AI Act und DSGVO parallel: Welche Pflicht greift wann?

Welche regulatorische Grundlage greift?

AI Act und DSGVO verfolgen unterschiedliche Schutzgüter:

• DSGVO (Verordnung (EU) 2016/679): schützt das Grundrecht auf informationelle Selbstbestimmung, adressiert wird die Verarbeitung personenbezogener Daten.
• AI Act (Verordnung (EU) 2024/1689): schützt Grundrechte, Gesundheit, Sicherheit und Marktintegrität, adressiert wird das KI-System und seine Wirkung.

Eine kumulative Anwendbarkeit ist in Erwägungsgrund 10 AI Act ausdrücklich klargestellt. Der EDPB hat im Bericht der ChatGPT-Taskforce (23.05.2024) und in der Stellungnahme 28/2024 zu KI-Modellen entsprechende behördliche Erwartungen formuliert.

Welche Konstellation passt zu deinem KI-Profil?

Die Frage, welche Pflichten konkret greifen, hängt von zwei Achsen ab: (a) Werden personenbezogene Daten verarbeitet? (b) Liegt eine Hochrisiko-Konstellation nach Anhang III AI Act vor? Daraus ergeben sich verbreitete Konstellationen:

• Nur DSGVO: Sofern die KI personenbezogene Daten verarbeitet, aber kein Hochrisiko-System darstellt (Beispiel: ChatGPT-gestützte Textkorrektur mit Personenbezug). Es greifen die DSGVO-Standardpflichten; spezifische Hochrisiko-Pflichten aus dem AI Act sind regelmäßig nicht einschlägig.
• Nur AI Act: Sofern ein Hochrisiko-System ohne Personenbezug eingesetzt wird. Beispiel: ein KI-System, das als Sicherheitsbauteil eines Produkts nach Anhang I dient, für das eine Konformitätsbewertung durch Dritte vorgeschrieben ist (Art. 6 Abs. 1 AI Act). Eine KI-gestützte Qualitätskontrolle von Bauteilen ist nicht per se Hochrisiko. Die DSGVO ist mangels Personenbezug nicht einschlägig; die AI-Act-Pflichten der Art. 8 ff. greifen.
• Beide parallel: Sofern ein Hochrisiko-System personenbezogene Daten verarbeitet, der typische Fall in HR-Auswahl, Credit-Scoring, Bildungsbewertung, Strafverfolgung.

Eine pauschale Aussage zur Pflichten-Lage ist nicht möglich; die konkrete Einordnung erfolgt im Einzelfall.

Welcher Aufbau-Rahmen ist verbreitet?

Als Orientierung bietet sich ein Mapping entlang der zentralen Normen an. Ob es im konkreten Fall passt, ist im Einzelfall zu beurteilen.

DSGVO Art. 6, Rechtsgrundlage: Vor jeder KI-gestützten Verarbeitung personenbezogener Daten ist eine Rechtsgrundlage zu prüfen, häufig Einwilligung (Art. 6 Abs. 1 lit. a) oder berechtigtes Interesse (lit. f) mit dokumentierter Abwägung. Bei Beschäftigtendaten ist zu beachten: Nach dem Urteil des EuGH vom 30.03.2023 (C-34/21) sind nationale Beschäftigtendatenschutz-Vorschriften, die die Anforderungen des Art. 88 Abs. 2 DSGVO nicht erfüllen, nicht anzuwenden. Nach Einschätzung von Aufsichtsbehörden betrifft das voraussichtlich § 26 Abs. 1 Satz 1 BDSG; Rechtsgrundlage ist dann regelmäßig Art. 6 Abs. 1 DSGVO, meist lit. b (Beschäftigungsverhältnis), lit. c oder lit. f.

DSGVO Art. 22, Automatisierte Einzelentscheidung: Sofern eine KI-Entscheidung rechtliche Wirkung entfaltet oder die Person ähnlich erheblich beeinträchtigt, ist eine ausschließlich automatisierte Verarbeitung regelmäßig unzulässig, Ausnahmen sind in Art. 22 Abs. 2 abschließend geregelt. In der HR-Praxis bedeutet das typischerweise: KI-Vorauswahl ist denkbar, die finale Entscheidung muss menschlich verantwortet werden.

