KI-Richtlinie - Umgang mit künstlicher Intelligenz

Einleitung

„Wir bei B. Schlichter möchten Künstliche Intelligenz (KI) in allen Bereichen unseres Unternehmens verwenden. Wir hoffen, hierdurch die Mitarbeitenden zu entlasten, die Effizienz und Innovationsfähigkeit unseres Unternehmens zu erhöhen sowie den Service gegenüber unseren Kundinnen und Kunden weiter zu verbessern.

Jedoch gehen von der unsachgemäßen Verwendung von KI-Systemen Risiken für unser Unternehmen und unsere Kundinnen und Kunden aus, die wir minimieren wollen. Diese Richtlinie regelt daher die verantwortungsvolle und rechtskonforme Nutzung von KI-Systemen in unserem Unternehmen.“

Anwendungsbereiche

Diese Richtlinie hat folgenden Anwendungsbereiche:

1. Sachlicher Anwendungsbereich

Diese Richtlinie gilt für alle Bereiche von B. Schlichter GmbH & Co. KG und der Schlichter Maler und Glashandel GmbH.

2. Räumlicher Anwendungsbereich

Diese Richtlinie gilt für alle unsere Standorte, also derzeit Lathen, Heppenheim, Barsbüttel und Papenburg.

3. Persönlicher Anwendungsbereich

Diese Richtlinie gilt für alle Beschäftigten von B. Schlichter GmbH & Co. KG und Schlichter Maler und Glashandel GmbH. Darüber hinaus gilt sie auch für Personen, die im Auftrag unseres Unternehmens mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.

3. Zeitlicher Anwendungsbereich

Diese Richtlinie tritt am 01.06.2026 in Kraft.

Definitionen

Nachfolgend werden einige verwendete Begriffe definiert. Im Rahmen dieser Richtlinie bezeichnet der Ausdruck

1. „KI-System“

Ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können

^{(Art. 3 Nr. 1 der KI-Verordnung (EU) 2024/1689);}

2. „Risiko“

Die Kombination aus der Wahrscheinlichkeit des Auftretens eines Schadens und der Schwere dieses Schadens. 

^{(Art. 3 Nr. 2 der KI-Verordnung (EU) 2024/1689);}

3. „Schwerwiegender Vorfall“

Einen Vorfall oder eine Fehlfunktion bezüglich eines KI-Systems, das bzw. die direkt oder indirekt eine der nachstehenden Folgen hat:

a) den Tod oder die schwere gesundheitliche Schädigung einer Person;
b) eine schwere und unumkehrbare Störung der Verwaltung oder des Betriebs kritischer Infrastrukturen;
c) die Verletzung von Pflichten aus den Unionsrechtsvorschriften zum Schutz der Grundrechte;
d) schwere Sach- oder Umweltschäden

^{(Art. 3 Nr. 49 der KI-Verordnung (EU) 2024/1689);}

4. „Personenbezogene Daten“

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden„betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

^{(Art. 3 Nr. 50 der KI-Verordnung (EU) 2024/1689 i.V.m. Art. 4 Nr. 1 der Verordnung (EU) 2016/679);}

5. „KI-Kompetenz“

Die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden

^{(Art. 3 Nr. 56 der KI-Verordnung (EU) 2024/1689);}

6. „Deepfake“

Einen durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissenähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäßerscheinen würde.

^{(Art. 3 Nr. 60 der KI-Verordnung (EU) 2024/1689);}

7. Geltung der KI-Verordnung (EU) 2024/1689)

Im Übrigen gelten die Definitionen der KI-Verordnung (EU) 2024/1689.

Unternehmenswerte beim Einsatz von KI-Systemen
(„KI-Prinzipien“)

Bei der Anwendung von KI-Systemen folgen wir folgenden Grundsätzen:

1. Fairness und Nicht-Diskriminierung

KI-Systeme dürfen Personen nicht benachteiligen, insbesondere nicht aufgrund folgender Merkmale:

1. Herkunft
2. Geschlecht/sexuelle Identität
3. Religion
4. Behinderung
5. Alter

2. Datenschutz und Sicherheit

2.1. Grundsatz zum Umgang mit Daten

Datenschutz hat bei der Nutzung von KI-Systemen oberste Priorität. Da viele KI-Anbieter hochgeladene Informationen zum Training ihrer Modelle nutzen und die rechtliche Lage bezüglich der Eigentumsrechte an Outputs (Text, Bild, Code) derzeit nicht abschließend geklärt ist, gilt eine strikte Daten Disziplin.

