Der EU AI Act verpflichtet Anbieter generativer KI-Modelle zu Transparenzpflichten über Trainingsdaten, Urheberrechts-Compliance und Opt-out-Mechanismen; Bitkom ordnet diese Anforderungen in seinem 2025 aktualisierten Leitfaden “Generative KI im Unternehmen” als zentrale Compliance-Aufgabe für Unternehmen ein. Unternehmen, die generative KI einsetzen oder LLM-Lösungen beschaffen, stehen laut Bitkom vor konkreten Pflichten: Sie müssen Trainingsdatenquellen prüfen, urheberrechtliche Risiken bewerten und sicherstellen, dass Opt-out-Mechanismen für Rechteinhaber bestehen. Hinzu kommen DSGVO-Anforderungen bei der Datenverarbeitung. Wer diese Punkte in der Beschaffung und im Betrieb vernachlässigt, riskiert Compliance-Verstöße gegenüber EU-Regulatoren.

EDPB-Transparenzpflichten 2025: Was LLM-Training für europäische Unternehmen bedeutet

Der Europäische Datenschutzausschuss (EDPB) hat 2025 seine Leitlinien zur Verarbeitung personenbezogener Daten beim Training großer Sprachmodelle konkretisiert. Für europäische Unternehmen, die generative KI einsetzen oder eigene Modelle trainieren, entstehen daraus verbindliche Offenlegungspflichten, die Trainingsdatenquellen, urheberrechtliche Compliance und Opt-out-Mechanismen umfassen.

Trainingsdatenquellen: Dokumentation als Pflicht

Wer ein LLM trainiert oder ein vortrainiertes Modell in eigene Systeme integriert, muss nachweisen können, welche Datenquellen für das Training verwendet wurden. Der Bitkom-Leitfaden “Generative KI im Unternehmen” (2025) macht deutlich, dass Unternehmen bei der Beschaffung und Implementierung generativer KI eine aktualisierte Compliance-Checkliste berücksichtigen müssen. Dazu gehört auch die Prüfung, ob Trainingsdaten DSGVO-konform erhoben wurden.

Die praktische Implikation für Unternehmen: Vor dem Einsatz eines LLM-Anbieters müssen Verantwortliche prüfen, ob der Anbieter ausreichend Transparenz über seine Trainingsdatenquellen bereitstellt. Fehlt diese Dokumentation, kann das Unternehmen als Auftragsverarbeiter oder gemeinsam Verantwortlicher in die Haftung geraten. Mehr zu den regulatorischen Rahmenbedingungen für LLM-Training finden Sie unter EDPB-Leitlinien 2025: Transparenz beim LLM-Training.

Urheberrechts-Compliance: EU AI Act und DSGVO greifen ineinander

Der Bitkom-Leitfaden hebt hervor, dass beim Einsatz generativer KI neben datenschutzrechtlichen Anforderungen gemäß DSGVO auch Fragen des Urheberrechts zu klären sind. Der EU AI Act, der seit 2024 schrittweise in Kraft tritt, schreibt für Anbieter sogenannter GPAI-Modelle (General Purpose AI) Transparenzpflichten vor. Dazu zählt die Offenlegung von Zusammenfassungen der Trainingsdaten, einschließlich urheberrechtlich geschützter Inhalte.

Für Unternehmen bedeutet das konkret: Wer einen LLM-Anbieter aus dem Nicht-EU-Raum einsetzt, muss prüfen, ob dieser den EU-AI-Act-Anforderungen genügt. Andernfalls drohen Compliance-Lücken, die auch die eigene Nutzung des Modells betreffen. Eine Übersicht zu den Konformitätspflichten für GPAI-Anbieter bietet der Artikel EU AI Act 2025: Notifizierungspflichten für GPAI-Anbieter.

Opt-out-Mechanismen: Betroffenenrechte technisch umsetzen

Ein zentrales Element der EDPB-Leitlinien betrifft die Rechte betroffener Personen. Wenn personenbezogene Daten in Trainingsdatensätzen enthalten sind, müssen Unternehmen sicherstellen, dass Betroffene ihr Widerspruchsrecht (Art. 21 DSGVO) tatsächlich ausüben können. Das setzt voraus, dass Opt-out-Mechanismen nicht nur rechtlich vorgesehen, sondern technisch implementiert sind.

In der Praxis ist das anspruchsvoll: LLMs sind keine relationalen Datenbanken, aus denen einzelne Datenpunkte einfach gelöscht werden können. Unternehmen müssen deshalb Verfahren entwickeln, die bei einem berechtigten Opt-out-Antrag zumindest eine Neugewichtung oder ein Retraining ohne die betroffenen Daten ermöglichen. Technische Ansätze wie synthetische Trainingsdaten können hier eine Rolle spielen. Mehr dazu unter EDPB: Synthetische Trainingsdaten, Anonymisierung und DSGVO.

DSGVO-Vereinfachungen für KMU: Entlastung in Sicht

Parallel zu den verschärften Transparenzanforderungen hat die Europäische Kommission im Mai 2025 Änderungen an der DSGVO vorgeschlagen, die speziell kleine und mittlere Unternehmen entlasten sollen. Laut dem Bitkom-Positionspapier “DSGVO-Änderungen: Bürokratieabbau für KMU und Kleinstunternehmen” sind risikobasierte Ausnahmen bei der Dokumentation von Verarbeitungstätigkeiten sowie mehr Flexibilität bei Verhaltensregeln und Zertifizierungen vorgesehen.

