So erstellen Sie eine KI-Nutzungsrichtlinie für Ihr Team

Eine KI-Nutzungsrichtlinie ist ein kurzes Dokument, das Ihren Teams sagt, welche KI-Tools zugelassen sind, welche Daten in sie eingefügt werden dürfen und was sie niemals verlassen darf. Ohne eine solche Richtlinie improvisiert jeder — und oft ist es ein Kundenname, ein Gehalt oder ein API-Schlüssel, der in einem Prompt landet. Eine gute Richtlinie passt auf zwei Seiten: Geltungsbereich, verbotene Daten, zugelassene Tools und der Reflex, vor jedem Versand zu anonymisieren.

Warum eine KI-Nutzungsrichtlinie nicht länger optional ist

Ihre Teams nutzen bereits generative KI, mit oder ohne Ihre Zustimmung. Ohne Rahmen wird diese Nutzung zur „Schatten-KI“: nicht geprüfte Tools, gespeist mit Daten, deren Ziel niemand nachverfolgt. Das Risiko ist nicht theoretisch — es tritt genau im Moment des Kopierens und Einfügens ein.

• Abfluss personenbezogener Daten (Kunden, Mitarbeitende) an einen Drittanbieter ohne Auftragsverarbeitungsvertrag.
• Offengelegte technische Geheimnisse: API-Schlüssel, Zugangsdaten, interne URLs, die in einen Debugging-Prompt eingefügt werden.
• Mögliche Wiederverwendung der Prompts für das Training, je nach Tool und dessen Einstellungen.
• DSGVO-Verstoß: keine Rechtsgrundlage, keine Datenminimierung, keine Information der betroffenen Personen.

Die 6 Abschnitte einer KI-Nutzungsrichtlinie

1. 1Geltungsbereich und Zweck: wer betroffen ist und welche KI-Anwendungen gefördert werden (Verfassen, Zusammenfassen, Code).
2. 2Zugelassene Tools: die Liste der geprüften Assistenten und, falls nötig, ihr erlaubtes Nutzungsniveau je nach Aufgabentyp.
3. 3Verbotene Daten: die ausdrückliche Liste dessen, was niemals eingefügt werden darf (siehe Kasten).
4. 4Anonymisierungsregel: die Pflicht, sensible Daten vor jedem Versand an ein externes Modell zu maskieren.
5. 5Menschliche Prüfung: eine KI-Antwort ist ein Vorschlag, keine Entscheidung — die Prüfung ist verpflichtend.
6. 6Verantwortlichkeiten und Kontakt: wer die Richtlinie besitzt, wer Fragen beantwortet, wie ein Vorfall gemeldet wird.

Die Regel, die den Unterschied macht: vor dem Versand anonymisieren

Sensible Daten zu verbieten reicht nicht, wenn Sie kein Mittel bereitstellen, sie zu entfernen. Der Reflex, den Sie mit einem Werkzeug ausstatten sollten, ist die Anonymisierung: Eine Engine erkennt identifizierende Elemente, ersetzt sie durch umkehrbare Token und stellt anschließend die Antwort der KI im Browser wieder her. Der Assistent verarbeitet strukturell identische Inhalte, jedoch ohne jegliche sensible Daten.

• Machen Sie die Anonymisierung automatisch statt optional: ein vergessener Reflex ist keine Regel.
• Behalten Sie das Mapping Token ↔ Wert lokal: Daten dürfen niemals übertragen werden, um geschützt zu sein.
• Bevorzugen Sie eine positive Formulierung: KI wird gefördert, sofern Sie zuerst anonymisieren.

Häufige Fehler, die es zu vermeiden gilt

• Eine fünfzehnseitige Richtlinie, die niemand liest: Streben Sie zwei Seiten an, eine Liste, einen Reflex.
• KI pauschal verbieten: ein Verbot fördert Schatten-KI, nicht die Compliance.
• Vergessen, eine verantwortliche Person zu benennen: ohne Eigentümer wird die Richtlinie nie aktualisiert.
• Die Regel schreiben, ohne das Werkzeug bereitzustellen, das sie im Alltag umsetzbar macht.

ONYRI Sanitize ist der Baustein, der Ihre Richtlinie umsetzbar macht: Es erkennt und maskiert sensible Daten — vom Kundennamen bis zum API-Schlüssel — vor dem Versand an ChatGPT, Claude oder Gemini und stellt die Antwort anschließend im Browser wieder her. Ihre Teams behalten die Produktivität der KI, ohne einen Prompt in ein Datenleck zu verwandeln.