Datenschutz und EU AI Act: Was jetzt gilt

Teil 5 der Reihe „KI verstehen“. Nach dem Blick darauf, was KI im Unternehmen kann, kommt die Frage, die in fast jedem Gespräch fällt: Was dürfen wir eigentlich — und was müssen wir beachten? Stand dieses Beitrags: Herbst 2026.

Hinweis: Ich bin kein Anwalt, und dieser Beitrag ist keine Rechtsberatung. Er soll einen verständlichen Überblick geben. Für deinen konkreten Fall gehören Datenschutzbeauftragte oder eine Kanzlei mit an den Tisch.

Die gute Nachricht vorweg: Für die meisten kleinen und mittleren Unternehmen ist der Rahmen überschaubar. Wer ein paar Grundregeln beachtet, kann KI sicher nutzen. Die schlechte: Wer einfach loslegt, landet schnell in einer Grauzone — meist nicht wegen des AI Acts, sondern wegen ganz normaler Datenschutzfragen.

Erst die Daten: Was passiert mit meinen Eingaben?

Alles, was du in ein KI-Werkzeug tippst oder hochlädst, verlässt dein Unternehmen. Entscheidend ist, was der Anbieter damit macht. Bei kostenlosen Konsumenten-Versionen können Eingaben je nach Einstellung zur Verbesserung der Modelle genutzt werden. Business-Angebote wie ChatGPT Business oder Enterprise, Microsoft 365 Copilot oder Claude Team und Enterprise schließen das in der Regel vertraglich aus.

Meine Faustregel: Personenbezogene Daten, Kundendaten und Geschäftsgeheimnisse gehören nur in Werkzeuge mit Business-Vertrag — und nie in einen privaten Account eines Mitarbeitenden.

Die DSGVO gilt weiter — auch für KI

Sobald personenbezogene Daten im Spiel sind, gelten die bekannten Regeln der Datenschutz-Grundverordnung. Für KI heißt das vor allem:

• Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abschließen, wenn er personenbezogene Daten in deinem Auftrag verarbeitet.
• Datenübermittlung in Drittländer prüfen, etwa in die USA: Wo werden die Daten verarbeitet, und auf welcher Grundlage?
• Zweck und Rechtsgrundlage klären, bevor zum Beispiel Kundenmails oder Bewerbungen durch eine KI laufen.
• Bei riskanten Anwendungen eine Datenschutz-Folgenabschätzung durchführen.
• Den Betriebsrat einbinden, wo es einen gibt — KI-Werkzeuge, die Verhalten oder Leistung auswerten können, sind in Deutschland mitbestimmungspflichtig.

Der EU AI Act in fünf Minuten

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird schrittweise wirksam. Sie ordnet KI-Anwendungen nach Risiko:

• Verbotene Praktiken — seit 2. Februar 2025: etwa Social Scoring oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen, zum Beispiel aus medizinischen oder Sicherheitsgründen).
• Transparenzpflichten — seit 2. August 2026: Wer einen Chatbot einsetzt, muss erkennbar machen, dass man mit einer KI spricht, sofern das nicht offensichtlich ist. Deepfakes müssen gekennzeichnet werden. Anbieter von Systemen, die Bilder, Texte oder Töne erzeugen, müssen die Ergebnisse maschinenlesbar markieren.
• Hochrisiko-KI — jetzt ab 2. Dezember 2027: zum Beispiel KI in Personalauswahl, Kreditwürdigkeitsprüfung oder Bildung. Hier gelten strenge Pflichten zu Dokumentation, Risikomanagement und menschlicher Aufsicht. Ursprünglich war August 2026 geplant; mit dem sogenannten Digital Omnibus, der im Sommer 2026 beschlossen wurde, hat die EU diese Frist verschoben. Für KI in regulierten Produkten gilt der 2. August 2028.
• Alles andere — geringes Risiko: Textentwürfe, Zusammenfassungen, Übersetzungen, Code-Hilfe. Dafür gibt es keine besonderen Pflichten aus dem AI Act.

