DAT-08 | Datenschutz, KI & Informationssicherheit | Aktiv, sobald KI-Systeme entwickelt oder genutzt werden
Die KI-Verordnung betrifft Dich nicht erst, wenn Du KI entwickelst - sondern schon, wenn Deine Leute ChatGPT, Copilot oder ein KI-Feature in einer bestehenden Software nutzen. Und das tun sie mit hoher Wahrscheinlichkeit längst, auch ohne dass Du es freigegeben hast.
Der Digital Omnibus, Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten und hat Artikel 4 abgeschwächt: Aus der Pflicht, KI-Kompetenz sicherzustellen, ist eine Pflicht geworden, sie zu fördern. Das ist eine Erleichterung bei der Sanktionierung - kein Grund, das Thema liegen zu lassen. Ab dem 2. August 2026 arbeiten die Marktüberwachungsbehörden, und fehlende Kompetenz wird im Schadensfall gegen Dich gewertet.
GILT DAS FÜR DICH?
Sobald in Deinem Unternehmen KI-Systeme entwickelt oder genutzt werden. Nutzung heißt auch: Textgeneratoren, Übersetzungstools, KI-Funktionen in Office- und CRM-Software, KI-gestützte Terminplanung, Chatbots auf der Website, Bewerber-Vorauswahl.
Unabhängig davon gilt seit dem 2. Februar 2025 das Verbot bestimmter KI-Praktiken - etwa Emotionserkennung am Arbeitsplatz und Social Scoring. Diese Verbote sind nicht verschoben worden und betreffen jeden.
Wenn Du KI in einem Hochrisikobereich einsetzt, gilt zusätzlich das nächste Kapitel.
DAS MUSST DU TUN
- Erstelle ein Inventar aller eingesetzten KI-Tools. Frage aktiv in den Abteilungen nach - Schatten-KI ist heute das, was Schatten-IT vor zehn Jahren war. Halte fest: Tool, Anbieter, Zweck, wer nutzt es, welche Daten fließen hinein.
- Schreibe eine KI-Nutzungsrichtlinie - eine Seite reicht. Kernpunkte: Welche Tools sind freigegeben? Welche Daten dürfen niemals eingegeben werden (Kundendaten, Personaldaten, Geschäftsgeheimnisse, Quellcode)? Wer prüft KI-Ergebnisse vor der Verwendung? Wann muss gekennzeichnet werden, dass KI im Spiel war?
- Schule die Mitarbeitenden, die KI nutzen. Inhalt: wie die Systeme funktionieren, wo ihre Grenzen liegen, warum Ergebnisse falsch sein können, welche Daten tabu sind. Das ist der Kern der KI-Kompetenz nach Artikel 4.
- Benenne eine verantwortliche Person für das Thema KI - sie führt das Inventar und entscheidet über Freigaben neuer Tools.
- Kläre die datenschutzrechtliche Seite: Ein KI-Dienst, der personenbezogene Daten verarbeitet, braucht eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und einen Eintrag im Verarbeitungsverzeichnis.
- Prüfe die verbotenen Praktiken kurz durch. Die praxisrelevanteste Fallgruppe im Mittelstand ist die Emotionserkennung am Arbeitsplatz - etwa in Software zur Analyse von Kundengesprächen.
- Kennzeichne KI-generierte Inhalte und Chatbots gegenüber Kunden. Transparenz ist eine eigenständige Pflicht.
GRÜN IST ES, WENN ...
Es gibt ein gepflegtes KI-Inventar, eine kommunizierte Nutzungsrichtlinie, eine verantwortliche Person und einen Nachweis, dass die KI-nutzenden Mitarbeitenden geschult wurden.
DIESE NACHWEISE BRAUCHST DU
KI-Inventar mit Tool, Zweck und Datenkategorien, KI-Nutzungsrichtlinie, Schulungsnachweise, Freigabeentscheidungen, Einträge im Verarbeitungsverzeichnis.
DIE RECHTSGRUNDLAGE
- Verordnung (EU) 2024/1689 - KI-Verordnung: Artikel 4 regelt die KI-Kompetenz, Artikel 5 die verbotenen Praktiken, Artikel 50 die Transparenzpflichten bei Chatbots und generierten Inhalten.
- Verordnung (EU) 2026/1744 - Digital Omnibus zur KI: In Kraft seit dem 27. Juli 2026. Verschiebt Fristen und formuliert die Kompetenzpflicht als Förderpflicht.
- Europäische Kommission - Rechtsrahmen für KI: Offizielle Informationsseite mit Leitlinien, FAQ und dem Zeitplan der Anwendbarkeit.
- Art. 6 DSGVO - Rechtmäßigkeit der Verarbeitung: Sobald personenbezogene Daten in ein KI-System fließen, brauchst Du eine Rechtsgrundlage - die KI-Verordnung ersetzt den Datenschutz nicht.
TYPISCHE STOLPERFALLEN
- Schatten-KI. Der Vertrieb nutzt seit einem Jahr ein Tool, von dem die IT nichts weiß - inklusive Kundendaten im Prompt.
- Richtlinie ohne konkrete Tools. "Sorgfältiger Umgang mit KI" hilft niemandem. Nenne die freigegebenen Werkzeuge beim Namen.
- Datenschutz vergessen. KI-Compliance und Datenschutz sind zwei Prüfungen, nicht eine.
- Kennzeichnung fehlt. Ein Chatbot, der sich nicht als solcher zu erkennen gibt, verstößt gegen die Transparenzpflicht.
- Schulung ohne Nachweis. Genau wie beim Datenschutz gilt: nicht dokumentiert heißt nicht stattgefunden.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Inventar, Richtlinie und Kompetenz - drei Bausteine, die zusammen an einem Nachmittag geplant und in wenigen Wochen umgesetzt sind.
AI Officer / AI Compliance: Risikoklassifizierung Deiner KI-Anwendungen, KI-Richtlinie, Schulung und laufende Dokumentation - aus einer Hand.
Compliance.Policies: Die KI-Nutzungsrichtlinie verteilen und bestätigen lassen, damit klar ist, welche Tools freigegeben sind und welche Daten tabu.
Compliance.Learning: AI-Literacy-Schulung für alle, die KI nutzen - mit dokumentierter Teilnahme als Nachweis nach Art. 4 KI-Verordnung.
Mehr zum Thema: KI-Verordnung auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
