AI Act und GDPR für KI-Automatisierung in der EU: Was gilt in solchen Fällen?
Der AI Act wird nach dem Digital Omnibus von 2026 erlassen, in den die Back-Office-Automatisierung fällt, sowie zu den in der GDPR vorgesehenen Grundsätzen: Minimierung, Verarbeiter, Artikel 22, DPIA.
Unternehmen in der EU, die mit KI die Arbeit automatisieren, müssen gleichzeitig mit zwei Regelwerken umgehen: der seit Mai 2018 geltenden DSGVO, die personenbezogene Daten unabhängig davon schützt, ob KI eingesetzt wird oder nicht, sowie dem KI-Gesetz, Verordnung (EU) 2024/1689, das schrittweise in Kraft tritt. Dies ist eine Zusammenfassung eines Ingenieurs darüber, was wir bei der Entwicklung von KI-Automatisierungen berücksichtigen. Es handelt sich dabei nicht um Rechtsberatung; für Ihren konkreten Fall sollten Sie sich an einen Anwalt oder Ihren Datenschutzbeauftragten wenden.
Zeitplan des KI-Gesetzes Stand November 2026
Das KI-Gesetz ist am 1. August 2024 in Kraft getreten und wird schrittweise angewandt. Im Juli 2026 wurde es durch die Digital Omnibus on AI, Verordnung (EU) 2026/1744, geändert, wodurch die Fristen für Hochrisikosysteme verschoben wurden. Aktuelle Situation:
| Datum | Geltendes Regelwerk |
|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken (Artikel 5) und KI-Bildung (Artikel 4, nach der Änderung durch das Omnibusgesetz) |
| 2. August 2025 | Pflichten für Anbieter von Allzweck-KI-Modellen, Governance und Sanktionen |
| 2. August 2026 | Allgemeines Inkrafttrittsdatum, einschließlich der meisten Transparenzpflichten |
| 2. Dezember 2026 | Frist für die Kennzeichnung von durch KI erzeugtem Inhalt bei Systemen, die vor dem 2. August 2026 auf den Markt gebracht wurden |
| 2. Dezember 2027 | Hochrisikoregeln für eigenständige Systeme aus Anhang III |
| 2. August 2028 | Hochrisikoregeln für in Produkten enthaltene KI-Systeme, die durch die Vorschriften des Anhangs I geregelt sind |
Daten und Details können durch weitere Änderungen und Leitlinien erneut geändert werden, daher sollten Sie vor der Verwendung stets die offiziellen Quellen prüfen.
Wo die typische Geschäftsautomatisierung ansetzt
Der AI Act ordnet Systeme nach ihrer Nutzung ein, nicht nach der Technologie. Die meisten Back-Office-Automatisierungen, wie zum Beispiel das Extrahieren von Rechnungsdaten, das Überprüfen von Lieferantenzertifikaten gegen eine Liste von Anforderungen oder das Zusammenfassen von Verträgen für einen internen Prüfer, gehören nicht zu den Hochrisikokategorien. Hochrisikobereiche sind in Anhang III aufgeführt und umfassen Bereiche wie Personalrekrutierung und -verwaltung, die Kreditwürdigkeitsbewertung von Personen, den Zugang zu essentiellen Dienstleistungen, Bildung sowie kritische Infrastrukturen.
Diese Regelung lohnt es, früh zu überprüfen. Ein Tool, das Bewerber bewertet oder entscheidet, wer einen Kredit erhält, ist ein völlig anderes Projekt als eines, das Lieferbescheinigungen auswertet – auch wenn der Code ähnlich aussieht.
Auch außerhalb von Hochrisikobereichen gelten einige Verpflichtungen: Unternehmen sollen die KI-Kompetenz der Mitarbeiter unterstützen, die diese Systeme nutzen, die Nutzer sollten informiert werden, wenn sie mit einem Chatbot sprechen, und bestimmte generierte Inhalte müssen als solche gekennzeichnet werden.
Was das GDPR bereits vorschreibt
Bei der meisten Dokumentautomatisierung ist das GDPR die wichtigere tägliche Herausforderung, da Verträge, Rechnungen und Personalakten personenbezogene Daten enthalten. Die Aspekte, um die wir uns kümmern:
- Gesetzlicher Grund und Zweck. Daten, die zu einem bestimmten Zweck gesammelt wurden, dürfen nicht einfach zur Schulung oder für eine neue Analyse wiederverwendet werden.
- Datenminimierung. Verarbeiten Sie nur die Felder, die für die Aufgabe benötigt werden; maskieren oder entfernen Sie den Rest, bevor er ein Modell erreicht.
Entwurfsentscheidungen, die die Konformität erleichtern
Der größte Teil dessen, was die Vorschriften fordern, stellt auch gute Ingenieurspraxis dar:
- führen Sie ein Protokoll darüber, was das System getan hat, mit welcher Modellversion und wer das Ergebnis genehmigt hat;
- halten Sie bei Entscheidungen bezüglich Personen jemanden im Bilde und stellen Sie eine echte Überprüfung sicher, bei der das Quelldokument sichtbar ist;
- führen Sie Modelle auf der von Ihnen kontrollierten Infrastruktur aus, wenn die Daten sensibel sind (siehe lokale KI für vertrauliche Dokumente);
- halten Sie eine Testmenge bereit und messen Sie die Genauigkeit vor und nach jeder Änderung (siehe Bewertungen und menschliche Überprüfung);
- schreiben Sie auf, wofür das System bestimmt ist und wofür es nicht verwendet werden darf.
Offizielle Quellen
- KI-Gesetz: Verordnung (EU) 2024/1689 auf EUR-Lex
Wir entwickeln KI-Automatisierungen bereits ab dem ersten Prototyp mit Protokollierung, menschlicher Überprüfung und Datenerminierung. Sehen Sie sich Vorführung bis zur Produktion sowie KI-Agenten für Dokumentenprüfungen an. Die rechtliche Beurteilung Ihres konkreten Falls bleibt in den Händen Ihrer Anwälte.