AI Act und DSGVO: wo überlappen sie, wo unterscheiden?

Zwei Regelwerke, zwei Zielsetzungen

Die DSGVO schützt das Grundrecht auf Datenschutz (Art. 8 EU-Grundrechtecharta). Sie regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Pflichten Verantwortliche und Auftragsverarbeiter tragen.

Der AI Act ist eine Produktsicherheitsverordnung. Sein Ziel ist die Sicherheit von KI-Systemen im Binnenmarkt, und der Schutz von Grundrechten, soweit sie durch KI gefährdet sind. Anders als die DSGVO regelt der AI Act KI auch dann, wenn keine personenbezogenen Daten im Spiel sind, etwa eine KI zur Qualitätskontrolle in der Produktion.

Diese unterschiedlichen Zielsetzungen führen zu unterschiedlichen Adressaten und Auslöse-Tatbeständen:

• DSGVO: Verantwortlicher und Auftragsverarbeiter. Auslöser: Verarbeitung personenbezogener Daten.
• AI Act: Anbieter, Betreiber, Einführer, Händler. Auslöser: Inverkehrbringen oder Betrieb eines KI-Systems.

In der Praxis ist der typische Akteur, etwa ein Unternehmen, das ein KI-System einsetzt, beides: Verantwortlicher unter der DSGVO und Betreiber unter dem AI Act.

Wo beide Regelwerke gleichzeitig greifen

Die meisten KI-Anwendungen verarbeiten personenbezogene Daten. Damit gelten beide Regelwerke kumulativ. Konkrete Überlappungen:

• Datenqualität: Art. 10 AI Act verlangt repräsentative, fehlerfreie Trainingsdaten. Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung. Beide Anforderungen wirken zusammen, und ergeben praktisch: nur so viele personenbezogene Daten wie nötig, in hoher Qualität.
• Transparenz: Art. 13 AI Act verlangt klare Bedienungsanleitung mit Hinweisen auf Genauigkeit, Robustheit, Cybersicherheit. Art. 13/14 DSGVO verlangen Information über Verarbeitungszwecke, Rechtsgrundlage, Empfänger. Beide Informationspflichten müssen erfüllt werden, oft in einer kombinierten Datenschutzerklärung mit KI-Hinweisen.
• Automatisierte Entscheidung: Art. 14 AI Act verlangt menschliche Aufsicht bei Hochrisiko-Systemen. Art. 22 DSGVO gibt betroffenen Personen das Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher Wirkung unterworfen zu werden. Beide Anforderungen wirken zusammen, und ergeben: effektive menschliche Aufsicht plus Eingriffsmöglichkeit der betroffenen Person.
• Sicherheit: Art. 15 AI Act verlangt Cybersicherheit. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen. Inhaltlich überlappend, der AI Act verlangt aber mehr, etwa Schutz gegen Manipulation der Modellgewichte oder adversarial inputs.

Wo die Regelwerke unterschiedliche Wege gehen

Trotz starker Überlappung gibt es Bereiche, in denen sich die Vorgaben unterscheiden:

• Anwendungsbereich: Die DSGVO greift bei personenbezogener Datenverarbeitung, auch ohne KI. Der AI Act greift bei KI-Systemen, auch ohne personenbezogene Daten.
• Risikoperspektive: Die DSGVO bewertet Risiken für betroffene Personen. Der AI Act bewertet Risiken für Gesundheit, Sicherheit und Grundrechte, also breiter, einschließlich kollektiver Risiken.
• Verbotene Praktiken: Der AI Act enthält in Art. 5 absolute Verbote, Social Scoring, manipulative KI, biometrische Kategorisierung nach sensiblen Attributen. Die DSGVO kennt keine absoluten Verarbeitungsverbote (außer bei besonderen Kategorien personenbezogener Daten nach Art. 9, und auch dort mit Erlaubnis-Tatbeständen).
• Konformitätsbewertung: Der AI Act verlangt formelle Konformitätsbewertung mit CE-Kennzeichnung und EU-Datenbank-Eintrag. Die DSGVO kennt nur die DPIA und Genehmigungsverfahren in besonderen Fällen.
• Marktaufsicht: AI-Act-Marktaufsicht liegt in Deutschland voraussichtlich bei der Bundesnetzagentur und sektoralen Behörden. DSGVO-Aufsicht liegt bei den Datenschutzaufsichtsbehörden (BfDI für Bundesbehörden, Landesdatenschutzbehörden für die Länder und nicht-öffentliche Stellen).

Konfliktauflösung: Was gilt im Widerspruch?

Art. 2 Abs. 7 AI Act stellt klar: Die DSGVO und die ePrivacy-Richtlinie bleiben unberührt. Das bedeutet: Wo die DSGVO Anforderungen stellt, gelten sie zusätzlich zu AI-Act-Anforderungen.

