KI-Recht & Datenschutz

Worum es in diesem Themengebiet geht

Wer KI im Unternehmen einsetzt, berührt meist mehrere Rechtsgebiete zugleich. Die DSGVO greift, sobald personenbezogene Daten in ein KI-System fließen: Es braucht eine Rechtsgrundlage, in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung. Die europäische KI-Verordnung, der EU AI Act, ordnet KI-Systeme nach ihrem Risiko und knüpft daran Pflichten. Hinzu kommen Haftung, die Mitbestimmung des Betriebsrats, Urheberrecht, der Schutz von Geschäftsgeheimnissen und Versicherungsfragen.

Die Artikel ordnen diese Pflichten allgemein ein, nennen die Stichtage und zeigen, welche Fragen vor einer Einführung geklärt sein sollten. Sie sind keine Rechtsberatung und ersetzen nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragten oder eine Rechtsanwältin bzw. einen Rechtsanwalt. Alle Angaben ohne Gewähr.

Für wen die Artikel gedacht sind

Die Beiträge richten sich an Geschäftsführung, Datenschutzbeauftragte, IT-Verantwortliche und Fachabteilungen wie Personal oder Marketing, die KI-Werkzeuge auswählen, einführen oder freigeben. Sie helfen, das Gespräch mit Datenschutz und Rechtsberatung vorzubereiten: Welche Daten fließen wohin, welche Rolle hat der Anbieter, welche Pflicht greift ab wann? Für die Beschaffung gibt es einen Überblick über verhandelbare Vertragsklauseln, für die Einführung im Betrieb einen Beitrag zur Mitbestimmung des Betriebsrats.

Stand der wichtigsten Fristen

Der EU AI Act gilt gestaffelt. Stand Oktober 2026, allgemein und ohne Gewähr:

• Seit Februar 2025 gelten die Verbote bestimmter Praktiken und die Vorgabe zur KI-Kompetenz nach Artikel 4. Durch die Verordnung (EU) 2026/1744 (Digital-Omnibus) ist Artikel 4 seit dem 27.07.2026 abgeschwächt: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern, ein bestimmtes Niveau aber nicht mehr sicherstellen (mehr unter KI-Kompetenz).
• Seit August 2025 gelten Pflichten für Anbieter von Allzweckmodellen (GPAI), die teils an Anwender durchschlagen (GPAI-Pflichten für Anwender).
• Seit dem 02.08.2026 gelten die Transparenzpflichten nach Artikel 50, etwa der Hinweis bei Chatbots und die Offenlegung von Deepfakes. Für die maschinenlesbare Markierung durch Anbieter generativer Systeme, die schon vorher auf dem Markt waren, sieht der Digital-Omnibus eine kurze Übergangsfrist vor (KI-Kennzeichnung).
• Die Pflichten für Hochrisiko-KI gelten ab dem 02.12.2027, für Hochrisiko-KI in regulierten Produkten ab dem 02.08.2028 (EU AI Act in der Praxis).

Typische Missverständnisse

• „Server in der EU, also datenschutzgerecht“: Speicherort, Ort der Berechnung und die Nutzung Ihrer Eingaben für Training sind drei getrennte Fragen. Viele Angebote sichern nur den Speicherort zu, und auch dann bleiben Auftragsverarbeitung, Unterauftragsverarbeiter und Löschfristen zu prüfen (EU-Optionen im Vergleich).
• „Der AI Act betrifft uns nicht“ oder „alles ist hochriskant“: Die meisten Anwendungen im Büroalltag fallen in die unteren Risikoklassen. Systeme für Personalauswahl, die Bewertung von Beschäftigten oder die Kreditwürdigkeit von Privatpersonen können dagegen hochriskant sein; die Einstufung sollte dokumentiert werden (Einstufung prüfen).
• „Die KI hat sich geirrt“: Aussagen eines Chatbots werden in der Regel dem Unternehmen zugerechnet, das ihn einsetzt. Eine falsche Zusage kann es deshalb ebenso binden wie die eines Mitarbeiters (Haftung bei KI-Fehlern).
• Verbieten statt regeln: Übertriebene Verbote öffentlicher KI-Dienste verlagern die Nutzung leicht in private Konten, über die das Unternehmen keine Kontrolle hat. Freigegebene Werkzeuge mit klaren Regeln, welche Daten hinein dürfen, schützen in der Regel besser. Zudem setzt der Schutz nach dem Geschäftsgeheimnisgesetz angemessene Geheimhaltungsmaßnahmen voraus (Geschäftsgeheimnisse schützen).
• Betriebsrat erst am Ende einbinden: Ist ein KI-System dazu geeignet, Verhalten oder Leistung von Beschäftigten zu überwachen, besteht in der Regel ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Wer früh spricht, vermeidet, dass eine fertige Einführung neu verhandelt werden muss.

