AI Act regelt Sicherheit und Transparenz von KI-Systemen. DSGVO regelt die Verarbeitung personenbezogener Daten dahinter. Bei KI die Personendaten verarbeitet gelten beide gleichzeitig. Eine Datenschutz-Folgenabschätzung kann Pflicht sein.
Der AI Act ist kein Ersatz für die DSGVO — er ist eine Ergänzung. Wer KI mit Personendaten einsetzt, muss beide Regelwerke gleichzeitig im Blick haben.
Zwei Regelwerke, eine Realität
Der EU AI Act ist seit August 2024 in Kraft und wird schrittweise anwendbar — die wichtigsten Pflichten für Hochrisiko-KI greifen ab August 2026. Er reguliert KI-Systeme nach ihrem Risikopotenzial: von verbotenen Systemen (biometrische Massenüberwachung) über Hochrisiko-KI (Kreditbewertung, Personalentscheidungen, medizinische Diagnose) bis zu KI mit minimalem Risiko (Spam-Filter, Empfehlungssysteme). Transparenzpflichten für KI-generierte Inhalte gelten bereits ab 2025.
Die DSGVO existiert seit 2018 und ist unverändert in Kraft. Sie reguliert nicht die KI als solche, sondern die Verarbeitung personenbezogener Daten — unabhängig davon, ob diese durch Menschen, Software oder KI erfolgt. Wenn ein KI-System Daten über Personen verarbeitet, analysiert oder bewertet, greifen DSGVO-Pflichten: Rechtsgrundlage, Informationspflicht, Betroffenenrechte, Datensparsamkeit, Speicherbegrenzung.
Die meisten KI-Anwendungen im Unternehmensalltag tun genau das: Sie verarbeiten Personendaten. Ein KI-Chatbot, der Kundenanfragen beantwortet, speichert Gesprächsverläufe. Ein KI-Recruiting-Tool bewertet Bewerber. Ein KI-Analysetool wertet Nutzerdaten aus. In all diesen Fällen gelten DSGVO und AI Act parallel — und die Anforderungen überschneiden sich bei Transparenz, Dokumentation und Risikobewertung.
Wo DSGVO und AI Act sich berühren
- Transparenz: AI Act fordert Kennzeichnung von KI-generierten Inhalten, DSGVO fordert Information über automatisierte Entscheidungen
- Risikobewertung: AI Act verlangt Konformitätsbewertung für Hochrisiko-KI, DSGVO verlangt DSFA bei hohem Risiko für Betroffene
- Dokumentation: AI Act fordert technische Dokumentation und Protokollierung, DSGVO fordert Verzeichnis der Verarbeitungstätigkeiten
- Art. 22 DSGVO: Automatisierte Entscheidungen mit erheblicher Auswirkung auf Personen müssen hinterfragbar und anfechtbar sein
- Datensparsamkeit (Art. 5 DSGVO): KI-Systeme dürfen nur Daten verarbeiten, die für den Zweck notwendig sind — Trainingsdaten eingeschlossen
- Betroffenenrechte: Auskunft, Berichtigung, Löschung gelten auch für KI-verarbeitete Daten — Modelle müssen ggf. aktualisierbar sein
- Hochrisiko-KI (AI Act Anhang III): Kreditbewertung, Recruiting, Strafverfolgung — hier greifen die schärfsten Pflichten beider Regelwerke gleichzeitig
Art. 22 DSGVO und automatisierte Entscheidungen
Artikel 22 der DSGVO ist beim KI-Einsatz besonders relevant: Er schützt Personen vor rein automatisierten Entscheidungen, die ihnen gegenüber rechtliche Wirkung haben oder sie erheblich beeinträchtigen. Klassische Beispiele: automatisierte Kreditablehnung, KI-basiertes Bewerber-Ranking ohne menschliche Überprüfung, automatisierte Versicherungsbewertung.
Die Anforderung ist klar: Bei solchen Entscheidungen muss immer eine menschliche Überprüfung möglich sein. Betroffene haben das Recht, den eigenen Standpunkt darzulegen, die Entscheidung anzufechten und eine menschliche Überprüfung zu verlangen. Wer KI für solche Entscheidungen nutzt und diese Rechte nicht implementiert, verstößt gegen die DSGVO — unabhängig davon, was der AI Act vorschreibt.