Personenbezogene Daten werden nur so weit verarbeitet, wie dies für die Tätigkeit unseres Unternehmens notwendig ist.

Es ist strengstens untersagt, das System für automatisierte Personalanalysen, das Creditscoring oder zur Beurteilung von Menschen einzusetzen. Solche Anwendungen fallen in die Kategorie der Hochrisiko-KI und sind ohne explizite Freigabe verboten.

2.2 Die 3 Goldenen Regeln der KI-Nutzung

Um die Sicherheit unserer Unternehmenswerte und den Schutz personenbezogener Daten zu gewährleisten, sind folgende Regeln ausnahmslos einzuhalten:

• Regel 1: Keine personenbezogenen Daten inöffentlichen KI-Tools.
  Die Eingabe von Klardaten (Namen, E-Mails, Telefonnummern), die Rückschlüsse auf identifizierbare Personen zulassen, ist inöffentlichen oder nicht-proprietären KI-Systemen untersagt. Es gibt keine Ausnahmen.
• Regel 2: Anonymisierung vor Upload.
  Sollen unternehmensinterne Daten verarbeitet werden, müssen diese vorab zwingend anonymisiert werden:
  • Namen durch Platzhalter ersetzen.
  • Spezifische Details abstrahieren.
  • Kontext entfernen, der eine Re-Identifizierung ermöglichen könnte.
• Regel 3: Vorsicht vor Schnelligkeit.
  Im Zweifelsfall ist die Nutzung zu unterlassen oder Rücksprache mit dem Datenschutzbeauftragten zu halten.

2.3 Besonders schützenswerte Datenkategorien

Der Umgang mit den folgenden Datenkategorien ist in Verbindung mit KI-Tools besonders kritisch und unterliegt strengsten Beschränkungen:

• Gesundheitsdaten & genetische Daten
• Unternehmensinterna (Strategien, unveröffentlichte Berichte)
• Nicht-öffentliche Finanzdaten
• Lebensläufe und Mitarbeiterdaten

2.4 Transparenz und Datensparsamkeit

Bei der Arbeit mit KI-gestützten Prozessen sind wir gegenüber unseren Kunden zur Transparenz verpflichtet:

• Informationspflicht:Kunden müssen darüber in Kenntnis gesetzt werden, wenn ihre Daten durch KI-Systeme verarbeitet werden. Diese Informationen sollten präzise, aber allgemein gehalten sein.
• Datensparsamkeit:Es dürfen grundsätzlich nur die für den spezifischen Zweck absolut notwendigen Daten erhoben und verarbeitet werden.

3. Menschliche Aufsicht

Von KI-Systemen geschaffene Ergebnisse dürfen nicht ungeprüft verwendet werden.

Regeln für die Nutzung von KI-Systemen

1. Freigegebene KI-Systeme

Bereitgestellte KI-Tools dienen ausschließlich der Unterstützung im Arbeitsalltag (z. B. für allgemeine Recherchen oder Textentwürfe).

Die unkontrollierte Nutzung von nicht offiziell freigegebenen,öffentlichen KI-Werkzeugen (Schatten-KI) stellt ein erhebliches Risiko für unsere Datensicherheit dar. Für dienstliche Zwecke dürfen daher ausschließlich die vom Unternehmen offiziell geprüften und bereitgestellten KI-Tools genutzt werden.

Sofern das Unternehmen "Enterprise"-Lizenzen (z. B. ChatGPT Enterprise, Microsoft 365 Copilot) bereitstellt, ist die Nutzung privater Accounts für dienstliche Zwecke untersagt.

