KI und Datenschutz: EU AI Act und DSGVO fordern DACH-Unternehmen

Die digitale Transformation schreitet rasant voran, getrieben von Künstlicher Intelligenz. Doch gerade im deutschsprachigen Raum, der für seine hohen Standards im Datenschutz bekannt ist, stellt der verantwortungsvolle Einsatz von KI viele Unternehmen vor neue, komplexe Herausforderungen. Die kürzlich in Kraft getretenen Transparenzpflichten des EU AI Act und die bewährten, aber strengen Anforderungen der Datenschutz-Grundverordnung (DSGVO) erzeugen einen spürbaren Druck auf den Mittelstand. Dieser Artikel beleuchtet die aktuelle Lage, die spezifischen Implikationen für DACH-Unternehmen und zeigt konkrete Handlungsempfehlungen auf, um KI datenschutzkonform und strategisch gewinnbringend zu implementieren.

Der EU AI Act: Neue Transparenzpflichten und Risikomanagement für KI

Der EU Artificial Intelligence Act (AI Act) gilt als weltweit erster umfassender Rechtsrahmen für Künstliche Intelligenz. Er ist am 1. August 2024 in Kraft getreten und wird schrittweise implementiert. Während die tiefgreifenden Anforderungen an Hochrisiko-KI-Systeme erst ab Dezember 2027 vollständig zur Anwendung kommen, sind bereits seit dem 2. August 2026 wichtige Transparenzpflichten für bestimmte KI-Anwendungen verbindlich. Diese betreffen insbesondere Unternehmen, die Inhalte mittels Künstlicher Intelligenz erstellen oder wesentlich verändern. Eine klare Kennzeichnung dieser Inhalte ist nun gesetzlich vorgeschrieben.

Ziel des AI Act ist es, Vertrauen in KI-Technologien zu schaffen, Innovationen zu fördern und gleichzeitig Grundrechte, Sicherheit und Gesundheit zu schützen. Der risikobasierte Ansatz der Verordnung bedeutet, dass die Anforderungen je nach Risikopotenzial einer KI-Anwendung variieren. Je höher das potenzielle Risiko für Individuen oder die Gesellschaft, desto strenger fallen die regulatorischen Vorgaben aus. Dies erfordert von Unternehmen eine systematische Klassifizierung ihrer eingesetzten KI-Systeme und die Ableitung entsprechender Maßnahmen, um Compliance sicherzustellen. Ein unzureichendes Risikomanagement oder die Missachtung der Transparenzpflichten können nicht nur zu Reputationsschäden führen, sondern auch empfindliche Bußgelder nach sich ziehen.

Datenschutz nach DSGVO: Die anhaltende Belastungsprobe für den Mittelstand

Parallel zu den neuen Pflichten des AI Act bleibt der Datenschutz nach DSGVO eine der größten Hürden bei der Einführung von KI. Eine Bitkom-Umfrage vom 2. Oktober 2026 verdeutlicht dies eindrücklich: 81 Prozent der deutschen Unternehmen sehen den Datenschutz als Belastungsprobe an, was einen Anstieg von 10 Prozentpunkten im Vergleich zum Vorjahr darstellt. Gerade bei datenintensiven KI-Anwendungen ist die Frage zentral, unter welchen Voraussetzungen personenbezogene Daten für die Entwicklung und das Training von KI-Systemen genutzt werden dürfen. Die Umfrage zeigt, dass 57 Prozent der Befragten eine Nutzung bei Vorliegen eines berechtigten Interesses befürworten, was jedoch im Einzelfall sorgfältig abgewogen werden muss.

Die Komplexität des Datenschutzes bei KI ergibt sich aus mehreren Faktoren. Zum einen ist die Intransparenz vieler KI-Systeme, oft als „Black Box“ bezeichnet, eine Herausforderung. Es ist nicht immer klar nachvollziehbar, wie genau die Systeme Daten verarbeiten und Entscheidungen treffen. Zum anderen besteht das Risiko, dass eingegebene Daten auf Servern außerhalb der EU landen, insbesondere in den USA, oder ungefragt zum Training von generativen KI-Modellen verwendet werden. Dies führt dazu, dass 42 Prozent der Unternehmen nach eigenen Angaben bereits auf Produkte oder Lösungen aus Staaten außerhalb der EU, insbesondere aus China und den USA, wegen Datenschutzbedenken verzichtet haben. Hinzu kommen umfangreiche Dokumentationspflichten und eine oft als mangelhaft empfundene Rechtsunsicherheit. 89 Prozent der Unternehmen wünschen sich weniger Dokumentationspflichten für risikoarme Verarbeitungsvorgänge, 76 Prozent fordern eine einheitliche Auslegung durch die Datenschutzbehörden und 73 Prozent mehr Rechtssicherheit bei Interessenabwägungen. Eine weitere Herausforderung ist die Abstimmung des Datenschutzrechts mit neuen Vorgaben wie dem AI Act, die sich 69 Prozent der Unternehmen wünschen.

