KI-Richtlinie für Agenturen: Was wirklich hineinmuss.
Eine gute KI-Richtlinie beantwortet konkrete Arbeitsfragen: Welche Tools sind wofür erlaubt? Welche Daten dürfen hinein? Wer prüft Ergebnisse? Was wird Kunden offengelegt? Und wo wird die Entscheidung dokumentiert?
Die Kurzantwort
Eine KI-Richtlinie für Agenturen ist ein verbindlicher interner Arbeitsrahmen für den Einsatz von KI in Kundenprojekten und internen Prozessen. Sie sollte nicht nur allgemeine Werte formulieren, sondern Rollen, erlaubte Anwendungen, Datenregeln, Qualitätsprüfung, Transparenz, Rechte, Vorfälle und regelmäßige Reviews miteinander verbinden.
Kann ein Teammitglied mit der Richtlinie innerhalb weniger Minuten entscheiden, ob ein realer KI-Einsatz erlaubt, prüfpflichtig oder zu stoppen ist? Wenn nicht, ist sie noch zu abstrakt.
Warum Agenturen eigene Regeln brauchen
Agenturen arbeiten gleichzeitig mit Kundendaten, unveröffentlichten Kampagnen, urheberrechtlich geschütztem Material, Markenstimmen, Zugangsdaten und hohem Zeitdruck. Ein allgemeiner Satz wie „KI darf verantwortungsvoll genutzt werden“ löst die typischen Konflikte nicht.
- Ein Kreativteam möchte ein Kundenbriefing in ein öffentliches KI-Tool kopieren.
- Ein Account-Team soll erklären, ob ein Ergebnis menschlich geprüft und ob KI gegenüber dem Kunden offengelegt wurde.
- Neue Tools werden getestet, ohne dass Vertragsbedingungen, Speicherort oder Trainingsnutzung geklärt sind.
- Freie Mitarbeitende arbeiten mit eigenen Accounts außerhalb der internen Tool-Liste.
- Bild-, Audio- oder Videoinhalte können besondere Kennzeichnungspflichten auslösen.
Die Richtlinie muss diese Situationen auf ein wiederholbares Entscheidungsverfahren zurückführen. Dafür braucht sie Verbindungen zu einem Tool-Register, einem Use-Case-Register und einer verständlichen Datenklassifizierung.
Neun notwendige Regelbereiche
Geltungsbereich
Legen Sie fest, für welche Teams, Beschäftigten, freien Mitarbeitenden, Projekte und KI-Arten die Regeln gelten. Definieren Sie auch, was ausdrücklich nicht abgedeckt ist.
Rollen und Entscheidungskompetenz
Benennen Sie eine verantwortliche Rolle, fachliche Prüferinnen oder Prüfer und einen Eskalationsweg. Nicht jede Toolfrage muss zur Geschäftsleitung, aber jede muss einen eindeutigen nächsten Schritt haben.
Freigegebene Tools und Anwendungsfälle
Eine Freigabe sollte nicht pauschal für ein Tool gelten. Ein Textassistent kann für Ideensammlung erlaubt und für vertrauliche Vertragsanalyse ungeprüft ungeeignet sein. Regeln Sie Tool und Zweck gemeinsam.
Datenampel
Übersetzen Sie Datenschutz, Geheimhaltung und Informationssicherheit in Grün, Gelb und Rot. Beispiele aus echten Agenturprojekten sind wirksamer als abstrakte Datenkategorien. Mehr dazu im Leitfaden zur KI-Datenampel.
Menschliche Qualitätsprüfung
Definieren Sie, wer Fakten, Markenpassung, Rechte, Diskriminierungsrisiken und fachliche Richtigkeit prüft. Ein bloßes „Human in the loop“ ohne Rolle und Prüfkriterien ist nicht handlungsfähig.
Kundenarbeit und Transparenz
Regeln Sie, wann Kunden informiert werden, wer vertragliche Vorgaben prüft und wie KI-generierte oder manipulierte Inhalte gekennzeichnet werden. Die Einzelheiten hängen vom Inhalt und Einsatzkontext ab.