Beschaffungsprozess: Sollten Sie ein neues KI-Tool für Ihre Abteilung benötigen, darf dieses nicht eigenmächtig beschafft werden. Bitte nutzen Sie den offiziellen Freigabeprozess, damit eine Prüfung der Datentransfers, des Serverstandorts sowie der Verarbeitungslogik durch die IT vorgenommen werden kann

Vor Nutzung eines KI-Systems muss dieses für jeweils spezifische Anwendungsbereiche freigegeben werden. Zulässig sind:

• Das System LibreChat in Kombination mit AKI.IO für folgende Anwendungsbereiche:
• • • Text- und Kommunikationsarbeit
      Beispiele:
      • • E-Mails formulieren
        • Rundschreiben
        • IT-Support-Anleitungen
        • interne Dokumentation
        • Meeting-Protokolle strukturieren
        • Stellenanzeigen
        • Schulungsunterlagen
        • FAQ-Texte
        • Wiki-Artikel
        • Marketingtexte
        • Übersetzungen
        • Umformulierungen
          Bedingungen:
          • • • es dürfen keine echten Kundendatenenthalten sein
              • Namen MÜSSEN anonymisiert werden
              • es dürfen keine vertraulichen Verträge oder Geheimnisse eingefügt werden

• • • Programmierung und IT-Automatisierung
    • interne Dokumentation
      • • Prozessbeschreibungen
        • Zusammenfassungen (auch hier anonymisiert)
• Das System "Perplexity“ für folgende Anwendungsbereiche:
  • Recherche technischer Informationen
  • Programmierung von Ergänzungsprogrammen für die 3D-Software

Andere Nutzungen dieser KI-Systeme sind untersagt.

2. Verbot der Verwendung anderer KI-Systeme

Unzulässig ist die Verwendung aller anderen als der soeben genannten KI-Systeme. Dies betrifft insbesondere KI-Systeme auf privaten Endgeräten und die Verwendung kostenloser KI-Systeme bzw. von Versionen, die nicht auf Unternehmensnutzer zugeschnitten sind.

Die Eingabe von Unternehmensdaten in nicht autorisierte KI-Systeme ist untersagt.

3. Wahrung von Urheberrechten

Bei der Nutzung von KI-Systemen dürfen keine Urheberrechte, Lizenzbestimmungen, Markenrechte oder Persönlichkeitsrechte verletzt werden.

4. Transparenz

Seit dem 2. August 2026 gilt in der Europäischen Union eine gesetzliche Kennzeichnungspflicht für bestimmte KI-generierte oder manipulierte Inhalte nach Artikel 50 der KI-Verordnung (EU AI Act).

Geltungsbereich:
Die Pflicht betrifft vor allem Unternehmen, gewerbliche Anbieter und Behörden, die KI in der Kommunikation oder im Marketing einsetzen. Reine Privatanwender sind ausgenommen.

Betroffene Inhalte: Gekennzeichnet werden müssen KI-generierte Bilder, Videos, Audios und Deepfakes (täuschend echte Simulationen von realen Personen, Orten oder Ereignissen) sowie Service-Chatbots.

Art der Kennzeichnung: Der Hinweis muss klar, sichtbar und direkt beim ersten Kontakt mit dem Inhalt erfolgen. Versteckte Hinweise im Kleingedruckten oder in den AGB reichen nicht aus. Zusätzlich ist eine maschinenlesbare Kennzeichnung (wie Metadaten oder Wasserzeichen) vorgeschrieben. Das BSI Verbraucherschutz bietet hierzu hilfreiche Einschätzungen zur Erkennung und Kennzeichnung von KI-Bildern.

Beispiele:

Text-Hinweise: Beschriftungen wie „KI-generiert“, „Erstellt mit KI“ oder „AI generated“ direkt am Bild, im Video oder am Anfang eines Artikels.

Visuelle Symbole: Die von der EU bereitgestellten EU-Icons zur Kennzeichnung von KI-generierten Inhalten (z. B. für vollständig KI-erzeugte oder teilweise KI-modifizierte Inhalte).

Overlays und Wasserzeichen: Sichtbare Banner, Pop-ups oder Wasserzeichen bei realistischen Deepfake-Bildern und -Videos.

