KI-Richtlinie im Unternehmen: Schwedens Regierung sperrt ChatGPT und Claude – wie kleine Firmen eine schlanke Regel für erlaubte KI-Tools aufschreiben (mit Vorlage)

01 / Was in Schweden passiert ist

Warum Stockholm ChatGPT und Claude sperrt.

Am 23. Oktober 2026 berichtete das Ekot von Sveriges Radio: Die Regeringskansliet, also die schwedische Regierungskanzlei, sperrt die KI-Dienste ChatGPT und Claude. Ab Montag sind sie von den Dienstrechnern der Mitarbeitenden aus nicht mehr erreichbar [1]. Die Beschäftigten sollen die Dienste nutzen, die die Kanzlei freigegeben hat, darunter Microsofts Copilot. Für Copilot wurde nach einer Überprüfung zusätzlich die Sicherheit erhöht, Details nennt die Pressestelle nicht [1].

Die Begründung ist kurz. Digitalisierungsdirektor Mikael Wettercrantz schreibt im Intranet, die Nutzung von KI-Diensten ohne Vertrag könne „Konsequenzen für unsere Informationssicherheit“ haben [1][2]. Ein Teil der Belegschaft behält über eine selbst entwickelte Plattform weiter Zugriff auf ChatGPT und Claude [1]. Es geht also nicht um die Modelle an sich, sondern um den Weg, auf dem Daten dorthin gelangen.

Die Kanzlei ist nicht allein. Laut Ekot haben auch die Steuerbehörde Skatteverket und die Behörde für Jugend- und Maßregelheime (SiS) Sperren eingeführt, bei der Vollstreckungsbehörde Kronofogden wird die Frage geprüft [1][2]. Bei der Verkehrsbehörde Trafikverket stellte die Innenrevision in diesem Jahr eine verbreitete und riskante Nutzung von rund zehn verschiedenen KI-Diensten fest. Problematisch waren sowohl die Sensibilität der eingegebenen Informationen als auch der Umgang mit den Antworten [1].

02 / Die Lehre für kleine Firmen

Freigeben statt verbieten.

Der Befund aus Trafikverket dürfte vielen Chefs bekannt vorkommen: Mitarbeitende nutzen KI, weil sie Zeit spart, aber jeder mit seinem eigenen Konto und nach eigenem Gefühl. Niemand weiß, welche Kundendaten in welchem Chat gelandet sind. Das ist das eigentliche Risiko, nicht das Tool.

Eine Ministeriumsverwaltung kann sich eine Sperre leisten, weil sie mit Copilot ein freigegebenes Werkzeug hat und eine IT-Abteilung, die Zugänge zentral steuert. In einem Betrieb mit zehn oder zwanzig Leuten sieht das anders aus. Ein pauschales Verbot führt dort nach meiner Erfahrung eher dazu, dass KI heimlich auf dem privaten Handy genutzt wird (Einschätzung). Dann hast du weder Kontrolle noch Vertrag.

Der schwedische Fall zeigt aber den richtigen Kern: Erlaubt ist, was einen Vertrag hat und bewusst ausgewählt wurde. Genau das lässt sich auch im kleinen Unternehmen auf ein bis zwei Seiten aufschreiben. Welcher Anbieter für ein Team passt, habe ich in ChatGPT, Claude oder Gemini für Teams verglichen. Welche Einstellungen du in ChatGPT selbst setzen solltest, steht in ChatGPT und Datenschutz.

03 / Rechtsrahmen

Was KI-Verordnung und DSGVO von dir erwarten.

Eine KI-Richtlinie ist in Deutschland nicht als eigenes Dokument vorgeschrieben. Zwei Regeln machen sie aber sehr sinnvoll.

KI-Kompetenz nach Artikel 4 KI-Verordnung

Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 [3]. Er betrifft nicht nur Anbieter, sondern auch Betreiber von KI-Systemen, also auch eine Firma, die ChatGPT oder Copilot im Arbeitsalltag einsetzt (Einschätzung auf Basis des Wortlauts). Mit dem Digital-Omnibus zur KI, in Kraft seit dem 27. Juli 2026, wurde die Pflicht gelockert [4][5]. Vorher mussten Unternehmen die KI-Kompetenz ihres Personals sicherstellen. Jetzt müssen sie Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz der Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten [3][4].

