Künstliche Intelligenz verändert die Art, wie Unternehmen arbeiten. Texte werden schneller erstellt, Daten effizienter ausgewertet, Routineaufgaben automatisiert. Die Frage lautet heute nicht mehr, ob KI in Unternehmen eingesetzt wird, sondern wie. Und genau an dieser Stelle kommt für viele Entscheider eine essenzielle Folgefrage auf: Wie lässt sich der Einsatz von KI mit dem Datenschutz vereinbaren?

Die gute Nachricht: KI und Datenschutz sind kein Widerspruch. Sie erfordern jedoch eine strukturierte Vorgehensweise, klare interne Regeln und ein Verständnis der geltenden Rechtslage. Mit dem EU AI Act ist seit 2024 ein europäisches Regelwerk in Kraft, das den Einsatz von intelligenten Systemen verbindlich rahmt, während die Datenschutz-Grundverordnung (DSGVO) beim Umgang mit personenbezogenen Daten weiterhin vollumfänglich gilt. Dieser Beitrag gibt Ihnen einen praxisnahen Überblick, was beide Themen konkret bedeuten und wie Unternehmen diese Technologien intern sicher, rechtssicher und verantwortungsvoll einführen können.

Was der EU AI Act für Unternehmen bedeutet

Der EU AI Act (Verordnung EU 2024/1689), zu Deutsch KI-Verordnung bzw. KI-VO, ist die weltweit erste umfassende Regulierung für den Einsatz von künstlicher Intelligenz. Sie trat am 1. August 2024 in Kraft und wird schrittweise wirksam.

Zeitplan und Pflichten im Überblick

Die Verordnung folgt einem gestaffelten Zeitplan:

• Seit 2. Februar 2025: Verbote für Systeme mit inakzeptablem Risiko gelten unmittelbar. Gleichzeitig ist die Schulungspflicht nach Art. 4 in Kraft: Unternehmen müssen sicherstellen, dass ihre Mitarbeitenden nachweislich ausreichende Kompetenz im Umgang mit diesen Technologien besitzen.
• Seit 2. August 2025: Dokumentations- und Informationspflichten für Anbieter von Systemen mit allgemeinem Verwendungszweck (GPAI-Systeme) treten in Kraft.
• Ab 2. August 2026: Transparenzpflichten für generative Sprachmodelle werden wirksam, unter anderem die Kennzeichnungspflicht für maschinell generierte Inhalte.
• Ab 2. August 2027: Die vollständigen Anforderungen für Hochrisiko-Systeme nach Anhang I der Verordnung gelten.

Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Risikostufen nach der KI-Verordnung

Der AI Act ordnet intelligente Systeme in vier Risikostufen ein:

• Inakzeptables Risiko: Diese Anwendungen sind verboten, etwa Social Scoring durch Behörden oder bestimmte Formen biometrischer Echtzeit-Fernidentifizierung.
• Hohes Risiko: Automatisierte Systeme in sensiblen Bereichen wie HR, Kreditvergabe oder kritischer Infrastruktur. Sie unterliegen strengen Auflagen zu Transparenz, menschlicher Aufsicht und Dokumentation.
• Begrenztes Risiko: Anwendungen wie Chatbots, bei denen Transparenzpflichten gelten.
• Minimales Risiko: Der Großteil der heute eingesetzten Tools, etwa textgenerierende Anwendungen für interne Zwecke. Hier gelten keine zwingenden Zusatzpflichten aus der Verordnung.

Für die meisten Unternehmen, die KI im Büroalltag einsetzen, fallen die genutzten Systeme überwiegend in die Kategorien begrenztes oder minimales Risiko. Die Schulungspflicht nach Art. 4 gilt dennoch für alle.

DSGVO und KI-VO: zwei Regelwerke, ein Ziel

Ein häufiger Irrtum in der Praxis: Unternehmen glauben, entweder die DSGVO oder die KI-VO im Blick haben zu müssen. Tatsächlich laufen beide Regelwerke gleichzeitig und ergänzen sich.