Chatbots: Ein klarer Hinweis im Chatfenster sowie in der Datenschutzerklärung, dass Nutzer mit einer KI kommunizieren.

Technische Metadaten: Unsichtbare, maschinenlesbare Markierungen in Bilddateien (wie Content Credentials), die von KI-Anbietern eingebettet werden.

5.Überprüfung der Ergebnisse (menschliche Aufsicht)

Die durch ein KI-System erzeugten Ergebnisse müssen stets durch einen Menschenüberprüft werden.

Achtung: KI-Systeme neigen zu Halluzinationen und zu gut klingenden, aber falschen Ergebnissen! Prüfe jede Ausgabe eines KI-Systems kritisch! Vor allem bei Weitergabe an Dritte. Achte auf sachliche Richtigkeit, Logik und Diskriminierungsfreiheit

Die Verantwortung für die Ausgabe trägt immer der Anwender, nicht die KI.

6. Unternehmensinterne Datenschutzrichtlinie

Alle datenschutzrechtlichen Anforderungen gemäßder Datenschutzrichtlinie unseres Unternehmens gelten vollumfänglich auch für den Einsatz von KI-Systemen.

Personenbezogene Daten: Es dürfen unter keinen Umständen personenbezogene Daten von Kunden, Mitarbeitenden oder Geschäftspartnern eingegeben werden, um Verstöße gegen die DSGVO zu vermeiden.

7. Geheimnisschutz

Wir erinnern hiermit an Folgendes: Es ist unzulässig, Geschäftsgeheimnisse, unternehmensinterne und sonstige vertrauliche Informationen in KI-Systeme einzugeben.

Interne Finanzdaten, Strategiepapiere, Passwörter (Credentials) und proprietärer Quellcode dürfen nicht in KI-Systeme kopiert werden.

8. Hinweispflichten

Alle Beschäftigten sind verpflichtet, Fehler des KI-Systems, die sie bei der Verwendung von KI-Systemen bemerken, unverzüglich [der KI-Einheit und dem Geschäftsbereich] anzuzeigen. Anzeigepflichtige Fehler sind insbesondere solche, die zu unzulässigen Diskriminierungen von Personen führen können […].

Rollen und Verantwortlichkeiten

1. ALLE Mitarbeitende der B. Schlichter GmbH & Co. KG und der Schlichter Maler und Glashandel GmbH

Jede/r Einzelne ist für die Einhaltung dieser Richtlinie, [der Datenschutz-Richtlinie] und die Einhaltung aller anwendbaren Gesetze verantwortlich.

2. KI-Team

Bei Fragen zu der Anwendung dieser Richtlinie und/oder der anwendbaren Gesetze steht unser KI-Team oder die IT-Abteilung bereit. Die IT-Abteilung ist erreichbar unter der Durchwahl 164/168, das KI-Team per E-mail unter ki-team@schlichter.biz

Meldet euch ebenfalls gerne beim KI-Team, wenn Ihr Vorschläge für die Implementierung weiterer KI-Systeme habet oder weitere mögliche Anwendungsbereiche für durch uns bereits verwendete KI-Systeme vorschlagen möchtet.

3. Geschäftsbereiche

Die Geschäftsbereiche sind verantwortlich für die Veröffentlichung von Anwendungshinweisen für spezifische in den Geschäftsbereichen verwendete KI-Systeme.

Die Geschäftsbereichsleitungenüberwachen die Einhaltung dieser Richtlinie durch die ihnen zugewiesenen Mitarbeiterinnen und Mitarbeiter.

4. Geschäftsführung

Die Geschäftsführung setzt den Rahmen für die Verwendung von Künstlicher Intelligenz in unserem Unternehmen und entwickelt den Rahmen weiter.

KI-Kompetenz

Alle Beschäftigten unseres Unternehmens erhalten in regelmäßigen Abständen Schulungen zur Förderung ihrer KI-Kompetenz. Dies gilt ebenfalls für Personen, die im Auftrag unseres Unternehmens mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Inhalt dieser Schulungen sollen auch diese Richtlinie sowie die Grundlagen der KI-Regulierung sein.