KI und DSGVO: Rechtssicherer Einsatz von KI-Systemen unter dem EU AI Act

Generative KI verspricht Produktivitätssprünge — und wirft zugleich Fragen auf, die Datenschutz, Urheberrecht und das neue KI-Recht der EU berühren. Für Unternehmen in Deutschland ist der Einsatz verlockend und riskant zugleich. Dieser Beitrag trennt sinnvolle Anwendungsfälle von Compliance-Fallen und schlägt eine Reihenfolge vor, die zu DSGVO, EU AI Act und internen Kontrollpflichten passt — ohne Innovationsrhetorik, die in der Praxis Schatten-IT erzeugt.

Zwei Regelwerke greifen ineinander. Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen — auch dann, wenn ein KI-System sie verarbeitet. Der EU AI Act ergänzt einen risikobasierten Rahmen für KI-Systeme selbst, mit Pflichten, die je nach Risikoklasse deutlich variieren. Wer beide Regelwerke getrennt betrachtet, übersieht die Stellen, an denen sie sich überschneiden.

Wo KI-Einsatz datenschutzrechtlich heikel wird

Kritisch wird es, wenn personenbezogene Daten in ein KI-System eingegeben werden, dessen Verarbeitung intransparent ist oder dessen Anbieter Daten außerhalb der EU verarbeitet. Prompt-Eingaben mit Kundendaten, das Training auf internen Dokumenten oder die automatisierte Bewertung von Personen berühren zentrale DSGVO-Fragen: Rechtsgrundlage, Zweckbindung, Transparenz, Drittlandtransfer und — bei automatisierten Entscheidungen — Art. 22 DSGVO. Ohne klare Regeln entsteht schnell eine unkontrollierte Nutzung durch einzelne Mitarbeitende.

Der EU AI Act stuft KI-Systeme nach Risiko ein. Verbotene Praktiken sind untersagt, Hochrisiko-Systeme unterliegen strengen Anforderungen an Dokumentation, Datenqualität und menschliche Aufsicht, während Systeme mit begrenztem Risiko vor allem Transparenzpflichten erfüllen müssen. Für die meisten Unternehmen liegt der praktische Einstieg darin, ihre eingesetzten Systeme überhaupt erst zu klassifizieren.

Eine tragfähige Reihenfolge für den KI-Einsatz

Wir empfehlen einen nüchternen Dreischritt. Erstens: Inventar und Klassifizierung — welche KI-Systeme sind im Einsatz, wer nutzt sie, welche Daten fließen hinein? Zweitens: Governance — eine verständliche Richtlinie, welche Nutzung erlaubt ist, welche Daten tabu sind und welche Freigaben nötig sind. Drittens: rechtliche Absicherung — Rechtsgrundlagen, Auftragsverarbeitung mit den Anbietern, gegebenenfalls Datenschutz-Folgenabschätzung und die Prüfung der AI-Act-Pflichten.

Wichtig ist, den Betriebsrat und die Belegschaft früh einzubeziehen. Ein Verbot ohne Alternative führt zu Schatten-IT; eine klare, praktikable Richtlinie mit freigegebenen Werkzeugen kanalisiert die Nutzung in kontrollierbare Bahnen. Die rechtliche Ausgestaltung dieser Richtlinien und der zugehörigen Verträge übernehmen wir im Rahmen der DSGVO-Compliance-Beratung.

KI in der Softwareentwicklung

Ein Sonderfall ist der Einsatz von KI zur Code-Generierung. Hier stellt sich die Frage, ob generierter Code fremde, lizenzpflichtige Bestandteile enthält und wem die Rechte am Ergebnis zustehen. Für Unternehmen, die Software vertreiben, kann dies zu denselben Lizenzrisiken führen wie unkontrollierter Open-Source-Einsatz. Wie sich solche Risiken durch ein Audit beherrschen lassen, beschreiben wir unter Software-Audits & Code-Prüfung.

RA Dr. Henrik Vance rät, KI nicht aus Angst zu verbieten und nicht aus Euphorie ungeprüft einzuführen, sondern strukturiert zu ermöglichen. Wer Inventar, Governance und Rechtsgrundlagen in dieser Reihenfolge angeht, nutzt die Chancen der Technologie, ohne die Kontrolle zu verlieren. Eine Übersicht unserer Leistungen hilft bei der Einordnung Ihres Vorhabens.