Am 2. August 2026 tritt Artikel 50 des EU AI Acts in Kraft — die Transparenzpflicht für KI-Interaktionen. Wer bis dahin KI-Chatbots auf der Website betreibt, ohne diese als KI zu kennzeichnen, oder automatisierte KI-Entscheidungen ohne Offenlegung trifft, riskiert Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes. Die meisten deutschen KMU kennen diesen Stichtag noch nicht.
Dieser Ratgeber erklärt verständlich — ohne Juristendeutsch — was DSGVO und EU AI Act konkret für den KI-Einsatz im Unternehmen bedeuten, welche Risikoklassen relevant sind und was KMU jetzt konkret tun müssen.
Inhaltsverzeichnis
- DSGVO und KI: Was weiterhin gilt
- EU AI Act 2026: Was neu hinzukommt
- DSGVO vs. EU AI Act im Überblick
- Risikoklassen: Welche KI-Systeme fallen worunter?
- Datenschutz-Folgenabschätzung: Wann ist sie Pflicht?
- 7 Best Practices für datenschutzkonforme KI-Nutzung
- Kosten: Was Datenschutz bei KI KMU kostet
- Häufige Fehler und wie man sie vermeidet
- Fazit
- Häufige Fragen
DSGVO und KI: Was weiterhin gilt
Die DSGVO ist seit 2018 in Kraft und gilt unverändert für jeden KI-Einsatz, bei dem personenbezogene Daten verarbeitet werden. Das trifft auf fast alle KI-Anwendungen im Unternehmensalltag zu: Chatbots, die Kundennamen erfassen, E-Mail-KI, die Mitarbeiterkommunikation verarbeitet, HR-KI, die Bewerbungsunterlagen analysiert, oder Analyse-KI, die Kundendaten auswertet.
Was die DSGVO konkret verlangt:
- Rechtsgrundlage: Jede Datenverarbeitung braucht eine Grundlage (Einwilligung, berechtigtes Interesse oder Vertrag)
- Transparenz: Betroffene müssen wissen, dass und wie ihre Daten verarbeitet werden
- Betroffenenrechte: Auskunft, Berichtigung, Löschung und Widerspruch müssen gewährleistet sein
- Verarbeitungsverzeichnis: Dokumentation aller Verarbeitungstätigkeiten, einschließlich KI-Tools
- Datenschutzbeauftragter: Pflicht ab 20 Mitarbeitern mit regelmäßiger Verarbeitung sensibler Daten
EU AI Act 2026: Was neu hinzukommt
Der EU AI Act ist seit Februar 2025 schrittweise anwendbar. Die wichtigsten Meilensteine für KMU:
- Februar 2025: Verbote für inakzeptable KI-Risiken traten in Kraft (Social Scoring, biometrische Massenerfassung)
- 2. August 2026: Transparenzpflichten (Artikel 50) werden verbindlich — KI-Chatbots müssen als KI erkennbar sein
- 2027: Anforderungen für Hochrisiko-KI-Systeme voll anwendbar
Was ab dem 2. August 2026 konkret gilt:
- KI-Chatbots und KI-Agenten müssen für Nutzer erkennbar als KI gekennzeichnet sein
- Deepfake-generierte Bild-, Audio- oder Videoinhalte müssen als künstlich erzeugt markiert werden
- KI-generierte Texte zur Meinungsbeeinflussung bei Wahlen müssen entsprechend gekennzeichnet werden
DSGVO vs. EU AI Act im Überblick
| Kriterium | DSGVO | EU AI Act |
|---|---|---|
| In Kraft seit | 2018 | Schrittweise ab 2025 |
| Schützt | Personenbezogene Daten | Grundrechte und Sicherheit |
| Anwendungsbereich | KI mit Personendaten | Alle KI-Systeme in der EU |
| Pflichten KMU | Rechtsgrundlage, Transparenz, Betroffenenrechte | Kennzeichnung, Risikoklassen, Dokumentation |
| Bußgelder | bis 4 % des Jahresumsatzes | bis 7 % des Jahresumsatzes |
| Nächster KMU-Stichtag | Laufend | 2. August 2026 (Transparenz) |
Risikoklassen: Welche KI-Systeme fallen worunter?