Ein bestimmtes Kompetenzniveau musst du laut neuem Wortlaut nicht garantieren [3]. Zu berücksichtigen sind aber Vorwissen, Erfahrung und Ausbildung der Leute sowie der Kontext, in dem die KI eingesetzt wird [3]. Eine kurze Schulung plus schriftliche Regel ist für eine kleine Firma ein naheliegender Weg, das zu zeigen (Einschätzung).

Auftragsverarbeitung nach Artikel 28 DSGVO

Gibst du personenbezogene Daten an einen KI-Dienst, der sie in deinem Auftrag verarbeitet, brauchst du einen Vertrag zur Auftragsverarbeitung (AVV). Die DSGVO verlangt, dass du nur mit Auftragsverarbeitern arbeitest, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und dass die Verarbeitung auf einem Vertrag beruht [6]. Private Gratis-Konten sind dafür nach meiner Erfahrung nicht gedacht; Team- und Business-Tarife der großen Anbieter bieten solche Verträge in der Regel an (Einschätzung, im Einzelfall beim Anbieter prüfen). Das ist der deutsche Kern dessen, was Wettercrantz mit „ohne Vertrag“ meint.

Wenn du KI-Texte oder KI-Bilder veröffentlichst, kommen noch Transparenzregeln dazu. Die habe ich in KI-Kennzeichnungspflicht zusammengefasst. Dieser Beitrag ersetzt keine Rechtsberatung.

04 / Vorlage

Die KI-Policy in sechs Punkten.

Diese Vorlage kannst du kopieren und anpassen. Die eckigen Klammern füllst du mit deinen Angaben. Sie ist bewusst kurz gehalten, damit sie gelesen wird.

1. Erlaubte Tools: „Für die Arbeit nutzen wir ausschließlich: [Tool 1, Tarif], [Tool 2, Tarif]. Für diese Tools haben wir einen Firmenzugang und einen Vertrag zur Auftragsverarbeitung. Andere KI-Dienste, private Konten und Browser-Erweiterungen mit KI-Funktion sind für Firmendaten nicht erlaubt. Neue Tools schlägst du [Name] vor, wir prüfen sie innerhalb von [zwei Wochen].“
2. Datenklassen: „Grün, darf in alle freigegebenen Tools: öffentliche Informationen, eigene Texte ohne Personenbezug, allgemeine Fragen. Gelb, nur in [Tool mit AVV]: interne Dokumente, Kundenkorrespondenz ohne sensible Inhalte. Rot, nie in KI-Tools: Passwörter und Zugangsdaten, Gesundheits- und Bankdaten, Personalakten, Verträge mit Geheimhaltungsklausel, Daten, für die ein Kunde das ausgeschlossen hat.“
3. Prüfung und Kennzeichnung: „KI-Ergebnisse sind Entwürfe. Wer sie nutzt, prüft Fakten, Zahlen, Namen und Zitate vor dem Versand oder der Veröffentlichung. Veröffentlichte KI-Bilder und Texte kennzeichnen wir, wenn die Rechtslage oder der Kunde das verlangt.“
4. Schulung: „Wer ein KI-Tool nutzt, nimmt an einer Einweisung von [Dauer] teil: Funktionsweise, typische Fehler, diese Richtlinie. Neue Mitarbeitende im ersten Monat. Teilnahme wird kurz notiert.“
5. Zuständigkeit: „Ansprechpartner für KI-Fragen ist [Name]. Wenn versehentlich rote Daten in ein Tool gelangt sind, meldest du das sofort an [Name] und, falls vorhanden, an unseren Datenschutzbeauftragten.“
6. Überprüfung: „Diese Richtlinie gilt ab [Datum]. Wir überprüfen sie alle [sechs] Monate und wenn sich ein Tool, ein Tarif oder die Rechtslage ändert.“

Die Ampel bei den Daten ist der wichtigste Punkt. Sie ersetzt lange Erklärungen durch eine Frage, die jeder vor dem Einfügen beantworten kann: Welche Farbe hat das, was ich gerade kopiere?

