Braucht jede soziale Einrichtung eine KI-Richtlinie?

Die eigentliche Frage: Richtlinie oder Mindestrahmen?

Die Frage "Braucht jede soziale Einrichtung eine KI-Richtlinie?" führt schnell in eine falsche Alternative. Entweder klingt es nach Bürokratie, weil sofort ein umfangreiches Dokument erwartet wird. Oder es klingt nach Laissez-faire, weil ohne perfekte Richtlinie erst einmal nichts geregelt wird.

Fachlich sinnvoller ist eine andere Frage: Welchen verbindlichen Rahmen braucht diese Einrichtung für ihre aktuelle KI-Nutzung? Dieser Rahmen kann zu Beginn sehr schlank sein. Er kann aus einer einseitigen KI-Grundregel, einer Datenampel und einem Toolfreigabeweg bestehen. Wenn KI breiter genutzt wird, muss daraus eine vollständigere KI-Richtlinie werden.

Der verbindliche Rahmen ist also nicht zuerst ein Dokumentformat. Er ist eine Organisationsentscheidung. Er sagt: KI-Nutzung ist kein privates Experiment einzelner Mitarbeitender, sondern Teil fachlicher, datenschutzbezogener und organisatorischer Verantwortung.

Ist eine KI-Richtlinie Pflicht?

Eine KI-Richtlinie ist nach aktuellem Stand nicht pauschal als eigenständiges Dokument für jede soziale Einrichtung vorgeschrieben. Weder der AI Act noch die DSGVO sagen schlicht: Jede soziale Einrichtung muss ein Dokument mit dem Titel "KI-Richtlinie" haben.

Das heißt aber nicht, dass Organisationen frei von Pflichten sind. Sobald KI-Systeme eingesetzt werden, können Anforderungen aus Datenschutz, Informationssicherheit, Arbeitsorganisation, Fachaufsicht, Dokumentation, Qualitätsmanagement und Leitungspflichten relevant werden. Der AI Act stellt zudem auf KI-Kompetenz ab: Anbieter und Betreiber von KI-Systemen müssen nach Artikel 4 Maßnahmen ergreifen, damit Personen, die in ihrem Auftrag mit KI-Systemen umgehen, ein ausreichendes Maß an KI-Kompetenz haben. Artikel 4 gilt seit dem 2. Februar 2025.

Eine KI-Richtlinie kann genau hier helfen. Sie ersetzt keine rechtliche Prüfung, keine Datenschutz-Folgenabschätzung, sofern eine solche im konkreten Einzelfall überhaupt erforderlich ist, und keine Schulung. Aber sie macht sichtbar, welche Nutzung erlaubt ist, welche Grenzen gelten, wer Verantwortung trägt und wie Kompetenzen aufgebaut werden.

Praktisch lautet die Einordnung: Die Überschrift "KI-Richtlinie" ist nicht der Pflichtkern. Der Pflichtkern liegt in steuerbarer, nachweisbarer und verantwortbarer KI-Nutzung.

Warum soziale Einrichtungen besondere KI-Leitplanken brauchen

Soziale Einrichtungen arbeiten in Vertrauensbeziehungen. Sie begleiten Menschen in Beratung, Betreuung, Pflege, Jugendhilfe, Eingliederungshilfe, Wohnungslosenhilfe, Suchthilfe, Kita, Schule, Schulsozialarbeit oder Gemeinwesenarbeit. In vielen dieser Kontexte sind Informationen nicht nur personenbezogen, sondern besonders sensibel.

Wenn eine KI im Arbeitskontext genutzt wird, geht es deshalb nicht nur um technische Effizienz. Es geht um Sozialdaten, Gesundheitsdaten, Schutzaufträge, Hilfeverläufe, Gesprächsnotizen, familiäre Konflikte, Krisensituationen und interne Einschätzungen. Schon scheinbar anonymisierte Beispiele können Menschen erkennbar machen, wenn Ort, Alter, Lebenslage, Einrichtung oder seltene Ereignisse zusammenkommen.

KI-Leitplanken helfen, diese Besonderheiten in einfache Regeln zu übersetzen. Sie verhindern, dass Mitarbeitende allein entscheiden müssen, ob ein Prompt noch unkritisch ist. Sie machen deutlich, dass fachliche Verantwortung nicht an KI abgegeben werden kann. Und sie geben Leitung, Datenschutz, IT und Qualitätsmanagement einen gemeinsamen Bezugspunkt.

Drei Stufen: Keine Nutzung, erste Nutzung, geregelter Einsatz

Der Umfang der Organisationsregel sollte zur tatsächlichen Nutzung passen. Für viele soziale Einrichtungen ist ein Stufenmodell hilfreicher als die Frage nach dem perfekten Dokument.

Stufe 1: KI wird noch nicht genutzt

Wenn eine Einrichtung KI im Arbeitskontext noch nicht nutzt, braucht sie nicht sofort eine ausformulierte Vollrichtlinie. Sie sollte aber eine Grundentscheidung treffen: Dürfen Mitarbeitende KI-Tools dienstlich testen? Wenn ja, in welchem Rahmen? Wenn nein, wie wird das kommuniziert und wann wird die Frage erneut geprüft?

Stufe 2: KI wird informell oder punktuell genutzt

Das ist die kritischste Phase. Mitarbeitende probieren Chatbots, Zusammenfassungstools oder Übersetzungshilfen aus, bevor es offizielle Regeln gibt. Hier braucht es schnell eine kurze, verbindliche Einstiegsregel: keine personenbezogenen Daten, keine Falldaten, keine Sozialdaten, keine vertraulichen Inhalte, keine ungeprüften Ergebnisse in Fachprozessen.