Die IHK München hat in diesem Kontext bereits darauf hingewiesen, dass Unternehmen auch beim Einsatz von generativer KI, wie etwa ChatGPT, sicherstellen müssen, dass ihre Datenverarbeitung DSGVO-konform ist. Dies betrifft sowohl die Eingabe von Daten als auch die Verarbeitung der Ergebnisse. Eine sorgfältige Prüfung der Nutzungsbedingungen und der Datenverarbeitungsvereinbarungen mit den Anbietern ist unerlässlich.

Praktische Handlungsempfehlungen für Ihr Unternehmen

Die Integration von KI erfordert mehr als nur technisches Know-how. Sie verlangt ein grundlegendes Umdenken in Bezug auf Prozesse, Datenmanagement und Compliance. Um den neuen Anforderungen gerecht zu werden und die Chancen der KI verantwortungsvoll zu nutzen, sind folgende Handlungsfelder für DACH-Unternehmen zentral:

1. Datenschutz-Folgenabschätzung (DSFA): Gemäß Artikel 35 Absatz 1 DSGVO ist eine DSFA zwingend erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Beim Einsatz von generativer KI ist dieses Risiko fast immer gegeben, insbesondere wenn personenbezogene Daten von Kunden oder Mitarbeitern verarbeitet werden. Beispiele hierfür sind die automatisierte Zusammenfassung von Kundengesprächen, die Analyse von Bewerberprofilen oder die Verarbeitung sensibler Daten im HR-Bereich. Eine frühzeitige und umfassende DSFA hilft, Risiken zu identifizieren, zu bewerten und geeignete Schutzmaßnahmen zu definieren, bevor die KI-Anwendung in Betrieb genommen wird.

2. Privacy by Design und Privacy by Default: Datenschutz muss von Anfang an, also bereits in der Konzeptions- und Entwicklungsphase von KI-Systemen, berücksichtigt werden. Dies bedeutet, dass die Systemarchitektur so gestaltet sein sollte, dass Datenminimierung, Pseudonymisierung und Anonymisierung standardmäßig integriert sind. Einstellungen sollten datenschutzfreundlich voreingestellt sein, um sicherzustellen, dass nur die unbedingt notwendigen Daten verarbeitet werden. Dieser präventive Ansatz ist effektiver und kostengünstiger als nachträgliche Anpassungen.

3. Transparenz und Kennzeichnungspflichten: Die ab August 2026 geltenden Transparenzpflichten des AI Act sind unmittelbar relevant. KI-generierte oder wesentlich veränderte Inhalte müssen klar als solche gekennzeichnet werden. Dies hat direkte Auswirkungen auf Abteilungen wie Marketing, Kommunikation, Produktentwicklung und alle Bereiche, in denen KI zur Inhaltserstellung oder -modifikation eingesetzt wird. Unternehmen müssen interne Richtlinien und Prozesse etablieren, um diese Kennzeichnungspflicht durchgängig zu gewährleisten und das Vertrauen ihrer Zielgruppen nicht zu gefährden.

4. Kontinuierliches Monitoring und Audits: KI-Systeme sind dynamisch und entwickeln sich ständig weiter. Daher reichen einmalige Prüfungen zur Sicherstellung der Datenschutzkonformität nicht aus. Regelmäßige Audits, sowohl intern als auch extern, sowie ein kontinuierliches Monitoring der Datenflüsse und Verarbeitungsprozesse sind notwendig. Dies ermöglicht es, neue Risiken frühzeitig zu erkennen, Anpassungen vorzunehmen und die Einhaltung der Vorschriften über den gesamten Lebenszyklus der KI-Anwendung hinweg zu gewährleisten.

5. Mitarbeiterschulungen und Change Management: Viele Unsicherheiten im Umgang mit neuen KI-Technologien resultieren aus mangelnden Kenntnissen. Eine klare Kommunikation über die Ziele, den Nutzen und die Auswirkungen der KI-Einführung sowie umfassende Schulungen sind entscheidend. Der AI Act schreibt sogar explizit Schulungen für alle Mitarbeitenden vor, die mit KI arbeiten. Unternehmen wie mindsquare bieten beispielsweise Webinare zum Praxisguide für KI im Finance & Controlling an, um spezifisches Know-how zu vermitteln. Ein gut gemanagter Change-Prozess fördert die Akzeptanz und den verantwortungsvollen Einsatz von KI im Unternehmen.

6. Stärkung interner KI-Kompetenzen und Governance: Der