Prompt-Richtlinien im Unternehmen: Regeln, Vorlage, Einführung

Eine Prompt-Richtlinie legt fest, wie Ihre Beschäftigten mit KI-Tools arbeiten: wie sie Aufträge an die KI formulieren, welche Daten sie eingeben dürfen, wie sie Ergebnisse prüfen und wer bewährte Prompts freigibt und pflegt. Für ein KMU reichen dafür meist zwei bis vier Seiten und eine gepflegte Prompt-Sammlung. Hier sehen Sie, was hineingehört, welche Regeln deutsche Behörden und Verbände vorgeben und wie Sie die Richtlinie so einführen, dass sie im Arbeitsalltag auch gelebt wird.

Kurz gesagt

• Zwei Ebenen: Eine gute Prompt-Richtlinie regelt das Formulieren (Rolle, Aufgabe, Kontext, Format, Beispiele) und das Steuern (Daten, Prüfung, Freigabe, Versionen).
• Daten zuerst: Passwörter, Geschäftsgeheimnisse und unnötige personenbezogene Daten gehören nicht in einen Prompt. Personenbezogenes nur in freigegebene, DSGVO-konforme Tools.
• Kein Ergebnis ungeprüft: Fakten, Quellen und Logik prüft immer ein Mensch, bevor ein KI-Text das Haus verlässt.
• Nach Risiko staffeln: Prompts für Kundenkommunikation oder regulierte Abläufe brauchen eine Freigabe, interne Entwürfe nicht.
• Schulung ist Pflicht: Seit Februar 2025 verlangt der EU AI Act, dass Ihre Beschäftigten ausreichende KI-Kompetenz haben. Die Richtlinie ist dafür die Grundlage.

Inhaltsverzeichnis

• Was eine Prompt-Richtlinie regelt
• Die Bausteine einer Prompt-Richtlinie
• So formulieren Ihre Teams wirksame Prompts
• Welche Daten in einen Prompt dürfen
• KI-Ergebnisse prüfen, bevor sie das Haus verlassen
• Prompts nach Risiko steuern
• Die Richtlinie in fünf Schritten einführen
• Unsere Sicht
• Prompt-Richtlinie und Schulung aus einer Hand
• Häufige Fragen
• Quellen

Was eine Prompt-Richtlinie regelt

Viele Treffer zu diesem Thema sind Schreibtipps: Seien Sie konkret, geben Sie Kontext. Das stimmt, greift für ein Unternehmen aber zu kurz. Sobald zehn, zwanzig oder hundert Menschen mit ChatGPT, Copilot oder einem anderen Sprachmodell arbeiten, entstehen Fragen, die keine Formulierungshilfe beantwortet: Darf die Kundenliste in den Chat? Wer haftet für einen falschen Wert im Angebot? Welcher Prompt für Reklamationsantworten gilt gerade?

Genau hier setzt Prompt Governance an. Das Fachmagazin CIO beschreibt Prompts als steuerbare Geschäftsassets, die Regeln für Erstellung, Freigabe und Versionierung brauchen. Der Grund: Prompts steuern inzwischen echte Geschäftsprozesse, und mit ihnen wandern Risiken wie Datenabfluss, erfundene Inhalte und uneinheitliche Ergebnisse in den Betrieb.

Die Prompt-Richtlinie ist damit der praktische Teil einer größeren Ordnung. Die übergeordnete Frage, welche Tools überhaupt erlaubt sind und wer entscheidet, beantwortet Ihre KI-Richtlinie für das Unternehmen. Wie Rollen, Pflichten und Kontrollen insgesamt zusammenspielen, regelt Ihre KI-Governance im Mittelstand. Die Prompt-Richtlinie übersetzt beides in den Moment, in dem jemand eine Anfrage in das Eingabefeld tippt.

Die Bausteine einer Prompt-Richtlinie

Diese sieben Kapitel haben sich in der Praxis bewährt. Nicht jedes muss lang sein, aber jedes sollte vorkommen.

