KI-Compliance: DSGVO, AI Act und was das für Ihr Unternehmen bedeutet

KI-Compliance im Überblick: zwei Regelwerke, ein Ziel

Viele Unternehmen behandeln DSGVO und AI Act als getrennte Themen. In der Praxis greifen beide ineinander:

• DSGVO: schützt personenbezogene Daten, unabhängig davon, ob ein Mensch oder ein Sprachmodell sie verarbeitet.
• EU AI Act: reguliert KI-Systeme selbst, also deren Einsatzzweck, Risiko, Transparenz und Dokumentation.

Ein interner Chatbot, der Kundenanfragen mit Vertragsdaten beantwortet, fällt unter beide Regelwerke. Wer Compliance nur aus einer Perspektive betrachtet, übersieht Pflichten.

DSGVO und KI: Was gilt?

Die DSGVO kennt keine KI-Ausnahme. Für KI-Projekte sind vor allem diese Vorschriften relevant:

• Rechtsgrundlage (Art. 6): Jede Verarbeitung personenbezogener Daten, auch im Prompt oder in einer Wissensdatenbank, braucht eine Rechtsgrundlage.
• Informationspflichten (Art. 13/14): Betroffene müssen erfahren, dass und wie ihre Daten verarbeitet werden.
• Automatisierte Einzelentscheidungen (Art. 22): Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen grundsätzlich nicht allein automatisiert getroffen werden. Ein Mensch muss eingebunden bleiben.
• Auftragsverarbeitung (Art. 28): Wird KI bei einem Dienstleister betrieben, braucht es einen Vertrag zur Auftragsverarbeitung.
• Drittlandtransfer (Art. 44 ff.): Bei US-Cloud-APIs ist der Transfer in ein Drittland zu prüfen und abzusichern.
• Datenschutz-Folgenabschätzung (Art. 35): Bei voraussichtlich hohem Risiko für Betroffene verpflichtend.

Eine vertiefte Einordnung finden Sie in unserem Leitfaden zu DSGVO-konformer KI.

Der EU AI Act: Risikoklassen

Der AI Act ordnet KI-Systeme nach ihrem Risiko ein:

Für die meisten Mittelständler sind Assistenzsysteme, interne Wissenssuche und Chatbots relevant, also die Klassen „begrenzt“ und „minimal“. Wer KI jedoch zur Vorauswahl von Bewerbungen oder zur Bonitätsprüfung einsetzt, bewegt sich im Hochrisikobereich.

AI-Act-Fristen nach dem Digital Omnibus

Mit dem Digital Omnibus on AI (Verordnung (EU) 2026/1744, in Kraft seit Juli 2026) hat die EU den Zeitplan des AI Act angepasst. Maßgeblich für Details und Stichtage ist die im Amtsblatt der EU veröffentlichte Fassung. Die wichtigsten Fristen im Überblick:

Wichtig: Die Verschiebung ist ein Aufschub, keine Entwarnung. Die Anforderungen an Hochrisiko-Systeme bleiben inhaltlich bestehen, und der Aufbau von Risikomanagement, Dokumentation und Protokollierung braucht erfahrungsgemäß mehr als ein Jahr. Die Pflicht zur KI-Kompetenz wurde im Omnibus zudem präzisiert: Anbieter und Betreiber müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten ergreifen, ein bestimmtes Kompetenzniveau ist nicht vorgeschrieben. Schulungen und Nutzungsrichtlinien bleiben dennoch der sinnvolle Nachweis. Details zur Einordnung finden Sie im Beitrag AI Act 2026: Was sich für deutsche Unternehmen ändert.

Was bedeutet das konkret für Ihr KI-Projekt?

Für typische Anwendungen im Mittelstand gilt heute:

1. Transparenz herstellen: Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren. KI-generierte oder manipulierte Inhalte sind zu kennzeichnen; für die maschinenlesbare Markierung bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, läuft eine Übergangsfrist bis 2. Dezember 2026.
2. Beschäftigte befähigen: Wer KI nutzt, sollte Chancen, Grenzen und Risiken kennen, etwa Halluzinationen oder den Umgang mit vertraulichen Daten.
3. Hochrisiko-Einsatz früh erkennen: Setzen Sie KI in HR, Kreditentscheidungen oder sicherheitskritischen Prozessen ein, planen Sie die Anforderungen für Dezember 2027 jetzt ein.
4. Nachweisfähig werden: Dokumentieren Sie, welche Modelle wofür eingesetzt werden, welche Daten sie sehen und wer verantwortlich ist.

Lokale LLMs als Compliance-Baustein

Die Wahl der Infrastruktur beeinflusst, wie aufwendig Compliance wird. Ein in Deutschland betriebenes Sprachmodell vereinfacht mehrere Punkte:

• Kein Drittlandtransfer: Prompts und Dokumente verlassen die EU nicht. Die Prüfung von US-Transfers entfällt für diese Verarbeitung.
• Klare Auftragsverarbeitung: Auch bei einem Managed-Betrieb braucht es einen AV-Vertrag, allerdings mit einem deutschen Vertragspartner und ohne Weitergabe an Modellanbieter.
• Kontrolle über Modellversionen: Sie entscheiden, wann ein Modell aktualisiert wird. Das erleichtert Dokumentation und Tests.
• Protokollierung in Ihrer Hoheit: Logs und Audit-Daten liegen dort, wo Sie sie kontrollieren.

Verdacloud betreibt Local LLM Hosting mit Secure Gateway in ISO-27001-zertifizierten Rechenzentren in Bayern und Sachsen. Das Gateway maskiert personenbezogene Daten, setzt Richtlinien durch und schreibt einen nachvollziehbaren Audit-Trail. Eine DSGVO-konforme Architektur ersetzt allerdings nicht die organisatorischen Pflichten: Rechtsgrundlagen, Informationspflichten und Folgenabschätzungen bleiben Aufgabe des Verantwortlichen.

Fünf Schritte zur KI-Compliance

1. Inventar erstellen: Erfassen Sie alle KI-Systeme im Unternehmen, auch die inoffiziell genutzten. Oft zeigt sich hier erhebliche Shadow AI.
2. Risiko klassifizieren: Ordnen Sie jedes System einer Risikoklasse des AI Act zu und prüfen Sie, ob personenbezogene Daten verarbeitet werden.
3. Rollen klären: Sind Sie Anbieter oder Betreiber? Wer im Unternehmen verantwortet Freigaben, Dokumentation und Schulung?
4. Technische Kontrollen einführen: Ein zentrales Gateway mit PII-Maskierung, Zugriffssteuerung und Protokollierung schafft einen kontrollierten Kanal für KI-Nutzung.
5. Regelmäßig überprüfen: Regulierung, Modelle und Anwendungsfälle ändern sich. Planen Sie mindestens eine jährliche Überprüfung ein.

Für die strategische, organisatorische und technische Begleitung arbeiten wir mit unserer Schwestermarke VerdaGen.ai zusammen. Dieser Beitrag und unsere Begleitung ersetzen keine Rechtsberatung; die rechtliche Bewertung Ihres Einzelfalls nehmen Sie mit Ihrer Rechtsberatung und Ihrem Datenschutzbeauftragten vor.