KI rechtssicher nutzen: DSGVO & EU AI Act für Unternehmer

Warum Rechtskonformität bei KI entscheidend ist

Künstliche Intelligenz revolutioniert Geschäftsprozesse – aber sie wirft auch komplexe rechtliche Fragen auf. Wer KI einsetzt, ohne die rechtlichen Grundlagen zu verstehen, riskiert Bußgelder, Schadensersatzansprüche und Reputationsschäden.

Die gute Nachricht: Mit dem richtigen Wissen und der richtigen Vorgehensweise können Sie KI vollständig rechtskonform nutzen. Dieser Artikel zeigt Ihnen, wie.

Der EU AI Act: Was Unternehmer wissen müssen

Der EU AI Act ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Er gilt seit August 2024 und wird schrittweise bis 2026 vollständig in Kraft treten.

Das Risikobasierte System

Der AI Act unterteilt KI-Systeme in vier Risikokategorien:

Risikoklasse	Beispiele	Anforderungen
Unakzeptables Risiko	Social Scoring, Manipulation, Emotionserkennung am Arbeitsplatz	Verboten
Hohes Risiko	KI in kritischen Infrastrukturen, Bildung, Personalauswahl, Kreditvergabe	Strenge Pflichten (Konformitätsbewertung, Risikomanagement, Datenqualität)
Begrenztes Risiko	Chatbots, Deepfakes, Textgenerierung	Transparenzpflichten (Nutzer müssen informiert werden)
Minimales Risiko	Spam-Filter, Empfehlungssysteme (nicht-personalisiert)	Freiwillige Verhaltenskodexe

Welche KI-Systeme nutzen Sie?

Die meisten Unternehmen setzen heute KI-Systeme mit begrenztem Risiko ein – vor allem Chatbots wie ChatGPT, KI-gestützte Schreibassistenten oder Bildgeneratoren. Diese sind erlaubt, erfordern aber Transparenz gegenüber den Nutzern.

DSGVO-konforme KI-Nutzung: Die Grundlagen

Die Datenschutz-Grundverordnung gilt uneingeschränkt für alle KI-Anwendungen, die personenbezogene Daten verarbeiten. Das sind fast alle Geschäftsanwendungen.

Die sechs Prinzipien der DSGVO bei KI

1. Rechtmäßigkeit: Es muss eine Rechtsgrundlage für die Datenverarbeitung geben (meist berechtigtes Interesse oder Einwilligung)
2. Zweckbindung: Daten dürfen nur für den angegebenen Zweck verwendet werden
3. Datenminimierung: Nur die nötigsten Daten erheben und verarbeiten
4. Richtigkeit: Daten müssen korrekt und aktuell sein
5. Speicherbegrenzung: Daten nicht länger als nötig aufbewahren
6. Integrität & Vertraulichkeit: Angemessene Sicherheitsmaßnahmen implementieren

Die häufigsten DSGVO-Fehler bei KI

Der KI-Vertrag: Was beim KI-Anbieter prüfen

Wenn Sie KI-Tools von Drittanbietern nutzen, müssen Sie sicherstellen, dass der Anbieter datenschutzkonform arbeitet. Das erfolgt über einen Auftragsverarbeitungsvertrag (AVV).

Pflichten des KI-Anbieters nach DSGVO

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers
• Vertraulichkeit sicherstellen
• Technische und organisatorische Maßnahmen (TOMs) implementieren
• Unterauftragnehmer nur mit Genehmigung einsetzen
• Betroffenenrechte unterstützen
• Bei Verletzungen den Auftraggeber informieren
• Nach Vertragsende alle Daten löschen oder zurückgeben
• Audits und Inspektionen ermöglichen

EU AI Act: Anbieterpflichten bei Hochrisiko-KI

Bei Hochrisiko-KI-Systemen müssen Anbieter zusätzlich:

• Risikomanagementsystem einführen
• Hochwertige Trainings-, Validierungs- und Testdatensätze verwenden
• Technische Dokumentation erstellen
• Protokollierungsfunktionen implementieren
• Transparenzinformationen bereitstellen
• Menschliche Aufsicht ermöglichen
• Genauigkeit, Robustheit und Cybersicherheit gewährleisten
• CE-Kennzeichnung anbringen
• Qualitätsmanagementsystem einführen

