DSGVO und KI 2026: Was Unternehmen jetzt beachten müssen

Beim KI-Einsatz gelten DSGVO und seit 2025 der EU AI Act. Wichtig: keine personenbezogenen Daten in öffentliche KI-Tools geben, Anbieter mit EU-Hosting und Auftragsverarbeitungsvertrag wählen, Mitarbeiter schulen und den Einsatz dokumentieren. Wer das sauber aufsetzt, nutzt KI rechtssicher statt riskant.

Kein Rechtsrat, sondern Praxis-Kompass

Vorweg, ganz ehrlich: Dieser Beitrag ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ist Ihr Datenschutzbeauftragter oder ein Fachanwalt zuständig. Was hier steht, ist ein praxisnaher Kompass, damit Sie die wichtigsten Stolpersteine kennen und nicht aus Unwissenheit in ein Risiko laufen.

Zwei Regelwerke: DSGVO und EU AI Act

Zwei Dinge greifen ineinander. Die DSGVO regelt, wie Sie mit personenbezogenen Daten umgehen – und die gelten auch dann, wenn eine KI die Daten verarbeitet. Neu hinzugekommen ist der EU AI Act, seit 2025 in Kraft und schrittweise anwendbar. Er stuft KI-Anwendungen nach Risiko ein. Die gute Nachricht: Die allermeisten KMU-Anwendungsfälle – Textentwürfe, Wissenssuche, Automatisierung – fallen in geringe Risikoklassen mit überschaubaren Transparenzpflichten.

Der häufigste Fehler: Kundendaten in Gratis-Tools

Der mit Abstand teuerste Fehler ist banal: Mitarbeiter kopieren Kundendaten, Namen oder ganze E-Mails in ein kostenloses KI-Tool, um sich die Arbeit zu erleichtern. Das ist datenschutzrechtlich heikel – und bei kostenlosen Cloud-Versionen werden diese Eingaben unter Umständen sogar zum Training weiterverwendet. Regel Nummer eins lautet daher: keine personenbezogenen Daten in öffentliche, kostenlose KI-Tools.

Auftragsverarbeitung und EU-Hosting

Sobald ein Dienstleister oder Tool in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Achten Sie zusätzlich auf den Serverstandort: Anbieter mit EU-Hosting halten Ihre Daten im Geltungsbereich europäischen Rechts. Wie ein sauberer EU-Stack in der Praxis aussieht, zeigen wir unter DSGVO & KI-Sicherheit.

KI-Kompetenz-Pflicht: Mitarbeiter schulen

Ein Punkt, der oft übersehen wird: Der EU AI Act erwartet, dass Mitarbeiter, die mit KI arbeiten, ein Grundverständnis dafür mitbringen. Das muss keine Zertifizierung sein – eine kurze, klare Einweisung reicht in den meisten Fällen: Was darf ins Tool, was nicht? Woran erkennt man eine erfundene Antwort? Wer das einmal sauber vermittelt, verhindert die meisten Datenschutz-Pannen schon im Ansatz.

Transparenz und Kennzeichnung

Wo KI direkt mit Menschen interagiert – etwa ein Chatbot auf der Website oder ein Telefonassistent – sollte erkennbar sein, dass man es mit einer KI zu tun hat. Auch KI-generierte Inhalte sollten intern nachvollziehbar bleiben. Transparenz ist hier weniger Bürokratie als Vertrauensfrage: Kunden nehmen es Ihnen selten übel, dass eine KI hilft – wohl aber, wenn es verschleiert wird.

Ihre DSGVO-KI-Checkliste 2026

• Keine personenbezogenen Daten in kostenlose, öffentliche KI-Tools eingeben.
• Anbieter mit EU-Hosting und Serverstandort in der EU wählen.
• Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen.
• Trainingsnutzung ausschließen – vertraglich sicherstellen, dass Eingaben nicht zum Training verwendet werden.
• Mitarbeiter schulen – kurze, klare Einweisung, was erlaubt ist und was nicht.
• KI-Einsatz kennzeichnen, wo Menschen direkt mit KI interagieren.
• Verarbeitung dokumentieren – welche Tools, welche Daten, welcher Zweck.

Diese Checkliste ist ein Startpunkt, keine Rechtsberatung – die konkrete Bewertung gehört in die Hände Ihres Datenschutzbeauftragten.

Rechtssicher aufsetzen ohne Overkill

Datenschutz bei KI ist kein Grund, das Thema zu meiden – er ist ein Grund, es von Anfang an richtig aufzusetzen. Wer EU-Hosting, AVV und eine kurze Schulung von Beginn an mitdenkt, nutzt KI rechtssicher, statt in Grauzonen zu geraten. Und das ist kein Overkill, sondern in wenigen Schritten erledigt. Wenn Sie noch überlegen, ob überhaupt eine eigene Lösung nötig ist, hilft der Beitrag ChatGPT vs. eigene KI-Lösung weiter.