Inhalt
Aktualisiert am 19. August 2026
Dieser Beitrag erschien im Juli 2026. Die Aussage, der EU AI Act gelte seit August 2026 vollständig, ist seit dem AI Omnibus überholt: Die Verordnung (EU) 2026/1744 verschiebt die Pflichten für Hochrisiko-Systeme auf den 2. Dezember 2027 beziehungsweise 2. August 2028. An den Anforderungen der DSGVO ändert das nichts. Sie gelten unverändert weiter, und genau darum geht es in diesem Beitrag.
Datenschutz und KI sind in Deutschland kein Randthema, sie sind Geschäftsgrundlage. Während sich die Fristen des EU AI Acts durch den AI Omnibus nach hinten verschoben haben, gilt die DSGVO unverändert weiter. Wer auf den AI Act wartet, übersieht, dass die schärferen Anforderungen im Alltag ohnehin aus dem Datenschutzrecht kommen. Viele unterschätzen, wie weitreichend die Pflichten bereits heute sind.
Was die DSGVO beim KI-Einsatz verlangt, konkret
Die DSGVO gilt für jeden KI-Einsatz, bei dem personenbezogene Daten verarbeitet werden. Das betrifft praktisch jede geschäftliche KI-Nutzung: Wenn Sie Kundendaten in einen Prompt eingeben, wenn KI E-Mails analysiert, wenn ein Algorithmus Personalentscheidungen unterstützt.
Die Pflichten im Überblick: Rechtsgrundlage nach Art. 6 DSGVO: auf welcher Basis darf die Datenverarbeitung stattfinden? (Einwilligung, berechtigtes Interesse, Vertragserfüllung?) Transparenz: sind Betroffene informiert, dass ihre Daten durch KI verarbeitet werden? Auftragsverarbeitungsvertrag (AVV): besteht ein rechtsgültiger AVV mit dem KI-Anbieter? Drittlandtransfers: wenn Daten auf US-Server (OpenAI, Google, Microsoft Azure) übertragen werden, sind Standardvertragsklauseln vereinbart? Datenschutz-Folgenabschätzung (DSFA): wurde für KI-Anwendungen mit hohem Risiko eine DSFA nach Art. 35 DSGVO durchgeführt?
EU AI Act: Die neuen Pflichten im Detail
Der EU AI Act schichtet sich über die DSGVO. Für verbotene KI-Systeme (Social Scoring, manipulative KI, biometrische Echtzeitüberwachung) gilt: vollständiges Verbot. Ab dem 2. Dezember 2026 kommen zwei Verbote hinzu: KI zur Erzeugung intimer Darstellungen identifizierbarer Personen ohne Einwilligung und zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Für Hochrisiko-KI (Personal, Kredit, Bildung, kritische Infrastruktur, Gesundheit) gelten: Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung, menschliche Aufsicht und Transparenz gegenüber Nutzern. Für KI mit Transparenzpflichten (Chatbots, synthetische Inhalte) gilt seit dem 2. August 2026 die Kennzeichnungspflicht nach Art. 50. Für generative Systeme, die schon vorher auf dem Markt waren, endet die Übergangsfrist für die maschinenlesbare Markierung am 2. Dezember 2026. Bußgelder: bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes.
Die drei Sofortmaßnahmen für jedes Unternehmen
1. KI-Inventar erstellen. Führen Sie eine vollständige Liste aller KI-Systeme, die Ihr Unternehmen nutzt, direkt oder über eingekaufte Software. Für jedes System: Welche Daten werden verarbeitet? Wo? Durch wen? Welche Risikokategorie nach AI Act? Viele Unternehmen sind überrascht, wie viele ihrer Standard-Software-Tools KI enthalten.
2. Datenschutz-Folgenabschätzung. Für alle Hochrisiko-Anwendungen und Anwendungen mit erheblichem Risikopotenzial muss eine DSFA nach Art. 35 DSGVO durchgeführt werden. Das ist kein einmaliger Akt: die Folgenabschätzung muss bei wesentlichen Änderungen wiederholt werden.
