KI-Nutzungsrichtlinien.
Zulässige Einsätze, Daten und Aktionen so beschreiben, dass Mitarbeitende danach handeln können.
- NIST AI RMF · EU-KI-Verordnung, Art. 4
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 4 Min.
Kurzantwort.
KI-Nutzungsrichtlinien legen fest, welche KI-Anwendungen für welche Aufgaben und Daten eingesetzt werden dürfen. Bei Agenten kommen Regeln für Werkzeugzugriff, Änderungen und fachliche Kontrolle hinzu. Eine brauchbare Richtlinie nennt Verantwortliche, Ausnahmen und den Umgang mit Vorfällen. Sie wird mit dem tatsächlichen KI-Inventar und den technischen Berechtigungen abgeglichen und regelmäßig überprüft.
Nutzungsregeln übersetzen Entscheidungen in den Alltag.
Eine KI-Nutzungsrichtlinie beantwortet, welche Aufgaben Mitarbeitende mit welchen Anwendungen und Daten bearbeiten dürfen. Das NIST AI RMF ordnet organisatorische Regeln in die Governance ein. Artikel 4 der EU-KI-Verordnung betrifft KI-Kompetenz; daraus folgt nicht, dass jedes Unternehmen dieselbe Vorlage oder ein Dokument mit einem bestimmten Titel verwenden muss.
Abstrakte Regeln ohne Beispiele. Die Aufforderung, keine sensiblen Daten einzugeben, bleibt ohne Datenklassen und konkrete Beispiele aus dem Arbeitsalltag schwer anwendbar.
Schreibrechte bleiben unberücksichtigt. Eine Richtlinie für Textassistenten deckt einen Agenten mit Änderungsrechten nicht automatisch ab. Regeln müssen dessen tatsächliche Aktionen erfassen.
Technik und Richtlinie widersprechen sich. Ein Verbot ersetzt keine Berechtigungsprüfung. Vergleichen Sie erlaubte Einsätze mit den tatsächlich aktivierten Connectors und Rechten.
Für Verantwortliche und Mitarbeitende.
Fachverantwortliche, IT, Datenschutz und Personal sollten die Regeln gemeinsam auf ihre jeweiligen Arbeitsabläufe abstimmen. Die Leitung entscheidet über den organisatorischen Rahmen. Mitarbeitende benötigen konkrete Beispiele und erreichbare Ansprechpersonen. Diese Seite behandelt betriebliche Nutzungsregeln; die rechtliche Einordnung eines KI-Systems gehört in die gesonderte Bewertung nach dem EU AI Act.
Was Sie festlegen sollten.
Die folgenden Punkte beschreiben die Einrichtung und Prüfung dieses Ablaufs, keine eigenständige gesetzliche Pflicht.
Geltungsbereich und zulässige Anwendungsfälle benennen.
Nennen Sie Anwendungen, Personengruppen und erlaubte Aufgaben. Nach dem Governance-Gedanken des NIST AI RMF müssen Regeln zum tatsächlichen Einsatz passen und eine verantwortliche Stelle erkennen lassen.
Erlaubte Datenarten und verbotene Eingaben konkretisieren.
Beschreiben Sie anhand eigener Datenklassen, welche Eingaben erlaubt sind. Praktische Beispiele helfen Mitarbeitenden, Regeln auf Dokumente, personenbezogene Angaben und interne Informationen anzuwenden.
Lesezugriff, Schreibaktionen und Prüfverantwortung unterscheiden.
Legen Sie fest, welche Aktionen ein Agent ausführen darf und wer deren Ergebnis prüft. Ein Hinweis im Prompt ersetzt weder technische Berechtigungen noch die organisatorische Zuordnung einer Entscheidung.
KI-Kompetenz passend zu Einsatz und Nutzerkreis fördern.
Artikel 4 der EU-KI-Verordnung verlangt kontextbezogene Maßnahmen zur KI-Kompetenz. Erläutern Sie deshalb nicht nur den Richtlinientext, sondern auch typische Fehler, Grenzen und den richtigen Umgang mit Ergebnissen.
Ausnahmen, Vorfälle und Änderungsprüfung regeln.
