DSGVO und EU-KI-Verordnung: Was der Mittelstand zur KI-Nutzung wissen muss
Die Schlagzeilen lauteten lange: Ab August 2026 gilt die KI-Verordnung in voller Härte. So kam es nicht. Der sogenannte Digital Omnibus hat die strengen Pflichten für Hochrisiko-KI auf 2027 und 2028 verschoben. Drei Dinge binden Unternehmen, die KI einsetzen, aber schon heute — und die DSGVO war nie weg. Hier steht, was für einen mittelständischen Betrieb wirklich zählt, ohne Paragrafendeutsch.
Kaum ein Thema verunsichert den Mittelstand gerade so wie die KI-Nutzung. Auf der einen Seite nutzen Mitarbeitende längst ChatGPT, Microsoft Copilot und ähnliche Werkzeuge, oft ohne dass die Geschäftsführung davon weiß. Auf der anderen Seite geistert die EU-KI-Verordnung durch die Nachrichten, mal als bürokratisches Ungeheuer, mal als entschärft. Beides stimmt ein Stück weit. Sortieren wir es.
Was der Digital Omnibus geändert hat, und was nicht
Die EU-KI-Verordnung (offiziell Verordnung (EU) 2024/1689, auf Englisch „AI Act“) ist seit dem 1. August 2024 in Kraft und gilt gestaffelt über mehrere Jahre. Ursprünglich sollten die anspruchsvollen Pflichten für sogenannte Hochrisiko-Systeme ab August 2026 greifen.
Im Sommer 2026 hat die EU mit dem Digital Omnibus (Verordnung (EU) 2026/1744) nachgesteuert und diese Fristen nach hinten geschoben, weil die technischen Normen und die nationalen Aufsichtsbehörden vielerorts noch nicht bereit waren:
- Eigenständige Hochrisiko-Systeme (Anhang III, etwa KI in Bewerberauswahl, Kreditvergabe, Bildung oder Versicherung) müssen die vollen Pflichten nun erst ab dem 2. Dezember 2027 erfüllen, statt ab August 2026.
- KI in regulierten Produkten (Anhang I, zum Beispiel in Medizinprodukten oder Maschinen) hat bis zum 2. August 2028 Zeit.
Das ist eine echte Atempause, aber kein Freifahrtschein. Denn mehrere Pflichten wurden ausdrücklich nicht verschoben. Sie gelten bereits, und sie betreffen genau die Unternehmen, die KI schlicht einsetzen.
Drei Pflichten, die schon heute gelten
Für den Mittelstand lässt sich der aktuelle Stand auf drei Punkte eindampfen. Keiner davon verlangt ein Großprojekt, aber ignorieren sollte man sie nicht.
- 1. Keine verbotenen Einsätze. Seit Februar 2025 sind bestimmte KI-Anwendungen in der EU untersagt, darunter das Bewerten von Menschen nach ihrem Sozialverhalten und die Emotionserkennung am Arbeitsplatz. Die meisten Betriebe tun so etwas ohnehin nicht, aber gerade die Emotionserkennung taucht in moderner Personal- und Kommunikationssoftware schneller auf, als man denkt.
- 2. KI-Kompetenz, also Schulung. Artikel 4 verlangt, dass Sie die KI-Kompetenz der Menschen fördern, die in Ihrem Namen KI nutzen — auch bei ChatGPT oder Copilot. Der Omnibus hat diese Pflicht entschärft: Ein festes Niveau oder Zertifikat ist nicht nötig, die Tiefe richtet sich nach Rolle und Risiko. In der Praxis heißt das: eine verständliche Einweisung und eine kurze interne KI-Richtlinie, wer was womit darf.
- 3. Transparenz. Seit August 2026 müssen Menschen erkennen können, wenn sie mit einer KI sprechen statt mit einem Mitarbeiter, etwa bei einem Service-Chatbot. KI-erzeugte Bilder und Videos (Deepfakes) sind zu kennzeichnen, ebenso veröffentlichte KI-Texte zu Themen von öffentlichem Interesse.
Die wichtigste Unterscheidung: Wer KI nur nutzt, ist „Betreiber“ und hat vergleichsweise wenige Pflichten. Wer KI entwickelt oder unter eigenem Namen in Verkehr bringt, wird zum „Anbieter“ mit deutlich mehr Verantwortung. Vorsicht: Wer ein zugekauftes KI-System wesentlich umbaut oder unter eigenem Namen vertreibt, kann unbemerkt zum Anbieter werden.