Zwei Kapitel unterschätzen Unternehmen regelmäßig: Ablage und Pflege. Ohne zentrale Sammlung schreibt jede Abteilung eigene Varianten, und gute Prompts verschwinden mit dem Laptop eines Kollegen. Eine gepflegte Bibliothek ist deshalb auch ein Stück Wissensmanagement mit KI.

So formulieren Ihre Teams wirksame Prompts

Für den Formulierungsteil müssen Sie das Rad nicht neu erfinden. Der Leitfaden für effektives Prompting des IT-Planungsrats empfiehlt sieben Elemente, die sich direkt in eine Unternehmensrichtlinie übernehmen lassen:

1. Rolle: Aus welcher Perspektive soll die KI antworten? "Du bist erfahrene Kundenberaterin in einem Sanitärbetrieb."
2. Aufgabenstellung: Was genau soll entstehen? Ein Verb, ein Ergebnis.
3. Kontext: Was muss die KI wissen, um gut zu antworten? Zielgruppe, Anlass, Vorgeschichte.
4. Ausgabeformat: Tabelle, E-Mail, Stichpunkte, maximale Länge.
5. Hinweise: Was ist zu beachten oder auszuschließen?
6. Duktus: Tonalität, Anrede, Fachsprache oder Alltagssprache.
7. Beispiele: Ein Muster zeigt oft mehr als jede Beschreibung.

Ein Beispiel aus dem Handwerksalltag

Schwach: "Schreib eine Antwort auf die Beschwerde."

Stark: "Du bist Kundenbetreuer eines Heizungsbaubetriebs mit 25 Mitarbeitenden. Ein Kunde beschwert sich, dass der Monteur zwei Stunden zu spät kam [Beschwerdetext ohne Namen einfügen]. Schreibe eine Antwort-E-Mail mit höchstens 120 Wörtern, Anrede 'Sie', freundlich und sachlich. Entschuldige dich, erkläre kurz die Verzögerung durch einen Notfalleinsatz und biete einen festen Rückrufzeitpunkt an. Erfinde keine Zusagen zu Preisnachlässen."

Der zweite Prompt enthält alle sieben Elemente bis auf das Beispiel, und er enthält bereits eine Datenregel: Der Name des Kunden bleibt draußen.

Einschränkungen sparsam einsetzen

Eine Erfahrung aus der Praxis gehört in jede Richtlinie: Lange Verbotslisten machen Prompts nicht besser. Die Fachredaktion von tolingo rät, wenige, klare Einschränkungen statt langer Negativlisten zu verwenden, etwa: "Keine erfundenen Zahlen. Wenn dir eine Angabe fehlt, schreib [OFFEN]." Diese eine Zeile verhindert mehr Fehler als zehn Verbote, weil sie der KI sagt, was sie stattdessen tun soll. Wir empfehlen, sie als Standardsatz in jede Vorlage Ihrer Prompt-Bibliothek aufzunehmen.

Welche Daten in einen Prompt dürfen

Das Datenkapitel ist der Teil, auf den es rechtlich ankommt. Deutsche Verbände und Hochschulen sind sich dabei weitgehend einig. Der KI-Handlungsleitfaden des Zentralverbands des Deutschen Handwerks untersagt die Eingabe vertraulicher Informationen wie Geschäftsgeheimnisse oder Geschäftsideen. Personenbezogene Daten dürfen danach nur in DSGVO-konforme, von der Geschäftsführung freigegebene Tools und nur so weit wie zwingend nötig, sonst werden sie pseudonymisiert oder anonymisiert.

Die Nutzungshinweise der Universität Kassel ergänzen zwei Punkte, die sich gut für Unternehmen eignen: nur die wirklich nötigen Informationen eingeben und Namen durch Platzhalter ersetzen. Passwörter und Zugangsdaten sind ausnahmslos tabu.

