EU AI Act versus DSGVO für Ihr Unternehmen

Rechtsstand: August 2026

Ein KI-Tool kann im Arbeitsalltag schnell eingeführt sein: Mitarbeitende nutzen einen Chatbot für Texte, eine Software sortiert Bewerbungen vor oder ein System bewertet Kreditrisiken. Rechtlich beginnt die Arbeit dann erst. Beim EU AI Act versus DSGVO geht es nicht um die Frage, welches Regelwerk gewinnt. Beide Verordnungen gelten nebeneinander und beantworten unterschiedliche Fragen. Unternehmen müssen daher prüfen, welche Pflichten sich aus beiden Regelwerken für ihren konkreten KI-Einsatz ergeben.

Für Unternehmen in Stuttgart, Fellbach und der gesamten Region ist das besonders relevant, weil KI zunehmend in Personalabteilungen, Kundenservice, Vertrieb und IT eingesetzt wird. Wer Datenschutz und KI-Regulierung getrennt behandelt, übersieht häufig wesentliche Risiken.

EU AI Act versus DSGVO: Zwei Regelwerke, zwei Blickwinkel

Die Datenschutz-Grundverordnung, meist DSGVO genannt, schützt personenbezogene Daten. Sie greift immer dann, wenn Informationen verarbeitet werden, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das können Namen, Kontaktdaten, Bewerbungsunterlagen, Kundendaten, Standortdaten, Kennungen oder auch Nutzungsdaten sein.

Der EU AI Act reguliert dagegen KI-Systeme und bestimmte KI-Modelle. Sein Schwerpunkt liegt auf den Risiken, die von KI für Sicherheit, Gesundheit und Grundrechte ausgehen können. Er fragt etwa, ob ein System Menschen unzulässig manipuliert, ob es als Hochrisiko-KI einzuordnen ist und welche Anforderungen dann an Datenqualität, Dokumentation, menschliche Kontrolle und Überwachung zu stellen sind.

Ein KI-System kann deshalb vollständig ohne personenbezogene Daten betrieben werden und dennoch unter den EU AI Act fallen. Umgekehrt kann eine klassische Software umfangreiche personenbezogene Daten verarbeiten, ohne ein KI-System im Sinne des EU AI Act zu sein. In vielen betrieblichen Anwendungen greifen jedoch beide Verordnungen gleichzeitig.

Wann ist die DSGVO bei KI betroffen?

Sobald ein Unternehmen personenbezogene Daten in ein KI-System eingibt, verarbeitet oder durch das System auswerten lässt, ist die DSGVO regelmäßig relevant. Entscheidend ist nicht, ob die Anwendung lokal betrieben wird oder aus einer Cloud kommt. Auch der Einsatz eines externen KI-Anbieters kann eine Verarbeitung personenbezogener Daten darstellen.

Dann braucht das Unternehmen zunächst eine Rechtsgrundlage. Im Beschäftigungsverhältnis kommen dabei besondere Maßstäbe hinzu. Eine Einwilligung von Arbeitnehmern ist wegen des Abhängigkeitsverhältnisses nicht immer die tragfähigste Lösung. Werden besondere Kategorien personenbezogener Daten verarbeitet, etwa Gesundheitsdaten oder Gewerkschaftszugehörigkeit, gelten zusätzliche Anforderungen.

Ebenso wichtig sind die Grundsätze der Datenminimierung und Zweckbindung. Wer einen KI-Chatbot zur Formulierung allgemeiner E-Mails einsetzen möchte, muss dafür normalerweise keine vollständigen Kundenakten oder Bewerberprofile hochladen. Häufig lässt sich das Risiko schon technisch und organisatorisch senken: Daten anonymisieren oder pseudonymisieren, Eingabefelder beschränken und klare Nutzungsregeln festlegen.