Der EU AI Act teilt KI-Systeme in vier Klassen ein. Für die meisten KMU relevant sind Klasse 3 (begrenztes Risiko) und Klasse 4 (minimales Risiko):
Hohes Risiko (strenge Auflagen ab 2027)
- KI in Personalentscheidungen (Bewerbung, Kündigung)
- KI-gestützte Kreditentscheidungen
- KI in Schulen oder Ausbildung
- Biometrische Identifizierung
- KI in kritischer Infrastruktur
Minimales Risiko (wenig Regulierung)
- ChatGPT für interne Texte (ohne Personendaten)
- KI-Rechtschreibprüfung
- KI-Produktempfehlungen (anonym)
- E-Mail-Spam-Filter
- KI für Prozessoptimierung ohne Personendaten
Begrenztes Risiko (Transparenzpflicht ab 2. August 2026): Chatbots, KI-Agenten und Systeme, die Inhalte generieren, die mit echten Personen verwechselt werden könnten.
Datenschutz-Folgenabschätzung: Wann ist sie Pflicht?
Eine Datenschutz-Folgenabschätzung (DSFA) ist bei KI-Systemen Pflicht, die personenbezogene Daten verarbeiten und eines dieser Kriterien erfüllen:
- Systematische und umfangreiche Bewertung von Personen (z. B. KI-Scoring für Kreditwürdigkeit)
- Verarbeitung besonderer Datenkategorien (Gesundheit, Religion, Ethnizität, Gewerkschaftszugehörigkeit)
- Umfangreiche Überwachung öffentlich zugänglicher Bereiche
Für die meisten KMU genügt eine einfache Checklisten-DSFA, die intern in wenigen Stunden erstellt werden kann. Die Dokumentation muss aufbewahrt werden.
„Datenschutz bei KI klingt nach Expertenwissen — in der Praxis ist es vor allem gesunder Menschenverstand und ein guter Prozess. Wer weiß, welche Daten seine KI-Tools verarbeiten und wo diese gespeichert werden, hat die wichtigsten Fragen bereits beantwortet.“
7 Best Practices für datenschutzkonforme KI-Nutzung
- Europäische Anbieter bevorzugen: EU-Datenhaltung bedeutet DSGVO-konform by default. US-Dienste (OpenAI, Google) erfordern Datenschutzverträge (Data Processing Agreement).
- KI-Chatbots sofort kennzeichnen: Transparenzpflicht gilt ab 2. August 2026 — jetzt umzusetzen vermeidet Hektik und Risiko.
- Dataminimierung praktizieren: KI-Tools nur mit den Daten füttern, die sie tatsächlich benötigen. Kein Hochladen vollständiger Kundendatenexporte in ChatGPT.
- Verarbeitungsverzeichnis aktualisieren: Jeden neuen KI-Tool-Einsatz dokumentieren, inkl. Zweck, Datenkategorien und Rechtsgrundlage.
- Mitarbeiter schulen: Klare Richtlinien, welche KI-Tools erlaubt sind und welche Daten damit verarbeitet werden dürfen.
- DSFA für Hochrisiko-KI: Bei HR-KI, Scoring oder umfangreicher Analyse von Personendaten ist die DSFA Pflicht — nicht optional.
- Datenschutzbeauftragten einbeziehen: Bei Unsicherheit lieber einmal zu viel fragen als einmal zu wenig — nachträgliche Korrekturen kosten mehr.
