KI-Richtlinie für Unternehmen: Muster für Texte und Content zum Kopieren

Wir bei staaff verkaufen Texte, die mit KI entstehen. Der Kern der roten Linien in der Vorlage stammt aus den Grenzen, die ich mir beim Ghostwriting gesetzt habe.

Montagmorgen, kurze Runde im Marketing. Der Newsletter kam diesmal aus ChatGPT. Der Vertrieb hat für „persönlichere“ Beiträge eine Kundenliste in ein KI-Werkzeug kopiert. Und die Geschäftsführerin fragt, ob man das jetzt eigentlich kennzeichnen muss. Drei Leute, drei Bauchgefühle, null Regeln.

Die Szene ist ausgedacht, aber nicht weit hergeholt:

Bei den Unternehmen, die KI einsetzen, arbeitet sie laut Bitkom am häufigsten im Kundenkontakt (72 %) und gleich danach in Marketing und Kommunikation (54 %).^[2] Also genau dort, wo Texte unter deinem Namen rausgehen. Muster für den ganzen Betrieb verlinke ich weiter unten.

Die Vorlage: KI-Richtlinie für Content zum Kopieren

Kopier sie in ein Dokument und füll die eckigen Klammern aus. Was nicht zu euch passt, streichst du. Jede Regel sollte in eine Zeile passen, sonst liest sie niemand.

KI-RICHTLINIE FÜR TEXTE UND CONTENT
[Unternehmen] ∗ Version [1.0] ∗ Stand [Datum] ∗ verantwortlich: [Name, Rolle]

GILT FÜR
Alle, die für [Unternehmen] Texte schreiben, prüfen oder freigeben,
auch Geschäftsführung, Vertrieb, Freelancer und Agenturen.
Kanäle: LinkedIn (Unternehmensseite und persönliche Profile), Newsletter,
Website, Blog, Pressetexte, [weitere]

1  WOFÜR KI ERLAUBT IST
   - Themen sammeln, Gliederungen vorschlagen
   - Rohfassungen aus eigenen Notizen, Sprachnotizen oder Gesprächen
   - kürzen, gliedern, umformulieren, Varianten für Betreff und Einstieg
   - übersetzen, Rechtschreibung prüfen
   - einen fertigen Text für einen anderen Kanal anpassen,
     aber vor der Freigabe (siehe 5)
   - [eigene Ergänzung]

2  WAS NIE ERLAUBT IST
   - erfundene Erlebnisse, Kundengeschichten, Zitate oder Namen
   - Zahlen, Studien und Preise ohne geprüfte Quelle
   - Kommentare, Antworten und Nachrichten im Namen einer Person,
     die sie nicht selbst gelesen und abgeschickt hat
   - vorgetäuschte Resonanz: KI-Kommentare, Bots, gekaufte Reaktionen
   - KI-Bilder, -Videos oder -Stimmen, die echt wirken, ohne Kennzeichnung

3  WERKZEUGE
   Freigegeben:    [Werkzeug A, Werkzeug B], nur mit Firmenkonto
   Nicht erlaubt:  private Konten für Firmentexte
   Einstellung:    Nutzung der Eingaben zum Training aus, wo möglich
   Neue Werkzeuge: vorher bei [Name] anfragen

4  DATEN, DIE NIE IN EIN KI-WERKZEUG GEHÖREN
   - Namen, Kontaktdaten und Anliegen von Kunden, Bewerbern, Beschäftigten
   - Verträge, Angebote, Preise und Zahlen, die nicht öffentlich sind
   - unveröffentlichte Produkte, Pläne, Zugangsdaten
   - Texte und Bilder Dritter, an denen wir keine Rechte haben
   Stattdessen: Platzhalter wie [Kunde A] oder [Betrag].
   Achtung: Namen streichen reicht nicht, wenn der Zusammenhang
   die Person oder den Kunden verrät.

