Der EU AI Act und die DSGVO gelten nebeneinander, nicht das eine statt des anderen. Sobald ein KI-System personenbezogene Daten verarbeitet, treffen Sie Pflichten aus beiden Regelwerken. Wer nur den AI Act im Blick hat, übersieht die Datenschutz-Folgenabschätzung. Wer nur an die DSGVO denkt, übersieht die Grundrechte-Folgenabschätzung.

Das Wichtigste in Kürze

  • AI Act und DSGVO gelten nebeneinander, sodass bei KI mit Personenbezug Pflichten aus beiden Regelwerken zusammentreffen.
  • Nach Art. 35 DSGVO ist bei KI mit hohem Risiko oder automatisierten Bewertungen häufig eine Datenschutz-Folgenabschätzung durchzuführen.
  • Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO trifft vor allem öffentliche Stellen und bestimmte Hochrisiko-Betreiber, während viele private Softwareunternehmen von ihr nicht erfasst werden.
  • Wo beide Pflichten greifen, lässt sich die Grundrechte-Folgenabschätzung nach Art. 27 Abs. 4 KI-VO in die vorhandene Datenschutz-Folgenabschätzung integrieren.

Wann müssen Sie eine Datenschutz-Folgenabschätzung durchführen?

Nach Art. 35 DSGVO müssen Sie vorab eine Datenschutz-Folgenabschätzung (DPIA) durchführen, wenn eine Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Absatz 3 nennt Regelbeispiele: eine systematische, umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn sie Entscheidungen mit Rechtswirkung stützt. KI-gestützte Bewertungssysteme fallen häufig genau darunter. Die DPIA ist damit für viele KI-Anwendungen mit Personenbezug faktisch Pflicht.

Wann greift zusätzlich die Grundrechte-Folgenabschätzung nach dem AI Act?

Der AI Act kennt ein eigenes, ähnliches Instrument: die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 KI-VO. Sie ist enger zugeschnitten. Zur FRIA verpflichtet sind vor allem Betreiber, die öffentliche Einrichtungen sind oder öffentliche Dienste erbringen, sowie Betreiber bestimmter Hochrisiko-Systeme aus Anhang III Nr. 5 KI-VO, namentlich zur Kreditwürdigkeitsprüfung und zur Risikobewertung in der Lebens- und Krankenversicherung (vertiefend zur Einstufung: Hochrisiko-KI: Ist mein System betroffen?). Für viele private Softwareunternehmen greift die FRIA-Pflicht also nicht, die DPIA-Pflicht dagegen oft schon.

Müssen Sie beide Prüfungen getrennt durchführen?

Der Gesetzgeber hat die Doppelung bewusst entschärft. Art. 27 Abs. 4 KI-VO stellt klar: Wird eine Pflicht der Grundrechte-Folgenabschätzung bereits durch eine nach Art. 35 DSGVO durchgeführte Datenschutz-Folgenabschätzung erfüllt, ergänzt die FRIA diese DPIA. Sie müssen also nicht zwei vollständig getrennte Dokumente erstellen, deren Inhalte sich überschneiden. Sinnvoll ist ein integriertes Vorgehen: Sie führen die DPIA durch und ergänzen sie um die spezifischen grundrechtlichen Punkte, die der AI Act zusätzlich verlangt.

Was sollten Sie praktisch tun?

Prüfen Sie für jedes KI-System mit Personenbezug in dieser Reihenfolge:

  1. Löst die Verarbeitung eine DPIA aus? Bei KI mit hohem Risiko oder automatisierten Bewertungen ist die Antwort meist ja.
  2. Bin ich zusätzlich FRIA-pflichtig? Das betrifft vor allem öffentliche Stellen und die genannten Hochrisiko-Fälle.
  3. Kann ich beides in einem Dokument bündeln? Wo beide Pflichten greifen, sparen Sie mit einem integrierten Ansatz Aufwand und vermeiden Widersprüche.

So behandeln Sie AI Act und DSGVO als das, was sie sind: zwei ineinandergreifende Ebenen desselben Risikomanagements, nicht zwei konkurrierende Pflichtenwelten. Wer diese Prüfung nicht je Einzelfall neu aufsetzen will, bettet sie in eine laufende KI-Compliance-Begleitung ein.

Häufige Fragen

Müssen Unternehmen beim KI-Einsatz sowohl den AI Act als auch die DSGVO beachten?

Ja. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander, weil sie unterschiedliche Schutzrichtungen verfolgen. Der AI Act adressiert die Risiken des KI-Systems als solches, während die DSGVO die Verarbeitung personenbezogener Daten regelt, sodass Sie die Pflichten beider Ebenen erfüllen müssen.

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Nach Art. 35 DSGVO ist sie vorab durchzuführen, wenn eine Verarbeitung, insbesondere bei neuen Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Da KI-gestützte Bewertungssysteme häufig unter die Regelbeispiele des Absatzes 3 fallen, ist sie für viele KI-Anwendungen mit Personenbezug faktisch verpflichtend.

Wer muss eine Grundrechte-Folgenabschätzung nach dem AI Act durchführen?

Zur Grundrechte-Folgenabschätzung nach Art. 27 KI-VO verpflichtet sind vor allem Betreiber, die öffentliche Einrichtungen sind oder öffentliche Dienste erbringen, sowie Betreiber bestimmter Hochrisiko-Systeme nach Anhang III Nr. 5 KI-VO. Für viele private Softwareunternehmen greift diese Pflicht daher nicht, während die Pflicht zur Datenschutz-Folgenabschätzung oft schon besteht.

Müssen die beiden Prüfungen getrennt dokumentiert werden?

Nein. Nach Art. 27 Abs. 4 KI-VO ergänzt die Grundrechte-Folgenabschätzung eine bereits nach Art. 35 DSGVO durchgeführte Datenschutz-Folgenabschätzung, sodass keine zwei vollständig getrennten Dokumente nötig sind. Sinnvoll ist ein integriertes Vorgehen, bei dem Sie die Datenschutz-Folgenabschätzung um die zusätzlichen grundrechtlichen Punkte des AI Act erweitern.

Quellen & Rechtsgrundlagen

Sie setzen KI mit Personenbezug ein und wollen DPIA und Grundrechte-Folgenabschätzung sauber verzahnen? In einem 30-minütigen Erstgespräch klären wir Ihren konkreten Pflichtenkreis.

→ Erstgespräch anfragen