Für Ihre Richtlinie hat sich ein Ampelsystem bewährt:

Wichtig für die Einordnung: In Deutschland gibt es kein generelles Verbot, personenbezogene Daten mit KI zu verarbeiten. Es kommt laut Rechtsanwalt Christoph Kehr auf Produkt, Datenart, Zweck und Schutzmaßnahmen an. Für besondere Kategorien gelten die strengeren Regeln des Art. 9 DSGVO, und bei externen Diensten brauchen Sie grundsätzlich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ob ein konkretes Tool diese Anforderungen erfüllt, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten, bevor es auf die Toolliste kommt.

Die Ampel wirkt nur, wenn die freigegebenen Tools auch gut genug sind. Sonst weichen Beschäftigte auf private Konten aus, und die Daten landen dort, wo Sie sie nicht sehen. Wie Sie das verhindern, zeigt unser Beitrag zu Shadow AI im Unternehmen. Wenn Prompts in eigene Anwendungen oder Chatbots einfließen, kommt ein weiteres Risiko hinzu: manipulierte Eingaben von außen, die wir unter Prompt-Injection-Schutz für KMU behandeln.

KI-Ergebnisse prüfen, bevor sie das Haus verlassen

Sprachmodelle formulieren überzeugend, auch wenn der Inhalt falsch ist. Deshalb verlangen öffentliche Leitfäden eine Prüfpflicht. Der KI-Leitfaden des Bayerischen Finanzministeriums (April 2025) hält fest, dass Ergebnisse anhand vertrauenswürdiger Quellen auf Richtigkeit, Vollständigkeit und Diskriminierungsfreiheit zu prüfen sind und eine ungeprüfte Übernahme nicht zulässig ist. Die Leitlinien für KI in der Bundesverwaltung warnen zusätzlich vor erfundenen Quellenangaben und verlangen zu prüfen, ob generierte Inhalte personenbezogene Daten enthalten.

Was für Behörden gilt, ist für ein Unternehmen mit Kundenkontakt erst recht sinnvoll. Die KI-Handreichung der TU Darmstadt liefert eine Prüfroutine, die Sie fast wörtlich übernehmen können:

1. Fakten-Check: Stimmen Zahlen, Daten, Namen und Bezeichnungen?
2. Quellen-Check: Gibt es die zitierten Studien, Personen oder Ereignisse wirklich?
3. Logik-Check: Ist der rote Faden schlüssig, gibt es Widersprüche?
4. Fachbegriffe und Tonalität: Passen Begriffe und Ton zu Ihrem Unternehmen und zur Zielgruppe?
5. Quellen nachfragen: Bitten Sie die KI um konkrete Belege und prüfen Sie diese selbst.

Ergänzen Sie die Routine um eine Zuständigkeit: Wer einen KI-Text verschickt, verantwortet ihn. Das ist keine Formalie, sondern der Satz, der in der Praxis die meisten Fehler verhindert. Für ein Angebot prüft die Person, die es unterschreibt. Für einen Social-Media-Beitrag prüft die Marketingverantwortliche. Für eine Verkehrsprognose prüft die Planerin, die sie im Gremium vorstellt.

Prompts nach Risiko steuern

Nicht jeder Prompt braucht ein Freigabeverfahren. Wer alles gleich streng regelt, lähmt die Teams. Ein risikobasierter Ansatz, wie ihn die McMaster University beschreibt, unterscheidet zwischen Prompts in kundennahen oder regulierten Kontexten, die formelle Governance brauchen, und internen Anwendungen mit geringem Risiko, die mit leichterer Aufsicht auskommen.

Für ein KMU heißt das konkret:

• Stufe 1, frei: Brainstorming, interne Notizen, Zusammenfassungen eigener Texte. Es gelten Datenampel und Prüfroutine, keine Freigabe nötig.
• Stufe 2, Bibliothek: Wiederkehrende Aufgaben wie Angebotstexte, Stellenanzeigen oder Reklamationsantworten. Der Prompt liegt als geprüfte Vorlage in der Bibliothek, Änderungen laufen über eine verantwortliche Person.
• Stufe 3, Freigabe: Prompts, die automatisiert Kundenkommunikation erzeugen, in Software eingebaut sind oder Entscheidungen über Menschen vorbereiten. Hier gilt: testen, dokumentieren, freigeben, erst dann produktiv. Große Unternehmen gehen ähnlich vor; die KI-Richtlinie von HUGO BOSS verlangt für den Schritt vom Experiment in den produktiven Einsatz eine formelle Genehmigung, eine Risikobewertung und eine Dokumentation.

