KI-Verordnung (AI Act) 2026: Auswirkungen auf den Datenschutz

Zuletzt aktualisiert am 4. November 2026

Von Marcel Kiesslich, TÜV-zertifizierter Datenschutzbeauftragter (TÜV Süd)

Die Künstliche Intelligenz verändert die Art, wie Unternehmen arbeiten, Entscheidungen treffen und mit Kunden interagieren. Mit dem AI Act (KI-Verordnung) hat die Europäische Union das weltweit erste vollständige Gesetz zur KI-Regulierung geschaffen. Seit August 2026 gelten die Transparenzpflichten, die Hochrisiko-Pflichten folgen nach dem KI-Omnibus (Verordnung (EU) 2026/1744) ab Dezember 2027 — mit erheblichen Auswirkungen auf den Datenschutz. Für Unternehmen, die KI-Systeme einsetzen oder entwickeln, bedeutet das: Jetzt vorbereiten oder später mit empfindlichen Bußgeldern rechnen.

Für kleine und mittelständische Unternehmen (KMU) in Sachsen und ganz Deutschland stellt sich die Frage: Was bedeutet das EU KI-Gesetz konkret für meinen Betrieb? Denn der AI Act betrifft nicht nur KI-Anbieter, sondern auch Betreiber — also jedes Unternehmen, das KI-Systeme einsetzt, sei es ein ChatGPT-Plugin im Kundenservice, ein KI-gestütztes Bewerbermanagement oder automatisierte Kreditentscheidungen.

In unserem Überblick zur aktuellen Datenschutz-Gesetzgebung ordnen wir den AI Act in den größeren regulatorischen Kontext ein.

Was ist der AI Act (KI-Verordnung)?

Der AI Act — offiziell die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz — ist am 1. August 2024 in Kraft getreten. Er verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für die Grundrechte und die Sicherheit von Menschen, desto strenger die Auflagen.

Im Gegensatz zur DSGVO, die primär den Schutz personenbezogener Daten regelt, adressiert die KI-Verordnung ein breiteres Spektrum an Risiken: Diskriminierung durch algorithmische Entscheidungen, mangelnde Transparenz bei automatisierten Prozessen, Sicherheitsrisiken durch fehlerhafte KI-Systeme und die Manipulation menschlichen Verhaltens. Beide Regelwerke greifen jedoch eng ineinander — insbesondere wenn KI-Systeme personenbezogene Daten verarbeiten.

Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten — eine nationale Umsetzung ist nicht erforderlich. Deutschland muss jedoch eine zuständige Marktüberwachungsbehörde benennen, die für die Durchsetzung verantwortlich ist. Voraussichtlich wird die Bundesnetzagentur diese Rolle übernehmen, ergänzt durch die Datenschutzbehörden bei KI-Systemen, die personenbezogene Daten verarbeiten.

Zeitplan und Fristen des AI Act (2024–2027)

Der Zeitplan des AI Act ist bewusst gestaffelt, um Unternehmen ausreichend Vorbereitungszeit zu geben. Die wichtigsten Meilensteine im Überblick:

• 1. August 2024: Verordnung in Kraft getreten — allgemeine Bestimmungen und Definitionen gelten
• 2. Februar 2025: Verbote für inakzeptable KI-Praktiken gelten — diese Frist ist bereits verstrichen
• 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI, z.B. GPT-4, Claude, Gemini) gelten
• 2. August 2026: Transparenzpflichten (Art. 50) und übrige allgemeine Vorschriften
• 2. Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Anhang III — durch den KI-Omnibus verschoben (ursprünglich 2. August 2026)
• 2. August 2028: Hochrisiko-Systeme in Anhang I (z.B. Medizinprodukte, Maschinen) müssen vollständig konform sein (ursprünglich 2. August 2027)

Wichtig für Unternehmen: Die Verbote für inakzeptable KI-Praktiken gelten bereits seit Februar 2025. Wer noch Social-Scoring-Systeme oder manipulative KI einsetzt, verstößt bereits jetzt gegen geltendes EU-Recht und riskiert empfindliche Sanktionen.