05 / Einführung

Wie die Richtlinie im Alltag ankommt.

Eine Regel, die nur im Ordner liegt, hilft niemandem. So gehe ich bei Kunden vor (Einschätzung aus der Praxis, keine Norm):

• Bestand aufnehmen: Frag im Team offen und ohne Vorwurf, welche KI-Tools schon genutzt werden und wofür. Die Liste ist fast immer länger als gedacht, wie der Fall Trafikverket zeigt [1].
• Ein bis zwei Tools freigeben: Lieber ein gutes Firmen-Tool mit Vertrag als fünf halbe Lösungen. Wenn du ohnehin Microsoft 365 oder Google Workspace nutzt, prüfe zuerst die dort enthaltene KI, so wie es die schwedische Kanzlei mit Copilot gemacht hat [1].
• Private Konten ablösen: Gib den Leuten einen Termin, bis zu dem sie auf das Firmenkonto umziehen. Alte Chats mit Firmendaten auf privaten Konten sollten gelöscht werden.
• Kurz schulen: 60 Minuten mit echten Beispielen aus eurem Alltag reichen für den Anfang. Zeig, was schiefgehen kann, etwa erfundene Quellen oder Zahlen.
• Termin für die Überprüfung setzen: KI-Tarife und Funktionen ändern sich alle paar Monate. Ein fester Termin im Kalender sorgt dafür, dass die Tool-Liste aktuell bleibt.

Wofür sich KI im Marketing kleiner Firmen konkret lohnt, findest du in KI im Marketing. Die Richtlinie ist dann der Rahmen, in dem dein Team diese Ideen ohne schlechtes Gewissen umsetzen kann.

FAQ

Häufige Fragen zur KI-Richtlinie im Unternehmen.

Ist eine KI-Richtlinie Pflicht?

Ein eigenes Dokument schreibt die KI-Verordnung nicht vor. Sie verlangt aber Maßnahmen, um die KI-Kompetenz deines Personals zu unterstützen [3]. Eine schriftliche Regel plus Einweisung ist dafür ein einfacher Nachweis (Einschätzung).

Gilt die KI-Kompetenzpflicht auch für kleine Firmen?

Artikel 4 gilt für Anbieter und Betreiber von KI-Systemen, eine Größengrenze enthält er nicht [3]. Kommission und Mitgliedstaaten sollen KMU laut neuer Fassung bei der Umsetzung besonders unterstützen [3].

Reicht es, ChatGPT einfach zu verbieten?

Auch die schwedische Kanzlei verbietet nicht KI insgesamt, sondern lenkt auf ein freigegebenes Tool um [1]. Ohne Alternative weichen Mitarbeitende nach meiner Erfahrung auf private Geräte aus (Einschätzung).

Quellen

Quellen

1. Sveriges Radio, Ekot (Mikael Grill Pettersson): „Regeringskansliet spärrar AI-tjänsterna Chat GPT och Claude“, 23. Oktober 2026 – sverigesradio.se · abgerufen 24.10.2026.
2. Computer Sweden (Viktor Eriksson): „Regeringskansliet spärrar Chat GPT och Claude“, 23. Oktober 2026 – computersweden.se · abgerufen 24.10.2026.
3. Future of Life Institute, AI Act Explorer: „Artikel 4: KI-Kompetenz“ (Fassung nach Digital-Omnibus) – artificialintelligenceact.eu · abgerufen 24.10.2026.
4. IHK Osnabrück – Emsland – Grafschaft Bentheim: „Digital-Omnibus-Verordnung zur KI tritt in Kraft“, 3. August 2026 – ihk.de · abgerufen 24.10.2026.
5. Bundesnetzagentur: „FAQ zur KI-Verordnung“, Abschnitt „Welche Auswirkungen hat der Digitale Omnibus auf die KI-Verordnung?“ – bundesnetzagentur.de · abgerufen 24.10.2026.
6. Datenschutz-Grundverordnung, Art. 28 „Auftragsverarbeiter“ – dsgvo-gesetz.de · abgerufen 24.10.2026.

Alle Quellen am 24. Oktober 2026 abgerufen. Die schwedischen Quellen habe ich selbst übersetzt. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.