--- title: "AI Acceptable Use Policy: How to Write One and Enforce It With Zero Trust" description: Erfahren Sie, was in eine Richtlinie zur akzeptablen Nutzung von KI gehört, nutzen Sie eine anpassbare Vorlage und setzen Sie diese mit Zero-Trust-Zugriffskontrollen statt bloßem Vertrauen durch. image: https://blog.openvpn.net/hubfs/b0852656-fe74-4d49-9405-6ffab1318046.png --- - [Blog](https://blog.openvpn.net/de) # AI Acceptable Use Policy: How to Write One and Enforce It With Zero Trust 06.11.2026 • 9 min read ![AI agent robot holding a policy checklist clipboard.](https://blog.openvpn.net/hubfs/b0852656-fe74-4d49-9405-6ffab1318046.png) Share - - - - By Admin ## Ihre Mitarbeitenden nutzen KI bereits bei der Arbeit. Einiges davon ist genehmigt. Vieles davon wahrscheinlich nicht. Mit einer Richtlinie zur akzeptablen Nutzung von KI (AI Acceptable Use Policy) teilen Sie Ihrem Team mit, welche Tools genutzt werden dürfen, welche Daten geteilt werden können und was passiert, wenn gegen die Regeln verstoßen wird. Eine Richtlinie allein ist jedoch nur ein Dokument. Organisationen, die Risiken tatsächlich minimieren, kombinieren eine klare, knappe Richtlinie mit Zugriffskontrollen, die diese automatisch durchsetzen. Dieser Leitfaden behandelt beides: was eine Richtlinie zur akzeptablen Nutzung von KI enthalten sollte, eine Vorlage zum Anpassen und wie Zero-Trust-Prinzipien dafür sorgen, dass Ihr Netzwerk diese Regeln auch tatsächlich befolgt. ## Was ist eine Richtlinie zur akzeptablen Nutzung von KI (AI Acceptable Use Policy)? Eine Richtlinie zur akzeptablen Nutzung von KI (AI Acceptable Use Policy – AI AUP) ist ein schriftliches Regelwerk. Es legt fest, wie Beschäftigte, externe Auftragnehmer und automatisierte Systeme KI-Tools für geschäftliche Zwecke nutzen dürfen. Typischerweise regelt sie, welche Tools zugelassen sind, welche Daten eingegeben werden dürfen (und welche nicht), wer die Verantwortung für KI-generierte Ergebnisse trägt und wie mit Verstößen umgegangen wird. Die meisten Organisationen erstellen eine solche Richtlinie als Reaktion auf Schatten-KI: die Nutzung von KI-Tools und -Diensten, die nicht von der IT oder der Informationssicherheit freigegeben wurden. Fehlt eine Richtlinie, treffen Mitarbeiter eigene Entscheidungen darüber, welchem Chatbot, Programmierassistenten oder welcher Browser-Erweiterung sie Unternehmensdaten anvertrauen. Die AI AUP ersetzt diese individuellen Mutmaßungen durch einen gemeinsamen Standard. ## Warum jedes Unternehmen jetzt eine solche Richtlinie braucht - **Daten entgleiten Ihrer Kontrolle, sobald sie in einen Prompt eingefügt werden.** Kundendaten, Quellcode, Verträge und Finanzdaten können bei einem externen Modellanbieter landen, dessen Bedingungen zur Datenaufbewahrung und zum Modelltraining Sie nie geprüft haben. - **Compliance-Pflichten machen bei neuen Tools keine Pause**. Wenn Sie der DSGVO, HIPAA, SOC 2, PCI DSS oder vertraglichen Kundenvereinbarungen unterliegen, müssen Sie nachweisen können, wohin regulierte Daten fließen. Nicht genehmigte KI schafft Lücken, nach denen Auditoren fragen werden. - **KI-Agenten agieren eigenständig**. Agenten und Automatisierungen können externe KI-Dienste von Servern und Pipelines aus aufrufen, ohne dass ein Mensch eingreift (Human-in-the-Loop). Daher muss die Richtlinie auch Maschinen abdecken, nicht nur Menschen. - **Mitarbeiter wünschen sich Orientierung**. Die meisten Menschen wollen keine Regeln brechen. Sie nutzen schlicht das, was ihnen bei der Arbeit hilft. Eine klare Richtlinie mit genehmigten Alternativen schafft Unsicherheiten aus der Welt.   ## Was eine Richtlinie zur akzeptablen Nutzung von KI enthalten sollte Halten Sie sie kurz genug, damit sie auch tatsächlich gelesen wird. Das sind die wichtigsten Abschnitte: ### 1. Zweck und Geltungsbereich Legen Sie dar, warum die Richtlinie existiert und für wen sie gilt: Beschäftigte, Auftragnehmer, Dienstleister mit Systemzugriff sowie alle KI-Agenten oder Automatisierungen, die auf der Unternehmensinfrastruktur laufen. ### 2. Genehmigte, eingeschränkte und untersagte Tools Listen Sie KI-Tools auf, die freigegeben sind (idealerweise Enterprise-Tarife mit entsprechenden Datenschutzvereinbarungen), Tools, die nur für bestimmte Teams oder Anwendungsfälle erlaubt sind, sowie Tools, die gesperrt sind. Benennen Sie eine zentrale Stelle, an der die aktuelle Liste geführt wird, da sie sich häufig ändern wird. ### 3. Regeln zur Datenklassifizierung Verknüpfen Sie Ihre bestehenden Datenklassen mit der KI-Nutzung. Zum Beispiel: Öffentliche Informationen dürfen mit jedem freigegebenen Tool verarbeitet werden; interne Informationen nur mit zugelassenen Enterprise-Tools; vertrauliche, kundenbezogene oder regulierte Daten niemals – es sei denn, ein spezifisches Tool wurde ausdrücklich dafür freigegeben. ### 4. Menschliche Prüfung und Verantwortlichkeit Stellen Sie klar, dass die Person, die das Tool verwendet, die Verantwortung für die Ausgabe trägt. KI-generierter Quellcode, Kundenkommunikation sowie rechtliche oder finanzielle Inhalte müssen vor ihrer Verwendung menschlich geprüft werden. ### 5. Beantragung neuer Tools Bieten Sie einen schnellen, unkomplizierten Weg, um Tools anzufragen, die nicht auf der Liste stehen. Ist der Freigabeprozess zu träge, suchen sich die Leute Auswege – und genau so entsteht Schatten-KI. ### 6. KI-Agenten und Automatisierungen Verlangen Sie für jeden Agenten einen benannten Verantwortlichen (Owner), einen dokumentierten Einsatzzweck und Zugriffsrechte, die strikt auf die benötigten Systeme und KI-Dienste beschränkt sind. Unser Leitfaden zur Vergabe von Least-Privilege-Zugriffen für KI-Agenten geht hierauf noch genauer ein. ### 7. Überwachung und Durchsetzung Informieren Sie transparent darüber, dass die KI-Nutzung auf Netzwerkebene überwacht wird und nicht freigegebene Dienste blockiert werden. Offenheit schafft Vertrauen und verhindert versehentliche Verstöße. ### 8. Verstöße und Überprüfungszyklus Erläutern Sie die Konsequenzen bei Richtlinienverstößen und verpflichten Sie sich dazu, die Richtlinie sowie die Liste genehmigter Tools regelmäßig zu überprüfen – beispielsweise quartalsweise. ## Vorlage für eine Richtlinie zur akzeptablen Nutzung von KI Als Starthilfe haben wir eine Vorlage erstellt, die Sie an Ihre Organisation anpassen können. Passen Sie die Passagen in eckigen Klammern entsprechend an. Dies ist ein Ausgangspunkt und keine Rechtsberatung; lassen Sie die endgültige Fassung von Ihrer Rechts- und Compliance-Abteilung prüfen. \[Unternehmen\] Richtlinie zur akzeptablen Nutzung von KI 1. Zweck. Diese Richtlinie definiert Regeln für die Nutzung von Werkzeugen künstlicher Intelligenz, um Daten, Kunden und Systeme von \[Unternehmen\] zu schützen und gleichzeitig den Mitarbeitern die Vorteile von KI zu ermöglichen. 2. Geltungsbereich. Gilt für alle Beschäftigten, Auftragnehmer und Dritte mit Zugriff auf Systeme von \[Unternehmen\] sowie für alle KI-Agenten und Automatisierungen, die auf der Infrastruktur von \[Unternehmen\] betrieben werden. 3. Genehmigte Tools. Ausschließlich die auf der \[Seite für genehmigte KI-Tools\] aufgeführten Werkzeuge dürfen mit Unternehmensdaten genutzt werden. Alle anderen KI-Dienste werden in den Netzwerken und auf den Geräten des Unternehmens blockiert. 4. Datenregeln. Geben Sie keine vertraulichen, kundenbezogenen, personenbezogenen oder regulierten Daten in ein KI-Tool ein, sofern dieses Tool nicht ausdrücklich für diese Datenklasse freigegeben ist. 5. Ergebnisse (Output). Sie sind dafür verantwortlich, KI-generierte Inhalte vor ihrer Verwendung, Weitergabe oder Implementierung zu prüfen und zu verifizieren. 6. Neue Tools. Beantragen Sie neue Tools über \[Anfrageprozess\]. IT und Informationssicherheit antworten innerhalb von \[X Arbeitstagen\]. 