Der Europäische Datenschutzausschuss (EDPB) hat 2026 neue Leitlinien zur Datenverarbeitung für wissenschaftliche Forschungszwecke veröffentlicht und arbeitet parallel an einem DPIA-Template, das Unternehmen als verbindlichen Rahmen für Datenschutz-Folgenabschätzungen beim KI-Einsatz dienen soll. Für Unternehmen, die KI-Systeme entwickeln oder einsetzen, verschärfen sich die Compliance-Anforderungen auf zwei Ebenen gleichzeitig: Der EU AI Act schreibt wertegeleitete Regeln für Hochrisiko-KI vor, während der EDPB mit praxisorientierten Datenschutz-Templates konkrete Umsetzungspflichten definiert. Wer beide Regelwerke nicht koordiniert berücksichtigt, riskiert Konformitätslücken. Das DPIA-Template befindet sich derzeit in öffentlicher Konsultation; Organisationen sind aufgefordert, Feedback einzureichen.
EDPB-Leitlinien zur Datenverarbeitung durch KI-Systeme: Was Unternehmen jetzt beachten müssen
Der Europäische Datenschutzausschuss (EDPB) hat mit seinen Leitlinien 06/2022 zur gütlichen Einigung einen weiteren Baustein des europäischen Rechtsrahmens für den Umgang mit personenbezogenen Daten konkretisiert. Für Unternehmen, die KI-Systeme entwickeln oder einsetzen, entsteht dadurch ein immer engmaschigeres Regelwerk, das die Anforderungen des EU AI Acts mit denen der DSGVO verbindet.
Regulatorischer Kontext: AI Act trifft Datenschutzrecht
Mit dem AI Act hat die EU ein wertegeleitetes Regelwerk für die Entwicklung und den Einsatz von KI geschaffen, das risikobezogen aufgebaut ist. KI-Anwendungen, die etwa im Gesundheitswesen oder im autonomen Fahren eingesetzt werden, unterliegen strengeren Anforderungen als Systeme mit geringem Risikopotenzial. Parallel dazu konkretisiert der EDPB laufend, wie die DSGVO auf neue technologische Anwendungsfälle anzuwenden ist.
Die Plattform Lernende Systeme weist darauf hin, dass fehlerhafte KI-Systeme Menschen gefährden können, etwa wenn sie in Arztpraxen oder Fahrzeugen eingesetzt werden. Auch diskriminierende Effekte sind möglich, wenn Algorithmen zur Vorsortierung von Bewerbungen auf Basis eingeschränkter Datensätze trainiert wurden.
Vier praktische Implikationen für Unternehmen
1. Datenschutz-Folgenabschätzungen werden zur Pflichtübung
Der EDPB hat ein eigenes DPIA-Template (Data Protection Impact Assessment) veröffentlicht, das derzeit in einer öffentlichen Konsultation überarbeitet wird. Nach Abschluss der Konsultation sollen alle Datenschutzbehörden das Template als einheitliche Grundlage oder als übergeordnetes Referenzmodell übernehmen. Für Unternehmen bedeutet das: Wer KI-Systeme betreibt, die personenbezogene Daten verarbeiten, sollte die Entwicklung dieses Templates aktiv verfolgen und interne Prozesse frühzeitig anpassen.
2. Konformität mit dem AI Act ist für viele Anbieter noch nicht gesichert
Der Digitalexperte Holger Schmidt kommt auf seiner Webseite zu dem Schluss, dass viele große KI-Modelle die Anforderungen des AI Acts noch nicht erfüllen. Unternehmen, die solche Modelle einsetzen oder in eigene Produkte integrieren, tragen unter Umständen eine Mitverantwortung für die Compliance entlang der gesamten Wertschöpfungskette.
3. Freiwillige Selbstverpflichtungen allein reichen nicht mehr aus
Die Plattform Lernende Systeme unterscheidet zwischen freiwilligen Selbstverpflichtungen und staatlich gesetzten Normen. Mit dem AI Act hat die EU verbindliche Regeln geschaffen, die über Selbstregulierung hinausgehen. Unternehmen, die bislang ausschließlich auf eigene Verhaltenskodizes gesetzt haben, müssen ihre Governance-Strukturen auf die neuen gesetzlichen Anforderungen ausrichten.