Risikoklassen des AI Act im Detail

Der Kern der KI-Verordnung ist die Einteilung von KI-Systemen in vier Risikoklassen. Diese Klassifizierung bestimmt, welche Pflichten ein Unternehmen erfüllen muss. Die richtige Einordnung ist wichtig — eine fehlerhafte Klassifizierung kann selbst einen Bußgeldtatbestand darstellen.

1. Verbotene KI-Praktiken (inakzeptables Risiko)

Bestimmte KI-Anwendungen sind seit Februar 2025 vollständig verboten, weil sie fundamentale Grundrechte verletzen:

• Unterschwellige Beeinflussung: KI-Systeme, die das Verhalten von Personen manipulieren, ohne dass diese es bemerken — etwa durch subliminale Techniken in Werbung oder Politik
• Social Scoring: Bewertung von Personen anhand ihres sozialen Verhaltens durch Behörden oder Unternehmen, wie es in China praktiziert wird
• Biometrische Echtzeit-Fernidentifikation: Gesichtserkennung in Echtzeit in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden (mit eng begrenzten Ausnahmen für schwere Straftaten)
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen: KI-Systeme, die Emotionen von Mitarbeitern oder Schülern erkennen und auswerten
• Biometrische Kategorisierung: Klassifizierung von Personen nach sensiblen Merkmalen wie ethnische Herkunft, politische Überzeugung oder sexuelle Orientierung
• Predictive Policing auf Einzelpersonenebene: Vorhersage individueller Straftaten allein auf Basis von Profiling ohne konkrete Verdachtsmomente

Bußgelder bei Verstößen gegen Verbote: Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes — damit sind die Sanktionen sogar deutlich höher als bei der DSGVO.

2. Hochrisiko-KI-Systeme

KI-Systeme in sensiblen Bereichen unterliegen strengen Anforderungen. Der AI Act definiert in Anhang III konkret, welche Anwendungsbereiche als Hochrisiko gelten:

• Personalwesen und Beschäftigung: KI für Bewerberauswahl, Leistungsbewertung, Beförderungsentscheidungen oder Kündigung
• Kreditwürdigkeit und Versicherungen: Automatisierte Bonitätsprüfungen, Risikobewertungen für Versicherungsverträge
• Bildung und Berufsausbildung: KI für Prüfungsbewertung, Zulassungsentscheidungen, Lernstandserhebung
• Kritische Infrastruktur: KI-Steuerung in Energie-, Wasser- und Verkehrssystemen
• Strafverfolgung und Migration: Risikoeinschätzungen, Lügenerkennung an Grenzen, Asylentscheidungen
• Justiz und demokratische Prozesse: KI-gestützte Entscheidungen in Gerichtsverfahren, Wahlbeeinflussung

3. KI-Systeme mit begrenztem Risiko (Transparenzpflichten)

Für KI-Systeme, die direkt mit Menschen interagieren, gelten Transparenzpflichten. Nutzer müssen klar und unmissverständlich informiert werden, dass sie mit einer KI kommunizieren:

• Chatbots: Müssen als KI-System gekennzeichnet werden — Nutzer dürfen nicht darüber getäuscht werden, dass sie mit einer Maschine interagieren
• Deepfakes: KI-generierte Bild-, Audio- oder Videoinhalte müssen als solche gekennzeichnet werden, um Desinformation vorzubeugen
• Emotionserkennungssysteme: Personen müssen informiert werden, wenn ihre Emotionen durch KI analysiert werden
• KI-generierte Texte: Bei Veröffentlichung zu Themen von öffentlichem Interesse muss die KI-Erstellung kenntlich gemacht werden

4. KI-Systeme mit minimalem Risiko

Die große Mehrheit der KI-Anwendungen fällt in diese Kategorie: Spam-Filter, Empfehlungssysteme in Online-Shops, KI-gestützte Textverarbeitungsprogramme oder Navigations-Apps. Für diese Systeme gelten keine speziellen Auflagen aus dem AI Act. Die Europäische Kommission ermutigt jedoch zur freiwilligen Anwendung von Verhaltenskodizes und Best Practices für verantwortungsvolle KI-Entwicklung.

