KI im Unternehmen: DSGVO und EU AI Act

Dieser Beitrag ist ein praktischer Überblick und keine Rechtsberatung. Prüfen Sie Ihren konkreten Fall mit Ihrer Datenschutz- oder Rechtsberatung.

Zwei Regelwerke, zwei Fragen

Beim Einsatz von KI im Unternehmen sind zwei europäische Regelwerke entscheidend. Die DSGVO regelt, ob und wie Sie personenbezogene Daten verarbeiten dürfen, ganz gleich, ob mit oder ohne KI. Der EU AI Act (KI-Verordnung) regelt KI-Systeme selbst: welche verboten sind, welche als Hochrisiko gelten und wann Sie offenlegen müssen, dass KI im Spiel ist.

DSGVO: Was bei KI-Projekten wichtig ist

Rechtsgrundlage und Zweck

Für die meisten Automatisierungen, etwa das Beantworten von Kundenanfragen oder das Verarbeiten von Rechnungen, verarbeiten Sie Daten zur Erfüllung eines Vertrags oder aus berechtigtem Interesse. Legen Sie den Zweck vor dem Start fest und verarbeiten Sie nur, was dafür nötig ist.

Auftragsverarbeitung

Wenn ein Dienstleister die KI-Lösung für Sie betreibt, brauchen Sie einen Vertrag zur Auftragsverarbeitung (AV-Vertrag). Das gilt auch für den Anbieter des KI-Modells, wenn dort personenbezogene Daten ankommen.

Hosting und Drittländer

Am einfachsten ist es, wenn Anwendung und Daten in der EU liegen. Werden Daten an Anbieter außerhalb der EU übermittelt, brauchen Sie eine Grundlage dafür, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Oft lässt sich das vermeiden, indem Namen und Kontaktdaten entfernt werden, bevor ein Dokument an das Modell geht.

Kein Training mit Ihren Daten

Klären Sie vertraglich, dass Ihre Daten nicht zum Training von KI-Modellen genutzt werden. Bei den Geschäftsangeboten der großen Anbieter ist das in der Regel ausgeschlossen, sollte aber dokumentiert sein.

Betroffenenrechte und Löschung

Auch in KI-Lösungen müssen Auskunft und Löschung möglich sein. Planen Sie Aufbewahrungsfristen und Löschroutinen von Anfang an ein.

EU AI Act: Welche Fristen gelten

Der AI Act ist seit August 2024 in Kraft und gilt schrittweise. Mit dem sogenannten Digital Omnibus, der Ende Juli 2026 in Kraft getreten ist, wurden einige Fristen verschoben. Stand heute gilt:

Was das für typische Projekte bedeutet

• KI-Chatbot auf der Website oder im Kundenservice: Nutzer müssen erkennen können, dass sie mit einer KI sprechen. Ein klarer Hinweis im Chatfenster genügt in der Regel.
• Rechnungen, Lieferscheine, E-Mails auslesen: Das ist in aller Regel keine Hochrisiko-KI. Wichtig sind hier DSGVO, AV-Vertrag und eine Freigabe durch Ihr Team bei kritischen Schritten.
• KI im Personalbereich, etwa zur Vorauswahl von Bewerbungen: Das kann unter Hochrisiko-KI fallen. Hier lohnt sich eine frühe rechtliche Prüfung, auch wenn die Pflichten erst ab Dezember 2027 greifen.
• KI-generierte Texte und Bilder: Für veröffentlichte Inhalte gelten Kennzeichnungspflichten. Planen Sie eine redaktionelle Prüfung ein.

Checkliste für Ihr KI-Projekt

1. Zweck und Datenarten festlegen, nur das Nötige verarbeiten.
2. Hosting in der EU wählen oder Drittlandübermittlung absichern.
3. AV-Verträge mit allen beteiligten Dienstleistern abschließen.
4. Training mit Ihren Daten vertraglich ausschließen.
5. KI für Nutzer kenntlich machen, wo sie direkt mit ihr interagieren.
6. Menschliche Freigabe für kritische Entscheidungen vorsehen.
7. Mitarbeitende im Umgang mit dem System schulen.

So bauen wir unsere Lösungen: Hosting in der EU, AV-Vertrag, kein Training mit Ihren Daten und Freigaben dort, wo es darauf ankommt. Mehr zu unserer KI-Automatisierung.