5  PRÜFEN UND FREIGEBEN
   - Jeder Text, der mit KI entstanden ist, wird vor der Veröffentlichung
     inhaltlich geprüft, von jemandem, der sich im Thema auskennt.
     Rechtschreibung prüfen oder Durchwinken reicht nicht.
   - Jede Zahl, jeder Name und jedes Zitat wird an der Quelle geprüft.
   - Nach der Freigabe ändert keine KI mehr etwas am Inhalt.
     Sonst: neu prüfen, neu freigeben.
   - Beiträge unter einem Namen gibt diese Person selbst frei.
   - Texte des Unternehmens gibt [Name, Rolle] frei.
   - Wer freigibt, trägt die Verantwortung, egal wer geschrieben hat.
   - Redaktionell verantwortlich ist [Name oder Funktion],
     mit Kontakt öffentlich auffindbar: [z. B. im Impressum]

6  KENNZEICHNEN
   Immer: Texte, die ungeprüft erscheinen (soll es nicht geben),
   und KI-Bilder, -Videos und -Ton, die echt wirken könnten,
   auch nachbearbeitete.
   Freiwillig: [z. B. Satz im Profil, unter Blogartikeln, gar nicht]
   Wortlaut: [z. B. „Mit KI-Unterstützung geschrieben,
   von [Name] geprüft und freigegeben.“]
   Fragt jemand, antworten wir ehrlich.

7  KUNDEN IN TEXTEN
   - Kunden nennen wir nur mit schriftlicher Zustimmung.
   - Ohne Zustimmung nur anonym, so dass niemand den Kunden erkennt.
   - Personenbezogene Daten nur in Werkzeugen, die [Datenschutz]
     freigegeben hat.

8  DIENSTLEISTER
   Wer für uns schreibt, bekommt diese Richtlinie mit dem Briefing,
   hält sich daran und sagt uns, wofür er KI einsetzt.

9  SCHULUNG UND PRÜFUNG
   - Wer mit KI schreibt, bekommt eine Einführung: [Format, Dauer].
   - Wir halten fest, wer wann teilgenommen hat.
   - Wir prüfen diese Richtlinie alle [6] Monate. Nächster Termin: [Datum]

Fragen und Ausnahmen: [Name, Kontakt]

Drei Hinweise zum Anpassen:

• Abschnitt 2 zuerst. Die roten Linien sind der Kern, alles andere regelt die Umsetzung.
• Namen statt Abteilungen. „Das Marketing gibt frei“ heißt in der Praxis: Niemand gibt frei.
• Datenschutz und Betriebsrat früh fragen, falls ihr beides habt. Warum, steht in Schritt 4 und in den häufigen Fragen.

Was eine KI-Richtlinie ist und was nicht

Eine KI-Richtlinie ist eine interne Regel, die festlegt, welche KI-Werkzeuge im Unternehmen wofür genutzt werden dürfen, was verboten ist und wer die Verantwortung trägt. Die Version für Content regelt alles, was veröffentlicht wird, vom Beitrag aus dem Chatfenster bis zum Agentic Content Marketing, bei dem KI mit fester Rolle mitschreibt.

Kleine Begriffsklärung, weil es in der Suche ständig durcheinandergeht: Die EU-Regeln zu KI sind eine Verordnung, keine Richtlinie. Die KI-Verordnung, auch AI Act genannt, gilt unmittelbar in jedem Mitgliedstaat.^[1] Deine KI-Richtlinie ist dagegen dein eigenes Dokument. Und das haben erstaunlich wenige:

Gleichzeitig nutzen Beschäftigte in 25 % der Unternehmen private KI-Zugänge für die Arbeit, in weiteren 17 % geht die Firma davon aus.^[3] Die Datenschutzaufsicht von Bund und Ländern empfiehlt klare interne Weisungen, am besten mit konkreten Beispielen für erlaubte und verbotene Einsätze.^[4] Genau so ist die Vorlage gebaut.

Dazu kursieren ein paar Behauptungen:

Ist eine KI-Richtlinie Pflicht? Was seit August 2026 gilt

Ich ordne ein, was in den amtlichen Texten steht, und verlinke sie. Rechtsberatung ist das nicht, ich bin kein Anwalt.

Drei Dinge daran betreffen deine Richtlinie.