DSGVO Art. 35, Datenschutz-Folgenabschätzung (DPIA): Bei hohem Risiko für betroffene Personen Pflicht. Die DSK-Liste der DSFA-pflichtigen Verarbeitungen (Muss-Liste, Nr. 11) nennt den Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten, soweit er der Steuerung der Interaktion mit den Betroffenen oder der Bewertung persönlicher Aspekte dient. Nicht jede KI-gestützte Verarbeitung fällt darunter.

AI Act Art. 26, Pflichten für Deployer von Hochrisiko-KI: Sofern Hochrisiko-KI mit Personenbezug eingesetzt wird, entstehen u. a. Pflichten zu Logging-Aufbewahrung (Abs. 6), Zuweisung menschlicher Aufsicht (Abs. 2), Sicherstellung der Eingabe-Datenqualität (Abs. 4) und Vorfallmeldung an den Anbieter (Abs. 5).

AI Act Art. 27, Grundrechte-Folgenabschätzung (FRIA): Eine Grundrechte-Folgenabschätzung ist vor der Inbetriebnahme eines Hochrisiko-KI-Systems nach Art. 6 Abs. 2 durchzuführen, wenn der Betreiber eine Einrichtung des öffentlichen Rechts oder eine private Einrichtung ist, die öffentliche Dienste erbringt, sowie bei Systemen nach Anhang III Nr. 5 lit. b (Kreditwürdigkeitsprüfung und Bonitätsbewertung) und lit. c (Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen); ausgenommen sind Systeme nach Anhang III Nr. 2 (kritische Infrastruktur). Nach Art. 27 Abs. 4 AI Act kann die FRIA auf eine bereits durchgeführte DSFA aufbauen, soweit sich die Pflichten decken; die übrigen FRIA-Inhalte sind gesondert zu dokumentieren.

AI Act Art. 50, Transparenzpflichten: Chatbot-Hinweis, Deepfake-Kennzeichnung, KI-generierte-Inhalte-Hinweis. Überlappt teilweise mit den DSGVO-Informationspflichten nach Art. 13/14, adressiert jedoch andere Schutzgüter.

Schritt-für-Schritt-Mapping in einer Hochrisiko-Konstellation

Beispiel: KI-gestütztes Bewerber-Scoring (Anhang III Nr. 4 AI Act). Folgende Bausteine kommen in Betracht:

1. Rechtsgrundlage (DSGVO Art. 6): bei Bewerbern regelmäßig Art. 6 Abs. 1 lit. b (Anbahnung des Beschäftigungsverhältnisses), sonst berechtigtes Interesse mit Abwägung oder Einwilligung; § 26 Abs. 1 Satz 1 BDSG ist nach EuGH C-34/21 voraussichtlich nicht mehr tragfähig.
2. Informationspflicht (DSGVO Art. 13/14): transparente Information der Bewerber über Verarbeitung und Logik des Systems.
3. DPIA (DSGVO Art. 35): vor Inbetriebnahme; Risikoanalyse und Maßnahmenplan.
4. Sicherstellung menschlicher Letztentscheidung (DSGVO Art. 22): dokumentiertes Eskalations- und Entscheidungs-Schema.
5. FRIA (AI Act Art. 27, soweit persönlicher Anwendungsbereich eröffnet): Grundrechtsbezug, betroffene Personengruppen, Abhilfemaßnahmen.
6. Logging und Aufsicht (AI Act Art. 26 Abs. 2, 6): die vom System automatisch erzeugten Protokolle, soweit sie der Kontrolle des Betreibers unterliegen, mindestens sechs Monate aufbewahren; Aufsichtspersonen benennen und schulen.
7. Transparenz (AI Act Art. 50): bei externer Sichtbarkeit der KI-Interaktion.