7. KI-Agenten. Jeder Agent muss einen benannten Verantwortlichen, einen dokumentierten Zweck sowie Least-Privilege-Zugriff auf Systeme und KI-Dienste besitzen. 8. Überwachung. \[Unternehmen\] überwacht den Netzwerkzugriff auf KI-Dienste und blockiert nicht genehmigte Dienste. 9. Verstöße. Verstöße können im Einklang mit den Richtlinien von \[Unternehmen\] zu \[Konsequenzen\] führen. 10. Überprüfung. Diese Richtlinie und die Liste der genehmigten Tools werden alle \[Quartal / Zeitintervall\] überprüft. ## Warum eine schriftliche Richtlinie allein nicht ausreicht Eine Richtlinie sagt Menschen, was sie tun sollen. Sie kann jedoch nicht verhindern, dass ein Mitarbeiter unter Zeitdruck eine Kundenliste in einen unautorisierten Chatbot einfügt – und sie kann einen KI-Agenten nicht daran hindern, eine Schnittstelle aufzurufen, die niemand freigegeben hat. Richtlinien, die rein auf Vertrauen basieren, bieten weder Durchsetzungsmöglichkeiten noch Transparenz. Hier kommt Zero Trust ins Spiel. Zero Trust geht davon aus, dass standardmäßig keinem Benutzer, keinem Gerät und keinem Workload vertraut werden darf. Jede Verbindung wird verifiziert und der Zugriff auf das explizit Erlaubte beschränkt. Auf KI übertragen bedeutet das: Ihre Liste genehmigter Tools ist kein reines Dokument mehr, sondern eine Regel, die Ihr Netzwerk aktiv erzwingt. ## Wie Zero-Trust-Zugriffskontrollen Ihre KI-Richtlinie durchsetzen Jeder Abschnitt Ihrer AI AUP lässt sich einer technischen Sicherheitskontrolle zuordnen. So funktioniert das mit CloudConnexa, der cloudbasierten Zero-Trust-Network-Access-Plattform von OpenVPN: ### Nicht genehmigte KI-Dienste per Domain-Filterung sperren [Cyber Shield](https://openvpn.net/cloud-vpn/cyber-shield/), direkt in CloudConnexa integriert, ermöglicht die Pflege benutzerdefinierter Block- und Allow-Listen neben Dutzenden von Inhaltskategorien. Fügen Sie die durch Ihre Richtlinie untersagten KI-Domains einer Sperrliste hinzu und weisen Sie diese den passenden Benutzergruppen zu – schon wird der Abschnitt „Untersagte Tools“ überall dort durchgesetzt, wo sich Benutzer verbinden. Erfahren Sie, wie DNS-Sicherheit und Inhaltsfilterung funktionieren, oder folgen Sie der Schritt-für-Schritt-Anleitung unter How to Control Shadow AI. ### Unterschiedliche Regeln für unterschiedliche Teams anwenden Richtlinien erlauben bestimmte Werkzeuge oft nur für bestimmte Rollen – etwa einen Code-Assistenten ausschließlich für Entwickler-Teams. Gruppenbasierte Richtlinien ermöglichen es, Regeln für eingeschränkt nutzbare Tools gezielt auf die Teams anzuwenden, die sie benötigen, ohne den Zugriff für alle zu öffnen. ### Nur vertrauenswürdigen Geräten Zugriff auf Unternehmensdaten gewähren Ihre Datenregeln bringen wenig, wenn sich ein privater, ungepatchter Laptop verbinden kann. Sicherheitsprüfungen des Gerätestatus (Device Posture Checks) stellen sicher, dass Geräte Ihre Sicherheitsanforderungen erfüllen, bevor eine Verbindung aufgebaut wird und während sie besteht. ### KI-Agenten einbeziehen – nicht nur Menschen Agenten, die auf Servern und in Cloud-Netzwerken laufen, verbinden sich über dieselbe Zero-Trust-Struktur. Daher gelten für sie dieselben Sperrlisten und Least-Privilege-Regeln. Das schließt die Lücke zwischen dem, was Ihre Richtlinie über Agenten besagt, und dem, worauf sie tatsächlich zugreifen können. ### Die Wirksamkeit der Richtlinie nachweisen Eine Durchsetzung ohne Nachweise überzeugt keinen Auditor. Das DNS-Protokoll zeigt, welche Domains Benutzer und Agenten aufzurufen versuchen; per Log- und Audit-Streaming werden diese Aktivitäten an Ihr SIEM übertragen. Blockierte Anfragen zeigen Ihnen zudem, welche Tools von den Teams gewünscht werden – ein wertvoller Input für die nächste Überprüfung genehmigter Tools. ### Freigegebene