Benennen Sie Entscheidungswege für begründete Ausnahmen und Meldungen. Eine Ausnahme sollte ihren Umfang, ihre Dauer und die zuständige Person erkennen lassen; neue Einsätze können eine Überarbeitung der Regeln auslösen.
Umsetzung in Schritten.
Inventar als Grundlage nutzen.
Identifizieren Sie Anwendungen, Nutzergruppen, Datenarten und Werkzeuge. Priorisieren Sie Einsätze mit sensiblen Daten oder möglichen Änderungen.
Regeln anhand von Aufgaben formulieren.
Beschreiben Sie erlaubte Aufgaben und Daten sowie Grenzen für Veröffentlichung, Entscheidungen und Änderungen. Nennen Sie die zuständige Prüfstelle.
Ausnahmen und Vorfälle klären.
Legen Sie fest, wer Ausnahmen entscheidet und wie falsche Ergebnisse, unerlaubte Datenübertragungen oder unbeabsichtigte Änderungen gemeldet werden.
Einführen und überprüfen.
Erläutern Sie Regeln anhand praktischer Fälle. Prüfen Sie bei neuen Clients oder Werkzeugen, ob Richtlinie, Inventar und Berechtigungen noch zusammenpassen.
Den Ablauf nachvollziehbar dokumentieren.
Diese Unterlagen machen den gewählten Ablauf und seine Ergebnisse nachvollziehbar. Die Prüfanlässe sind Empfehlungen für den Betrieb.
Freigegebene Richtlinie: Version mit Geltungsbereich und Verantwortlichen. Verantwortlich: Geschäftsleitung und Fachverantwortliche. Prüfanlass: bei Freigabe und Änderungen.
Anwendungsbeispiele: Erlaubte und nicht erlaubte Einsatzfälle. Verantwortlich: Fachbereiche. Prüfanlass: bei neuen Einsätzen.
Kompetenzmaßnahmen: Inhalte, Zielgruppen und Durchführung. Verantwortlich: Personal und Fachverantwortliche. Prüfanlass: nach Bedarf des Einsatzes.
Ausnahmeregister: Begründung, Befristung und Entscheidung. Verantwortlich: Risikoverantwortliche. Prüfanlass: je Ausnahme.
Weiterlesen im Blog.
Verwandte Aufgaben und Einordnung.
Die folgenden Seiten vertiefen die angrenzenden Aufgaben. Sie ersetzen nicht die hier beschriebene Prüfung des konkreten Anwendungsfalls.
In Secani.
Für Secani-MCP-Verbindungen können Sie zulässige Clients, Workspaces und Aktionen in Ihren Nutzungsregeln festhalten und mit den effektiven Berechtigungen abgleichen.
Die technische Rechteprüfung und der Nur-Lese-Modus begrenzen Werkzeugaufrufe. Eine Client-Bestätigung für einen Schreibvorgang ersetzt keine von Ihrer Organisation geforderte, gesondert dokumentierte fachliche Freigabe.
Einen abgegrenzten Fall prüfen.
Besprechen Sie einen typischen Einsatzfall mit den betroffenen Mitarbeitenden und prüfen Sie, ob Ihre Regeln eine eindeutige Handlungsentscheidung ermöglichen.
Häufige Fragen.
Die Begriffe werden hier für dieselben Nutzungsregeln gebündelt. Unterschiedliche Fassungen können für verschiedene Zielgruppen sinnvoll sein, wenn Verantwortung und Geltungsbereich klar bleiben.
Artikel 4 betrifft Maßnahmen für ein ausreichendes Maß an KI-Kompetenz unter Berücksichtigung des Einsatzkontexts. Ein Dokument allein belegt weder Verständnis noch passende Kompetenzmaßnahmen.
Der passende Kontrollumfang hängt von Aufgabe, Risiko und internen Vorgaben ab. Legen Sie ihn ausdrücklich fest und gleichen Sie ihn mit den technischen Möglichkeiten des Clients und Servers ab.
Compliance mit verbundenen Daten.
Besprechen Sie Ihren Anwendungsfall für den Secani-Agenten oder einen verbundenen MCP-Client.
Die beschriebenen Abläufe sind Umsetzungshilfen. Verfügbare Werkzeuge hängen von Client, Berechtigungen und Produktstand ab; fachliche Entscheidungen bleiben bei den verantwortlichen Personen.