Die KI-Richtlinie ist in vielen Unternehmen der erste Governance-Schritt, und das zu Recht: Ein Dokument, das klärt, welche Tools erlaubt sind, welche Daten sie nie sehen dürfen und wer Ausgaben freigibt, schafft Ordnung. Nur wird die Richtlinie oft behandelt, als wäre mit ihr das Thema erledigt. Die Zahlen sagen etwas anderes: 71 % der Beschäftigten nutzen nicht freigegebene KI-Tools — Richtlinie hin oder her.

Was eine Richtlinie leistet

Eine gute Richtlinie beantwortet die Dürfen-Fragen: Welche Werkzeuge sind freigegeben, was gilt für personenbezogene Daten, wo muss ein Mensch das letzte Wort haben. Das ist notwendig — für die Ordnung im Haus ebenso wie als Baustein der Dokumentation, die Artikel 4 verlangt. Notwendig, aber nicht hinreichend.

Woran Richtlinien in der Praxis scheitern

Sie scheitern selten am Inhalt, sondern an zwei Annahmen. Erstens, dass Regeln Verhalten steuern: Wer unter Zeitdruck steht und mit dem freigegebenen Tool nicht zum Ergebnis kommt, nimmt das nicht freigegebene — pragmatisch, nicht böswillig. Zweitens, dass Mitarbeitende können, was die Richtlinie verlangt: „KI-Ausgaben kritisch prüfen“ ist schnell geschrieben. Ob jemand tatsächlich erkennt, wo ein Modell halluziniert und wo Fachwissen fehlt, ist eine Fähigkeit — und die entsteht nicht durch das Lesen eines Dokuments.

Der fehlende zweite Schritt: Können sichtbar machen

Zwischen der Richtlinie und ihrer Wirkung liegt eine Frage, die die wenigsten Unternehmen beantworten können: Wie gut kann unser Team eigentlich, was das Dokument von ihm verlangt? Solange das niemand weiß, bleibt jede Regel ein Appell. Eine Messung an echter Arbeit beantwortet die Frage — und zeigt nebenbei, welche Regel im Alltag regelmäßig gerissen wird und warum.

Richtlinie und Kompetenznachweis gehören zusammen

Auch regulatorisch greift das eine ohne das andere zu kurz: Eine Richtlinie allein belegt ein Aufschreiben, kein Bemühen um tatsächliche Kompetenz — und genau darauf kommt es bei Artikel 4 EU AI Act an. Umgekehrt bleibt ein Kompetenzaufbau ohne Regeln richtungslos. Zusammen ergeben sie den Prozess, der trägt: Die Richtlinie setzt den Rahmen, die Messung zeigt, ob das Team ihn ausfüllen kann, und die Maßnahme schließt die Lücke dazwischen.

Fazit

Eine KI-Richtlinie ist der richtige erste Schritt — und ein gefährlicher letzter. Wer nach dem Dokument aufhört, verwaltet Regeln für ein Verhalten, das er nie gesehen hat. Wer weitergeht und misst, wie das Team tatsächlich arbeitet, macht aus dem Papier einen Prozess: Regeln, die zum Können passen, und ein Können, das sich belegen lässt.