Pflichten für Hochrisiko-KI im Detail

Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder einsetzen, müssen umfangreiche Pflichten erfüllen. Diese sind im AI Act detailliert geregelt und gelten nach dem KI-Omnibus ab dem 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I):

• Risikomanagementsystem (Art. 9): Ein kontinuierlicher, iterativer Prozess zur Identifikation, Bewertung und Minderung von Risiken über den gesamten Lebenszyklus des KI-Systems — von der Entwicklung über den Einsatz bis zur Außerbetriebnahme
• Daten-Governance (Art. 10): Trainingsdaten müssen repräsentativ, fehlerfrei und relevant sein. Verzerrungen (Bias) in den Daten müssen systematisch erkannt und minimiert werden, um diskriminierende Ergebnisse zu verhindern
• Technische Dokumentation (Art. 11): Umfassende Dokumentation des Systems, seiner Funktionsweise, der verwendeten Algorithmen, der Testverfahren und der Leistungskennzahlen
• Aufzeichnungspflichten (Art. 12): Automatische Protokollierung aller Systemaktivitäten zur Rückverfolgbarkeit von Entscheidungen — vergleichbar mit einer Black Box
• Menschliche Aufsicht (Art. 14): Hochrisiko-KI muss so konzipiert sein, dass Menschen die Ergebnisse überwachen, interpretieren und bei Bedarf eingreifen oder das System abschalten können
• Genauigkeit, Robustheit und Cybersicherheit (Art. 15): Das System muss zuverlässig funktionieren und gegen Manipulationen, Adversarial Attacks und Cyberangriffe geschützt sein
• Konformitätsbewertung (Art. 43): Vor dem Inverkehrbringen muss eine Konformitätsbewertung durchgeführt und eine CE-Kennzeichnung angebracht werden

Für Betreiber (also Unternehmen, die Hochrisiko-KI einsetzen, aber nicht selbst entwickeln) gelten ebenfalls konkrete Pflichten: Sie müssen das System bestimmungsgemäß verwenden, die menschliche Aufsicht durch qualifiziertes Personal sicherstellen und die Aufsichtsbehörde über schwerwiegende Vorfälle informieren.

AI Act und DSGVO: Das Zusammenspiel

Für Unternehmen, die KI-Systeme mit personenbezogenen Daten betreiben, ist das Zusammenspiel von AI Act und DSGVO besonders relevant. Beide Regelwerke gelten gleichzeitig und ergänzen sich gegenseitig:

Art. 22 DSGVO: Automatisierte Einzelentscheidungen

Die DSGVO regelt bereits das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder den Betroffenen erheblich beeinträchtigt. Mit dem AI Act kommen zusätzliche Anforderungen hinzu — insbesondere bei Hochrisiko-KI, die Entscheidungen über Kreditwürdigkeit, Bewerbungen oder Versicherungsverträge trifft. Unternehmen müssen beide Regelwerke gleichzeitig erfüllen und die jeweiligen Anforderungen aufeinander abstimmen.

Datenschutz-Folgenabschätzung bei KI-Einsatz

Wer Hochrisiko-KI-Systeme einsetzt, muss nach DSGVO Art. 35 eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Der AI Act verlangt zudem ein eigenes Risikomanagementsystem nach Art. 9. In der Praxis empfiehlt es sich, beide Anforderungen in einem integrierten Prozess zu kombinieren, um Doppelarbeit zu vermeiden — unsere Datenschutz-Beratung unterstützt Sie dabei.

Gemeinsame Prinzipien beider Regelwerke

• Transparenz: Betroffene müssen verstehen, wie KI-Entscheidungen zustande kommen und welche Daten dabei verwendet werden
• Erklärbarkeit: KI-Entscheidungen müssen nachvollziehbar dokumentiert sein — sowohl für Betroffene als auch für Aufsichtsbehörden
• Zweckbindung und Datenminimierung: KI-Trainingsdaten unterliegen den DSGVO-Grundsätzen — nur die für den jeweiligen Zweck erforderlichen Daten dürfen verwendet werden
• Rechenschaftspflicht: Unternehmen müssen aktiv nachweisen können, dass sie beide Regelwerke einhalten — eine bloße Behauptung reicht nicht aus

Auswirkungen auf deutsche Unternehmen

Die Auswirkungen des AI Act auf deutsche Unternehmen sind erheblich — auch wenn viele sich dessen noch nicht bewusst sind. Eine Studie des Bundesverbands der Deutschen Industrie (BDI) zeigt, dass bereits über 60 Prozent der mittelständischen Unternehmen in Deutschland KI-Systeme einsetzen oder den Einsatz konkret planen.

