KI-VO vs. DSGVO: Nutzung Ihres DSGVO-Rahmens für die KI-VO-Bereitschaft

Wenn Ihr Unternehmen bereits über ein ausgereiftes DSGVO-Programm verfügt, haben Sie einen erheblichen Vorsprung beim EU-KI-Gesetz. Beide Verordnungen sind risikobasiert, extraterritorial, mit hohem Dokumentationsaufwand verbunden und werden mit umsatzabhängigen Geldbußen durchgesetzt. Dieser Leitfaden zeigt die Parallelen – und die wichtigen Lücken – auf, damit Sie bereits Vorhandenes wiederverwenden und neue Anstrengungen dort konzentrieren können, wo es wirklich darauf ankommt.

Warum dieser Vergleich wichtig ist

Das EU-KI-Gesetz wird oft als „DSGVO für KI“ bezeichnet. Das ist zwar ein nützliches Denkmodell, verschleiert jedoch tatsächliche Unterschiede. Die DSGVO regelt die Verarbeitung von personenbezogene Daten. Das KI-Gesetz regelt die Inverkehrbringen und Nutzung von KI-Systemen — unabhängig davon, ob sie personenbezogene Daten verarbeiten oder nicht. Dort, wo sich beide Bereiche überschneiden (die meisten geschäftskritischen KI-Anwendungen verarbeiten personenbezogene Daten), können Ihre DSGVO-Kontrollmaßnahmen direkt übernommen werden. Dort, wo dies nicht der Fall ist, benötigen Sie neue Strukturen.

Im Vergleich: Die beiden Verordnungen im Überblick

Abmessung	DSGVO (2018)	EU-KI-Gesetz (2024, schrittweise Umsetzung bis 2027)
Thema	Verarbeitung personenbezogener Daten	Entwicklung, Inverkehrbringen und Nutzung von KI-Systemen
Risikomodell	Risiko für die Rechte und Freiheiten der betroffenen Personen	Vier Stufen: inakzeptabel, hoch, begrenzt, minimal
Hauptverantwortlicher	Verantwortlicher (und Auftragsverarbeiter)	Anbieter (sowie Betreiber, Importeur, Vertreiber)
Extraterritoriale Geltung	Ja – gezielte Ansprache oder Überwachung von betroffenen Personen in der EU	Ja – in der EU verwendete Produktion
Kern-Dokumentation	Verarbeitungsprotokolle (Art. 30), Folgenabschätzung zur Datenschutzwirkung (DPIA)	Technische Dokumentation (Anhang IV), Risikomanagement-Dossier, Überwachung nach dem Inverkehrbringen
Transparenz gegenüber Einzelpersonen	Datenschutzerklärung, Art. 13/14	Transparenzpflichten im Bereich der KI (Art. 50), einschließlich der Offenlegungspflicht bei Deepfakes und Chatbots
Menschliche Aufsicht	§ 22 Rechte im Zusammenhang mit automatisierten Entscheidungen	Art. 14: Anforderungen an die menschliche Aufsicht bei KI mit hohem Risiko
Geldbußen (oberste Stufe)	20 Millionen Euro oder 4 % des weltweiten Umsatzes	35 Mio. € oder 7 % des weltweiten Umsatzes (verbotene KI); 15 Mio. € oder 3 % (Verstöße mit hohem Risiko)
Regler	Nationale Datenschutzbehörden, EDPB	Nationale Marktüberwachungsbehörden, EU-KI-Büro

Wo die DSGVO nahtlos an das KI-Gesetz anknüpft

1. Risikobasiertes Denken

Die Datenschutz-Folgenabschätzung (DPIA) gemäß DSGVO schult Ihre Teams bereits darin, Risiken für betroffene Personen zu bewerten. Das KI-Gesetz erweitert diese Kompetenz auf Sicherheit, Gesundheit und Grundrechte im weiteren Sinne. Ihre Methodik für die Datenschutz-Folgenabschätzung (DPIA), Ihre Schwellenwerte und Ihr Genehmigungsverfahren lassen sich auf eine Grundrechte-Folgenabschätzung (FRIA) für KI mit hohem Risiko (Art. 27) ausweiten, anstatt sie von Grund auf neu zu entwickeln.