4. Internationale Regulierungsunterschiede schaffen Handlungsbedarf
Nicht alle Märkte folgen dem europäischen Ansatz. Die Schweiz etwa, die nicht vom EU AI Act betroffen ist, führt laut einem Bericht von swissinfo.ch eigenständige Regulierungsdebatten. Für Unternehmen mit grenzüberschreitendem Geschäft bedeutet das: Compliance-Strategien müssen marktspezifisch ausgestaltet werden, da ein einheitlicher europäischer Standard außerhalb der EU nicht vorausgesetzt werden kann.
Einordnung
Die Konvergenz von AI Act und DSGVO-Anforderungen schafft für Unternehmen eine komplexe Compliance-Situation. Beide Regelwerke sind nicht deckungsgleich, ergänzen sich jedoch in zentralen Punkten: Transparenz, Risikoprüfung und Rechenschaftspflicht gelten als gemeinsame Grundprinzipien. Unternehmen, die KI-Systeme einsetzen, sollten Datenschutz- und KI-Compliance nicht als getrennte Projekte behandeln, sondern in integrierten Prozessen zusammenführen.
Quellen
- AI Act und Regulierung von KI, Plattform Lernende Systeme
- Leitlinien 06/2022 für die praktische Anwendung der gütlichen Einigung, European Data Protection Board
Häufige Fragen
Was ist der Unterschied zwischen dem EU AI Act und der DSGVO bei der Regulierung von KI-Systemen?
Beide Regelwerke ergänzen sich, verfolgen jedoch unterschiedliche Schwerpunkte. Die DSGVO regelt den Schutz personenbezogener Daten und gilt für jede Verarbeitung solcher Daten, auch durch KI-Systeme. Der AI Act hingegen ist ein wertegeleitetes Regelwerk, das die EU gemeinsam mit ihren Mitgliedsstaaten speziell für die Entwicklung und den Einsatz von KI geschaffen hat. Er bewertet KI-Anwendungen nach ihrem Risikograd und legt entsprechende Anforderungen fest. Unternehmen müssen beide Regelwerke parallel einhalten.
Welche konkreten Risiken soll die Regulierung von KI-Systemen in Unternehmen adressieren?
Die Plattform Lernende Systeme nennt zwei zentrale Risikofelder: Erstens können fehlerhafte KI-Systeme, etwa im autonomen Fahrzeug oder in der Arztpraxis, Menschen direkt gefährden. Zweitens können KI-Lösungen diskriminieren, beispielsweise wenn ein Algorithmus zur Vorsortierung von Bewerbungen auf einem eingeschränkten Datensatz trainiert wurde. Regulierung soll sicherstellen, dass Menschen und Unternehmen auf die Sicherheit solcher Systeme vertrauen können.
Erfüllen aktuelle KI-Modelle bereits die Anforderungen des AI Acts?
Nach einer Einschätzung des Digitalexperten Holger Schmidt erfüllen viele große KI-Modelle die Anforderungen des AI Acts noch nicht. Für Unternehmen bedeutet das: Wer heute kommerzielle KI-Lösungen einsetzt, sollte aktiv prüfen, ob die eingesetzten Systeme den regulatorischen Vorgaben entsprechen, anstatt dies bei Anbietern stillschweigend vorauszusetzen.
Gibt es neben dem AI Act weitere verbindliche oder freiwillige Instrumente zur KI-Regulierung?
Ja. Neben dem verbindlichen AI Act der EU existieren freiwillige Selbstverpflichtungen sowie staatliche Normen, die auf vertrauenswürdige KI abzielen. Auf internationaler Ebene gilt die Bletchley Declaration als ein wichtiger Schritt zur grenzüberschreitenden Zusammenarbeit bei der Regulierung von KI-Systemen. Länder außerhalb der EU, wie die Schweiz, die nicht direkt vom AI Act betroffen ist, entwickeln zudem eigene nationale Regulierungsansätze.
Welche Kritik gibt es an der europäischen KI-Regulierung aus Unternehmens- und Forschungsperspektive?
Die Debatte ist zweigeteilt. Einerseits warnte eine Gruppe führender Experten die EU laut einem Bericht des Spiegel vor einer Überregulierung von KI. FAZ-Kommentator Patrick Bernau argumentierte zudem, dass die KI-Forschung Freiräume benötigt. Andererseits betonte Jessica Heesen in einem ZDF-Beitrag die Notwendigkeit der im AI Act vorgesehenen Maßnahmen. Für Unternehmen bedeutet diese Spannungslage, dass Compliance-Anforderungen sorgfältig beobachtet werden müssen, da der regulatorische Rahmen noch in der Entwicklung ist.