Was die DSGVO beim KI-Einsatz verlangt

Sobald künstliche Intelligenz personenbezogene Daten verarbeitet, greift die DSGVO in vollem Umfang. Das ist schnell der Fall: Wer Kundendaten, E-Mail-Adressen oder CRM-Inhalte in ein solches Tool eingibt, betritt sofort den Anwendungsbereich der DSGVO. Die zentralen Anforderungen lauten:

• Rechtmäßigkeit: Jede automatisierte Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO.
• Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden.
• Datenminimierung: Es sind so wenig Daten wie möglich zu verwenden.
• Transparenz: Betroffene Personen müssen informiert werden, wenn ihre Daten von automatisierten Systemen verarbeitet werden.
• Richtigkeit: Falsche personenbezogene Daten, die ein solches System erzeugt, müssen korrigiert werden können.

Darüber hinaus kann beim Einsatz von künstlicher Intelligenz eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich sein. Die deutschen Datenschutzaufsichtsbehörden haben klargestellt, dass dies in diesem Kontext vielfach der Fall sein wird. Für Unternehmen, die hierbei Unterstützung suchen, bietet SAVISCON Datenschutz-Beratung und die Leistung des externen Datenschutzbeauftragten an.

Wichtig ist auch die Frage der vertraglichen Absicherung: Wird ein externes Tool eines Drittanbieters genutzt, ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen.

Die DSK-Orientierungshilfen als praktischer Kompass

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat seit 2024 mehrere Orientierungshilfen veröffentlicht, die konkrete Hinweise zur datenschutzkonformen Nutzung und Entwicklung intelligenter Systeme geben.

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024) richtet sich an Verantwortliche und gibt Leitlinien zur Konzeption, Implementierung und Nutzung entsprechender Systeme. Besonders hervorgehoben wird: Unternehmen sind auch für die Folgen eines fehlerhaft trainierten externen Systems verantwortlich, wenn sie es als Verantwortliche einsetzen.

Die Orientierungshilfe „Empfohlene technische und organisatorische Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen“ (Juni 2025) konkretisiert die Anforderungen entlang von sieben Gewährleistungszielen: Datenminimierung, Transparenz, Vertraulichkeit, Integrität, Verfügbarkeit, Intervenierbarkeit und Nichtverkettung. Diese Ziele sind entlang des gesamten Lebenszyklus umzusetzen, von der Planungsphase bis zum laufenden Betrieb.

Grundprinzipien beider Dokumente sind „data protection by design“ – Datenschutz ist von Anfang an in die Konzeption einzubeziehen, nicht erst im Nachhinein – und „data protection by default“: Datenschutz durch datenschutzfreundliche Voreinstellungen.

Die größten Datenschutzrisiken beim KI-Einsatz

Das BSI hat in seinen aktualisierten Empfehlungen für den sicheren Einsatz generativer KI (2025) darauf hingewiesen, dass sich die Bedrohungslage durch sicherheitsrelevante Vorfälle gegenüber dem Vorjahr verdoppelt hat. Drei Risikobereiche verdienen besondere Aufmerksamkeit:

Shadow AI: unkontrollierter KI-Einsatz

Studien zeigen, dass mehr als 70 Prozent der Mitarbeitenden privat Tools wie ChatGPT oder ähnliche Anwendungen nutzen, darunter auch mit Firmendaten. Unternehmen, die keine offizielle Strategie und keine freigegebenen Tools bereitstellen, verlieren die Kontrolle darüber, welche Informationen nach außen gelangen. Dieses Phänomen wird als „Shadow AI“ (Schatten-KI) bezeichnet und stellt das Pendant zur klassischen Schatten-IT dar.

Das BSI empfiehlt ausdrücklich: Keine vertraulichen oder personenbezogenen Daten in nicht geprüfte, offene Systeme eingeben. Unternehmen, die ihren Mitarbeitenden keine sichere Alternative anbieten, riskieren unkontrollierten Datenabfluss.

Dateneingabe, Datenschutz-Folgenabschätzung und Auftragsverarbeitung

Das BSI weist darauf hin, dass Eingaben an automatisierte Systeme grundsätzlich weiterverarbeitet werden können. Bei vielen frei zugänglichen Anwendungen werden Eingaben für das Training des Modells genutzt. Eine einmal eingegebene E-Mail-Adresse oder ein Name kann in Trainingsdaten eingehen und durch gezielte Angriffe abfließen.

Unternehmen sollten daher vor der Nutzung externer Lösungen klären: Welche Lizenz wird genutzt? Welche Datenschutzzusagen macht der Anbieter? Ist ein Auftragsverarbeitungsvertrag (AVV) vorhanden? Und ist für den geplanten Einsatzfall eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?