SaaS-Anwendungen schützen Auch genehmigte KI-Tools verarbeiten Ihre Daten. Durch SaaS- und Cloud-Schutz können Sie den Zugriff auf freigegebene Apps so einschränken, dass nur verifizierte Benutzer auf geprüften Geräten sie erreichen können. ## Checkliste: Von der Richtlinie zur technischen Kontrolle - Genehmigte und untersagte Tools sind an einer zentralen Stelle gelistet; gesperrte Domains stehen auf einer Blockliste. - Zugriffsbeschränkte Tools sind ausschließlich den Gruppen zugewiesen, die sie benötigen. - Datenregeln werden durch Gerätezustandsprüfungen für alle Endgeräte abgesichert, die auf sensible Systeme zugreifen können. - Jeder KI-Agent besitzt einen Verantwortlichen, einen definierten Zweck und Netzwerkzugriff nach dem Least-Privilege-Prinzip. - DNS- und Zugriffsprotokolle werden an Ihr SIEM gestreamt; Daten über blockierte Anfragen fließen in die quartalsweise Richtlinienprüfung ein. - Mitarbeiter wissen, dass die Richtlinie existiert, wie sie neue Tools anfragen können und dass die Regeln automatisiert durchgesetzt werden. ## Häufig gestellte Fragen (FAQ) ### Was sollte eine Richtlinie zur akzeptablen Nutzung von KI beinhalten? Mindestens: Geltungsbereich, genehmigte und verbotene Tools, Regeln zur Datenklassifizierung, Verantwortlichkeit für KI-Ergebnisse, ein Prozess zur Beantragung neuer Tools, Vorgaben für KI-Agenten, Überwachung und Durchsetzung sowie ein regelmäßiger Überprüfungszeitplan. ### Ist eine Richtlinie zur akzeptablen Nutzung von KI dasselbe wie eine KI-Governance-Richtlinie? Nicht ganz. KI-Governance ist das übergeordnete Rahmenwerk, das Risikobewertungen, Modellauswahl, Ethik und Aufsicht umfasst. Die Richtlinie zur akzeptablen Nutzung ist der an die Mitarbeiter gerichtete Teil dieses Programms, der die Regeln für den Arbeitsalltag festlegt. ### Wie setzt man eine Richtlinie zur akzeptablen Nutzung von KI durch? Kombinieren Sie Schulungen und klare Kommunikation mit technischen Kontrollen: Domain-Filterung zum Blockieren nicht genehmigter KI-Dienste, gruppenbasierte Zugriffsrichtlinien, Gerätestatusprüfungen sowie Protokollierung der Zugriffe. Zero-Trust-Plattformen wie CloudConnexa vereinen diese Kontrollen an einem Ort. ### Muss eine Richtlinie zur akzeptablen Nutzung von KI auch KI-Agenten abdecken? Ja. Agenten und Automatisierungen können Daten an externe KI-Dienste senden, ohne dass ein Mensch beteiligt ist. Deshalb benötigen sie – genau wie menschliche Nutzer – Verantwortliche, dokumentierte Zwecke und Least-Privilege-Zugriffsrechte. ### Wie oft sollte man eine Richtlinie zur akzeptablen Nutzung von KI aktualisieren? Überprüfen Sie sie mindestens einmal pro Quartal. Es erscheinen laufend neue KI-Werkzeuge, und Ihre Liste genehmigter Tools sollte damit Schritt halten. ## Bringen Sie Ihre KI-Richtlinie in die Durchsetzung Verfassen Sie eine Richtlinie, die Ihre Mitarbeiter nachvollziehen können, und überlassen Sie Zero-Trust-Zugriffskontrollen die technische Durchsetzung. CloudConnexa bietet Domain-Filterung, gruppenbasierte Richtlinien, Überprüfungen des Gerätestatus und Audit-Logging in einer zentralen, cloudbasierten Plattform. [Starten Sie CloudConnexa kostenlos](https://openvpn.net/pricing/) ## Related posts from OpenVPN ### Subscribe for Blog Updates ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Admin", "url" : "https://blog.openvpn.net/de/author/admin" }, "dateModified" : "2026-11-06T19:20:29.814Z", "datePublished" : "2026-11-06T19:17:18.000Z", "headline" : "AI Acceptable Use Policy: How to Write One and Enforce It With Zero Trust", "image" : [ "https://blog.openvpn.net/hubfs/b0852656-fe74-4d49-9405-6ffab1318046.png" ], "mainEntityOfPage" : { "@id" : "https://blog.openvpn.net/de/richtlinie-zur-akzeptablen-nutzung-von-ki", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.openvpn.net/hubfs/Dark=True%20Medium.png" }, "name" : "OpenVPN" } } ```