Einstieg in 5 Schritten

1. KI datenschutzgerecht im Unternehmen einsetzen.: Der Einstieg in die Datenschutzfragen bei KI: Rechtsgrundlage, Datenminimierung, Zweckbindung und Datenstandort, also die Punkte, die vor jedem Projekt geklärt sein sollten.
2. KI-Anbieter und Auftragsverarbeitung.: Sobald personenbezogene Daten zu einem KI-Anbieter fließen, wird er in der Regel Auftragsverarbeiter; dieser Beitrag zeigt, was ein belastbarer Vertrag dafür regeln sollte.
3. KI-Anbieter und Datenstandort: EU-Optionen im Vergleich.: Der Vergleich trennt Speicherort, Verarbeitungsort und Trainingsnutzung und zeigt, welche EU-Optionen die großen Anbieter tatsächlich dokumentieren und was sie kosten.
4. EU AI Act in der Praxis.: Danach der EU AI Act im Überblick: die Risikoklassen, die Pflichten je Klasse und die gestaffelten Fristen aus Sicht eines mittelständischen Unternehmens.
5. KI-Kennzeichnung: die Transparenzpflicht nach Artikel 50.: Die Pflicht, die seit August 2026 viele Unternehmen mit Chatbots oder generierten Inhalten trifft: welche vier Fälle Artikel 50 erfasst und wie eine Kennzeichnung aussieht.

Häufige Fragen

Dürfen wir KI-Dienste wie ChatGPT oder Claude mit Kundendaten nutzen?

Grundsätzlich ist das möglich, wenn die Voraussetzungen erfüllt sind. Dazu gehören in der Regel eine Rechtsgrundlage nach Artikel 6 DSGVO, ein Auftragsverarbeitungsvertrag, der vertragliche Ausschluss der Trainingsnutzung Ihrer Eingaben, geklärte Speicher- und Verarbeitungsorte und bei Übermittlung in Drittländer eine tragfähige Grundlage, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln. Geschäftstarife unterscheiden sich dabei oft deutlich von Verbrauchertarifen. Die Bewertung im Einzelfall liegt bei Ihren Datenschutzbeauftragten; dies ist keine Rechtsberatung.

Brauchen wir für ein KI-System eine Datenschutz-Folgenabschätzung?

Nicht automatisch. Artikel 35 DSGVO verlangt sie vor dem Produktivstart, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Hinweise darauf sind etwa das Bewerten oder Profiling von Personen, besondere Datenkategorien wie Gesundheitsdaten, Daten von Beschäftigten oder der Einsatz neuer Technologien; die Aufsichtsbehörden führen dazu Listen. Ein Werkzeug, das nur interne Dokumente ohne Personenbezug zusammenfasst, löst sie in der Regel nicht aus. Allgemeine Information, keine Rechtsberatung.

Woran erkenne ich, ob unser KI-System hochriskant ist?

Entscheidend ist der Einsatzzweck, nicht die Technik. Hochriskant können Systeme in den Bereichen nach Anhang III sein, etwa Personalauswahl und Bewertung von Beschäftigten, Kreditwürdigkeit von Privatpersonen, Bildung oder kritische Infrastruktur, außerdem KI als Sicherheitsbauteil regulierter Produkte. Textassistenten, Übersetzung oder Zusammenfassungen im Büro fallen in der Regel nicht darunter. Die Einstufung sollte nachvollziehbar dokumentiert werden, Grenzfälle gehören in anwaltliche Prüfung. Keine Rechtsberatung.

Müssen mit KI erstellte Inhalte gekennzeichnet werden?

Nicht pauschal. Artikel 50 verlangt seit dem 02.08.2026 einen Hinweis, wenn Menschen mit einem KI-System wie einem Chatbot interagieren und das nicht offensichtlich ist, sowie die Offenlegung von Deepfakes. KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, sind offenzulegen, außer sie wurden redaktionell geprüft und verantwortet. Die maschinenlesbare Markierung generierter Inhalte ist vor allem Pflicht der Anbieter der Werkzeuge. Keine Rechtsberatung.

Wer haftet, wenn eine KI einen Fehler macht?

In der Regel das Unternehmen, das die KI einsetzt. Automatisiert erzeugte Erklärungen, etwa eine falsche Lieferzusage eines Chatbots, werden ihm grundsätzlich zugerechnet. Den Entwurf einer eigenen EU-Richtlinie zur KI-Haftung hat die Kommission 2025 zurückgezogen; es gelten die allgemeinen Regeln aus Vertrags-, Delikts- und Produkthaftungsrecht. Die Sorgfaltspflicht der Geschäftsführung bleibt auch dann bestehen, wenn sie einer KI-Empfehlung folgt. Allgemeine Einordnung, keine Rechtsberatung.