Welche Unternehmen sind betroffen?

Grundsätzlich jedes Unternehmen, das KI-Systeme in der EU entwickelt, vertreibt oder einsetzt. Konkret betrifft das unter anderem:

• Personaldienstleister und HR-Abteilungen: KI-gestützte Bewerberauswahl, automatisierte Lebenslauf-Analyse und Chatbots im Recruiting fallen unter Hochrisiko
• Banken und Finanzdienstleister: Automatisierte Kreditentscheidungen, Betrugserkennung und Kundenscoring
• Versicherungen: KI-basierte Risikobewertungen und automatisierte Schadensbewertung
• Gesundheitswesen: KI-gestützte Diagnostik, Behandlungsempfehlungen und Patientenüberwachung
• E-Commerce und Online-Marketing: KI-generierte Inhalte, Chatbots im Kundenservice, personalisierte Werbung mit Profiling
• Handwerk und Produktion: KI-gesteuerte Qualitätskontrolle, vorausschauende Wartung und autonome Systeme

Bußgelder und Sanktionen des AI Act

Der AI Act sieht gestaffelte Bußgelder vor, die sogar über die DSGVO-Höchststrafen hinausgehen:

• Verstoß gegen Verbote: Bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes
• Verstoß gegen Hochrisiko-Pflichten: Bis zu 15 Mio. EUR oder 3 % des Jahresumsatzes
• Falsche Angaben gegenüber Behörden: Bis zu 7,5 Mio. EUR oder 1 % des Jahresumsatzes

Für KMU und Start-ups sieht der AI Act reduzierte Bußgeldhöchstgrenzen vor — hier gilt jeweils der niedrigere der beiden Beträge. Dies soll sicherstellen, dass die Sanktionen zwar abschreckend wirken, aber kleine Unternehmen nicht unverhältnismäßig belasten.

Was müssen Unternehmen jetzt vorbereiten?

1. KI-Systeme inventarisieren

Erstellen Sie ein vollständiges KI-Verzeichnis aller eingesetzten und geplanten KI-Systeme in Ihrem Unternehmen. Dokumentieren Sie für jedes System: Anwendungszweck, verarbeitete Daten, Anbieter, Einsatzbereich und betroffene Personengruppen. Viele Unternehmen unterschätzen, wie viele KI-Systeme sie bereits nutzen — von der automatischen E-Mail-Sortierung über die Buchhaltungssoftware bis zum KI-gestützten CRM-System.

2. Risikoklasse bestimmen

Ordnen Sie jedes KI-System der richtigen Risikoklasse zu. Prüfen Sie anhand der Anhänge I und III des AI Act, ob Ihre Systeme als Hochrisiko eingestuft werden. Im Zweifelsfall ziehen Sie externe Expertise hinzu — eine falsche Einordnung kann selbst einen Bußgeldtatbestand darstellen und zu erheblichen Compliance-Risiken führen.

3. Datenschutz-Folgenabschätzung bei Hochrisiko-KI

Für Hochrisiko-KI-Systeme ist eine DSFA nach Art. 35 DSGVO zwingend erforderlich. Kombinieren Sie diese mit dem Risikomanagementsystem nach Art. 9 des AI Act, um Doppelarbeit zu vermeiden und einen integrierten Compliance-Ansatz zu schaffen. Dokumentieren Sie alle Ergebnisse sorgfältig.

4. Transparenzpflichten umsetzen

Chatbots als KI kennzeichnen, automatisierte Entscheidungen erklären, KI-generierte Inhalte kennzeichnen. Passen Sie Ihre Datenschutzerklärung und Ihre Nutzungsbedingungen entsprechend an. Informieren Sie Mitarbeiter und Kunden vorausschauend über den KI-Einsatz in Ihrem Unternehmen.