3. Interne KI-Richtlinie. Legen Sie fest: Welche KI-Tools sind für welche Zwecke zugelassen? Welche Daten dürfen in welche Tools eingegeben werden? Was ist explizit verboten (z. B. Kundendaten in öffentliche ChatGPT-Eingaben)? Wer ist verantwortlich für KI-Governance? Eine klare Richtlinie reduziert Schatten-KI-Nutzung und schützt das Unternehmen vor unbeabsichtigten Verstößen.
Compliance als Wettbewerbsvorteil
In der Praxis entwickelt sich DSGVO- und AI-Act-konforme KI zu einem echten Differenzierungsmerkmal. Unternehmenskunden, besonders in regulierten Branchen und im öffentlichen Sektor, fragen bei Ausschreibungen und Partnerschaftsgesprächen zunehmend nach KI-Governance. Wer sagen kann „Wir nutzen KI verantwortungsvoll und dokumentiert“, hat ein konkretes Argument. Wer das nicht kann, wird es erklären müssen.
Schatten-KI: Das unterschätzte Risiko
In den meisten Unternehmen existiert erhebliche Schatten-KI-Nutzung: Mitarbeiter, die private ChatGPT-Konten für Arbeitszwecke nutzen, Kundendaten in nicht freigegebene Tools eingeben oder KI-generierte Inhalte ohne Kennzeichnung weitergeben. Das ist nicht böser Wille, es ist fehlende Orientierung. Eine klare, praxisnahe KI-Richtlinie und regelmäßige Schulungen sind die effektivste Prävention.
KIBrains Redaktion
KI-Beratung für Unternehmen
Das KIBrains-Team besteht aus KI-Strategen, Entwicklern und Unternehmensberatern mit Fokus auf den deutschen Mittelstand. Seit 2023 begleiten wir Unternehmen bei der strategischen und operativen Einführung von KI-Systemen, von der ersten Use-Case-Analyse bis zum produktiven Betrieb.
Häufige Fragen
Brauche ich einen Datenschutzbeauftragten für KI?
Wenn Ihr Unternehmen bereits einen DSB benötigt (nach § 38 BDSG in der Regel, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, bei Verarbeitungen mit Datenschutz-Folgenabschätzung unabhängig von der Zahl), sollten Sie ihn in KI-Projekte einbeziehen. Die Bundesregierung hat angekündigt, bis Ende 2026 eine Aufhebung dieser nationalen Regel einzubringen; bis eine Änderung in Kraft tritt, gilt sie unverändert. Der DSB ist kein Bremser, er schützt das Unternehmen vor teuren Verstößen.
Welche KI-Anbieter sind DSGVO-sicher?
Kein Anbieter ist automatisch „DSGVO-sicher“, es kommt auf die vertragliche Absicherung an. Microsoft (Azure OpenAI mit EU-Hosting), Google (Vertex AI mit EU-Hosting) und spezifisch europäische Anbieter bieten starke AVV-Grundlagen. Wichtig: immer prüfen, welche Daten in welchen Rechenzentren landen.
Was passiert bei einem Datenschutzverstoß durch KI?
Die gleichen Folgen wie bei jedem anderen DSGVO-Verstoß: Meldepflicht bei der Datenschutzaufsichtsbehörde (in Deutschland die Landesbehörden), mögliche Bußgelder, und Informationspflicht gegenüber Betroffenen bei hohem Risiko. Zusätzlich können Verstöße gegen den AI Act eigene Sanktionen der Marktüberwachungsbehörden nach sich ziehen. In Deutschland ist das seit dem KI-Marktüberwachungsgesetz, in Kraft seit dem 29. Juli 2026, in vielen Bereichen die Bundesnetzagentur; in einzelnen Sektoren bleiben Fachaufsichten wie die BaFin zuständig.
DSGVO-konformen KI-Einsatz prüfen →
Weiterführende Artikel
Quellen & weiterführende Links