Rechtssichere KI: AI Act und DSGVO im Griff

01 — Haltung

Compliance als Voraussetzung, nicht als Bremse

Es gibt zwei Arten, mit KI-Regulierung umzugehen, und beide sind falsch. Die einen ignorieren sie und lassen das Team mit privaten ChatGPT-Accounts arbeiten, bis der erste Kundendatensatz in einem fremden Modell landet. Die anderen verbieten aus Angst alles und schauen zu, wie die Konkurrenz davonzieht. Der dritte Weg ist unspektakulär: die eigenen Use-Cases sauber einordnen, die passenden Verträge und Einstellungen setzen und dann mit ruhigem Gewissen loslegen.

Diesen Weg gehen wir mit euch als Teil unserer Arbeit als KI-Agentur. Wir sind keine Kanzlei und ersetzen keine Rechtsberatung. Wir sind die Praktiker, die seit den ersten GPT-3-APIs KI-Systeme bauen und dabei gelernt haben, wie man sie so aufsetzt, dass Jurist und Datenschutzbeauftragte am Ende zustimmen statt blockieren.

02 — Einordnung

Die Risikoklassen des EU AI Act, praktisch übersetzt

Der AI Act sortiert KI-Systeme in vier Stufen, und die gute Nachricht steht am Anfang: Das meiste, was im Mittelstand läuft, fällt in die untersten beiden.

• Verbotene Praktiken: Social Scoring, manipulative Systeme. Seit Februar 2025 untersagt, betrifft normale Unternehmens-Use-Cases praktisch nie
• Hochrisiko: KI mit Einfluss auf Menschen, etwa bei Bewerberauswahl, Kreditvergabe oder kritischer Infrastruktur. Hier gelten künftig umfangreiche Pflichten zu Risikomanagement und Aufsicht
• Begrenztes Risiko: Chatbots und generative Systeme. Kernpflicht ist Transparenz, also erkennbar machen, dass KI im Spiel ist
• Minimales Risiko: der große Rest, von der Textzusammenfassung bis zur E-Mail-Vorsortierung. Keine besonderen Pflichten über die allgemeine KI-Kompetenz hinaus

Die praktische Arbeit besteht darin, jeden eurer Use-Cases einer Stufe zuzuordnen und das Ergebnis zu dokumentieren. Heikel wird es vor allem dort, wo KI über Menschen mitentscheidet, etwa beim Sichten von Bewerbungen. Genau solche Fälle prüfen wir besonders gründlich, bevor sie live gehen.

03 — Aktuell

Was sich gerade ändert: die Fristen 2026

Beim Zeitplan hat sich 2026 einiges bewegt. Mit dem Digital Omnibus hat die EU im Mai 2026 die Pflichten für Hochrisiko-Systeme verschoben: Sie greifen nun im Wesentlichen zum 2. Dezember 2027 statt wie ursprünglich geplant im August 2026. Zum 2. August 2026 werden dagegen vor allem die Transparenzpflichten aus Artikel 50 scharf, also die Kennzeichnung von Chatbots und KI-Interaktionen. Die Pflicht zur maschinenlesbaren Kennzeichnung KI-generierter Inhalte wurde auf den 2. Dezember 2026 gelegt, weil die technischen Standards fürs Wasserzeichen noch reifen. Dazu kommen spürbare Dokumentations-Erleichterungen für kleine und mittlere Unternehmen.

04 — Datenschutz

DSGVO in der Praxis: AVV, Datenflüsse, Hosting

Im Alltag ist die DSGVO die härtere Hürde als der AI Act, denn sie gilt jetzt und für jeden Prompt mit Personenbezug. Drei Dinge bringen wir bei jedem Setup in Ordnung. Erstens der Auftragsverarbeitungsvertrag mit jedem KI-Anbieter, inklusive der Frage, ob eure Eingaben zum Training verwendet werden. Zweitens die Dokumentation der Datenflüsse: welche Daten aus welchem System in welches Modell gehen und was mit den Ausgaben passiert. Drittens die Hosting-Frage: Für viele Kunden ist eine Plattform mit EU-Hosting wie Langdock der einfachste Weg, dem ganzen Team KI-Zugang zu geben, ohne dass Daten unkontrolliert in Drittländer fließen.

05 — Governance

Eine KI-Richtlinie gegen Schatten-KI

Die größte Datenschutzlücke in deutschen Unternehmen ist nicht das freigegebene Tool, sondern das heimlich genutzte. Wo es keine offiziellen KI-Zugänge gibt, arbeiten Mitarbeitende mit privaten Accounts, und niemand weiß, welche Kundendaten dort landen. Das Gegenmittel ist eine interne KI-Richtlinie plus ein Freigabeprozess: freigegebene Tools mit sicheren Voreinstellungen, klare Regeln, welche Datenklassen wohin dürfen, und ein definierter Weg, wie neue Tools geprüft und zugelassen werden. Damit die Richtlinie gelebt wird statt im Intranet zu verstauben, gehört sie in unseren KI-Schulungen zum Standardprogramm.

06 — Zusammenarbeit

Mit eurem Datenschutzbeauftragten, nicht gegen ihn

Datenschutzbeauftragte blockieren KI-Projekte fast nie aus Prinzip. Sie blockieren, wenn ihnen niemand belastbare Antworten liefert. Deshalb holen wir DSB und, wo vorhanden, Betriebsrat früh an den Tisch und bringen mit, was sie brauchen: Anbieterunterlagen, AVV-Entwürfe, Datenflussdiagramme und eine Vorlage für die Schwellwertprüfung zur Datenschutz-Folgenabschätzung. Diese Arbeitsweise kennen wir aus Jahren im Tracking & Analytics, wo Consent und Datenschutz zu jedem Projekt gehören. Wenn ihr gerade an diesem Punkt festhängt, meldet euch: Oft löst ein moderiertes Gespräch mit fertigen Unterlagen in zwei Stunden, was intern seit Monaten feststeckt.

07 — Nachweis

Dokumentation, die Prüfungen standhält

Am Ende zählt, was ihr vorzeigen könnt. Wir hinterlassen bei jedem Projekt ein schlankes Compliance-Paket: das KI-Register mit allen eingesetzten Systemen und ihrer Risikoeinstufung, die AVV-Ablage, die Datenfluss-Dokumentation, die KI-Richtlinie mit Versionsstand und die Schulungsnachweise fürs Team. Kein Aktenordner-Theater, sondern ein Set von Dokumenten, das ein Prüfer, ein Kunde im Lieferantenaudit oder ein neuer DSB in einer Stunde nachvollziehen kann. Gepflegt wird es im laufenden Betrieb mit, denn eine Dokumentation, die nach dem Projekt einfriert, ist beim ersten Tool-Wechsel wertlos.