Bitkom begrüßt die Stoßrichtung der Kommission, fordert jedoch eine zielgerichtete und risikobasierte Weiterentwicklung, die echte Entlastungen schafft, ohne den bestehenden Rechtsrahmen zu destabilisieren. Für KMU, die generative KI einsetzen, könnte das bedeuten, dass die Pflicht zur vollständigen Dokumentation von Verarbeitungstätigkeiten künftig stärker am tatsächlichen Risiko ausgerichtet wird. Hintergründe zur Datenschutz-Compliance bei LLM-Einsatz im Mittelstand finden Sie unter DSGVO-konforme RAG-Systeme: Lokale LLMs im Mittelstand.

Was Unternehmen jetzt konkret tun sollten

Aus den Leitlinien des EDPB und dem aktuellen regulatorischen Umfeld ergeben sich vier praxisrelevante Handlungsfelder:

1. Lieferantenprüfung: Vor dem Einsatz eines LLM-Anbieters eine strukturierte Prüfung der Trainingsdatentransparenz und der EU-AI-Act-Konformität durchführen. Der Bitkom-Leitfaden stellt hierfür eine Checkliste bereit.
2. Vertragliche Absicherung: Auftragsverarbeitungsverträge müssen Klauseln zur Transparenz über Trainingsdaten und zur Unterstützung bei Betroffenenrechten enthalten. Weiterführende Informationen bietet EDPB 2025: Auftragsverarbeitung beim LLM-Training.
3. Technische Opt-out-Verfahren: Interne Prozesse definieren, die einen Widerspruch gegen die Nutzung personenbezogener Daten im Training operationalisierbar machen.
4. KMU-Förderprogramme beobachten: Die laufenden DSGVO-Verhandlungen auf EU-Ebene können kurzfristig zu Entlastungen bei der Dokumentationspflicht führen. Unternehmen sollten die Entwicklung im Blick behalten.

Quellen

• Generative KI im Unternehmen | Leitfaden 2025 | Bitkom e. V.
• DSGVO-Änderungen: Bürokratieabbau für KMU und Kleinstunternehmen | Positionspapier 2025 | Bitkom e. V.

Häufige Fragen

Was verlangt der EU AI Act von Unternehmen, die generative KI-Modelle einsetzen, in Bezug auf Transparenz?

Der EU AI Act verpflichtet Unternehmen beim Einsatz generativer KI unter anderem zur Einhaltung von Transparenzpflichten und zur Risikoklassifizierung ihrer Systeme. Laut dem Bitkom-Leitfaden 2025 müssen Unternehmen konkrete Compliance-Maßnahmen umsetzen und nachweisen können, dass sie die regulatorischen Anforderungen kennen und anwenden. Dazu gehört auch die Dokumentation des Einsatzkontexts.

Welche datenschutzrechtlichen Pflichten gelten nach DSGVO beim Training mit personenbezogenen Daten?

Die DSGVO bleibt auch beim LLM-Training der zentrale Rechtsrahmen. Unternehmen müssen Verarbeitungstätigkeiten dokumentieren und eine Rechtsgrundlage für die Nutzung personenbezogener Trainingsdaten nachweisen. Der Bitkom-Leitfaden 2025 weist darauf hin, dass datenschutzrechtliche Anforderungen bei Beschaffung und Implementierung generativer KI zu prüfen sind. Verstöße können Haftungsrisiken auslösen.

Plant die EU, den Dokumentationsaufwand bei der DSGVO für kleinere Unternehmen zu reduzieren?

Ja. Die Europäische Kommission hat im Mai 2025 Änderungen an der DSGVO vorgeschlagen, die KMU und Small Mid-Caps entlasten sollen. Vorgesehen sind risikobasierte Ausnahmen bei der Dokumentation von Verarbeitungstätigkeiten sowie mehr Flexibilität bei Verhaltensregeln und Zertifizierungen. Bitkom bewertet diese Vorschläge in einem Positionspapier und empfiehlt eine risikobasierte Weiterentwicklung, die Entlastung schafft, ohne den Rechtsrahmen zu destabilisieren.

Wie sollten Unternehmen bei der Auswahl eines generativen KI-Systems auf Urheberrechts-Compliance achten?

Der Bitkom-Leitfaden 2025 empfiehlt, bei der Beschaffung generativer KI-Systeme eine Checkliste zu nutzen, die rechtliche Aspekte einschließt. Dazu zählt die Prüfung, ob Anbieter Angaben zu Trainingsdatenquellen und zur urheberrechtlichen Zulässigkeit ihrer Trainingsprozesse machen. Unternehmen sollten entsprechende Garantien vertraglich absichern und die Compliance-Dokumentation regelmäßig aktualisieren.

Gibt es für europäische Unternehmen bereits konkrete Opt-out-Mechanismen beim LLM-Training?

Verbindliche, harmonisierte Opt-out-Mechanismen für LLM-Trainingsdaten sind auf EU-Ebene noch nicht abschließend geregelt. Der AI Act schafft jedoch neue regulatorische Rahmenbedingungen, die Transparenzpflichten gegenüber betroffenen Parteien stärken. Unternehmen sollten laut Bitkom die weitere Rechtsentwicklung beobachten und intern prüfen, welche Datenquellen sie für eigene Trainingszwecke nutzen und ob Betroffenenrechte nach DSGVO greifen.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.