Bei externen Anbietern ist zudem zu klären, welche Rolle der Anbieter datenschutzrechtlich einnimmt. Eine Auftragsverarbeitung, Übermittlungen in Drittländer, technische und organisatorische Maßnahmen sowie die vertragliche Regelung der Datenverarbeitung müssen zum jeweiligen Einsatz passen. Pauschale Aussagen wie „Der Anbieter ist DSGVO-konform“ ersetzen diese Prüfung nicht.

Was der EU AI Act zusätzlich verlangt

Der EU AI Act arbeitet risikobasiert. Nicht jede KI-Anwendung unterliegt denselben Vorgaben. Verbotene Praktiken sind nicht zulässig. Für Hochrisiko-KI gelten umfangreiche Pflichten. Daneben bestehen Transparenzpflichten für bestimmte Systeme, etwa wenn Menschen mit einem KI-System interagieren oder KI-generierte Inhalte unter den gesetzlichen Voraussetzungen kenntlich gemacht werden müssen.

Seit dem 2. August 2026 gelten die meisten Regelungen des EU AI Act. Bereits zuvor galten unter anderem Vorschriften zu verbotenen KI-Praktiken und zur KI-Kompetenz. Für Hochrisiko-Systeme, die als Sicherheitsbauteil oder Produktbestandteil in bestimmten regulierten Bereichen eingesetzt werden, gelten teilweise abweichende Zeitpunkte.

Für viele mittelständische Unternehmen ist die Risikoklassifizierung der praktische Ausgangspunkt. Ein internes Textwerkzeug für Entwürfe ist rechtlich anders zu bewerten als eine KI, die Bewerber vorsortiert, Beschäftigte überwacht oder über den Zugang zu wesentlichen Leistungen mitentscheidet. Gerade Systeme im Personalbereich können als Hochrisiko-KI eingeordnet werden, wenn sie etwa zur Einstellung, Auswahl oder Bewertung von Bewerbern und Beschäftigten dienen.

Bei Hochrisiko-KI reicht es nicht, das Ergebnis einer Software unkritisch zu übernehmen. Erforderlich sein können unter anderem ein Risikomanagement, eine geeignete Daten-Governance, technische Dokumentation, Protokollierung, Anweisungen für Nutzende, menschliche Aufsicht sowie Verfahren zur laufenden Überwachung. Welche Pflichten ein Unternehmen selbst trägt, hängt dabei von seiner Rolle ab: Anbieter, Betreiber, Importeur, Händler oder Bevollmächtigter haben unterschiedliche Verantwortlichkeiten.

Das Zusammenspiel in typischen Unternehmensfällen

Ein Beispiel ist eine KI-gestützte Bewerberauswahl. Die DSGVO betrifft die Verarbeitung von Lebensläufen, Kontaktdaten und Bewertungen. Sie verlangt eine tragfähige Rechtsgrundlage, transparente Informationen, angemessene Löschkonzepte und Schutzmaßnahmen. Werden Entscheidungen ausschließlich automatisiert getroffen und entfalten sie rechtliche oder ähnlich erhebliche Wirkungen, kommen zusätzliche Anforderungen hinzu.

Der EU AI Act kann diese Anwendung zugleich als Hochrisiko-KI erfassen. Dann muss insbesondere geprüft werden, ob das System rechtmäßig in Verkehr gebracht oder in Betrieb genommen wurde, welche Informationen der Anbieter bereitstellt und wie die menschliche Kontrolle im Unternehmen tatsächlich organisiert ist. Ein kurzer Hinweis, ein Mensch könne „bei Bedarf eingreifen“, genügt nicht, wenn der Prozess faktisch vollständig automatisiert abläuft.

Anders kann es bei einem KI-Assistenten für interne Textentwürfe liegen. Werden keine personenbezogenen Daten eingegeben und dient das Tool nur der Unterstützung, ist das Datenschutzrisiko geringer. Dennoch bleiben Fragen des EU AI Act, der KI-Kompetenz, der Geheimhaltung und des Schutzes von Geschäftsgeheimnissen. Die Einordnung hängt vom konkreten Funktionsumfang und Einsatzbereich ab.