Die DSGVO gilt weiter — parallel, nicht ersetzt
Ein weit verbreiteter Irrtum: Die KI-Verordnung löse die DSGVO ab. Das Gegenteil ist der Fall. Die KI-Verordnung stellt in Artikel 2 ausdrücklich klar, dass die DSGVO unberührt bleibt. Es sind zwei Regelwerke, die nebeneinander gelten und jeweils eine andere Frage stellen:
- Die DSGVO fragt: Was passiert mit den personenbezogenen Daten? Gibt es eine Rechtsgrundlage, ist die Verarbeitung erforderlich, braucht es eine Datenschutz-Folgenabschätzung?
- Die KI-Verordnung fragt: Welches Risiko geht vom KI-System als Produkt aus, unabhängig davon, ob personenbezogene Daten im Spiel sind?
Verarbeitet eine KI personenbezogene Daten, müssen Sie beide erfüllen. Und genau hier liegt die häufigste Stolperfalle im Alltag, und sie hat nichts mit Hochrisiko-Fristen zu tun: Mitarbeitende, die Kundendaten, Verträge oder Personalunterlagen in ein frei zugängliches ChatGPT kopieren. In dem Moment gehen diese Daten an einen US-Dienst, über dessen Verarbeitung Sie keine Kontrolle haben. Das ist zuerst ein DSGVO-Problem, lange bevor irgendeine KI-Verordnungsfrist greift.
Was das konkret für Ihr Unternehmen heißt
Sie müssen daraus kein Großprojekt machen. Eine sinnvolle Reihenfolge für den Anfang:
- 1. KI-Inventar erstellen. Welche KI-Werkzeuge sind bei Ihnen tatsächlich im Einsatz, inklusive der Tools, die einzelne Abteilungen auf eigene Faust nutzen? Man kann nur ordnen, was man kennt.
- 2. Rolle klären. Sind Sie bei jedem System nur Betreiber, oder werden Sie durch Eigenentwicklung oder Umbau zum Anbieter?
- 3. Einweisung und Richtlinie. Eine knappe, verständliche KI-Richtlinie plus eine rollenbezogene Einweisung deckt Artikel 4 für die meisten Betriebe ab.
- 4. Transparenz prüfen. Setzen Sie einen Chatbot ein, erzeugen Sie Bilder oder veröffentlichen Sie KI-Texte? Dann klären, wo ein Hinweis nötig ist.
- 5. Datenschutz mitdenken. Wo gehen die Daten hin? Das Verzeichnis der Verarbeitungstätigkeiten und das KI-Inventar gehören zusammengeführt, bei höherem Risiko inklusive Datenschutz-Folgenabschätzung.
Der Unterschied, der alles leichter macht: Kontrolle
Fällt Ihnen auf, was alle diese Pflichten gemeinsam haben? Sie werden leicht, sobald Sie wissen und bestimmen, wo Ihre Daten liegen und was die KI tut. Schulung, Transparenz, Protokollierung, Datenschutz: all das ist bei einem offenen US-Dienst schwer nachzuhalten und bei einem kontrollierten, in Deutschland betriebenen Assistenten vergleichsweise einfach.
Genau das ist der Gedanke hinter unserem Ansatz zur DSGVO-konformen KI: ein eigener, abgeschotteter KI-Assistent, in einem deutschen Rechenzentrum betrieben, an Ihr Microsoft 365 angebunden, mit einem Auftragsverarbeitungsvertrag und klaren Zugriffsrechten. Nicht, weil das jede rechtliche Frage von selbst löst, sondern weil Kontrolle über den eigenen Datenfluss die Grundlage ist, auf der sich die Pflichten überhaupt sauber erfüllen lassen.
Büßgelder: der Rahmen, nüchtern betrachtet
Die Zahlen klingen dramatisch, gehören aber eingeordnet. Die KI-Verordnung sieht gestaffelte Büßgelder vor: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für die übrigen Pflichten, bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Auskünfte. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Zum Vergleich: Die DSGVO reicht bis 20 Millionen Euro oder 4 Prozent.
In der Praxis steht die Durchsetzung noch am Anfang; mehrere Mitgliedstaaten haben ihre Aufsichtsbehörden bis heute nicht vollständig benannt. Das ist kein Grund zur Panik, aber auch keiner, das Thema liegen zu lassen. Wer die drei Pflichten von oben erfüllt, ist für den Alltag gut aufgestellt.
Häufige Fragen
Gilt die EU-KI-Verordnung schon für unser Unternehmen?