Zuständigkeit in der Behördenwelt

In Deutschland ergibt sich eine geteilte Aufsichtsstruktur:

• DSGVO: Landesdatenschutzbehörden (für private Verantwortliche typischerweise nach Sitz), BfDI für Bundesbehörden und Telekommunikations-/Post-Anbieter.
• AI Act: Das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) ist am 29.07.2026 in Kraft getreten (BGBl. 2026 I Nr. 223). Zuständige Marktüberwachungsbehörde ist nach § 2 Abs. 1 KI-MIG grundsätzlich die Bundesnetzagentur (BNetzA). Abweichend zuständig sind unter anderem die BaFin für KI-Systeme in direktem Zusammenhang mit einer regulierten Finanztätigkeit der von ihr beaufsichtigten Unternehmen (§ 2 Abs. 3), die bisherigen Marktüberwachungsbehörden bei KI in Produkten nach Anhang I Abschnitt A (§ 2 Abs. 2) und Landesbehörden bei öffentlichen Stellen der Länder (§ 2 Abs. 6).

In der Praxis ist mit parallelen Anfragen zu rechnen. Eine konsolidierte Dokumentation, die DSGVO- und AI-Act-Pflichten gemeinsam abbildet, ist hilfreich.

Sanktionsrahmen zum Vergleich

• DSGVO Art. 83: bis 20 Mio. EUR oder 4 Prozent des weltweiten Jahresumsatzes.
• AI Act Art. 99: bis 35 Mio. EUR oder 7 Prozent für Verstöße gegen Art. 5; bis 15 Mio. EUR oder 3 Prozent bei Hochrisiko- und Transparenz-Verstößen; bis 7,5 Mio. EUR oder 1 Prozent bei falschen Auskünften.

Beide Sanktionsrahmen gelten nebeneinander; ein Sachverhalt kann beide Verordnungen berühren. Der AI Act enthält eine KMU-Regel: Für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6 AI Act). Die DSGVO kennt keine solche KMU-Sonderregel; bei der Bußgeldbemessung sind die Kriterien des Art. 83 Abs. 2 DSGVO zu berücksichtigen, etwa Art, Schwere und Dauer des Verstoßes (lit. a).

Welche Konstellationen erfordern abweichendes Vorgehen?

In folgenden Konstellationen reicht die hier skizzierte Mapping-Orientierung nicht aus:

• Beschäftigtendatenschutz mit Mitbestimmung: KI-Systeme zur Mitarbeiter-Steuerung lösen regelmäßig Mitbestimmungs-Pflichten nach § 87 Abs. 1 Nr. 6 BetrVG aus, der Mapping-Ansatz greift hier zu kurz.
• Berufsgeheimnisträger (§ 203 StGB): Anwälte, Ärzte, Steuerberater haben verschärfte Anforderungen an die Datenverarbeitung, ein eigener Prüfungsrahmen ist üblich.

• Sektorale Aufsichts-Vorgaben (BaFin/MaRisk/DORA, BSI/NIS2, MDR/IVDR): branchenspezifische Pflichten können erheblich über das DSGVO-/AI-Act-Mapping hinausgehen.
• Drittlandtransfer: Sofern Daten außerhalb des EWR verarbeitet werden, sind Art. 44 ff. DSGVO und ggf. der Data Privacy Framework-Status zu prüfen.
• GPAI-Anbieter-Konstellation: Wer ein KI-Modell mit allgemeinem Verwendungszweck entwickelt und in Verkehr bringt, ist Anbieter (Art. 3 Nr. 3 AI Act) mit den Pflichten nach Art. 53 ff. Davon zu unterscheiden ist Art. 25 AI Act: Er regelt, wann Händler, Einführer, Betreiber oder Dritte zum Anbieter eines Hochrisiko-KI-Systems werden, etwa durch wesentliche Änderung oder durch Änderung der Zweckbestimmung eines KI-Systems, auch eines auf einem GPAI-Modell beruhenden.
• Streitige Hochrisiko-Einordnung: Bei Anwendung der Ausnahmen in Art. 6 Abs. 3 AI Act ist eine dokumentierte fachliche Bewertung typischerweise unverzichtbar.

In diesen Konstellationen wird eine Einzelfall-Begleitung durch Datenschutzbeauftragte, Compliance-Funktion oder anwaltliche Beratung empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zur DSGVO/AI-Act-Konstellation liefert der AI-Act-Check, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Abgrenzung der Regelwerke: AI Act vs. DSGVO: Was greift wann?.