KI-Nachweis-Kit

Die Nutzungsrichtlinie und die Kurzfassung zum Aushängen

Die Nutzungsrichtlinie ist die schriftliche Fassung von Entscheidungen, die die Leitung vorher getroffen hat. Das Handbuch sagt es in einem Satz: Wer eine Regelung formuliert, bevor er entschieden hat, schreibt Wünsche auf. Deshalb steht in der Datei nutzungsrichtlinie.docx zu jedem Regelbereich nicht ein fertiger Absatz, sondern ein Absatz mit einer oder mehreren gelb hinterlegten Stellen — und neben jeder Stelle ein Satz dazu, was die Entscheidung bedeutet.

Die Richtlinie folgt dem Handbuch, nicht umgekehrt. Abschnitt 7 des Handbuchs geht die Gegenstände durch, die in eine Nutzungsregelung gehören, und benennt zu jedem, woher die Anforderung kommt und was passiert, wenn der Punkt fehlt. Die Auswahl stützt sich auf drei veröffentlichte Stellen: die Orientierungshilfe der deutschen Datenschutzkonferenz, die klare interne Weisungen, deren Dokumentation und konkrete Beispiele zugelassener und untersagter Einsatzszenarien empfiehlt; die Maßnahme M16 des deutschen Bundesamts für Sicherheit in der Informationstechnik, nach der Nutzende erfahren sollen, welche Anwendungen sie wofür verwenden, welche Eingaben sie tätigen und wie sie Ausgaben weiterverwenden dürfen; und das Muster der Wirtschaftskammer Österreich mit seinen neun Paragrafen.

Beide Behörden sind deutsche Stellen; ihre Empfehlungen sind fachlicher Stand, keine Rechtspflicht, und in anderen Mitgliedstaaten nicht verbindlich. Das Handbuch hält in Abschnitt 3 fest, dass eine ausdrückliche Rechtspflicht, eine KI-Nutzungsrichtlinie zu führen, in der KI-Verordnung und im Datenschutzrecht nicht ersichtlich ist. Die Richtlinie in diesem Kit ist deshalb kein Pflichtdokument, sondern das Mittel, mit dem der Betrieb seine Entscheidungen an die Belegschaft weitergibt und später belegen kann, dass er sie getroffen hat.

Die neun Regelbereiche, in der Reihenfolge des Handbuchs: zugelassene Tools und Zugänge · zulässige und unzulässige Verwendungen · unzulässige Eingaben · Umgang mit unvermeidbaren personenbezogenen Daten · Prüfung vor Verwendung · Freigabe nach außen gerichteter Erzeugnisse · Kennzeichnung · Meldung von Vorfällen · Zuständigkeit für Zweifelsfälle.

Keine Rechtsbelehrung: Eine Richtlinie, die die KI-Verordnung erklärt, wird nicht gelesen; die Begründung steht im Handbuch. Keine Tool-Namen ohne Datum: sie veralten still — die Namen gehören ins Register, das je Zeile ein Datum trägt. Keine Versprechen, die der Betrieb nicht halten kann: eine Zusage, jede Eingabe werde geprüft, ist ohne Protokollierung nicht einlösbar. (Band 2, Abschnitt 7, letzter Unterabschnitt.)