Datenschutz, EU AI Act und Verantwortung beim KI-Einsatz

Verantwortung ist kein Gegensatz zu Innovation, sondern ihre Voraussetzung. Für den Einsatz künstlicher Intelligenz in Europa gilt das in besonderem Maße. Mit dem EU AI Act existiert seit 2024 das weltweit erste umfassende KI-Gesetz, das gemeinsam mit der Datenschutz-Grundverordnung (DSGVO) den Rahmen bildet. Für viele Entscheider klingt das nach Bürokratie. Tatsächlich bietet ein klarer Rechtsrahmen Planungssicherheit und schafft jenes Vertrauen, ohne das KI-Anwendungen im Markt nicht bestehen. Dieser Artikel ordnet die wichtigsten Pflichten und Fristen ein – nüchtern und ohne Alarmismus.

Der risikobasierte Ansatz des EU AI Act

Die KI-Verordnung (Regulation (EU) 2024/1689) folgt einer bestechend einfachen Logik: Je höher das Risiko einer KI-Anwendung, desto strenger die Regeln. Die Europäische Kommission unterscheidet vier Stufen.

Unannehmbares Risiko: Bestimmte Praktiken sind schlicht verboten, darunter Social Scoring, manipulative Systeme oder – mit engen Ausnahmen – biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum.
Hohes Risiko: Anwendungen etwa in kritischer Infrastruktur, Bildung, Beschäftigung (z. B. Software zur Bewerbervorauswahl) oder beim Zugang zu wesentlichen Diensten (z. B. Kreditwürdigkeitsprüfung) unterliegen strengen Pflichten: Risikomanagement, hochwertige Daten, Protokollierung, Dokumentation, menschliche Aufsicht und Robustheit.
Transparenzrisiko: Nutzer müssen erkennen können, wenn sie mit einer KI interagieren; KI-generierte Inhalte, insbesondere Deepfakes, sind zu kennzeichnen.
Minimales Risiko: Die große Mehrheit der KI-Systeme, etwa Spamfilter, unterliegt keinen besonderen Pflichten.

Für die meisten Unternehmen ist die beruhigende Nachricht: Ein Großteil der alltäglichen KI-Nutzung fällt in die unteren Risikostufen. Die eigentliche Aufgabe besteht darin, die eigenen Anwendungen sauber einzuordnen.

Der Zeitplan – Stand der geprüften Fakten

Der AI Act trat am 1. August 2024 in Kraft und wird gestaffelt anwendbar. Die zentralen, offiziell bestätigten Fristen:

2. Februar 2025: Die Verbote bestimmter Praktiken sowie die Pflicht zur KI-Kompetenz (Artikel 4) gelten.
2. August 2025: Regeln für Allzweck-KI-Modelle (GPAI), die Governance-Struktur und die Sanktionsvorschriften greifen.
2. August 2026: Der Großteil der Verordnung wird anwendbar, ebenso die Transparenzpflichten.
Hochrisiko-Systeme: Infolge der Vereinfachung durch das sogenannte „AI Omnibus" (politische Einigung vom 7. Mai 2026) gelten Regeln für Systeme in bestimmten Hochrisiko-Bereichen wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung sowie Migration und Grenzkontrolle ab dem 2. Dezember 2027; für in Produkte eingebettete Systeme (etwa Aufzüge oder Spielzeug) ab dem 2. August 2028.

Dieser gestaffelte Zeitplan gibt Unternehmen Vorlauf. Wer die Fristen kennt, kann sich geordnet vorbereiten, statt kurzfristig reagieren zu müssen. Die Kommission hat zudem mit dem freiwilligen „AI Pact" ein Instrument geschaffen, mit dem sich Unternehmen frühzeitig an den Kernpflichten orientieren können.

Warum Verstöße teuer werden können

Der AI Act hat Zähne. Verstöße gegen die verbotenen Praktiken können mit Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Für andere Verstöße sind gestaffelte, niedrigere Bußgelder vorgesehen. Diese Größenordnung macht deutlich: Compliance ist kein Randthema für die Rechtsabteilung, sondern eine Aufgabe der Unternehmensführung.

Das Zusammenspiel mit der DSGVO

Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. Wo KI personenbezogene Daten verarbeitet, gelten beide Regelwerke parallel. Besonders relevant ist Artikel 22 der DSGVO: Er gibt Betroffenen grundsätzlich das Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. In den zulässigen Ausnahmefällen muss der Verantwortliche geeignete Schutzmaßnahmen treffen – mindestens das Recht auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Für die Praxis heißt das: Wo KI über Menschen entscheidet – bei Bewerbungen, Kreditvergaben oder ähnlichen weitreichenden Fragen – ist menschliche Kontrolle nicht nur ratsam, sondern rechtlich geboten. Die Prinzipien der DSGVO (Datenminimierung, Zweckbindung, Transparenz, Datenschutz durch Technikgestaltung) bleiben auch im KI-Zeitalter das Fundament.

Verantwortung praktisch umsetzen

Verantwortungsvoller KI-Einsatz lässt sich in wenigen, konkreten Schritten organisieren:

1. Inventar erstellen: Welche KI-Systeme sind im Einsatz, und in welche Risikoklasse fallen sie?

2. Rollen klären: Ist das Unternehmen Anbieter, Betreiber oder beides? Daraus ergeben sich unterschiedliche Pflichten.

3. Menschliche Aufsicht verankern: Für relevante Entscheidungen wird eine wirksame menschliche Kontrollinstanz definiert.

4. Dokumentation aufbauen: Datenquellen, Entscheidungslogiken und Prüfschritte werden nachvollziehbar festgehalten.

5. Kompetenz sicherstellen: Die Pflicht aus Artikel 4 wird durch gezielte Schulung erfüllt.

Diese Schritte sind kein bürokratischer Selbstzweck. Sie sind zugleich die Grundlage für Qualität, Vertrauen und die Vermeidung teurer Fehler.

Fazit

Der EU AI Act und die DSGVO zeichnen gemeinsam das Bild einer KI, die dem Menschen dient und nicht über ihn verfügt. Für Unternehmen ist das kein Hemmnis, sondern ein Rahmen, der Vertrauen ermöglicht – die härteste Währung im digitalen Wettbewerb. Bei ULTRA Intelligence begleiten wir deutsche Unternehmen dabei, KI so einzuführen, dass Innovation und Verantwortung zusammengehen. Wer heute sauber aufsetzt, muss morgen nichts nachbessern.