Auch im Kundenservice ist die Trennung wichtig. Ein Chatbot, der nur allgemeine Fragen beantwortet, kann vor allem Transparenzpflichten auslösen. Sobald er Kundendaten abfragt, individuelle Auskünfte erteilt oder Entscheidungen vorbereitet, treten DSGVO-Pflichten hinzu. Werden sensible Anliegen automatisiert bearbeitet, steigen die Anforderungen an Kontrolle, Informationspflichten und Fehlermanagement.

Typische Fehler bei der KI-Einführung

In der Praxis entstehen Risiken selten allein durch die Auswahl eines Tools. Häufig fehlt eine klare Zuständigkeit. Fachabteilungen führen Anwendungen ein, während Datenschutz, IT-Sicherheit, Personalabteilung und Geschäftsleitung erst später eingebunden werden. Dann fehlen oft die nötigen Informationen über Datenflüsse, Anbieterrollen und tatsächliche Nutzungsweisen.

Ein weiterer Fehler ist die alleinige Konzentration auf Datenschutzhinweise oder einen Auftragsverarbeitungsvertrag. Diese Unterlagen können erforderlich sein, beantworten aber nicht die Fragen des EU AI Act zur Risikoklasse, Transparenz, menschlichen Aufsicht oder technischen Dokumentation.

Problematisch ist auch eine KI-Richtlinie, die nur allgemeine Verbote enthält. Mitarbeitende brauchen verständliche Vorgaben dazu, welche Daten nicht eingegeben werden dürfen, welche Tools zugelassen sind, wann Ergebnisse überprüft werden müssen und an wen sie Auffälligkeiten melden. Die gesetzlich verlangte KI-Kompetenz bedeutet nicht zwingend eine einheitliche Schulung für alle. Umfang und Tiefe müssen zur Rolle und zum Risiko der eingesetzten Systeme passen.

So schaffen Unternehmen eine belastbare Grundlage

Am Anfang steht kein Formular, sondern ein vollständiger Überblick. Unternehmen sollten erfassen, welche KI-Systeme sie einsetzen oder beschaffen wollen, zu welchem Zweck und in welchen Abteilungen. Dabei sollte auch sogenannter Schatteneinsatz berücksichtigt werden: nicht freigegebene Tools, die Mitarbeitende bereits eigenständig nutzen.

Danach folgt die rechtliche und tatsächliche Einordnung. Verarbeitet die Anwendung personenbezogene Daten? Welche Rolle hat das Unternehmen nach DSGVO und EU AI Act? Ist eine Datenschutz-Folgenabschätzung erforderlich oder liegt ein Anwendungsfall mit hohem KI-Risiko vor? Welche Anbieterunterlagen, Verträge, technischen Einstellungen und internen Kontrollmechanismen werden benötigt?

Besonders sinnvoll ist ein abgestimmter Prozess aus Datenschutz, IT-Sicherheit, Fachbereich und Management. Die rechtliche Bewertung muss zur technischen Realität passen. Ein Verzeichnis ohne Kenntnis der tatsächlichen Datenflüsse hilft ebenso wenig wie eine technische Freigabe ohne klare Nutzungsregeln.

Wer KI im Unternehmen einsetzen will, sollte deshalb nicht nur nach der Datenschutzkonformität eines Produkts fragen. Entscheidend sind der konkrete Zweck, die verwendeten Daten, die Rolle des Unternehmens und die Folgen für betroffene Personen. Bei KI-Anwendungen mit Beschäftigten-, Kunden- oder sensiblen Daten kann eine frühzeitige individuelle Prüfung helfen, den Einsatz rechtssicher und praktikabel zu gestalten. Die Quteco Rechtsanwaltsgesellschaft unterstützt Unternehmen dabei mit einer auf den konkreten Anwendungsfall abgestimmten Einordnung.