Detail

Praktisch entstehen selten echte Widersprüche, die meisten Anforderungen lassen sich kumulativ erfüllen. Zwei Spezialfälle:

• Trainingsdaten und Rechtsgrundlage: Der AI Act verlangt repräsentative Trainingsdaten. Die DSGVO verlangt eine Rechtsgrundlage für jede Verarbeitung. Wer personenbezogene Daten für KI-Training nutzt, braucht entweder Einwilligung, vertragliche Notwendigkeit, berechtigtes Interesse, oder spezifische Privilegierungen (z.B. wissenschaftliche Forschung nach Art. 89). Im Hochrisiko-Kontext wird Einwilligung schwierig, der Anbieter muss kreativ mit Anonymisierung, synthetischen Daten und Drittland-konformen Verfahren arbeiten.
• Art. 10 Abs. 5 AI Act, besondere Kategorien für Bias-Korrektur: Der AI Act erlaubt ausdrücklich, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) zu verarbeiten, um Verzerrungen in Hochrisiko-Systemen zu erkennen und zu korrigieren. Das ist eine eigenständige Rechtsgrundlage zusätzlich zu den Erlaubnis-Tatbeständen nach Art. 9 Abs. 2 DSGVO, mit strengen Bedingungen (technisch und organisatorisch abgesicherte Verarbeitung, Löschung nach Erreichen des Zwecks).

Akteure und Behörden in beiden Regelwerken

Wer welche Rolle in welchem Regelwerk hat:

Behörden-Konfiguration in Deutschland (Stand 2026-05-16, kann sich ändern):

• DSGVO: BfDI (Bundesbehörden), Landesdatenschutzbehörden (Länder + private Stellen), EDSA (EU-Ebene Koordination).
• AI Act: voraussichtlich Bundesnetzagentur als Querschnittsbehörde, BfDI für biometrische Komponenten, BSI für Cybersicherheit, sektorale Aufsichten (BaFin, BNetzA, BfArM) für ihre Bereiche, EU AI Office für GPAI und für übergreifende Verfahren.

Die genaue deutsche Aufstellung pflegt das BMWK.

Praxis: Kombinierte Compliance-Roadmap

In dieser Reihenfolge:

1. Bestandsaufnahme: Welche KI-Systeme verarbeiten personenbezogene Daten? Welche Rolle hat das eigene Unternehmen pro System (DSGVO + AI Act)?
2. Risikoklassifizierung: Risikoklasse nach AI Act (minimal / begrenzt / hoch / verboten) plus DSGVO-Risikobewertung pro Verarbeitung.
3. Dokumentations-Mapping: Welche Dokumente sind unter DSGVO vorhanden? Welche zusätzlich unter AI Act nötig? Gemeinsame Templates entwickeln.
4. Verträge: AVVs und KI-Anbieter-Verträge auf beide Regelwerke prüfen.
5. Schulung: Datenschutzbeauftragter und KI-Verantwortliche zu beiden Regelwerken qualifizieren.

FAQ

Brauche ich für eine KI mit personenbezogenen Daten zwei Folgenabschätzungen?

Inhaltlich braucht ihr die Inhalte beider Folgenabschätzungen, bei einer Behörde oder vergleichbarem Akteur DPIA nach Art. 35 DSGVO und FRIA nach Art. 27 AI Act. Formell könnt ihr sie in einem kombinierten Dokument erfassen, solange die jeweiligen Pflichtbestandteile klar erkennbar sind. Die BfDI und der EDSA arbeiten Stand 2026-05-16 an einem gemeinsamen Template, das endgültige Format ist noch nicht veröffentlicht.

Was ist mit Trainingsdaten aus dem Internet?

Web-Scraping personenbezogener Daten für KI-Training ist datenschutzrechtlich heikel. Die DSGVO verlangt eine Rechtsgrundlage, typischerweise berechtigtes Interesse nach Art. 6 Abs. 1 lit. f, mit Interessenabwägung. EDSA und nationale Aufsichten haben in mehreren Stellungnahmen Kritik an der Praxis großer Modell-Anbieter geübt. Wer als KMU eigene Daten scrapt, sollte sich auf eine restriktive Rechtsgrundlagen-Bewertung einstellen. Aufnahme-Verzicht bei sensiblen Kategorien und striktes TDM-Opt-Out-Handling sind Mindeststandard.

Wer ist die zuständige Behörde, wenn DSGVO- und AI-Act-Pflichten überschneiden?

Beide Behördenstrukturen bestehen parallel. Bei einem Fall, der beide Regelwerke betrifft, koordinieren sich die Behörden, informell oder über formelle Verfahren. Praktisch heißt das: Bei einem Vorfall mit personenbezogenen Daten meldet ihr an die Datenschutzbehörde nach Art. 33 DSGVO. Bei einem schwerwiegenden KI-Vorfall meldet ihr zusätzlich an die AI-Act-Marktaufsicht nach Art. 73 AI Act. Beide Meldungen können getrennt erfolgen.

Wirkt eine ISO-27001-Zertifizierung auch für den AI Act?

Teilweise. ISO 27001 deckt das Informationssicherheits-Management ab und bedient Art. 32 DSGVO sowie Teile von Art. 15 AI Act (Cybersicherheit). Sie deckt nicht das Risikomanagement nach Art. 9 AI Act, die Datengovernance nach Art. 10 und die menschliche Aufsicht nach Art. 14 ab. Für vollständige AI-Act-Compliance ist eine ergänzende KI-spezifische Governance nötig, die ISO/IEC 42001:2023 (AI Management System) ist die einschlägige internationale Norm dafür.