Verschoben heißt nicht gestrichen. Wer KI im Personalbereich einsetzt, sollte die Zeit bis Ende 2027 nutzen, nicht verschlafen.

KI-Kompetenz: die Pflicht, die fast alle betrifft

Artikel 4 des AI Acts verlangt seit Februar 2025, dass Unternehmen, die KI einsetzen, die KI-Kompetenz ihrer Mitarbeitenden fördern. Der Digital Omnibus hat diese Pflicht abgeschwächt: Statt ein „ausreichendes Niveau“ sicherzustellen, müssen Unternehmen nun Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz unterstützen. Gestrichen ist sie nicht.

In der Praxis heißt das: Wer KI im Betrieb nutzt, sollte das Team schulen — wie die Werkzeuge funktionieren, wo ihre Grenzen liegen, welche Daten tabu sind — und das kurz dokumentieren. Diese Reihe ist übrigens genau als Grundlage dafür gedacht.

Was das für die meisten KMU konkret heißt

1. Bestandsaufnahme: Welche KI-Werkzeuge werden heute genutzt — offiziell und inoffiziell?
2. Eine kurze KI-Richtlinie: welche Werkzeuge erlaubt sind, welche Daten hinein dürfen, wer freigibt.
3. Business-Verträge und AVV für die erlaubten Werkzeuge.
4. Schulung für alle, die KI nutzen — und ein Nachweis darüber.
5. Kennzeichnung, wo nötig: Chatbots auf der Website, KI-generierte Bilder und Videos.
6. Personal- und Bewerbungsprozesse gesondert prüfen, bevor dort KI mitentscheidet.

Auf diesem Blog halte ich es übrigens so: Die Titelbilder sind KI-generiert und als solche gekennzeichnet — im Beitrag und im Impressum.

Häufige Fragen

Darf ich ChatGPT im Unternehmen nutzen?

Ja — mit Regeln. Wichtig sind ein Business-Tarif statt privater Accounts, ein Auftragsverarbeitungsvertrag, wenn personenbezogene Daten verarbeitet werden, und klare Vorgaben, welche Daten tabu sind.

Muss ich KI-geschriebene Texte kennzeichnen?

Für normale Unternehmenstexte, die ein Mensch prüft und verantwortet, in der Regel nicht. Kennzeichnungspflichtig sind vor allem Chatbots, Deepfakes und KI-generierte Texte, die ohne menschliche redaktionelle Kontrolle über Themen von öffentlichem Interesse informieren.

Gilt der AI Act auch für kleine Unternehmen?

Ja, auch als reiner Nutzer (im Gesetz: „Betreiber“). Für die typischen Anwendungen eines KMU bleiben die Pflichten aber überschaubar: KI-Kompetenz fördern, Transparenz dort, wo sie vorgeschrieben ist, und besondere Vorsicht bei Hochrisiko-Bereichen wie Personal.

Die Reihe „KI verstehen“
Teil 1: Woher KI eigentlich kommt
Teil 2: Wie ein Sprachmodell funktioniert — ohne Mathematik
Teil 3: Warum KI halluziniert und wie du falsche Antworten erkennst
Teil 4: Was KI im Unternehmen heute wirklich kann
Teil 5: Daten, Datenschutz und der EU AI Act (dieser Beitrag)
Teil 6: KI einführen, ohne dass es ein IT-Projekt wird, das scheitert

Titelbild: KI-generiert mit Midjourney.

Über den Autor
Tino Kaufmann ist Gründer von TKC – Tino Kaufmann Consulting in Dresden und begleitet Unternehmen bei ERP-Einführung, Cloud-Architektur und dem sinnvollen Einsatz von KI. Nach zwölf Jahren SAP- und Cloud-Architektur — zuletzt als Development Manager bei der SAP SE — und sieben Jahren in Führung und Teamentwicklung gründete er im Januar 2026 sein eigenes Unternehmen. Er ist zertifizierter Ausbilder (AdA) und Odoo Learning Partner.
→ Website · LinkedIn · Erstgespräch buchen