Inhalt
Datenschutz und KI sind in Deutschland kein Randthema sie sind Geschäftsgrundlage. Mit dem vollständigen Inkrafttreten des EU AI Acts im August 2026 und den weiterhin geltenden DSGVO-Anforderungen müssen Unternehmen ihre KI-Nutzung auf den rechtlichen Prüfstand stellen. Viele unterschätzen, wie weitreichend die Pflichten bereits heute sind.
Was die DSGVO beim KI-Einsatz verlangt konkret
Die DSGVO gilt für jeden KI-Einsatz, bei dem personenbezogene Daten verarbeitet werden. Das betrifft praktisch jede geschäftliche KI-Nutzung: Wenn Sie Kundendaten in einen Prompt eingeben, wenn KI E-Mails analysiert, wenn ein Algorithmus Personalentscheidungen unterstützt.
Die Pflichten im Überblick: Rechtsgrundlage nach Art. 6 DSGVO auf welcher Basis darf die Datenverarbeitung stattfinden? (Einwilligung, berechtigtes Interesse, Vertragserfüllung?) Transparenz sind Betroffene informiert, dass ihre Daten durch KI verarbeitet werden? Auftragsverarbeitungsvertrag (AVV) besteht ein rechtsgültiger AVV mit dem KI-Anbieter? Drittlandtransfers wenn Daten auf US-Server (OpenAI, Google, Microsoft Azure) übertragen werden, sind Standardvertragsklauseln vereinbart? Datenschutz-Folgenabschätzung (DSFA) wurde für KI-Anwendungen mit hohem Risiko eine DSFA nach Art. 35 DSGVO durchgeführt?
EU AI Act: Die neuen Pflichten im Detail
Der EU AI Act schichtet sich über die DSGVO. Für verbotene KI-Systeme (Social Scoring, manipulative KI, biometrische Echtzeitüberwachung) gilt: vollständiges Verbot. Für Hochrisiko-KI (Personal, Kredit, Bildung, kritische Infrastruktur, Gesundheit) gelten: Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung, menschliche Aufsicht und Transparenz gegenüber Nutzern. Für KI mit Transparenzpflichten (Chatbots, synthetische Inhalte) gilt: Kennzeichnungspflicht nach Art. 50. Bußgelder: bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes.
Die drei Sofortmaßnahmen für jedes Unternehmen
1. KI-Inventar erstellen. Führen Sie eine vollständige Liste aller KI-Systeme, die Ihr Unternehmen nutzt direkt oder über eingekaufte Software. Für jedes System: Welche Daten werden verarbeitet? Wo? Durch wen? Welche Risikokategorie nach AI Act? Viele Unternehmen sind überrascht, wie viele ihrer Standard-Software-Tools KI enthalten.
2. Datenschutz-Folgenabschätzung. Für alle Hochrisiko-Anwendungen und Anwendungen mit erheblichem Risikopotenzial muss eine DSFA nach Art. 35 DSGVO durchgeführt werden. Das ist kein einmaliger Akt die Folgenabschätzung muss bei wesentlichen Änderungen wiederholt werden.
3. Interne KI-Richtlinie. Legen Sie fest: Welche KI-Tools sind für welche Zwecke zugelassen? Welche Daten dürfen in welche Tools eingegeben werden? Was ist explizit verboten (z. B. Kundendaten in öffentliche ChatGPT-Eingaben)? Wer ist verantwortlich für KI-Governance? Eine klare Richtlinie reduziert Schatten-KI-Nutzung und schützt das Unternehmen vor unbeabsichtigten Verstößen.
Compliance als Wettbewerbsvorteil
In der Praxis entwickelt sich DSGVO- und AI-Act-konforme KI zu einem echten Differenzierungsmerkmal. Unternehmenskunden besonders in regulierten Branchen und im öffentlichen Sektor fragen bei Ausschreibungen und Partnerschaftsgesprächen zunehmend nach KI-Governance. Wer sagen kann „Wir nutzen KI verantwortungsvoll und dokumentiert“, hat ein konkretes Argument. Wer das nicht kann, wird es erklären müssen.
Schatten-KI: Das unterschätzte Risiko
In den meisten Unternehmen existiert erhebliche Schatten-KI-Nutzung: Mitarbeiter, die private ChatGPT-Konten für Arbeitszwecke nutzen, Kundendaten in nicht freigegebene Tools eingeben oder KI-generierte Inhalte ohne Kennzeichnung weitergeben. Das ist nicht böser Wille es ist fehlende Orientierung. Eine klare, praxisnahe KI-Richtlinie und regelmäßige Schulungen sind die effektivste Prävention.
KIBrains Redaktion
KI-Beratung für Unternehmen
Das KIBrains-Team besteht aus KI-Strategen, Entwicklern und Unternehmensberatern mit Fokus auf den deutschen Mittelstand. Seit 2023 begleiten wir Unternehmen bei der strategischen und operativen Einführung von KI-Systemen – von der ersten Use-Case-Analyse bis zum produktiven Betrieb.
Häufige Fragen
Brauche ich einen Datenschutzbeauftragten für KI?
Wenn Ihr Unternehmen bereits einen DSB benötigt (gilt für die meisten Unternehmen mit mehr als 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten), sollten Sie ihn in KI-Projekte einbeziehen. Der DSB ist kein Bremser er schützt das Unternehmen vor teuren Verstößen.
Welche KI-Anbieter sind DSGVO-sicher?
Kein Anbieter ist automatisch „DSGVO-sicher“ es kommt auf die vertragliche Absicherung an. Microsoft (Azure OpenAI mit EU-Hosting), Google (Vertex AI mit EU-Hosting) und spezifisch europäische Anbieter bieten starke AVV-Grundlagen. Wichtig: immer prüfen, welche Daten in welchen Rechenzentren landen.
Was passiert bei einem Datenschutzverstoß durch KI?
Die gleichen Folgen wie bei jedem anderen DSGVO-Verstoß: Meldepflicht bei der Datenschutzaufsichtsbehörde (in Deutschland die Landesbehörden), mögliche Bußgelder, und Informationspflicht gegenüber Betroffenen bei hohem Risiko. Zusätzlich: AI-Act-Verstöße können separate Sanktionen der neu geschaffenen KI-Aufsichtsbehörden nach sich ziehen.
DSGVO-konformen KI-Einsatz prüfen →
Weiterführende Artikel
Quellen & weiterführende Links