Checkliste: KI DSGVO-Check für KMU
Sofortmaßnahmen (bis August 2026)
DSGVO-Compliance
Mitarbeiter und Prozesse
Kosten: Was Datenschutz bei KI KMU kostet
| Maßnahme | Kosten | Einmalig oder laufend |
|---|---|---|
| Externer Datenschutzbeauftragter | 150–500 €/Monat | Laufend |
| DSFA (intern oder mit Beratung) | 500–2.000 € | Einmalig je Tool/Prozess |
| Mitarbeiterschulung | 200–500 € | Einmalig (Online-Kurse) |
| Umstieg auf EU-Anbieter | 0–50 €/Monat Mehrkosten | Laufend |
| Rechtliche Beratung bei Unsicherheit | 500–2.000 € | Einmalig |
Für ein KMU mit 10–20 Mitarbeitern ist ein realistisches Jahresbudget für KI-Datenschutz-Compliance: 2.000–5.000 Euro. Im Vergleich zu möglichen Bußgeldern eine überschaubare Investition.
Häufige Fehler und wie man sie vermeidet
- US-Tools ohne DSGVO-Prüfung einsetzen: ChatGPT, Google Workspace und Microsoft 365 sind nicht automatisch DSGVO-konform. Datenschutzverträge müssen separat abgeschlossen werden.
- Chatbot nicht kennzeichnen: Ab August 2026 Pflicht. Jetzt umsetzen.
- Verarbeitungsverzeichnis nicht aktualisieren: Jedes neue KI-Tool ist eine neue Verarbeitungstätigkeit und muss dokumentiert werden.
- Mitarbeiter nicht einbeziehen: Schatten-KI — Mitarbeiter nutzen private ChatGPT-Accounts für Firmendaten — ist ein häufiges und unterschätztes Risiko.
- DSFA vergessen: „Wir sind ja nur ein kleines Unternehmen“ ist kein Argument — die Pflicht gilt ab dem ersten Hochrisiko-Einsatz unabhängig von der Unternehmensgröße.
Fazit
Der 2. August 2026 ist ein wichtiger Stichtag — aber kein Grund zur Panik. Die meisten KMU, die KI verantwortungsvoll einsetzen und auf europäische Anbieter setzen, sind bereits weitgehend compliant. Was noch fehlt, lässt sich mit überschaubarem Aufwand nachholen: KI-Chatbot kennzeichnen, Tools dokumentieren, Mitarbeiter schulen, DSFA wo nötig durchführen.
Höll begleitet Unternehmen in der Region Karlsruhe, Baden-Baden und Rastatt nicht nur bei der Gestaltung moderner Arbeitsumgebungen, sondern auch dabei, digitale Prozesse sicher und rechtskonform aufzusetzen. Sprechen Sie uns an — wir verbinden Sie mit den richtigen Experten.
Häufige Fragen zu KI und Datenschutz
Gilt die DSGVO auch, wenn ich KI-Tools nur intern nutze?
Ja, sobald die KI personenbezogene Daten verarbeitet — auch intern, z. B. Mitarbeiterdaten, Bewerbungsunterlagen oder Kundenkommunikation. Interne Nutzung ist kein Freibrief.
Muss ich meinen KI-Chatbot als KI kennzeichnen?
Ab dem 2. August 2026 ja — das ist Artikel 50 EU AI Act. Die Kennzeichnung muss klar und verständlich sein, bevor der Nutzer mit dem System interagiert.
Was ist der Unterschied zwischen DSGVO und EU AI Act?
Die DSGVO schützt personenbezogene Daten und gilt seit 2018. Der EU AI Act reguliert KI-Systeme nach Risikostufen und schützt Grundrechte und Sicherheit. Beide Rechtsrahmen gelten parallel und ergänzen sich.
Brauche ich einen Datenschutzbeauftragten für KI?
Ab 20 Mitarbeitern mit regelmäßiger Verarbeitung sensibler Daten ist ein Datenschutzbeauftragter gesetzlich vorgeschrieben — unabhängig vom KI-Einsatz. Bei KI-Hochrisikosystemen empfiehlt sich ein externer Datenschutzberater auch für kleinere Unternehmen.
Was droht bei Verstößen gegen den EU AI Act?
Bußgelder bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes — je nachdem, was höher ist. Für KMU sind die absoluten Beträge realistischerweise geringer, aber auch 1–35 % dieser Maximalsätze können existenzbedrohend sein.