Der AI Act ergänzt das: Hochrisiko-KI-Systeme müssen so gebaut sein, dass menschliche Aufsicht möglich ist. Das ist keine bloße Dokumentationspflicht, sondern eine technische Anforderung. KI-Systeme in Hochrisikobereichen müssen protokollieren, nachvollziehbar sein und eine menschliche Override-Option bereitstellen. Wer also ein Hochrisiko-KI-System einsetzt, muss beide Anforderungen erfüllen: Art. 22 DSGVO und die AI-Act-Transparenzpflichten.
Checkliste: KI mit Personendaten DSGVO-konform einsetzen
-
Rechtsgrundlage klären
Für jede KI-Anwendung die Personendaten verarbeitet, brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO — meist Einwilligung (Art. 6 Abs. 1 lit. a) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Bei besonderen Kategorien (Gesundheit, Religion, politische Meinung) greift Art. 9 DSGVO mit strengeren Anforderungen. Dokumentieren Sie die Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten.
-
Datenschutz-Folgenabschätzung prüfen
Bei KI-Systemen mit hohem Risiko für Betroffene ist eine DSFA (Datenschutz-Folgenabschätzung, Art. 35 DSGVO) Pflicht — und bei Hochrisiko-KI nach AI Act sowieso vorgesehen. Die DSFA analysiert Risiken, bewertet Gegenmaßnahmen und muss dokumentiert werden. Im Zweifel ist die Durchführung der Nicht-Durchführung immer vorzuziehen.
-
Auftragsverarbeitungsvertrag mit KI-Anbieter abschließen
Wenn ein externer KI-Dienst personenbezogene Daten für Sie verarbeitet (auch per API), ist er Ihr Auftragsverarbeiter. Gemäß Art. 28 DSGVO benötigen Sie einen AVV. Prüfen Sie die Datenschutzdokumentation des Anbieters und schließen Sie den AVV ab, bevor Sie produktiv gehen.
-
Art. 22-Konformität sicherstellen
Wenn Ihr KI-System automatisierte Entscheidungen trifft, die erhebliche Auswirkungen auf Personen haben: Implementieren Sie eine menschliche Review-Funktion, dokumentieren Sie das Verfahren und informieren Sie Betroffene in der Datenschutzerklärung darüber. Ohne diese Mechanismen ist der KI-Einsatz in diesem Bereich nicht rechtskonform.
-
AI-Act-Risikoklasse bestimmen
Prüfen Sie, ob Ihr KI-System unter den Hochrisiko-Bereich des AI Act fällt (Anhang III: Bildung, Beschäftigung, Kreditwesen, Strafverfolgung, Grenzschutz, Rechtspflege). Wenn ja, gelten ab August 2026 erhöhte Pflichten: technische Dokumentation, Konformitätsbewertung, Registrierung in der EU-Datenbank, menschliche Aufsicht.
-
Mitarbeiter schulen und Prozesse dokumentieren
KI-Konformität ist kein einmaliges Projekt. Schulen Sie Mitarbeiter im Umgang mit KI-Tools (was darf eingespeist werden, was nicht), dokumentieren Sie Prozesse und überprüfen Sie die Konformität bei jedem neuen KI-Tool, das eingeführt wird. Viele Verstöße entstehen nicht aus bösem Willen, sondern weil Mitarbeiter die Tragweite nicht kennen.
- DSGVO und AI Act gelten parallel — bei KI mit Personendaten müssen beide Regelwerke erfüllt sein
- Art. 22 DSGVO schützt vor unkontrollierten automatisierten Entscheidungen — menschliche Überprüfung muss technisch möglich sein
- Praktische Sofortmaßnahme: Keine Kundendaten in KI-Tools ohne AVV eingeben und Rechtsgrundlage für jeden KI-Einsatz dokumentieren
INREMA unterstützt bei der technischen Umsetzung DSGVO-konformer KI-Integrationen — von der API-Anbindung bis zur Datenschutzarchitektur. Rechtliche Beratung zu DSGVO und AI Act übernehmen spezialisierte Anwälte.
Beratung anfragenHäufige Fragen
Ab wann gilt der AI Act vollständig?
Darf ich ChatGPT für die Arbeit mit Kundendaten nutzen?
Was ist eine Datenschutz-Folgenabschätzung (DSFA) und wann ist sie Pflicht?
Gilt der AI Act auch für kleine Unternehmen?
War dieser Artikel hilfreich?