Stufe 3 berührt oft auch den EU AI Act. Welche Pflichten an welchem Einsatzzweck hängen, erklärt unser Überblick zu den AI-Act-Risikoklassen.

Die Richtlinie in fünf Schritten einführen

Eine Richtlinie, die nur im Intranet liegt, ändert nichts. So bringen Sie sie in den Arbeitsalltag:

1. Bestandsaufnahme: Fragen Sie offen, welche Tools und Prompts schon genutzt werden. Sie erfahren dabei, wo die echten Anwendungsfälle liegen und wo Risiken schlummern.
2. Entwurf mit den Nutzern: Schreiben Sie die Richtlinie mit zwei, drei Beschäftigten, die KI bereits intensiv nutzen. Regeln, die aus der Praxis kommen, werden eher befolgt.
3. Betriebsrat einbinden: Wenn es einen gibt, sprechen Sie früh mit ihm. Welche Mitbestimmungsrechte greifen, lesen Sie unter Betriebsrat bei KI.
4. Schulen statt verschicken: Der EU AI Act verlangt in Artikel 4, dass Personen, die KI-Systeme bedienen, über ausreichende KI-Kompetenz verfügen. Die IHK Hannover fasst die Pflicht zusammen, die seit Anfang Februar 2025 gilt. Eine Schulung, in der Ihre Teams mit den eigenen Prompts üben, erfüllt beides: Sie vermittelt Kompetenz und macht die Richtlinie lebendig. Inhalte und Formate stellen wir in unserem Beitrag zur Prompt-Engineering-Schulung für KMU vor.
5. Pflegen und messen: Legen Sie eine verantwortliche Person fest und einen festen Termin, etwa zweimal im Jahr, an dem Toolliste, Datenampel und Bibliothek überprüft werden. Neue Modelle, neue Funktionen und neue Anwendungsfälle kommen schneller, als man denkt.

Eine Mustergliederung für den Start

Wenn Sie heute beginnen wollen, reicht diese Gliederung für eine erste Fassung:

1. Zweck und Geltungsbereich
2. Freigegebene Tools und Ansprechperson
3. Aufbau guter Prompts (sieben Elemente)
4. Datenampel
5. Prüfroutine und Verantwortung
6. Risikostufen und Freigabe
7. Prompt-Bibliothek: Ablage, Versionen, Änderungen
8. Schulung, Überprüfung und Kontakt bei Fragen

Unsere Sicht

Wir erleben in kleinen und mittelständischen Unternehmen immer wieder dasselbe Bild: KI wird längst genutzt, nur ohne gemeinsame Regeln. Die einen trauen sich nicht, die anderen kopieren Kundendaten in private Konten. Beides kostet Geld, einmal an verschenkter Zeit, einmal an Risiko.

Eine Prompt-Richtlinie löst das nicht als Verbotskatalog, sondern als Werkzeug. Wir schreiben sie deshalb nie am grünen Tisch, sondern ausgehend von den Prozessen, die im Betrieb tatsächlich Zeit fressen: das Angebot im Handwerk, die Kampagne im Marketing, der Bericht in der Planung. Dort setzen wir an, weil sich dort der Nutzen am schnellsten zeigt.

Unser Grundsatz ist einfach: Erst die Prozesse und Daten verstehen, dann die Regeln schreiben, dann die Menschen befähigen. Eine Richtlinie, die zur Größe und Branche des Unternehmens passt, datenschutzkonform ist und in einem Workshop mit echten Beispielen geübt wird, wird gelebt. Eine Vorlage aus dem Internet wird abgeheftet.