2. Verarbeitungsprotokolle → Bestandsverzeichnis der KI-Systeme

Die Aufzeichnungen gemäß Artikel 30 stellen die beste bestehende Entsprechung zu der im KI-Gesetz festgelegten Verpflichtung dar, ein Verzeichnis der im Einsatz befindlichen KI-Systeme unter Angabe der Verwendungszwecke, Datenquellen und verantwortlichen Betreiber zu führen. In der Praxis erweitern die meisten Organisationen ihr RoPA-Schema um KI-spezifische Felder (Modelltyp, Anbieter, Risikostufe, Vorkehrungen zur menschlichen Aufsicht), anstatt ein paralleles Register einzurichten.

3. Datenverwaltung und -qualität

Gemäß Art. 10 des KI-Gesetzes müssen Trainings-, Validierungs- und Testdatensätze bestimmte Qualitätskriterien erfüllen – sie müssen repräsentativ, relevant, fehlerfrei und angemessen verwaltet sein. Ihre Kontrollen hinsichtlich Datenqualität, Datenminimierung und Datenherkunft gemäß der DSGVO sind direkt wiederverwendbar. Neu hinzukommen sind die Überprüfung auf Verzerrungen auf Datensatzebene und die Dokumentation der Repräsentativität für den beabsichtigten Verwendungskontext.

4. Transparenz

Ihre Pipeline für die Datenschutzhinweise gemäß Art. 13/14 ist der ideale Ort, um die Offenlegungspflichten gemäß Art. 50 des KI-Gesetzes hinzuzufügen („Sie interagieren mit einem KI-System“, Deepfake-Kennzeichnungen, Hinweise zur Emotionserkennung). Fassen Sie diese in einem einzigen geregelten Content-Workflow zusammen, anstatt zwei separate zu verwenden.

5. Lieferanten- und Auftragsabwicklermanagement

DPAs, Register für Unterauftragsverarbeiter, Folgenabschätzungen bei Datenübermittlungen – alles wiederverwendbar. Das KI-Gesetz führt zusätzlich eine Rolleneinteilung zwischen Anbietern und Betreibern ein und sieht für Allzweck-KI-Modelle eine vorgelagerte Dokumentation vor, die vom Modellanbieter an Sie als Betreiber weitergegeben wird. Erweitern Sie Ihre Checkliste für die Einbindung von Anbietern, anstatt sie zu duplizieren.

6. Reaktion auf Vorfälle

Die in der DSGVO vorgesehene 72-Stunden-Frist für die Meldung von Datenschutzverletzungen bildet eine solide Grundlage. Das KI-Gesetz ergänzt dies um schwerwiegender Vorfall Meldepflicht bei hochriskanten KI-Fällen (Art. 73) – andere Auslöser und Empfänger, aber derselbe Kreislauf aus Erkennung, Triage, Benachrichtigung und Abhilfe.

Inwiefern geht das KI-Gesetz über die DSGVO hinaus?

• Verbotene Praktiken (Art. 5): Social Scoring, wahlloses Sammeln von Gesichtsbildern, Emotionserkennung am Arbeitsplatz oder in der Schule und vieles mehr. Die DSGVO hat kein direktes Pendant – dies stellt eine erhebliche Einschränkung bei der Produktgestaltung dar.
• Konformitätsbewertung und CE-Kennzeichnung für KI mit hohem Risiko. Hier geht es um Produktsicherheit, was eher in den Anwendungsbereich der Medizinprodukteverordnung als in den der DSGVO fällt.
• Überwachung nach dem Inverkehrbringen (Art. 72) – eine fortlaufende Verpflichtung, die tatsächliche Leistung zu überwachen und Abweichungen zu protokollieren. Die DSGVO enthält keine entsprechende Bestimmung.
• Verpflichtungen im Zusammenhang mit Allzweck-KI-Modellen für Anbieter von Basismodellen, einschließlich Modellen für systemische Risiken, die den Schwellenwert von 10^25 FLOPs überschreiten.
• KI-Kompetenz (Art. 4) – eine organisationsweite Kompetenzpflicht für alle, die KI-Systeme betreiben, einschließlich Mitarbeiter und Auftragnehmer.

