KI-Verordnung und DSGVO, erklärt ohne Panikmache

Die europäische KI-Verordnung (AI Act) ist das erste umfassende europäische Gesetz, das regelt, wie Systeme der künstlichen Intelligenz entwickelt und eingesetzt werden dürfen. Dabei wird nicht jede KI gleich behandelt: Die Verordnung stuft Systeme nach dem Risiko ein, das sie für Menschen darstellen, und knüpft an die risikoreicheren Systeme entsprechende Pflichten. Die meisten Alltagswerkzeuge — ein Chatbot, ein Schreibassistent, ein Prognosemodell — fallen in die leichteren Kategorien, wo die Hauptpflichten Transparenz und eine grundlegende Governance betreffen, nicht schwere Bürokratie.

Es handelt sich um eine Verordnung, die also unmittelbar in der ganzen EU gilt, ohne dass jedes Land sie erst umsetzen muss. Sie betrifft dich sowohl, wenn du KI entwickelst, als auch — bei einem KMU häufiger der Fall — wenn du sie einfach nur nutzt. Das Grundprinzip ist Verhältnismäßigkeit: Das Gesetz verlangt von einem System, das Bewerber auswählt, mehr als von einem, das deinen Newsletter schreibt.

Für ein typisches kleines Unternehmen ist die KI-Verordnung insgesamt gut zu bewältigen, sobald klar ist, in welche Kategorie die eigenen Werkzeuge fallen.

GiBSeS — Wir helfen dir, die KI-Verordnung anhand deiner tatsächlichen Werkzeuge zu lesen, nicht anhand von Schlagzeilen — damit du weißt, was dich wirklich betrifft. Das erste orientierende Gespräch ist kostenlos. Dies ist informativer Inhalt, keine Rechtsberatung.

Für die meisten KMU gilt die KI-Verordnung, weil sie 'Betreiber' (Deployer) sind, also KI-Systeme nutzen statt sie zu entwickeln. Das ist eine leichtere Rolle als die des Anbieters, aber nicht ohne Pflichten. Grundsätzlich wird erwartet, dass du die Systeme bestimmungsgemäß nutzt, einen gewissen Grundüberblick darüber behältst, was sie tun, dass dein Personal ein angemessenes Maß an KI-Kompetenz hat und dass du gegenüber Menschen transparent bist, wo die Regeln das verlangen.

Die schweren Pflichten — Konformitätsbewertungen, technische Dokumentation, Registrierung — treffen vor allem diejenigen, die das System entwickeln oder in Verkehr bringen, nicht dich als Nutzer. Die KI-Verordnung versucht zudem ausdrücklich, die Last für KMU zu verringern, etwa durch vereinfachte Verfahren und Unterstützungsmaßnahmen.

Was sich für dich ändert, hängt fast vollständig davon ab, was deine KI tatsächlich tut und welche Daten dahinterstehen. Ein Marketing-Assistent ist etwas ganz anderes als ein Tool, das entscheidet, wer eingestellt wird oder wie viel Kredit jemand bekommt.

GiBSeS — Wir fangen damit an, deine Werkzeuge in 'kaum betroffen' und 'im Blick behalten' einzuteilen, damit du Energie nur dort investierst, wo es nötig ist. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Die KI-Verordnung teilt Systeme in vier Stufen ein. Verbotene Praktiken sind vollständig untersagt — etwa Social Scoring von Bürgern oder manipulative Systeme, die schutzbedürftige Personen ausnutzen. Hohes Risiko betrifft KI in sensiblen Bereichen wie Personalauswahl, Bonitätsbewertung, kritischen Infrastrukturen oder bestimmten Sicherheitskomponenten: Hier gelten die stärksten Pflichten. Begrenztes Risiko betrifft Systeme, die mit Menschen interagieren oder Inhalte erzeugen, wo die Hauptpflicht die Transparenz ist — also Menschen mitzuteilen, dass sie es mit einer KI zu tun haben. Minimales Risiko umfasst alles Übrige, etwa Spamfilter oder die meisten Produktivitätswerkzeuge, ohne spezifische Pflichten.

Die praktische Lehre für ein KMU: Die Kategorie bestimmt sich durch die Nutzung des Systems, nicht durch dessen technische Raffinesse. Dasselbe Modell kann bei einer Aufgabe minimales Risiko haben und bei einer anderen hohes.

