AI Act und DSGVO parallel: Welche Pflicht greift wann?

Welche regulatorische Grundlage greift?

AI Act und DSGVO verfolgen unterschiedliche Schutzgüter:

• DSGVO (Verordnung (EU) 2016/679): schützt das Grundrecht auf informationelle Selbstbestimmung, adressiert wird die Verarbeitung personenbezogener Daten.
• AI Act (Verordnung (EU) 2024/1689): schützt Grundrechte, Gesundheit, Sicherheit und Marktintegrität, adressiert wird das KI-System und seine Wirkung.

Eine kumulative Anwendbarkeit ist in Erwägungsgrund 10 AI Act ausdrücklich klargestellt. Der EDPB hat in seinen ChatGPT-Taskforce-Berichten (2024) und im EDPB-Opinion 28/2024 zu KI-Modellen entsprechende behördliche Erwartungen formuliert.

Welche Konstellation passt zu deinem KI-Profil?

Die Frage, welche Pflichten konkret greifen, hängt von zwei Achsen ab: (a) Werden personenbezogene Daten verarbeitet? (b) Liegt eine Hochrisiko-Konstellation nach Anhang III AI Act vor? Daraus ergeben sich verbreitete Konstellationen:

Detail

• Nur DSGVO: Sofern die KI personenbezogene Daten verarbeitet, aber kein Hochrisiko-System darstellt (Beispiel: ChatGPT-gestützte Textkorrektur mit Personenbezug). Es greifen die DSGVO-Standardpflichten; spezifische Hochrisiko-Pflichten aus dem AI Act sind regelmäßig nicht einschlägig.
• Nur AI Act: Sofern ein Hochrisiko-System ohne Personenbezug eingesetzt wird (Beispiel: KI-gestützte Qualitätskontrolle von Bauteilen). Die DSGVO ist nicht einschlägig; die AI-Act-Pflichten der Art. 8 ff. greifen.
• Beide parallel: Sofern ein Hochrisiko-System personenbezogene Daten verarbeitet, der typische Fall in HR-Auswahl, Credit-Scoring, Bildungsbewertung, Strafverfolgung.

Eine pauschale Aussage zur Pflichten-Lage ist nicht möglich; die konkrete Einordnung erfolgt im Einzelfall.

Welcher Aufbau-Rahmen ist verbreitet?

In der Praxis hat sich ein Mapping entlang der zentralen Normen etabliert. Ob es im konkreten Fall passt, ist im Einzelfall zu beurteilen.

DSGVO Art. 6, Rechtsgrundlage: Vor jeder KI-gestützten Verarbeitung personenbezogener Daten ist eine Rechtsgrundlage zu prüfen, häufig Einwilligung (Art. 6 Abs. 1 lit. a) oder berechtigtes Interesse (lit. f) mit dokumentierter Abwägung. Bei Beschäftigtendaten zusätzlich § 26 BDSG bzw. die jeweils geltende beschäftigtendatenschutzrechtliche Norm.

Detail

DSGVO Art. 22, Automatisierte Einzelentscheidung: Sofern eine KI-Entscheidung rechtliche Wirkung entfaltet oder die Person ähnlich erheblich beeinträchtigt, ist eine ausschließlich automatisierte Verarbeitung regelmäßig unzulässig, Ausnahmen sind in Art. 22 Abs. 2 abschließend geregelt. In der HR-Praxis bedeutet das typischerweise: KI-Vorauswahl ist denkbar, die finale Entscheidung muss menschlich verantwortet werden.

DSGVO Art. 35, Datenschutz-Folgenabschätzung (DPIA): Bei hohem Risiko für betroffene Personen Pflicht. Die DSK-Liste der DPIA-pflichtigen Verarbeitungen nennt KI-gestützte Verarbeitungen personenbezogener Daten ausdrücklich.

AI Act Art. 26, Pflichten für Deployer von Hochrisiko-KI: Sofern Hochrisiko-KI mit Personenbezug eingesetzt wird, entstehen u. a. Pflichten zu Logging-Aufbewahrung (Abs. 6), Zuweisung menschlicher Aufsicht (Abs. 2), Sicherstellung der Eingabe-Datenqualität (Abs. 4) und Vorfallmeldung an den Anbieter (Abs. 5).

AI Act Art. 27, Grundrechte-Folgenabschätzung (FRIA): Bei Hochrisiko-KI im öffentlichen Sektor sowie bei bestimmten privaten Akteuren (u. a. Banken, Versicherer im Kontext der Risikobewertung nach Anhang III Nr. 5) ist eine Grundrechte-Folgenabschätzung durchzuführen, ergänzend zur DPIA. Inhaltliche Überschneidungen sind erheblich, eine separate Dokumentation bleibt erforderlich.

AI Act Art. 50, Transparenzpflichten: Chatbot-Hinweis, Deepfake-Kennzeichnung, KI-generierte-Inhalte-Hinweis. Überlappt teilweise mit den DSGVO-Informationspflichten nach Art. 13/14, adressiert jedoch andere Schutzgüter.