Die Pflicht zur KI-Kompetenz ist gerade weicher geworden. Bis Juli 2026 verlangte Artikel 4, nach besten Kräften ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Seit dem 27. Juli 2026 reichen Maßnahmen, die sie fördern, ohne ein bestimmtes Niveau zu garantieren.^[9] Zuständig ist in Deutschland seit dem 29. Juli 2026 grundsätzlich die Bundesnetzagentur,^[11] und sie zählt Dienstleister in deinem Auftrag ausdrücklich mit.^[5] Die KI-Kompetenz deiner Agentur ist also auch dein Thema.

Die Kennzeichnungspflicht für Texte ist enger als ihr Ruf. Drei Bedingungen müssen zusammenkommen: veröffentlicht, zur Information der Öffentlichkeit, zu einer Angelegenheit von öffentlichem Interesse. Dazu zählt die EU-Kommission neben Politik und Gesundheit auch wirtschaftliche Entwicklungen, die Gegenstand öffentlicher Debatte sein können.^[6] In ihren Leitlinien vom 20. Juli 2026 wird sie konkret:^[7]

• Nicht betroffen: Werbetexte und Produktbeschreibungen, solange sie nichts etwa zu Gesundheit, Verbrauchersicherheit oder Nachhaltigkeit behaupten. Interne Texte im Firmennetz und Korrespondenz zwischen einzelnen Personen, auch berufliche, gelten gar nicht als veröffentlicht.
• Betroffen: Berichte mit Anlegerinformationen auf der Website eines börsennotierten Unternehmens.
• Ausgenommen: inhaltlich geprüfte Texte mit redaktioneller Verantwortung. Was als Prüfung zählt, steht in Schritt 5.

Bußgeld bei Verstößen: bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes, bei kleinen und mittleren Unternehmen mit Rücksicht auf die Verhältnismäßigkeit.^[6]

Die Markierung im Hintergrund ist nicht deine Kennzeichnung. Die Anbieter der Werkzeuge müssen ihre Ergebnisse maschinenlesbar markieren, bei Werkzeugen, die schon vor August 2026 auf dem Markt waren, erst ab dem 2. Dezember 2026.^[1][9] Wenn du Deepfakes offenlegen musst, darfst du dich darauf laut Kommission nicht verlassen.^[6]

So füllst du die Vorlage in sieben Schritten

1. Leg fest, für wen sie gilt

Alle, die Texte schreiben, prüfen oder freigeben, gehören rein: Geschäftsführung, Vertrieb, Werkstudentin, Agentur. Der Deutsche Rat für Public Relations sieht Auftraggeber und Dienstleister beim KI-Einsatz in der PR gleichermaßen in der Verantwortung.^[12] Also bekommt die Agentur die Richtlinie mit dem Briefing, und zwar vor dem ersten Text.

Beispiel: Gilt für Geschäftsführung, Marketing, zwei Projektleitungen mit eigenem LinkedIn-Profil und die Agentur, die die Website betreut.

2. Schreib auf, wofür KI erlaubt ist

Fang mit der Erlaubnis an, die Verbote kommen danach. Eine Liste konkreter Einsätze hilft mehr als der Satz „KI verantwortungsvoll nutzen“, den jeder unterschreibt und niemand anwenden kann.

Beispiel: Rohfassung aus der Sprachnotiz nach dem Kundentermin: ja. Fachbeitrag zu einem Thema, zu dem im Haus niemand etwas beitragen kann: nein.

3. Zieh die roten Linien

Hier landet alles, was einen Text unehrlich macht: erfundene Erlebnisse, Zahlen ohne Quelle, erfundene Zitate, Nachrichten im Namen einer Person. Warum genau diese Grenzen gelten, egal ob Mensch oder KI mitschreibt, steht in Ist LinkedIn-Ghostwriting unehrlich? Laut DRPR-Richtlinie ist es außerdem unzulässig, Relevanz durch KI-Kommentare oder Bots vorzutäuschen.^[12]

Beispiel: „Wir haben 30 % Energie eingespart“ steht nur im Beitrag, wenn die Messung in der Projektakte liegt.