Ja, in Teilen. Die Verordnung ist seit August 2024 in Kraft und gilt stufenweise. Seit Februar 2025 sind bestimmte Einsätze verboten und es besteht eine Pflicht zur KI-Kompetenz, seit August 2026 gelten Transparenzpflichten. Der Digital Omnibus hat die strengen Pflichten für Hochrisiko-Systeme auf Dezember 2027 und August 2028 verschoben. Für ein Unternehmen, das KI nur einsetzt, sind vor allem Schulung und Transparenz schon heute relevant.
Müssen wir unsere Mitarbeiter im Umgang mit KI schulen?
Ja. Artikel 4 verlangt seit Februar 2025, dass Sie die KI-Kompetenz der Menschen fördern, die in Ihrem Namen KI einsetzen, auch bei ChatGPT oder Copilot. Der Digital Omnibus hat die Pflicht entschärft: ein einheitliches Niveau oder Zertifikat ist nicht vorgeschrieben, die Tiefe richtet sich nach Rolle und Risiko. Meist genügt eine rollenbezogene Einweisung samt kurzer interner KI-Richtlinie.
Müssen wir kennzeichnen, wenn wir Texte oder Bilder mit KI erstellen?
Teilweise. Wer einen KI-Chatbot im Kundenkontakt einsetzt, muss dafür sorgen, dass Menschen erkennen können, dass sie mit einer KI sprechen. KI-erzeugte Bilder und Videos (Deepfakes) sind zu kennzeichnen, ebenso veröffentlichte KI-Texte zu Themen von öffentlichem Interesse. Für interne oder von einem Menschen redaktionell verantwortete Texte gelten diese Pflichten in der Regel nicht in gleicher Weise. Den eigenen Fall sollten Sie rechtlich oder mit Ihrem Datenschutzbeauftragten prüfen.
Dürfen Mitarbeitende ChatGPT im Unternehmen einfach nutzen?
Technisch ja, rechtlich mit Vorsicht. Das Problem ist weniger die KI-Verordnung als die DSGVO: Sobald personenbezogene oder vertrauliche Inhalte in einen frei zugänglichen US-Dienst eingegeben werden, gibt man diese Daten aus der Hand. Ohne passende Rechtsgrundlage, Verträge und Richtlinie ist das heikel. Verlässlicher ist ein eigener, in Deutschland betriebener KI-Assistent, bei dem Sie Hosting-Ort, Modell und Zugriffe selbst bestimmen.
Ersetzt die KI-Verordnung die DSGVO?
Nein. Die KI-Verordnung lässt die DSGVO ausdrücklich unberührt (Artikel 2 Absatz 7). Beide gelten parallel: Die DSGVO regelt die Verarbeitung personenbezogener Daten, die KI-Verordnung reguliert das KI-System als Produkt. Ein KI-System, das personenbezogene Daten verarbeitet, muss beide Regelwerke erfüllen, inklusive Rechtsgrundlage und gegebenenfalls einer Datenschutz-Folgenabschätzung.
Was kostet ein Verstoß gegen die KI-Verordnung?
Der Rahmen ist gestaffelt: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für die übrigen Pflichten und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Auskünfte. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Die Durchsetzung steht vielerorts noch am Anfang, ein Freibrief ist das aber nicht.
Woher die Angaben stammen
Grundlage sind die EU-KI-Verordnung (Verordnung (EU) 2024/1689) und der ändernde Digital Omnibus (Verordnung (EU) 2026/1744) sowie die Übersicht der Europäischen Kommission zum KI-Rechtsrahmen. Ergänzende Einordnung nach veröffentlichten Hinweisen der IHK und des TÜV Rheinland zu den Pflichten für Unternehmen.
Stand dieses Beitrags: November 2026. Der Text dient der allgemeinen Information und ersetzt keine Rechtsberatung. Einzelne Fristen und Details, insbesondere zu Hochrisiko-Systemen und zur Kennzeichnung, hängen von Ihrem konkreten Einsatz ab und sollten mit Ihrem Datenschutzbeauftragten oder einer Rechtsberatung geprüft werden. Maßgeblich ist jeweils der aktuelle Verordnungstext im EU-Amtsblatt. „ChatGPT“ ist eine Marke von OpenAI, „Microsoft 365“ und „Copilot“ sind Marken der Microsoft Corporation; die Nennung dient allein der Beschreibung.
Markus J. Rehberg
Vorstand (CEO), für viele Kunden der erste persönliche Kontakt.