Schritt-für-Schritt-Mapping in einer Hochrisiko-Konstellation

Beispiel: KI-gestütztes Bewerber-Scoring. Die folgenden Bausteine sind in der Praxis verbreitet:

1. Rechtsgrundlage (DSGVO Art. 6): Einwilligung oder berechtigtes Interesse mit Abwägung, ggf. § 26 BDSG.
2. Informationspflicht (DSGVO Art. 13/14): transparente Information der Bewerber über Verarbeitung und Logik des Systems.
3. DPIA (DSGVO Art. 35): vor Inbetriebnahme; Risikoanalyse und Maßnahmenplan.
4. Sicherstellung menschlicher Letztentscheidung (DSGVO Art. 22): dokumentiertes Eskalations- und Entscheidungs-Schema.
5. FRIA (AI Act Art. 27, soweit persönlicher Anwendungsbereich eröffnet): Grundrechtsbezug, betroffene Personengruppen, Abhilfemaßnahmen.
6. Logging und Aufsicht (AI Act Art. 26 Abs. 2, 6): Eingabe-Logs aufbewahren, Aufsichtspersonen benennen und schulen.
7. Transparenz (AI Act Art. 50): bei externer Sichtbarkeit der KI-Interaktion.

Zuständigkeit in der Behördenwelt

In Deutschland ergibt sich eine geteilte Aufsichtsstruktur:

• DSGVO: Landesdatenschutzbehörden (für private Verantwortliche typischerweise nach Sitz), BfDI für Bundesbehörden und Telekommunikations-/Post-Anbieter.
• AI Act: nationale Aufsichts-Architektur wird im Durchführungsgesetz konkretisiert (BR-Drs.-Stand zu prüfen); diskutiert werden eine federführende Marktüberwachungsbehörde sowie sektorale Zusatz-Zuständigkeiten (BaFin für Finanzdienstleister, BSI für kritische Infrastrukturen, BNetzA für bestimmte Bereiche).

In der Praxis ist mit parallelen Anfragen zu rechnen. Eine konsolidierte Dokumentation, die DSGVO- und AI-Act-Pflichten gemeinsam abbildet, ist hilfreich.

Sanktionsrahmen zum Vergleich

• DSGVO Art. 83: bis 20 Mio. EUR oder 4 Prozent des weltweiten Jahresumsatzes.
• AI Act Art. 99: bis 35 Mio. EUR oder 7 Prozent für Verstöße gegen Art. 5; bis 15 Mio. EUR oder 3 Prozent bei Hochrisiko- und Transparenz-Verstößen; bis 7,5 Mio. EUR oder 1 Prozent bei falschen Auskünften.

Beide Sanktionsrahmen gelten nebeneinander; ein Sachverhalt kann beide Verordnungen berühren. Für KMU greift jeweils eine Verhältnismäßigkeits-Klausel (DSGVO Art. 83 Abs. 2 lit. a, AI Act Art. 99 Abs. 6).

Welche Konstellationen erfordern abweichendes Vorgehen?

In folgenden Konstellationen reicht die hier skizzierte Mapping-Orientierung nicht aus:

• Beschäftigtendatenschutz mit Mitbestimmung: KI-Systeme zur Mitarbeiter-Steuerung lösen regelmäßig Mitbestimmungs-Pflichten nach § 87 Abs. 1 Nr. 6 BetrVG aus, der Mapping-Ansatz greift hier zu kurz.
• Berufsgeheimnisträger (§ 203 StGB): Anwälte, Ärzte, Steuerberater haben verschärfte Anforderungen an die Datenverarbeitung, ein eigener Prüfungsrahmen ist üblich.

Detail

• Sektorale Aufsichts-Vorgaben (BaFin/MaRisk/DORA, BSI/NIS2, MDR/IVDR): branchenspezifische Pflichten können erheblich über das DSGVO-/AI-Act-Mapping hinausgehen.
• Drittlandtransfer: Sofern Daten außerhalb des EWR verarbeitet werden, sind Art. 44 ff. DSGVO und ggf. der Data Privacy Framework-Status zu prüfen.
• GPAI-Anbieter-Konstellation: Wer eigene generative Modelle trainiert oder substantiell anpasst, kann in die Anbieter-Rolle nach Art. 25 AI Act mit erweiterten Pflichten nach Art. 53 ff. wechseln.
• Streitige Hochrisiko-Einordnung: Bei Anwendung der Ausnahmen in Art. 6 Abs. 3 AI Act ist eine dokumentierte fachliche Bewertung typischerweise unverzichtbar.

In diesen Konstellationen wird eine Einzelfall-Begleitung durch Datenschutzbeauftragte, Compliance-Funktion oder anwaltliche Beratung empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zur DSGVO/AI-Act-Konstellation liefert der AI-Act-Check, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Abgrenzung der Regelwerke: AI Act vs. DSGVO: Was greift wann?.