Urheber-, Persönlichkeits- und Nutzungsrechte
Verlangen Sie eine Prüfung von Eingaberechten, Output-Nutzung, Ähnlichkeiten, Quellen und vertraglichen Zusicherungen. Die Richtlinie sollte keine pauschale Rechtegarantie behaupten.
Vorfälle und Stop-Regeln
Legen Sie fest, was bei versehentlichen Uploads, falschen Ausgaben, Datenabfluss oder Kundenbeschwerden geschieht: Nutzung stoppen, Belege sichern, zuständige Rolle informieren und Folgemaßnahmen dokumentieren.
Kompetenz, Nachweise und Review
Verbinden Sie Einführung, Teamwissen, dokumentierte Entscheidungen und einen festen Überprüfungstermin. Tools, Rechtslage und Kundenanforderungen verändern sich; die Richtlinie ist deshalb ein gepflegter Prozess.
Einführung in 60 Minuten: ein realistischer Start
In einer Stunde lässt sich eine arbeitsfähige Basis schaffen – nicht die vollständige rechtliche Prüfung jedes Einzelfalls. Der Termin sollte mit einer entscheidungsbefugten Person und den wichtigsten realen KI-Anwendungen stattfinden.
| Zeit | Entscheidung | Ergebnis |
|---|---|---|
| 0–15 Min. | Rolle, Tools und wichtigste Use Cases | Verantwortung und Prioritäten stehen |
| 15–35 Min. | Datenampel und Stop-Regeln | Alltagsbeispiele sind eingestuft |
| 35–45 Min. | Richtlinie und Register | Erste Freigaben sind dokumentiert |
| 45–60 Min. | Meldeweg, Aufgaben und Review | Übergabe und nächster Termin stehen |
Das Teamtraining folgt separat. Erst dann kennen Mitarbeitende nicht nur das Dokument, sondern können typische Grenzfälle einordnen und wissen, wo sie Hilfe erhalten.
Eine Vorlage ist ein Startpunkt – kein Arbeitssystem
Kostenlose oder günstige Muster können gute Formulierungen liefern. Der eigentliche Aufwand beginnt aber bei der Anpassung, der Toolinventur, der Dokumentation realer Use Cases, der Teamübergabe und der regelmäßigen Pflege.
Ein Dokument zum Bearbeiten
Sinnvoll, wenn intern bereits Register, Schulung, Entscheidungslogik und Pflegeprozess vorhanden sind.
Ein verbundener Einführungsablauf
Richtlinie, Offline-Generator, Register, Datenampel, Teamtraining, Nachweise und 90-Tage-Review greifen ineinander.
Prüfung und Umsetzung im Einzelfall
Die richtige Wahl bei sensiblen Daten, regulierten Anwendungen, komplexen Verträgen oder fehlender interner Kapazität.
Qualitätscheck vor der internen Freigabe
- Jede Regel hat eine verantwortliche Rolle.
- Toolfreigaben sind mit konkreten Zwecken verbunden.
- Datenregeln enthalten verständliche Agenturbeispiele.
- Prüfkriterien für Ergebnisse sind benannt.
- Kundenanforderungen und Kennzeichnung werden berücksichtigt.
- Vorfälle haben einen sichtbaren Melde- und Stoppprozess.
- Teamübergabe und Lernmaßnahmen sind dokumentierbar.
- Ein Reviewdatum und offene Aufgaben sind eingetragen.
- Rechtlich oder technisch unklare Fälle bleiben prüfpflichtig.
Ausgangspunkte sind die EU-KI-Verordnung, die KI-Kompetenz-Q&A der EU-Kommission und die Orientierungshilfe der Datenschutzkonferenz. Die konkrete Anwendbarkeit muss für Tool, Datenfluss, Vertrag, Zweck und Rechtsraum geprüft werden.
Die neun Bereiche als zusammenhängender Arbeitsablauf.
Guardrail60 liefert elf lokale Dateien für Agenturen mit 2 bis 25 Personen – einmalig 299 Euro, ohne Abo.