die Auswertung interner Dokumente gehören. Beschreiben Sie jeweils Daten, Ergebnis und weiteren Arbeitsablauf. Daraus wird sichtbar, welche Regeln alle Beschäftigten benötigen und welche nur einzelne Rollen betreffen. Ein abstrakter Katalog aller denkbaren Risiken erschwert den Einstieg, ohne diese konkreten Fragen zu beantworten.

Formulieren Sie das Ziel der Richtlinie aus Sicht der Anwender. Sie sollen erkennen können, welches Werkzeug sie für welche Aufgabe einsetzen dürfen und wo sie Unterstützung erhalten. Grenzen Sie den Geltungsbereich ab. Berücksichtigen Sie Beschäftigte ebenso wie andere Personen, die im Auftrag des Unternehmens mit Anwendungen arbeiten. Wenn einzelne Teams zusätzliche Vorgaben brauchen, verweisen Sie auf ihre ergänzenden Regeln. Eine zentrale Grundregel sollte nicht mit widersprüchlichen Sonderdokumenten konkurrieren, deren aktuelle Fassung niemand sicher benennen kann.

Die Formulierung keine sensiblen Daten eingeben ist häufig zu unbestimmt. Sensibel kann personenbezogen, vertraulich, vertraglich geschützt oder für die Sicherheit des Unternehmens relevant bedeuten. Erläutern Sie die bei Ihnen verwendeten Datenklassen mit passenden Beispielen. Eine veröffentlichte Produktbeschreibung ist anders zu behandeln als eine interne Kalkulation, ein personenbezogenes Gesprächsprotokoll oder ein Zugangsschlüssel. Die Beispiele sollten aus den tatsächlichen Arbeitsabläufen stammen.

Knüpfen Sie erlaubte Eingaben an freigegebene Werkzeuge und deren geprüfte Bedingungen. Eine pauschale Freigabe von KI für alle öffentlichen Informationen beantwortet noch nicht, ob ein bestimmter Zugang geschäftlich genutzt werden darf. Auch das Entfernen eines Namens macht einen Datensatz nicht automatisch anonym. Mehrere verbleibende Merkmale können eine Person weiterhin erkennbar machen. Geben Sie für solche Zweifelsfälle einen erreichbaren Kontakt und eine verständliche Handlungsregel vor. Bis zur Klärung werden die betreffenden Informationen nicht in das ungeprüfte Werkzeug übertragen.

Verlangen Sie keine menschliche Kontrolle, ohne deren Gegenstand zu beschreiben. Wer einen Textentwurf verwendet, sollte Tatsachenbehauptungen, Quellen, Ton und mögliche vertrauliche Inhalte prüfen. Wer Berechnungen übernimmt, muss geeignete unabhängige Kontrollen vorsehen. Für Entscheidungen mit Auswirkungen auf Menschen reicht ein oberflächliches Überfliegen nicht. Beschreiben Sie, welche Fachkenntnis erforderlich ist und wann Ergebnisse nicht eingesetzt werden dürfen.

Nennen Sie typische Grenzen der Werkzeuge. Eine flüssige Antwort kann sachlich falsch sein und eine Beleg kann ins Leere führen. Beschäftigte benötigen deshalb Zugriff auf verlässliche Ausgangsinformationen. Legen Sie fest, wer die endgültige Fassung verantwortet und wie Zweifel geklärt werden. Ein allgemeiner Hinweis im Prompt ersetzt diese Prüfung nicht. Wenn ein Arbeitsablauf so viel Zeitdruck erzeugt, dass niemand die Ausgabe ernsthaft kontrollieren kann, muss der Ablauf angepasst werden. Die Richtlinie sollte keine Kontrolle verlangen, die in der täglichen Praxis unmöglich ist.

Zeigen Sie den Weg von einer Idee bis zur erlaubten Nutzung. Die anfragende Person beschreibt Zweck, Daten und erwarteten Nutzen. Fachbereich, IT und gegebenenfalls Datenschutz oder Recht prüfen die für sie relevanten Aspekte. Eine zuständige Stelle hält die Entscheidung und deren Grenzen fest. Damit ein unkomplizierter Einsatz nicht in langen Abstimmungsschleifen hängen bleibt, sollten die Informationen für eine erste Bewertung kurz und eindeutig angefordert werden.

Unterscheiden Sie Tests und produktive Nutzung. Ein Versuch mit eigens erstellten Beispieldaten kann unter anderen Bedingungen stattfinden als die Verarbeitung echter Kundenunterlagen. Auch ein Test braucht klare Grenzen und eine verantwortliche Person. Eine spätere Erweiterung des Zwecks erfordert eine neue Prüfung, wenn sich Risiken oder Bedingungen ändern. Der risikobasierte Aufbau des AI Act ist eine wichtige rechtliche Grundlage für die Einordnung. Die konkrete Beurteilung darf aber nicht durch eine selbst erfundene interne Ampelfarbe ersetzt werden.

Beschäftigte brauchen einen Weg für den Fall, dass bereits etwas schiefgegangen ist. Beschreiben Sie, an wen eine versehentliche Übertragung vertraulicher Daten gemeldet wird und welche Angaben hilfreich sind. Dazu gehören das betroffene Werkzeug, der Zeitpunkt, die Art der Daten und der bekannte weitere Verlauf. Vermeiden Sie die Aufforderung, zusätzliche vertrauliche Inhalte unkontrolliert als Beleg weiterzuschicken. Die fachlich zuständige Stelle entscheidet über die weitere Behandlung.

Trennen Sie die Meldung eines Vorfalls von einer gewöhnlichen Frage zur Nutzung. Beide Wege müssen auffindbar sein, aber unterschiedliche Dringlichkeit haben dürfen. Erklären Sie, dass frühe Meldungen die Bearbeitung erleichtern. Eine Richtlinie, die hauptsächlich droht, begünstigt spätes Bekanntwerden. Nutzen Sie wiederkehrende Fragen für Verbesserungen an Beispielen und Freigabeinformationen. Persönliche Angaben über meldende Beschäftigte gehören dabei nicht in allgemeine Schulungsfälle. Lernen aus Fehlern braucht eine angemessene Aufbereitung und einen klar begrenzten Zugang zu den ursprünglichen Informationen.

Lassen Sie Personen aus verschiedenen Rollen einige Alltagssituationen anhand des Entwurfs entscheiden. Finden sie das freigegebene Werkzeug? Wissen sie, welche Daten sie verwenden dürfen? Erkennen sie, wann eine fachliche Prüfung oder Rückfrage nötig ist? Notieren Sie Stellen, an denen unterschiedliche Antworten entstehen. Dort fehlt häufig ein Beispiel oder eine klare Zuständigkeit. Diese Erprobung ist aussagekräftiger als eine alleinige sprachliche Prüfung durch die Verfasser.

Veröffentlichen Sie anschließend eine eindeutig bezeichnete Fassung und erläutern Sie wesentliche Änderungen. Kurze Übungen unterstützen die Anwendung besser als eine reine Empfangsbestätigung. Planen Sie eine Überarbeitung bei geänderten Werkzeugen, Aufgaben oder rechtlichen Anforderungen ein. Veraltete Fassungen dürfen nicht neben der aktuellen Anleitung als scheinbar gleichwertige Arbeitsgrundlage stehen. Mit PrivIQ lassen sich Richtlinien und Verantwortlichkeiten im Zusammenhang der KI Governance dokumentieren. Der Nutzen entsteht, wenn die freigegebene Regel tatsächlich dort verfügbar ist, wo Beschäftigte ihre Entscheidungen treffen.