AI Act und DSGVO: wie DPIA und Grundrechte-Folgenabschätzung zusammenspielen

Der EU AI Act und die DSGVO gelten nebeneinander, nicht das eine statt des anderen. Sobald ein KI-System personenbezogene Daten verarbeitet, treffen Sie Pflichten aus beiden Regelwerken. Wer nur den AI Act im Blick hat, übersieht die Datenschutz-Folgenabschätzung. Wer nur an die DSGVO denkt, übersieht die Grundrechte-Folgenabschätzung.

Wann müssen Sie eine Datenschutz-Folgenabschätzung durchführen?

Nach Art. 35 DSGVO müssen Sie vorab eine Datenschutz-Folgenabschätzung (DPIA) durchführen, wenn eine Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Absatz 3 nennt Regelbeispiele: eine systematische, umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn sie Entscheidungen mit Rechtswirkung stützt. KI-gestützte Bewertungssysteme fallen häufig genau darunter. Die DPIA ist damit für viele KI-Anwendungen mit Personenbezug faktisch Pflicht.

Wann greift zusätzlich die Grundrechte-Folgenabschätzung nach dem AI Act?

Der AI Act kennt ein eigenes, ähnliches Instrument: die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 KI-VO. Sie ist enger zugeschnitten und betrifft nur Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 KI-VO, ausgenommen Systeme der kritischen Infrastruktur nach Anhang III Nr. 2. Verpflichtet sind Betreiber, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtungen öffentliche Dienste erbringen, sowie Betreiber von Hochrisiko-Systemen nach Anhang III Nr. 5 lit. b und c KI-VO, namentlich zur Kreditwürdigkeitsprüfung und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (vertiefend zur Einstufung: Hochrisiko-KI: Ist mein System betroffen?). Weil der KI-Omnibus die Hochrisiko-Pflichten verschoben hat, gilt Art. 27 KI-VO ab dem 2. Dezember 2027 (Art. 113 Abs. 3 lit. c KI-VO). Für viele private Softwareunternehmen greift die FRIA-Pflicht also nicht, die DPIA-Pflicht dagegen oft schon.

Wer zur FRIA verpflichtet ist, sollte sie ernst nehmen: Nach § 15 Abs. 1 Nr. 3 bis 5 KI-MIG ist es bußgeldbewehrt, die Abschätzung nach Art. 27 Abs. 1 bis 3 KI-VO nicht durchzuführen, nicht zu aktualisieren oder ihre Ergebnisse der Marktüberwachungsbehörde nicht mitzuteilen; der Rahmen reicht bis 50.000 Euro.

Müssen Sie beide Prüfungen getrennt durchführen?

Der Gesetzgeber hat die Doppelung bewusst entschärft, und der KI-Omnibus hat das noch vereinfacht. Nach Art. 27 Abs. 4 KI-VO in der neuen Fassung gilt: Wird eine Pflicht der Grundrechte-Folgenabschätzung bereits durch eine nach Art. 35 DSGVO durchgeführte Datenschutz-Folgenabschätzung erfüllt, kann der Betreiber in die FRIA Verweise auf die einschlägigen Abschnitte der DPIA aufnehmen oder die einschlägigen Teile übernehmen. Der Muster-Fragebogen des Büros für Künstliche Intelligenz soll diese Möglichkeit abbilden (Art. 27 Abs. 5 KI-VO). Sie müssen also keine zwei vollständig getrennten Dokumente erstellen, deren Inhalte sich überschneiden. Sinnvoll ist ein integriertes Vorgehen: Sie führen die DPIA durch und ergänzen die FRIA um die spezifischen grundrechtlichen Punkte, die der AI Act zusätzlich verlangt.

Dürfen sensible Daten zur Bias-Erkennung verarbeitet werden?

Der KI-Omnibus hat mit Art. 4a KI-VO eine eigene Grundlage geschaffen. Anbieter von Hochrisiko-KI-Systemen dürfen ausnahmsweise besondere Kategorien personenbezogener Daten verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist. Die Bedingungen sind kumulativ: Andere Daten, auch synthetische oder anonymisierte, reichen nicht aus; es gelten technische Beschränkungen der Weiterverwendung, Pseudonymisierung und strenge Zugriffskontrollen; keine Weitergabe an Dritte; Löschung nach Korrektur oder Ablauf der Speicherfrist; Begründung im Verzeichnis der Verarbeitungstätigkeiten. Unter denselben Bedingungen dürfen auch Anbieter und Betreiber anderer KI-Systeme und Betreiber von Hochrisiko-Systemen solche Daten verarbeiten (Art. 4a Abs. 2 KI-VO). Die DSGVO bleibt daneben anwendbar (Art. 2 Abs. 7 KI-VO).

Was sollten Sie praktisch tun?

Prüfen Sie für jedes KI-System mit Personenbezug in dieser Reihenfolge:

1. Löst die Verarbeitung eine DPIA aus? Bei KI mit hohem Risiko oder automatisierten Bewertungen ist die Antwort meist ja.
2. Bin ich zusätzlich FRIA-pflichtig? Das betrifft Betreiber bestimmter Hochrisiko-Systeme nach Anhang III, vor allem öffentliche Stellen und die genannten Kredit- und Versicherungsfälle, ab dem 2. Dezember 2027.
3. Kann ich beides in einem Dokument bündeln? Wo beide Pflichten greifen, sparen Sie mit Verweisen auf die DPIA Aufwand und vermeiden Widersprüche.
4. Brauche ich sensible Daten zur Bias-Korrektur? Dann prüfen und dokumentieren Sie die Bedingungen des Art. 4a KI-VO.