5. Dokumentation erstellen

Erstellen Sie die vom AI Act geforderte technische Dokumentation: Systembeschreibung, Trainingsdaten, Leistungskennzahlen, Risikoanalyse und Testberichte. Halten Sie auch die Entscheidungsgrundlagen für die Risikoklassifizierung schriftlich fest — im Prüffall zählt nur, was dokumentiert ist.

6. Verantwortlichkeiten festlegen

Bestimmen Sie intern, wer für die AI-Act-Compliance verantwortlich ist. In vielen Unternehmen bietet es sich an, dies beim Datenschutzbeauftragten anzusiedeln, da die Schnittstellen zur DSGVO erheblich sind. Unsere Datenschutz-Beratung und DSGVO-Compliance-Beratung unterstützt Sie bei der Umsetzung beider Regelwerke. Wir helfen Ihnen, Datenschutz im Unternehmen und KI-Compliance effizient miteinander zu verbinden.

Häufig gestellte Fragen (FAQ)

Was ist der AI Act und ab wann gilt er?

Der AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste vollständige Gesetz zur Regulierung künstlicher Intelligenz. Er ist seit August 2024 in Kraft. Die Verbote für inakzeptable KI-Praktiken gelten seit Februar 2025, die Transparenzpflichten seit August 2026. Die Hochrisiko-Pflichten hat der KI-Omnibus verschoben: auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I).

Welche KI-Systeme sind vom AI Act betroffen?

Grundsätzlich alle KI-Systeme, die in der EU entwickelt, vertrieben oder eingesetzt werden — unabhängig davon, ob der Anbieter in der EU sitzt. Die Pflichten hängen von der Risikoklasse ab: Verbotene Praktiken, Hochrisiko-Systeme mit umfangreichen Anforderungen, Systeme mit Transparenzpflichten und Systeme mit minimalem Risiko ohne spezielle Auflagen. Auch Unternehmen außerhalb der EU sind betroffen, wenn ihre KI-Systeme in der EU genutzt werden.

Wie hängen AI Act und DSGVO zusammen?

Beide Regelwerke gelten gleichzeitig, wenn ein KI-System personenbezogene Daten verarbeitet. Die DSGVO regelt den Datenschutz, der AI Act die KI-spezifischen Risiken. Eine integrierte Compliance-Strategie ist empfehlenswert, da beide Regelwerke gemeinsame Prinzipien wie Transparenz, Erklärbarkeit und Rechenschaftspflicht teilen. Unternehmen sollten DSFA und KI-Risikomanagement in einem gemeinsamen Prozess kombinieren.

Welche Bußgelder drohen bei Verstößen gegen den AI Act?

Die Bußgelder sind gestaffelt: Bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes für verbotene KI-Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen Hochrisiko-Pflichten, und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Angaben gegenüber Behörden. Für KMU und Start-ups gelten reduzierte Höchstgrenzen.

Fazit: Jetzt vorbereiten — Dezember 2027 kommt schneller als gedacht

Der AI Act stellt Unternehmen vor neue Anforderungen, bietet aber auch die Chance, KI verantwortungsvoll und rechtssicher einzusetzen. Die Verbote gelten bereits seit Februar 2025, die Transparenzpflichten seit August 2026, die Hochrisiko-Pflichten ab Dezember 2027. Wer jetzt beginnt, KI-Systeme zu inventarisieren, Risikoklassen zu bestimmen und die nötige Dokumentation aufzubauen, verschafft sich einen wichtigen Vorsprung gegenüber dem Wettbewerb. Die enge Verzahnung mit der DSGVO macht es ratsam, beide Compliance-Bereiche gemeinsam und ganzheitlich zu betrachten.

Unsere Datenschutz-Beratung und DSGVO-Compliance-Beratung unterstützt Sie bei der Umsetzung beider Regelwerke — praxisnah, verständlich und auf Ihr Unternehmen zugeschnitten.

Quellen: Verordnung (EU) 2024/1689 (AI Act), Art. 22 und Art. 35 DSGVO, EDPB Guidelines on AI and Data Protection, BfDI-Positionspapier zu Künstlicher Intelligenz und Datenschutz, Bundesverband der Deutschen Industrie (BDI).