Stufe 3: KI wird offiziell eingesetzt

Wenn KI-Tools offiziell freigegeben, bezahlt, in Teams eingeführt oder in Arbeitsprozesse integriert werden, reicht eine kurze Notiz nicht mehr aus. Dann braucht die Organisation eine nachvollziehbare KI-Richtlinie mit Geltungsbereich, Rollen, Toolfreigabe, Datenschutzprüfung, Schulung, Dokumentation, Kontrolle und Aktualisierung.

Mindestinhalte einer KI-Richtlinie

Ein guter verbindlicher Rahmen muss nicht lang sein. Er muss aber die Fragen beantworten, die im Alltag sonst unsichtbar bleiben. Für soziale Einrichtungen sind besonders die folgenden Bausteine wichtig:

• Geltungsbereich: Für wen gilt die Regel, für welche Dienste, Standorte, Rollen und KI-Tools?
• Zweck: Wofür darf KI genutzt werden, etwa Strukturierung, allgemeine Formulierung, Ideensammlung oder Lernzwecke?
• Ausschlussliste: Welche Daten dürfen nicht in KI-Tools eingegeben werden, insbesondere Personen-, Fall-, Sozial-, Gesundheits- und Schutzdaten?
• Toolfreigabe: Wer entscheidet, welche KI-Tools dienstlich genutzt werden dürfen?
• Fachliche Prüfung: Wer prüft KI-Ergebnisse, bevor sie in Kommunikation, Dokumentation oder Entscheidungen einfließen?
• Menschliche Verantwortung: KI darf fachliche Verantwortung nicht ersetzen und keine Entscheidungen über Menschen treffen.
• Datenschutz und Sicherheit: Wann sind Datenschutz, IT oder Informationssicherheit einzubeziehen?
• Schulung und KI-Kompetenz: Welche Grundkenntnisse brauchen Mitarbeitende vor der Nutzung?
• Dokumentation: Was wird zu Toolfreigaben, Schulungen, Richtlinienversionen und besonderen Nutzungen dokumentiert?
• Eskalationsweg: An wen wenden sich Mitarbeitende bei Unsicherheit, Fehlern oder Verdacht auf Fehlanwendung?
• Aktualisierung: Wann wird die Richtlinie überprüft und wer pflegt sie?

Nicht jede Einrichtung benötigt von Beginn an alle Bausteine. Entscheidend ist, dass die Regel zum tatsächlichen Risiko und zur konkreten KI-Nutzung passt.

Praxisbeispiele

Beispiel 1: Kleine Beratungsstelle ohne offizielle KI-Nutzung

Eine kleine Beratungsstelle hat noch keine KI-Tools eingeführt. Einzelne Mitarbeitende kennen ChatGPT privat, nutzen es aber offiziell nicht. Hier muss nicht sofort eine umfangreiche KI-Richtlinie entstehen. Sinnvoll ist eine kurze Grundregel: Dienstliche KI-Nutzung ist bis zur Freigabe nicht erlaubt; allgemeine Lern- und Testzwecke sind nur ohne Personen-, Fall- oder Organisationsdaten möglich.

Damit ist die Organisation nicht fertig, aber handlungsfähig. Sie verhindert ungeklärte Nutzung und schafft Zeit für eine saubere Entscheidung.

Beispiel 2: Jugendhilfeträger mit informeller ChatGPT-Nutzung

In mehreren Teams wird ChatGPT für Formulierungen, Ideen und gelegentlich für Textüberarbeitung genutzt. Niemand hat böse Absichten, aber es gibt keine gemeinsame Regel. Hier braucht es sofort eine KI-Mindestregel mit Datenstopp: keine echten Fallnotizen, keine Hilfeverläufe, keine Gesundheitsdaten, keine Schutzkontexte, keine Namen und keine indirekt identifizierenden Kombinationen.

Parallel sollte der Träger klären, welches Tool überhaupt genutzt werden darf, ob ein dienstliches Accountmodell vorgesehen ist, wer die Freigabe erteilt und welche Schulung Mitarbeitende brauchen.

Beispiel 3: Träger will ein KI-Protokolltool einführen

Ein Träger prüft ein Tool, das Besprechungen transkribiert und zusammenfasst. Damit sind möglicherweise Stimme, Gesprächsinhalte, personenbezogene Daten, Teamkonflikte, Fallbezüge oder vertrauliche Informationen betroffen. Eine kurze "Bitte vorsichtig sein"-Regel reicht hier nicht aus.

Erforderlich sind Toolfreigabe, Datenschutzprüfung, klare Nutzungszwecke, Einwilligungs- oder Informationsregeln, Löschfristen, Rechtekonzept, Schulung und eine Entscheidung, welche Besprechungen ausdrücklich ausgeschlossen sind.

Beispiel 4: KI soll in Fachprozesse einfließen

Wenn KI-Ausgaben in Beratung, Hilfeplanung, Dokumentation, Risikoabwägung oder Kommunikation mit Klientinnen und Klienten einfließen sollen, ist die Schwelle deutlich höher. Dann braucht die Organisation mehr als eine Richtlinie: Sie braucht einen geregelten Prozess mit fachlicher Verantwortung, menschlicher Aufsicht, Datenschutzbeteiligung und klaren Stoppsignalen.

Eine KI darf hier nicht entscheiden, ob ein Mensch Hilfe bekommt, wie ein Schutzbedarf einzuschätzen ist oder welche fachliche Bewertung gilt. Sie kann höchstens unter engen Bedingungen unterstützen, wenn Menschen die Verantwortung behalten und der Einsatz geprüft ist.