Insgesamt fällt ein Großteil der Werkzeuge eines kleinen Unternehmens in die begrenzte oder minimale Stufe, was den Compliance-Aufwand überschaubar hält.

GiBSeS — Wir ordnen jeden deiner Anwendungsfälle der richtigen Stufe zu, damit du kein Werkzeug mit Compliance-Aufwand überfrachtest, das kaum welchen braucht. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

In vielen Fällen ja. Die KI-Verordnung legt Transparenzpflichten für Systeme mit begrenztem Risiko fest. Grundsätzlich gilt: Wenn Menschen direkt mit einer KI interagieren — ein Chatbot, ein Sprachassistent —, müssen sie darüber informiert werden, dass sie mit einer Maschine sprechen, es sei denn, das ist bereits offensichtlich. Künstlich erzeugte oder manipulierte Inhalte, wie Deepfakes oder von KI verfasste Artikel, die als Information veröffentlicht werden, müssen in der Regel als solche gekennzeichnet werden. Auch Systeme zur Emotionserkennung oder biometrischen Kategorisierung lösen Informationspflichten gegenüber den betroffenen Personen aus.

Der Grundgedanke ist Ehrlichkeit, nicht Bürokratie: Menschen dürfen nicht darüber getäuscht werden, ob sie es mit einem Menschen oder einer Maschine zu tun haben. Für die meisten KMU ist das unkompliziert — ein kurzer Hinweis im Chat-Widget, eine Zeile im Footer, eine klare Kennzeichnung synthetischer Inhalte.

In den meisten Fällen musst du nicht jede interne KI-Nutzung offenlegen, etwa ein Tool, das deinem Personal nur im Hintergrund beim Texten hilft.

GiBSeS — Wir helfen dir, die wenigen Hinweise zu formulieren, die du wirklich brauchst — klar, ehrlich, ohne Juristendeutsch — und die überflüssigen wegzulassen. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Artikel 4 der KI-Verordnung verlangt von Anbietern und Betreibern von KI, ein ausreichendes Maß an 'KI-Kompetenz' bei dem Personal sicherzustellen, das diese Systeme in ihrem Auftrag nutzt. Einfach gesagt: Die Menschen, die in deinem Unternehmen KI nutzen, müssen — angemessen für ihre jeweilige Rolle — verstehen, was das Werkzeug tut, wo es Fehler machen kann und wie man es mit gesundem Menschenverstand einsetzt. Das ist eine der wenigen Pflichten, die direkt dich als Nutzer trifft, und sie gilt bereits seit Anfang 2025.

Es handelt sich nicht um ein Zertifizierungsschema, und es gibt keine offizielle Prüfung. Für ein kleines Unternehmen kann es genügen, ein kurzes internes Briefing zu dokumentieren: welche Werkzeuge wir nutzen, worin sie gut sind und worin nicht, welche Daten niemals eingegeben werden dürfen, an wen man sich im Zweifel wenden kann.

Wer das Ganze als grundlegende Sensibilisierung des Personals behandelt und nicht als Compliance-Projekt, hält den Aufwand gering und macht ihn wirklich nützlich.

GiBSeS — Wir können mit deinem Team eine kurze, praxisnahe Schulung zur KI-Kompetenz durchführen und dir eine einfache Dokumentation hinterlassen — zuerst nützlich, konform als Bonus. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

GPAI steht für 'General Purpose AI' — KI mit allgemeinem Verwendungszweck: große Modelle, wie sie hinter den meistgenutzten Chat-Assistenten stehen, nicht für eine einzelne Aufgabe gebaut, sondern fähig, viele zu erledigen. Die KI-Verordnung legt spezifische Pflichten für Unternehmen fest, die solche Modelle entwickeln und bereitstellen: technische Dokumentation, zusammenfassende Transparenz über die Trainingsdaten, Beachtung des Urheberrechts und zusätzliche Pflichten für die größten Modelle, die als 'systemisches Risiko' eingestuft werden.

Der entscheidende Punkt für ein KMU: Fast all diese Pflichten treffen den Anbieter des Modells, nicht dich als Nutzer. Wenn du ein solches Modell über ein normales Produkt oder eine API nutzt, trägt der Anbieter die GPAI-Pflichten. Deine Verantwortung ergibt sich daraus, wie du es nutzt — Transparenz, Datenschutz, KI-Kompetenz —, nicht aus dem Innenleben des Modells.