So behandeln Sie AI Act und DSGVO als das, was sie sind: zwei ineinandergreifende Ebenen desselben Risikomanagements. Wer diese Prüfung nicht je Einzelfall neu aufsetzen will, bettet sie in eine laufende KI-Compliance-Begleitung ein.

Wie sich beide Regelwerke in den Gesamtfahrplan aus Rollen, Fristen und Risikoklassen einfügen, zeigt der Leitfaden zum EU AI Act.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Onlinehändler für Küchengeräte mit rund 90 Mitarbeitenden bietet Ratenkauf an und will Anträge künftig mit einem eingekauften KI-Scoring vorprüfen, das die Kreditwürdigkeit der Kundinnen und Kunden bewertet. Daneben beantwortet ein Chatbot Fragen zu Lieferzeiten. KI-Verordnung und DSGVO gelten nebeneinander. Eine systematische Bewertung persönlicher Aspekte mit Profiling, die Entscheidungen mit Rechtswirkung stützt, ist ein Regelbeispiel für die Datenschutz-Folgenabschätzung. Wer als Betreiber KI zur Kreditwürdigkeitsprüfung natürlicher Personen einsetzt, muss ab dem 2. Dezember 2027 zusätzlich eine Grundrechte-Folgenabschätzung durchführen.

Danach trennen sich die Wege. Für das Scoring wird die Datenschutz-Folgenabschätzung vor dem Start durchgeführt, weil diese Pflicht schon heute gilt. Die Grundrechte-Folgenabschätzung baut später darauf auf: Soweit die Datenschutz-Folgenabschätzung Punkte bereits abdeckt, verweist sie auf deren Abschnitte oder übernimmt sie und ergänzt nur die grundrechtlichen Fragen. Für den Chatbot entfällt die Grundrechte-Folgenabschätzung; ob eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Risiko der Verarbeitung ab und wird kurz begründet festgehalten. Am Ende steht ein gemeinsames Dokument für das Scoring statt zweier getrennter Prüfungen. Welche weiteren KI-Systeme personenbezogene Daten verarbeiten, erfasst das Rechtliche Audit.

Häufige Fragen

Müssen Unternehmen beim KI-Einsatz sowohl den AI Act als auch die DSGVO beachten?

Ja. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander, weil sie unterschiedliche Schutzrichtungen verfolgen. Der AI Act adressiert die Risiken des KI-Systems als solches, während die DSGVO die Verarbeitung personenbezogener Daten regelt, sodass Sie die Pflichten beider Ebenen erfüllen müssen.

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Nach Art. 35 DSGVO ist sie vorab durchzuführen, wenn eine Verarbeitung, insbesondere bei neuen Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Da KI-gestützte Bewertungssysteme häufig unter die Regelbeispiele des Absatzes 3 fallen, ist sie für viele KI-Anwendungen mit Personenbezug faktisch verpflichtend.

Wer muss eine Grundrechte-Folgenabschätzung nach dem AI Act durchführen?

Verpflichtet sind Betreiber von Hochrisiko-KI-Systemen nach Art. 6 Abs. 2 KI-VO (ohne Anhang III Nr. 2), die Einrichtungen des öffentlichen Rechts sind oder öffentliche Dienste erbringen, sowie Betreiber von Systemen nach Anhang III Nr. 5 lit. b und c KI-VO. Die Pflicht gilt ab dem 2. Dezember 2027. Verstöße gegen Art. 27 Abs. 1 bis 3 KI-VO sind in Deutschland nach § 15 KI-MIG bußgeldbewehrt.

Müssen die beiden Prüfungen getrennt dokumentiert werden?

Nein. Nach Art. 27 Abs. 4 KI-VO in der Fassung des KI-Omnibus können Sie in der Grundrechte-Folgenabschätzung auf die einschlägigen Abschnitte einer bereits durchgeführten Datenschutz-Folgenabschätzung verweisen oder diese Teile übernehmen. Sinnvoll ist ein integriertes Vorgehen, bei dem Sie die zusätzlichen grundrechtlichen Punkte des AI Act ergänzen.

Erlaubt der AI Act die Verarbeitung sensibler Daten gegen Diskriminierung?

Unter engen Voraussetzungen ja. Art. 4a KI-VO gestattet die Verarbeitung besonderer Kategorien personenbezogener Daten, soweit sie zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist und sämtliche Schutzbedingungen erfüllt sind. Die DSGVO gilt daneben weiter.

Welche KI-Systeme personenbezogene Daten verarbeiten und ob dafür Folgenabschätzungen vorliegen, weiß die Geschäftsführung oft nur ungefähr. Das Rechtliche Audit erfasst Ihren KI-Einsatz gemeinsam mit der Datenschutzdokumentation und zeigt, welche Prüfungen noch fehlen. Rechtliches Audit: KI und Datenschutz gemeinsam erfassen

Sie setzen KI mit Personenbezug ein und wollen DPIA und Grundrechte-Folgenabschätzung sauber verzahnen? In einem 60-minütigen Strategiegespräch klären wir Ihren konkreten Pflichtenkreis.