Wie wirken DSGVO und AI Act beim KI-Einsatz zusammen?

Zwei Regelwerke, eine Realität

Der EU AI Act ist seit August 2024 in Kraft und wird schrittweise anwendbar. Er reguliert KI-Systeme nach ihrem Risikopotenzial: von verbotenen Systemen wie biometrischer Massenüberwachung über Hochrisiko-KI (etwa Kreditbewertung, Personalentscheidungen, medizinische Diagnose) bis zu KI mit minimalem Risiko wie Spam-Filtern oder Empfehlungssystemen. Transparenzpflichten für KI-generierte Inhalte greifen früh, die zentralen Pflichten für Hochrisiko-KI aus Anhang III ab August 2026.

Die DSGVO gilt unverändert seit 2018. Sie reguliert nicht die KI als solche, sondern die Verarbeitung personenbezogener Daten – gleich, ob durch Menschen, Software oder KI. Sobald ein KI-System Daten über Personen verarbeitet, analysiert oder bewertet, greifen DSGVO-Pflichten: Rechtsgrundlage, Informationspflicht, Betroffenenrechte, Datensparsamkeit und Speicherbegrenzung.

Die meisten KI-Anwendungen im Unternehmensalltag verarbeiten genau solche Daten. Ein KI-Chatbot speichert Gesprächsverläufe, ein Recruiting-Tool bewertet Bewerber, ein Analysetool wertet Nutzerdaten aus. In all diesen Fällen gelten DSGVO und AI Act parallel.

Wo sich beide Regelwerke berühren

• Transparenz: Der AI Act fordert die Kennzeichnung KI-generierter Inhalte, die DSGVO die Information über automatisierte Entscheidungen.
• Risikobewertung: Der AI Act verlangt eine Konformitätsbewertung für Hochrisiko-KI, die DSGVO eine DSFA bei hohem Risiko für Betroffene.
• Dokumentation: Der AI Act fordert technische Dokumentation und Protokollierung, die DSGVO das Verzeichnis von Verarbeitungstätigkeiten.
• Automatisierte Entscheidungen: Art. 22 DSGVO verlangt Hinterfragbarkeit und Anfechtbarkeit bei erheblicher Auswirkung auf Personen.
• Datensparsamkeit (Art. 5 DSGVO): KI darf nur zwecknotwendige Daten verarbeiten – Trainingsdaten eingeschlossen.
• Betroffenenrechte: Auskunft, Berichtigung und Löschung gelten auch für KI-verarbeitete Daten.
• Hochrisiko-KI (Anhang III): Bei Kreditbewertung, Recruiting oder Strafverfolgung greifen die schärfsten Pflichten beider Regelwerke zugleich.

Art. 22 DSGVO und automatisierte Entscheidungen

Artikel 22 DSGVO ist beim KI-Einsatz besonders relevant. Er schützt Personen vor rein automatisierten Entscheidungen mit rechtlicher Wirkung oder erheblicher Beeinträchtigung – etwa automatisierte Kreditablehnung, KI-basiertes Bewerber-Ranking ohne menschliche Prüfung oder automatisierte Versicherungsbewertung. Bei solchen Entscheidungen muss stets eine menschliche Überprüfung möglich sein. Betroffene haben das Recht, ihren Standpunkt darzulegen, die Entscheidung anzufechten und eine menschliche Überprüfung zu verlangen. Wer diese Rechte nicht implementiert, verstößt gegen die DSGVO – unabhängig vom AI Act.

Der AI Act ergänzt das um eine technische Anforderung: Hochrisiko-KI muss so gebaut sein, dass menschliche Aufsicht möglich ist. Solche Systeme müssen protokollieren, nachvollziehbar sein und eine menschliche Override-Option bereitstellen. Wer Hochrisiko-KI einsetzt, muss also beide Anforderungen erfüllen – Art. 22 DSGVO und die AI-Act-Pflichten.

Vorsicht bei KI-Tools mit Kundendaten

Viele populäre KI-Dienste nutzen eingegebene Daten in den kostenlosen Varianten standardmäßig zur Modellverbesserung. Wer Kundendaten, Verträge oder personenbezogene Informationen dort eingibt, riskiert eine DSGVO-Verletzung. Für den professionellen Einsatz mit Personendaten sind nur Unternehmensversionen oder API-Zugänge mit abgeschlossenem AVV und deaktiviertem Modelltraining geeignet.

Checkliste für den KI-Einsatz mit Personendaten

1. Rechtsgrundlage klären: Für jede Verarbeitung eine Grundlage nach Art. 6 DSGVO bestimmen – meist Einwilligung oder berechtigtes Interesse; bei besonderen Kategorien greift Art. 9 DSGVO. Die Grundlage im Verzeichnis von Verarbeitungstätigkeiten dokumentieren. 2. DSFA prüfen: Bei hohem Risiko für Betroffene ist eine DSFA nach Art. 35 DSGVO Pflicht; bei Hochrisiko-KI ist sie ohnehin sinnvoll. Im Zweifel ist die Durchführung der Nicht-Durchführung vorzuziehen. 3. AVV abschließen: Verarbeitet ein externer KI-Dienst Daten für Sie – auch per API – ist er Auftragsverarbeiter; ein AVV nach Art. 28 DSGVO ist vor dem Produktivbetrieb nötig. 4. Art. 22 sicherstellen: Bei automatisierten Entscheidungen mit erheblicher Auswirkung eine menschliche Review-Funktion implementieren, dokumentieren und Betroffene informieren. 5. AI-Act-Risikoklasse bestimmen: Prüfen, ob das System unter Anhang III fällt; wenn ja, gelten ab August 2026 erhöhte Pflichten (technische Dokumentation, Konformitätsbewertung, Registrierung, menschliche Aufsicht). 6. Schulen und dokumentieren: Mitarbeiter im Umgang mit KI schulen, Prozesse dokumentieren und jedes neue Tool prüfen. Viele Verstöße entstehen aus Unkenntnis, nicht aus bösem Willen.