Häufige Fragen zu KI und Datenschutz

Mai 16, 2025

Zum Abschluss unserer Reihe über die neue KI-Verordnung widmen wir uns der Beantwortung von Fragen, die wir in unserem Berateralltag häufig gestellt bekommen.

Ab wann muss mein Unternehmen die KI-VO beachten? – Antwort: Ab sofort! Die Verordnung ist zwar schon gültig, aber die meisten Verpflichtungen sind erst ab 2026 verbindlich. Einzelne Pflichten – insbesondere die Schulung der Mitarbeiter in KI-Kompetenz und das Unterlassen verbotener KI-Praktiken – müssen jedoch bereits bis Februar 2025 vorbereitet werden. Unternehmen sollten daher jetzt prüfen, welche KI-Systeme sie einsetzen und ob Handlungsbedarf besteht, anstatt bis 2026 abzuwarten.

Verliere ich die Rechte an meinen Daten, wenn ich sie einem KI-Anbieter gebe? – Antwort: Nein, Sie verlieren nicht automatisch Rechte, aber Sie gewähren oft dem Anbieter gewisse Nutzungsrechte. Lesen Sie die AGB: Manche Anbieter dürfen die Inputs zu Verbesserungszwecken verwenden. Wichtige Daten daher nur mit Auftragsverarbeitung und klarer Zweckbindung herausgeben.

Kann KI menschliche Entscheider komplett ersetzen? – Antwort: In sehr eng begrenzten Aufgaben vielleicht, aber in komplexen Entscheidungen sollte immer ein Mensch zumindest überwachend beteiligt sein. – Schon allein, um rechtliche Vorgaben wie Art. 22 DSGVO zu erfüllen und die Haftung beherrschbar zu halten. KI ist am besten als Assistenz zu sehen, nicht als autonomer Entscheider.

Wie halte ich mit all dem Schritt? – Antwort: Etablieren Sie eine KI-Compliance-Routine: Regelmäßige Updates vom Datenschutzbeauftragten oder Compliance Officer zu KI-Themen, Teilnahme an Branchen-Webinaren, vielleicht die Lektüre eines Leitfadens – wie z.B. die „Erste Hilfe zur KI-Verordnung“. Dieser Leitfaden von C.H.Beck ordnet die neuen Vorschriften mit Beispielen ein und gibt Praxistipps – eine gute Investition für Verantwortliche. Wissen ist der beste Schutz vor bösen Überraschungen.

Brauchen wir einen KI-Beauftragten? – Antwort: Nicht zwingend gesetzlich, aber indirekt erfordert die KI-VO, dass Know-how aufgebaut wird. Gerade wenn Ihr Unternehmen verstärkt KI einsetzt, empfiehlt es sich, einen Verantwortlichen für KI zu benennen, der Konzepte zur Schulung und Überwachung betreut. Dieser muss nicht formal gemeldet werden wie ein Datenschutzbeauftragter, aber er sollte genügend Autorität und Ressourcen haben, um KI-Compliance durchzusetzen.

Müssen wir KI-Systeme bei einer Behörde melden? – Antwort: Nur in besonderen Fällen. Anbieter von Hochrisiko-KI müssen diese in eine EU-Datenbank eintragen, die von den Aufsichtsbehörden verwaltet wird. Nutzer von KI-Systemen müssen ihre Systeme nicht generell melden, aber schwerwiegende Vorfälle und Missbrauch an die Behörden berichten. Außerdem gilt: Wenn Sie z.B. ein KI-System in ein Produkt integrieren, das einer anderen Regulierung unterliegt (z.B. Medizinprodukt), sind ggf. Melde- und Zertifizierungspflichten dort relevant. Im Normalfall reicht es aber, intern den Überblick zu behalten und auf Anfrage der Aufsicht Auskunft geben zu können.

Müssen KI-generierte Inhalte gekennzeichnet werden? – Antwort: Ja, die KI-VO sieht eine Kennzeichnungspflicht vor. Diese richtet sich primär an die Anbieter generativer KI, die technische Vorkehrungen treffen müssen, damit z.B. ein Bild oder Text beim Erstellen als KI-Output markiert wird.

Dürfen wir Kundendaten in ein KI-Tool wie ChatGPT eingeben? – Antwort: Nur mit großer Vorsicht. Idealerweise geben Sie gar keine personenbezogenen Daten in öffentliche KI-Systeme ein, zumindest nicht ohne Zustimmung. ChatGPT etwa speichert standardmäßig alle eingegebenen Daten und nutzt sie weiter, was aus Datenschutzsicht problematisch ist. Wenn es sich nicht vermeiden lässt, sollten Sie die Daten anonymisieren oder abstrahieren. Außerdem müsste man die Betroffenen informieren, dass ihre Daten an einen Dienst wie ChatGPT gehen (Datenschutzerklärung). Da das kaum umfassend möglich ist – Sie wissen ja selbst nicht genau, was mit den Daten im KI-Modell passiert – lautet die Empfehlung vieler Experten: Keine vertraulichen oder personenbezogenen Informationen in KI-Tools einspeisen! Ihre Mitarbeiter sollten dafür sensibilisiert werden (z.B. nicht Kundennamen oder ganze Dokumente in den Chatbot kopieren). Alternativ könnte man nach datenschutzkonformen Lösungen suchen, etwa lokale KI-Modelle oder EU-basierte Dienste mit klaren Verträgen.

Dürfen wir KI-Bilder und -Texte frei verwenden, z.B. für Werbung? – Antwort: Meist ja, aber mit Bedacht. Da KI-Werke keinen Urheber haben, können Sie sie verwenden, ohne jemanden um Erlaubnis zu fragen. Allerdings sollten Sie prüfen, ob das KI-Werk Elemente enthält, die doch geschützt sein könnten (z. B. wenn es eine berühmte Figur darstellt oder ein Firmenlogo enthält – dann greifen Marken-/Persönlichkeitsrechte). Im Zweifel lieber das KI-Ergebnis nochmal manuell überarbeiten oder generische Inhalte verwenden. Achten Sie auch auf die Nutzungsbedingungen der KI-Tools: Manche Generatoren lassen die kommerzielle Nutzung ihrer Outputs nur zu, wenn man eine Lizenz erwirbt. Andere (wie OpenAI) erlauben die Nutzung der Ergebnisse frei, behalten aber evtl. Rechte am Input. Lesen Sie das Kleingedruckte, um sicherzugehen, dass Sie die KI-Ergebnisse im geplanten Umfang einsetzen dürfen.

Was Sie nie aus den Augen verlieren sollten: Nutzen Sie KI bewusst und verantwortungsvoll, dann können Sie die Vorteile genießen und bleiben zugleich auf der Seite von Gesetz und Ethik.

Sie haben Fragen zur EU KI-VO (EU AI-Act)? Wir sind gerne für Sie da.

Weitere Artikel aus unserer Reihe „Die neue KI-Verordnung“: