Eine gute KI-Leitlinie passt auf eine Seite

Viele Unternehmen haben inzwischen eine KI-Richtlinie, gründlich von der Rechtsabteilung geschrieben, zwanzig Seiten und mehr, als PDF im Intranet. Die Frage, die dabei selten gestellt wird, ist die einfachste: Wer im Marketingteam hat sie eigentlich gelesen?

Das ist kein Vorwurf an die Rechtsabteilung, die ihre Aufgabe ernst genommen hat. Es zeigt nur, dass eine Leitlinie, die niemand liest, im Alltag genauso wirkt wie keine. Das Ziel einer KI-Leitlinie ist nicht, alles zu regeln, sondern Orientierung zu geben, damit Menschen im Arbeitsalltag schnell wissen, was geht und was nicht.

Was wirklich reingehört

Eine Leitlinie, die im Marketing funktioniert, beantwortet vier Fragen so, dass man sie in fünf Minuten verstanden hat.

Erstens, welche Tools freigegeben sind. Das ist eine kurze Liste mit Namen, nicht eine Beschreibung von Kriterien. Wer etwas Neues ausprobieren will, weiß, an wen er sich wendet.

Zweitens, welche Daten nicht in externe KI-Tools gehören. Für ein Pharmaunternehmen sind das typischerweise personenbezogene Daten von Kundinnen, Ärzten oder Apothekenteams, unveröffentlichte Studienergebnisse, interne Planungen und alles, was vertraulich mit Partnern vereinbart ist. Wer personenbezogene Daten trotzdem verarbeiten muss, anonymisiert sie vorher.

Drittens, wie Review, Freigabe und Dokumentation laufen. Wer prüft einen KI-Text, bevor er rausgeht und wie wird das festgehalten? Im Pharma-Marketing gibt es dafür oft schon einen Freigabeprozess über Medical und Regulatory und die Leitlinie muss nur sagen, wie KI-Inhalte darin auftauchen.

Viertens, was passiert, wenn etwas schiefgeht. Dafür reicht eine einfache Reihenfolge, die sich jeder merken kann: stoppen, sichern, melden, verbessern. Also den Einsatz anhalten, festhalten, was passiert ist, die zuständige Person informieren und daraus eine Regel ableiten, damit es nicht wieder passiert.

Was nicht reingehört

Ein generelles Verbot gehört nicht hinein, weil es die Nutzung nicht stoppt, sondern nur unsichtbar macht. Ein umfangreiches Regelwerk gehört auch nicht hinein, jedenfalls nicht in das Dokument, mit dem das Team täglich arbeitet. Die juristische Langfassung darf es geben, aber sie ist der Anhang und nicht die Leitlinie.

Was auch nicht hineingehört, sind Regeln, die nur für ein Tool gelten. Eine Leitlinie, die ChatGPT beschreibt, ist veraltet, sobald das Team ein anderes Werkzeug nutzt. Sie muss das Verhalten regeln, nicht die Technik.

Drei Grundregeln, die immer gelten

Wenn ich die Leitlinie auf drei Sätze herunterbrechen müsste, wären es diese. Personendaten werden anonymisiert, bevor sie in externe Tools gehen. Kunden und Mitarbeitende erfahren, wenn und wie KI eingesetzt wird. Und wo KI an Entscheidungen über Menschen beteiligt ist, behält ein Mensch die Entscheidung.

Diese drei Regeln verbinden zwei Gesetze, die oft durcheinandergeworfen werden. Die DSGVO und der EU AI Act ergänzen sich, sie ersetzen sich nicht. Wer DSGVO-konform arbeitet, ist damit nicht automatisch auf der sicheren Seite beim AI Act und umgekehrt gilt der Datenschutz auch dann weiter, wenn KI im Spiel ist.

Warum die Leitlinie ein Marketingthema ist

Ich sehe die KI-Leitlinie nicht als reines Compliance-Thema, sondern als Führungsinstrument. Sie ist der Moment, in dem ein Team gemeinsam entscheidet, wie es arbeiten will und genau deshalb sollte sie nicht nur von der Rechtsabteilung kommen, sondern mit dem Marketingteam entstehen. Eine Seite, die das Team mitgeschrieben hat, wird gelesen und zwanzig Seiten, die von oben kommen, landen im Intranet.

Einordnung Stand Oktober 2026, keine Rechtsberatung. Quellenbasis: Verordnung (EU) 2024/1689 (KI-Verordnung / EU AI Act), insbesondere Art. 4 und die Risikoklassen, in der Fassung des Digital Omnibus (2026).