4. Regel Werkzeuge und Daten

Vier Punkte gehören rein:

• Firmenkonten statt privater Zugänge. Die Datenschutzaufsicht rät Arbeitgebern, für KI eigene Geräte und Konten bereitzustellen.^[4]
• Training prüfen. Bei Claude Free, Pro und Max entscheidest du selbst, ob deine Chats ins Training gehen. Stimmst du zu, speichert Anthropic sie fünf Jahre statt 30 Tage. Geschäftskonten wie Claude for Work betrifft das nicht, sie laufen unter eigenen Bedingungen.^[13]
• Namen streichen reicht oft nicht. Laut Datenschutzaufsicht kann sich der Personenbezug aus dem Zusammenhang ergeben.^[4] „Die große Klinik am Stadtrand mit der kaputten Lüftung“ erkennt in deiner Region jeder.
• Vertrag mit dem Anbieter. Für Cloud-Werkzeuge mit personenbezogenen Daten braucht es laut Datenschutzaufsicht häufig einen Vertrag zur Auftragsverarbeitung.^[4] Das klärt dein Datenschutzbeauftragter.

Beispiel: Statt „Klinikum Nord, Station 4, Herr Meier“ steht im Werkzeug nur „[Kunde A], [Ansprechpartner]“.

5. Leg fest, wer prüft und freigibt

Jeder Text braucht zwei Blicke: einen inhaltlichen und einen letzten. Den brauchbarsten Maßstab liefert ausgerechnet die EU-Kommission. Ihre Leitlinien legen fest, welche Prüfung von der Kennzeichnung befreit:^[7]

• Den Inhalt prüfen. Ein Mensch mit Fachkenntnis untersucht den Inhalt bewusst, Fakten prüfen ist das Minimum. Rechtschreibung, automatische Prüfungen und flüchtiges Abnicken zählen nicht.
• Danach nichts mehr ändern. Ändert eine KI den Text nach der Freigabe noch wesentlich, gilt die Ausnahme nicht mehr. Wer den freigegebenen LinkedIn-Beitrag noch schnell per KI zum Newsletter umbaut, prüft also neu.
• Verantwortung sichtbar machen. Name und Kontakt der verantwortlichen Person oder Stelle sollen öffentlich leicht auffindbar sein, etwa bei den rechtlichen Angaben der Website.

Und dann steht da ein Satz für alle, die gerade eine KI-Richtlinie schreiben: Dass es eine Redaktionsrichtlinie gibt, reicht als Prüfung nicht.^[7] Dein Dokument zählt also erst, wenn jemand die Texte wirklich liest. Der Maßstab taugt übrigens auch dort, wo Artikel 50 gar nicht greift. Wie Prüfen mit wenig Zeit klappt, steht in Freigabe ist kein Flaschenhals. Bei uns schreibt Lena die Entwürfe, du wählst aus, liest und gibst frei, rund 20 bis 30 Minuten pro Woche je Account. Ohne deine Freigabe erscheint nichts, die Verantwortung bleibt bei dir. So arbeitet Lena.

Beispiel: Die Projektleiterin prüft die Technik, der Geschäftsführer gibt seine eigenen Beiträge frei, jeden Montag um 10 Uhr.

6. Entscheide, wann ihr kennzeichnet

Hier steckt ein echtes Dilemma. In 13 Experimenten von Oliver Schilke und Martin Reimann wurde Menschen, die ihre KI-Nutzung offenlegten, weniger vertraut als denen, die schwiegen. Noch schlechter kamen die weg, deren KI-Nutzung jemand anderes aufdeckte.^[8] Offenlegen kostet also etwas. Erwischt werden kostet mehr.

Deshalb hat der Abschnitt in der Vorlage drei Stufen:

1. Immer kennzeichnen, was ungeprüft erscheint, und KI-Bilder, die echt wirken könnten. So sieht es auch die DRPR-Richtlinie, die unsichtbare Wasserzeichen ausdrücklich nicht reichen lässt.^[12]
2. Einmal entscheiden, ob ihr darüber hinaus freiwillig kennzeichnet, und dann einheitlich.
3. Nie leugnen. Wer fragt, bekommt eine ehrliche Antwort.

