Datenschutz, DSGVO und AI Act

Was die DSGVO verlangt

Die Datenschutz-Grundverordnung gilt unabhängig davon, ob ein Mensch oder ein KI-Werkzeug Daten verarbeitet. Sobald Namen, E-Mail-Adressen, Kundendaten oder Bewerbungen in einen KI-Dienst gehen, brauchen Sie eine Rechtsgrundlage, und der Anbieter muss in aller Regel als Auftragsverarbeiter vertraglich eingebunden sein.

• Vertrag zur Auftragsverarbeitung. Business-Tarife großer Anbieter bieten ihn meist an, private Konten nicht.
• Serverstandort und Weitergabe. Prüfen Sie, wo die Daten verarbeitet werden und ob Eingaben zum Training genutzt werden dürfen. Viele Anbieter lassen das im Business-Tarif abschalten.
• Information der Betroffenen. Ihre Datenschutzhinweise sollten den Einsatz erwähnen, wenn Kundendaten verarbeitet werden.
• Automatisierte Entscheidungen. Entscheidet ein System allein über Menschen, etwa über Bewerbungen, gelten zusätzliche Regeln. Lassen Sie solche Entscheidungen von Menschen treffen.

Was der AI Act verlangt

Die KI-Verordnung der EU teilt KI-Systeme nach Risiko ein. Die meisten Werkzeuge im Büroalltag, etwa Schreibhilfen, Übersetzer oder Chatbots für interne Fragen, fallen in die Gruppe mit geringem Risiko. Für Betriebe, die KI einsetzen, sind vor allem drei Punkte wichtig:

• KI-Kompetenz (Art. 4). Seit Februar 2025 müssen Betriebe dafür sorgen, dass ihre Leute KI-Werkzeuge mit ausreichendem Wissen einsetzen. Eine kurze, dokumentierte Schulung ist ein guter Anfang.
• Verbotene Praktiken (Art. 5). Ebenfalls seit Februar 2025 verboten sind zum Beispiel Emotionserkennung am Arbeitsplatz und manipulative Systeme. Im normalen Büroalltag kommt das selten vor.
• Transparenz (Art. 50). Wer einen Chatbot für Kundinnen und Kunden einsetzt oder KI-erzeugte Inhalte veröffentlicht, muss das in bestimmten Fällen kenntlich machen.

Strenge Pflichten wie Risikomanagement und Dokumentation treffen vor allem Hochrisiko-Systeme, etwa in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Die Fristen dafür hat die EU zeitlich gestaffelt und zuletzt angepasst. Wenn Sie in diesen Bereichen KI einsetzen wollen, lassen Sie den aktuellen Stand prüfen.

Was meist nicht gilt

Wer ein fertiges KI-Werkzeug nur nutzt, ist im Sinne des AI Act kein Anbieter und muss keine Konformitätsbewertung machen. Die Pflichten für Anbieter großer Sprachmodelle tragen die Hersteller. Ein eigener KI-Beauftragter ist gesetzlich nicht vorgeschrieben, eine klare Ansprechperson ist trotzdem sinnvoll.

Was Sie zuerst klären sollten

1. 1BestandsaufnahmeWelche KI-Werkzeuge werden genutzt, von wem, mit welchen Daten? Siehe auch Shadow AI.
2. 2Verträge prüfenFür jedes Werkzeug mit personenbezogenen Daten: Business-Tarif, Auftragsverarbeitung, Trainingsnutzung ausgeschaltet.
3. 3Kurz schulen und festhaltenEine Stunde zu Chancen, Grenzen und Regeln, mit Teilnehmerliste. Das deckt die KI-Kompetenz ab.
4. 4Sonderfälle markierenPersonalauswahl, Bewertung von Menschen, Kundenkommunikation: hier vor dem Einsatz fachlich beraten lassen.