Shaun

Prompt-Richtlinie und Schulung aus einer Hand

Sie möchten Ihre Prompt-Richtlinie nicht allein entwickeln? Wir analysieren mit Ihnen die Prozesse, in denen KI bei Ihnen den größten Hebel hat, erarbeiten Regeln, die zu Ihrer Unternehmensgröße und Branche passen, und schulen Ihre Teams in praxisnahen Workshops mit Ihren eigenen Anwendungsfällen. Als zertifizierte INQA-Coaches unterstützen wir Sie zudem bei der Suche nach passenden Förderprogrammen und bei Förderanträgen.

Alle Formate, von der KI-Strategieberatung über Workshops und Mitarbeiter-Trainings bis zu Impulsvorträgen, finden Sie unter unseren Leistungen. Wenn Sie direkt sprechen möchten, vereinbaren Sie einen Termin. Wir betreuen Unternehmen deutschlandweit persönlich, mit Standorten in Saarbrücken und Nassenfels.

Häufige Fragen

Ist eine Prompt-Richtlinie gesetzlich vorgeschrieben?

Ein eigenes Gesetz für Prompt-Richtlinien gibt es nicht. Die DSGVO verlangt aber, dass Sie den Umgang mit personenbezogenen Daten regeln, und der EU AI Act fordert seit Februar 2025 ausreichende KI-Kompetenz Ihrer Beschäftigten. Eine schriftliche Richtlinie mit begleitender Schulung ist der praktischste Weg, beides nachweisbar umzusetzen.

Was ist der Unterschied zwischen KI-Richtlinie und Prompt-Richtlinie?

Die KI-Richtlinie regelt den Rahmen: welche Tools erlaubt sind, wer entscheidet und welche Einsatzzwecke ausgeschlossen sind. Die Prompt-Richtlinie regelt die tägliche Arbeit: wie man Prompts formuliert, welche Daten hineindürfen und wie Ergebnisse geprüft werden. In kleineren Betrieben können beide in einem Dokument stehen.

Wie lang sollte eine Prompt-Richtlinie sein?

Für ein KMU genügen meist zwei bis vier Seiten plus eine Prompt-Bibliothek mit Vorlagen. Entscheidend ist, dass jede Regel ein konkretes Beispiel hat und die Datenampel auf eine Seite passt. Was Beschäftigte nicht in fünf Minuten verstehen, wenden sie im Alltag nicht an.

Wer sollte die Prompt-Bibliothek pflegen?

Bewährt hat sich eine verantwortliche Person je Fachbereich, die Vorlagen freigibt und Änderungen mit Datum und Version festhält. Die Gesamtverantwortung für die Richtlinie liegt bei der Geschäftsführung oder einer benannten KI-Ansprechperson. Wichtig ist ein fester Überprüfungstermin, damit die Sammlung nicht veraltet.

Quellen

• CIO: Prompt governance is the new data governance
• IT-Planungsrat: Leitfaden für effektives Prompting
• tolingo: Prompt Engineering, Anleitung und Bausteine
• ZDH: KI-Handlungsleitfaden bei dienstlicher Nutzung von KI-Tools
• Universität Kassel: Nutzungshinweise KI-Chatbots
• deinrechtsanwalt.com: ChatGPT im Unternehmen, Kundendaten und Geschäftsgeheimnisse
• Bayerisches Staatsministerium der Finanzen und für Heimat: KI-Leitfaden für Beschäftigte
• TU Darmstadt: KI-Handreichung Kommunikation 2026
• McMaster University: Prompt governance
• HUGO BOSS: KI- und Gen-KI-Politik
• IHK Hannover: Verpflichtungen im AI-Act, KI-Kompetenzen sichern

Empfehlungen

• Prompt-Engineering-Schulung für KMU: Inhalte, Formate, Förderung
• Brauchen Unternehmen jetzt eine AI Policy?
• Prompt-Injection-Schutz: So sichern KMU ihre KI-Anwendungen ab
• KI-Governance: Definition, Pflichten und Umsetzungsplan für KMU