Beispiel: Dieser Blog sagt im Kasten „So ist dieser Text entstanden“ am Ende jedes Artikels, wie der Text mit KI entstanden ist.

7. Schule, dokumentiere, schau wieder drauf

Artikel 4 schreibt kein Format vor. Die Bundesnetzagentur empfiehlt aber, die Maßnahmen zu dokumentieren: welche, wie lange, wer dabei war.^[5] 70 % der Unternehmen schulen ihre Beschäftigten inzwischen im Umgang mit KI.^[2] Wie viel für ein Content-Team genug ist, sagt niemand verbindlich. Ich würde mit einer Stunde anfangen, in der ihr die Richtlinie gemeinsam durchgeht.

Beispiel: Einführung am 1. Oktober, 60 Minuten, sechs Teilnehmende, Liste mit Namen im Ordner, nächste Prüfung im April.

Beispiel: die Richtlinie eines Ingenieurbüros

Zum Durchspielen wieder das ausgedachte Ingenieurbüro für Gebäudetechnik aus dem Artikel zur Content-Strategie für B2B: 40 Leute, Kunden sind Kliniken, sichtbar werden sollen der Geschäftsführer und eine Projektleiterin. So sehen seine Regeln aus, neben den vagen Fassungen:

Die rechte Spalte kann jemand befolgen, ohne nachzufragen. Die linke kann jeder unterschreiben, ohne irgendwas anders zu machen.

An den Grenzen ändert KI nichts. Neu ist nur, wie bequem man sie überschreitet: Ein passendes Kundenerlebnis liefert dir eine KI auf Knopfdruck, und es klingt sogar gut.

Typische Fehler, und wann du keine eigene brauchst

Diese vier Fehler machen eine Richtlinie wertlos:

• Verbieten statt regeln. Ich vermute: Wer KI komplett verbietet, bekommt sie trotzdem, nur heimlich über private Konten. Bitkom rät zu klaren Regeln plus Werkzeugen vom Arbeitgeber.^[3]
• Zwölf Seiten Juristendeutsch. Eine Richtlinie, die niemand liest, regelt nichts. Die Vorlage oben passt auf zwei Seiten, und das ist Absicht.
• Einmal schreiben, nie wieder ansehen. Allein im Sommer 2026 kamen zwei Neuerungen: Ende Juli die abgeschwächte Pflicht zur KI-Kompetenz, Anfang August die Kennzeichnung nach Artikel 50.^[9][6] Deshalb steht in der Vorlage ein Prüftermin.
• Nur Text regeln. Die Kennzeichnung von Deepfakes kennt keine Ausnahme für geprüfte Inhalte.^[1] Bilder gehören also in dieselbe Richtlinie.

Und in drei Fällen brauchst du meine Vorlage nicht:

• Ihr habt schon eine betriebliche KI-Richtlinie. Dann ergänz dort einen Abschnitt „Texte und Content“ mit den Punkten 2, 5 und 6. Ein zweites Dokument widerspricht dem ersten früher oder später.
• Du brauchst Regeln für den ganzen Betrieb, etwa für Personal, IT oder Kundendaten in Fachsoftware. Dafür ist meine Vorlage zu schmal. Nimm ein allgemeines Muster, etwa die kostenlose Musterrichtlinie der Gesellschaft für Datenschutz und Datensicherheit^[14] oder das Muster der IHK Schwaben,^[15] und lass es rechtlich prüfen.
• Du schreibst allein und veröffentlichst selten. Dann reicht dir Abschnitt 2 als Zettel am Bildschirm.