Ein praktischer Plan zur Wiederverwendung

1. Ordnen Sie Ihre KI-Systeme den vier Risikostufen zu. Der Großteil der KI im Unternehmensbereich findet Anwendung in begrenzt (nur zur Veranschaulichung) oder Hochrisiko (Anwendungsfälle gemäß Anhang III, wie z. B. Personalbeschaffung, Bonitätsprüfung, biometrische Identifizierung, kritische Infrastruktur).
2. Erweitern Sie Ihr RoPA zu einem KI-Inventar. Hinzufügen: Risikostufe, Rolle des Anbieters gegenüber der des Bereitstellers, Verantwortlicher für die menschliche Überwachung, Modellanbieter, Herkunftsnachweis des Datensatzes.
3. Erweiterung von DPIA zu DPIA + FRIA für Systeme mit hohem Risiko. Gleiches Governance-Forum, erweiterter Wirkungsbereich.
4. Lieferanten-Datenschutzvereinbarungen ändern zur Erfassung der Pflichten von Anbietern und Betreibern gemäß dem KI-Gesetz sowie des Dokumentationsablaufs für Allzweck-KI-Modelle.
5. KI-spezifische Transparenz-Schnipsel hinzufügen in Ihr bestehendes CMS für Datenschutzerklärungen.
6. Ausweitung der Reaktion auf Vorfälle mit einem Zweig für schwerwiegende Vorfälle und der korrekten Weiterleitung an die Aufsichtsbehörde.
7. Schulungen zur KI-Kompetenz einführen — Nutzen Sie Ihren bestehenden Schulungsrhythmus zum Thema Datenschutz und Ihr LMS weiter.

Feine Exposition: Risikobewertung

Die DSGVO hat die Obergrenze auf 4 % des weltweiten Umsatzes festgelegt. Das KI-Gesetz erhöht die höchste Stufe auf 7 % für unzulässige Praktiken und 3 % bei schwerwiegenden Datenschutzverletzungen — wobei KMU von dem Grundsatz der Verhältnismäßigkeit profitieren. Für ein Unternehmen mit einem Umsatz von 500 Millionen Euro bedeutet dies bis zu 35 Millionen Euro bei einem einzigen festgestellten Verstoß. Die Einstufung als „inakzeptables Risiko“ sollte als rote Linie auf Vorstandsebene betrachtet werden und nicht als Ermessensentscheidung des Compliance-Teams.

Zeitplan, den Sie bei Ihrer Planung berücksichtigen müssen

• Februar 2025 - bereits geltende verbotene Praktiken und Verpflichtungen zur KI-Kompetenz.
• August 2025 - Es gelten die allgemeinen Regeln und Richtlinien für KI-Modelle.
• August 2026 - Es gelten die Transparenzpflichten gemäß Artikel 50 (Chatbots, Deepfakes, Kennzeichnung synthetischer Inhalte).
• Dezember 2027 - Es gilt die eigenständige Regelung für hochriskante KI gemäß Anhang III (HR, Kreditwesen, Biometrie, Bildung, systemrelevante Dienste) gemäß dem Digital-Omnibus-Paket (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026).
• August 2028 - Es gilt die Hochrisiko-KI, die in den in Anhang I aufgeführten regulierten Produkten (Medizinprodukte, Maschinen, Fahrzeuge, Spielzeug) eingebettet ist.

Wenn Ihr DSGVO-Programm zwei Jahre gebraucht hat, um ausgereift zu sein, haben Sie diesen Luxus beim KI-Gesetz nicht. Mit der oben beschriebenen Wiederverwendungsstrategie können Unternehmen diese Lücke innerhalb von Monaten statt Jahren schließen.

Wo soll ich diese Woche anfangen?

Führen Sie einen Workshop zur Erkundung von KI-Systemen gemeinsam mit der IT-Abteilung, dem Einkauf und den Geschäftsverantwortlichen und ordnen jedes System einer der vier Risikostufen zu. Dieses einzige Dokument bildet die Grundlage für alle nachfolgenden Entscheidungen – Umfang der Bestandsaufnahme, Priorisierung im Rahmen der FRIA, Neuverhandlungen mit Lieferanten und Durchführung von Schulungen.

Unser kostenloses Bewertung der Bereitschaft zur Umsetzung des KI-Gesetzes führt Sie in etwa 15 Minuten durch genau diese Klassifizierung und liefert Ihnen einen individuellen Bericht, den Sie Ihrem Lenkungsausschuss vorlegen können.