Hinzu kommt ein weiteres Risiko, das BSI und DSK gleichermaßen thematisieren: Solche Systeme können falsche Informationen über Personen erzeugen (sogenannte Halluzinationen). Das stellt ein Risiko im Hinblick auf das Recht auf Richtigkeit und das Recht auf Berichtigung nach DSGVO dar.

In fünf Schritten zur datenschutzkonformen KI-Einführung

Aus den Empfehlungen von BSI und DSK sowie den Vorgaben der KI-VO lassen sich fünf praktische Schritte ableiten, mit denen Unternehmen KI sicher und rechtssicher einführen:

Schritt 1: KI-Bestandsaufnahme

Welche intelligenten Systeme werden im Unternehmen bereits genutzt, auch informell? Eine strukturierte Bestandsaufnahme ist der erste Schritt, um Schatten-IT aufzudecken und den Handlungsbedarf zu ermitteln.

Schritt 2: Risikoklassifizierung nach KI-VO

Für jedes eingesetzte oder geplante System ist zu prüfen, welcher Risikostufe es nach der Verordnung zuzuordnen ist. Davon hängen die weiteren Compliance-Anforderungen ab. Dies können Sie am besten über ein GRC-Management-System abbilden.

Schritt 3: DSGVO-Prüfung und Datenschutz-Folgenabschätzung

Sobald personenbezogene Daten verarbeitet werden, sind Rechtsgrundlage, Zweckbindung, AVV und gegebenenfalls eine DSFA zu prüfen. Technisch geschlossene Systeme sind aus datenschutzrechtlicher Sicht vorzuziehen. Unterstützung bietet SAVISCON mit dem Datenschutz-Management-System.

Schritt 4: Interne KI-Richtlinie erstellen

Die DSK empfiehlt für alle Unternehmen, die entsprechende Technologien einsetzen, interne Richtlinien zu entwickeln: Wer darf welche Werkzeuge für welche Zwecke nutzen? Welche Daten dürfen eingesetzt werden? Wie werden Ergebnisse auf ihre Richtigkeit geprüft? Eine solche Unternehmensrichtlinie schafft Klarheit für Mitarbeitende und schützt das Unternehmen vor unkontrolliertem Dateneinsatz.

Schritt 5: Mitarbeitende nachweislich schulen

Seit dem 2. Februar 2025 ist die Schulungspflicht nach Art. 4 KI-VO in Kraft. Unternehmen müssen sicherstellen und dokumentieren, dass ihre Mitarbeitenden ausreichende Kompetenz im Umgang mit diesen Technologien besitzen. Inhaltlich empfehlen BSI und DSK, dass Schulungen mindestens die Abgrenzung zwischen DSGVO und KI-VO, praktische Regeln für die Dateneingabe, die Pflicht zur menschlichen Prüfung von Ergebnissen sowie einen klaren Eskalationsweg bei Unsicherheiten abdecken. SAVISCON bietet hierzu Schulungen für Unternehmen an, die sowohl die rechtlichen Grundlagen als auch den sicheren praktischen Umgang mit diesen Technologien im Berufsalltag vermitteln.

Fazit: KI und Datenschutz als gemeinsames Fundament

Wer KI verantwortungsvoll einführt, gewinnt auf mehreren Ebenen: Effizienz im Arbeitsalltag, Compliance-Sicherheit gegenüber Behörden und Vertrauen bei Kunden und Mitarbeitenden. BSI und DSK haben mit ihren aktuellen Empfehlungen und Orientierungshilfen das notwendige Werkzeug bereitgestellt, es kommt auf die strukturierte Umsetzung im Unternehmen an.

Bei SAVISCON begleiten wir unsere Kunden seit Jahren beim strukturierten Aufbau von Managementsystemen für IT-Sicherheit, Datenschutz und Compliance. Und wir entwickeln diese Kompetenz stetig intern weiter, denn auch wir erproben den Einsatz intelligenter Technologien in unseren eigenen Arbeitsprozessen und lernen dabei täglich dazu.

Sie möchten KI in Ihrem Unternehmen einführen und dabei Datenschutz und Verordnungs-Konformität von Anfang an mitdenken? Ob Schulung für Ihr Team, externer Datenschutzbeauftragter oder die Einbindung in Ihr GRC-Management: Sprechen Sie uns an.

Jetzt kostenlos und unverbindlich einen Beratungstermin buchen