Was trägt, auch wenn Rechtsfragen offen sind

Die Vorlage hängt an keiner der drei Fragen unten. Inhaltlich prüfen, freigeben und ehrlich antworten ist gute Arbeit, egal wie die Grenzfälle entschieden werden. Offen sind:

• Öffentliches Interesse: Einen LinkedIn-Beitrag oder Newsletter eines Unternehmens nennt die Kommission in ihren Beispielen für Texte nicht,^[7] und eine Behörde, die das genauer sagt, habe ich nicht gefunden. Wo dein Beitrag liegt, hängt an seinem Thema.
• Wie gründlich geprüft: Die Kommission nennt Kriterien und Beispiele, aber keine Liste zum Abhaken. Ihre Leitlinien sind außerdem unverbindlich, verbindlich auslegen kann die KI-Verordnung nur der Europäische Gerichtshof.^[7]
• Urheberrecht: Ab wie viel eigener Arbeit ein KI-gestützter Text geschützt ist, kann dir heute niemand pauschal sagen. Das Gesetz spricht von persönlichen geistigen Schöpfungen, eine feste Grenze nennt es nicht.^[10]

Ich schaue im Dezember 2026 wieder nach, wenn die Übergangsfrist für die Anbieter endet.

Häufige Fragen

Ist eine KI-Richtlinie für Unternehmen Pflicht?

Ein bestimmtes Dokument schreibt die KI-Verordnung nicht vor. Artikel 4 verlangt aber von allen, die KI beruflich einsetzen, Maßnahmen für die KI-Kompetenz ihrer Leute, und die Bundesnetzagentur empfiehlt, diese zu dokumentieren.^[1][5] Eine schriftliche Richtlinie ist dafür der naheliegende Weg. Habt ihr einen Betriebsrat, bezieh ihn früh ein: Laut Datenschutzaufsicht kann die Einführung von KI mitbestimmungspflichtig sein.^[4]

Muss ich KI-Texte kennzeichnen?

Nur in bestimmten Fällen. Seit dem 2. August 2026 gilt das für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, außer ein fachkundiger Mensch hat sie inhaltlich geprüft und jemand trägt die redaktionelle Verantwortung.^[6] Werbetexte ohne Aussagen etwa zu Gesundheit oder Nachhaltigkeit fallen laut EU-Kommission nicht darunter, Anlegerberichte börsennotierter Unternehmen schon.^[7] KI-Bilder, -Ton und -Videos, die echten Personen, Orten oder Ereignissen ähneln und echt wirken würden, legst du grundsätzlich offen.^[1] Ob dein Beitrag darunter fällt, klärt eine Fachperson.

Darf ich Kundendaten in ChatGPT eingeben?

Nur mit Rechtsgrundlage. Für Content brauchst du echte Kundendaten ohnehin fast nie. Laut Datenschutzaufsicht braucht jede Verarbeitung personenbezogener Daten in einem KI-Werkzeug eine Rechtsgrundlage, bei Cloud-Diensten häufig auch einen Vertrag zur Auftragsverarbeitung.^[4] Arbeite mit Platzhaltern wie [Kunde A] und prüf, ob das Werkzeug deine Eingaben zum Training nutzt. Im Zweifel fragst du deinen Datenschutzbeauftragten.

Was gehört in eine KI-Richtlinie für Marketing und Content?

Mindestens sieben Punkte: für wen sie gilt, wofür KI erlaubt ist, was nie erlaubt ist, welche Werkzeuge und Daten, wer prüft und freigibt, wann ihr kennzeichnet und wie ihr schult. Dazu gehören ein Name, der für die Richtlinie verantwortlich ist, und ein Termin, an dem ihr sie wieder prüft.

Checkliste: Ist deine KI-Richtlinie fertig?

Bevor du sie verteilst, hak diese Punkte ab:

• [ ]Geltungsbereich klar: alle, die schreiben, prüfen oder freigeben, auch Dienstleister
• [ ]Erlaubte Einsätze konkret, mit mindestens drei Beispielen
• [ ]Rote Linien drin: keine erfundenen Erlebnisse, keine Zahlen ohne Quelle
• [ ]Werkzeuge benannt, Firmenkonten eingerichtet, Training geprüft
• [ ]Freigabe mit Namen geregelt, je Kanal und je Account, danach keine KI-Änderung mehr
• [ ]Kennzeichnung entschieden und Wortlaut festgelegt
• [ ]Datenschutz und, falls vorhanden, Betriebsrat gefragt
• [ ]Einführung terminiert, Teilnahme dokumentiert, Prüftermin im Kalender