Schritt-für-Schritt: Rechtssichere KI-Einführung

Praxis: ChatGPT & Co. rechtskonform nutzen

ChatGPT ist das am häufigsten genutzte KI-Tool in Unternehmen. Hier zeigen wir die sichere Nutzung:

Das Problem mit der kostenlosen Version

OpenAI speichert alle Eingaben und nutzt sie für das Modell-Training. Für Unternehmen bedeutet das: Jede Eingabe in ChatGPT Free ist ein potenzieller Datenschutzverstoß, sobald personenbezogene Daten involviert sind.

Die Lösung: Enterprise-Tarife

Version	Preis	DSGVO-konform?
ChatGPT Free	Kostenlos	❌ Nein
ChatGPT Plus	20€/Monat	❌ Nein
ChatGPT Team	25€/User/Monat	⚠️ Eingeschränkt
ChatGPT Enterprise	ab 60€/User/Monat	✅ Ja (mit AVV)
Microsoft Copilot	30€/User/Monat	✅ Ja (M365-Integration)

Die goldene Regel für ChatGPT im Unternehmen

Transparenzpflichten: Was Sie kommunizieren müssen

Der EU AI Act verlangt bei bestimmten KI-Systemen, dass Nutzer informiert werden. Das gilt vor allem für:

• Chatbots (Nutzer muss wissen, dass sie mit KI sprechen)
• Deepfakes (müssen als solche gekennzeichnet werden)
• Emotionserkennungssysteme
• Biometrische Kategorisierung

Muster-Formulierung für Ihre Website

Menschliche Aufsicht: Nicht alles der KI überlassen

Der EU AI Act verlangt für Hochrisiko-KI-Systeme eine menschliche Aufsicht. Aber auch bei anderen Systemen ist das sinnvoll:

Wann ist menschliche Überprüfung Pflicht?

• Bei automatisierten Entscheidungen mit Rechtswirkung (Art. 22 DSGVO)
• Bei Hochrisiko-KI-Systemen nach AI Act
• Bei Entscheidungen über Menschen (Einstellung, Kredit, Strafverfolgung)

Best Practice: Mensch-in-der-Mitte

Die beste Strategie: KI als Unterstützung, nicht als Ersatz. Beispiele:

• KI erstellt Entwurf → Mensch prüft und freigibt
• KI analysiert Daten → Mensch trifft Entscheidung
• KI beantwortet Standardfragen → Mensch bei komplexen Themen

Die Rolle des Datenschutzbeauftragten

Bei der KI-Einführung ist der Datenschutzbeauftragte (DSB) ein wichtiger Partner. Ab einer gewissen Unternehmensgröße ist die Bestellung eines DSB sogar Pflicht.

Wann ist ein DSB Pflicht?

• Ab 20 Personen, die mit automatisierten Verfahren Daten verarbeiten
• Unabhängig von der Unternehmensgröße bei besonderen Kategorien personenbezogener Daten
• Bei umfangreicher systematischer Überwachung

Aufgaben des DSB bei KI-Projekten

• Beratung bei der Datenschutz-Folgenabschätzung
• Überwachung der Einhaltung von DSGVO und AI Act
• Zusammenarbeit mit der Aufsichtsbehörde
• Sensibilisierung und Schulung der Mitarbeiter

Fazit: KI nutzen – aber richtig

Rechtssichere KI-Nutzung ist kein Hexenwerk, erfordert aber Systematik. Die wichtigsten Erkenntnisse:

1. Risiko einschätzen: Welche KI-Risikokategorie gilt für Ihre Tools?
2. Enterprise wählen: Nie kostenlose KI-Tools für geschäftliche Zwecke
3. Verträge prüfen: Auftragsverarbeitung mit allen Anbietern abschließen
4. Regeln aufstellen: Klare Nutzungsrichtlinien für Mitarbeiter
5. Schulen: Datenschutz-Verständnis im Unternehmen fördern
6. Dokumentieren: Alles nachweisbar aufbereiten

Mit dieser Herangehensweise nutzen Sie die Vorteile der KI – ohne rechtliche Risiken einzugehen.