In den meisten Fällen musst du die GPAI-Regeln nicht im Detail verfolgen; du musst Anbieter wählen, die klar zeigen, dass sie diese ernst nehmen.

GiBSeS — Wenn wir Werkzeuge für dich vergleichen, prüfen wir auch, wie ernst der Anbieter seine GPAI-Pflichten nimmt, damit du keine fremde Compliance-Lücke erbst. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Oft ja, aber nicht standardmäßig und nicht mit jeder Art von Daten. Die DSGVO verbietet keine KI-Werkzeuge; sie regelt, was mit personenbezogenen Daten geschieht. Entscheidend sind folgende Fragen: Gibst du personenbezogene Daten ein, auf welcher Rechtsgrundlage, mit welchem Vertrag mit dem Anbieter, und wo landen diese Daten? Viele Anbieter bieten inzwischen Business- oder Enterprise-Pläne an, die in der Regel nicht mit deinen Eingaben trainieren und Verarbeitungsbedingungen anbieten, die für den professionellen Einsatz geeignet sind — eine ganz andere Situation als ein kostenloses Verbraucherkonto.

Die praktischen Regeln sind simpel: Füge keine personenbezogenen oder vertraulichen Daten in Werkzeuge ein, die du nicht geprüft hast, bevorzuge Business-Pläne mit angemessenen Verträgen und halte schriftlich fest, welche Werkzeuge für welche Daten freigegeben sind.

In den meisten Fällen lautet der sichere Weg nicht 'nie benutzen', sondern 'die richtige Version, mit den richtigen Einstellungen, für die richtigen Daten benutzen'. Bei allem Sensiblen lohnt sich eine kurze Rücksprache mit einer Datenschutzfachperson.

GiBSeS — Wir helfen dir, einfache schriftliche Regeln festzulegen, welche Daten in welches Werkzeug dürfen — Regeln, die dein Team auch wirklich befolgt. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Das hängt vollständig vom Werkzeug und vom gewählten Plan ab — genau deshalb lohnt es sich, das vor einer Entscheidung zu prüfen. Bei einem typischen Cloud-KI-Dienst werden deine Prompts und hochgeladenen Dateien an die Server des Anbieters gesendet, verarbeitet, und eine Antwort kommt zurück. Was variiert — und was du meist in der Dokumentation findest — ist, ob deine Eingaben zum Training künftiger Modelle verwendet werden, wie lange sie gespeichert werden, wo die Server physisch stehen und wer die Unterauftragsverarbeiter des Anbieters sind.

Kostenlose Verbraucherpläne und Business-Pläne verhalten sich hier oft sehr unterschiedlich. Business- und Enterprise-Pläne versprechen in der Regel kein Training mit deinen Daten, kürzere Speicherfristen und klarere Vertragsbedingungen; kostenlose Pläne sind oft großzügiger in der Nutzung deiner Daten.

Bevor du einem Werkzeug etwas anvertraust, das wichtig ist, solltest du grundsätzlich drei Fragen beantworten können: Werden meine Eingaben zum Training verwendet, wie lange werden sie gespeichert, und in welchem Land werden sie verarbeitet? Wenn der Anbieter das nicht klar beantwortet, ist das bereits ein Warnsignal.

GiBSeS — Die trockenen Datenklauseln für dich zu lesen, gehört zu unserer Art, Werkzeuge zu bewerten — wir markieren jene, die diese drei Fragen nicht beantworten. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Manchmal. Die DSFA ist eine strukturierte Bewertung, die die DSGVO vor einer Verarbeitung verlangt, die 'voraussichtlich ein hohes Risiko' für die Rechte von Personen mit sich bringt — etwa umfangreiches Profiling, systematische Überwachung oder die Verarbeitung besonderer Kategorien von Daten. Wenn KI in eine solche Verarbeitung einbezogen wird, kann das die Schwelle überschreiten; ein Chatbot, der Marketingtexte schreibt, so gut wie sicher nicht.

Grundsätzlich ist nicht 'wir nutzen KI' der Auslöser, sondern 'was tun wir mit personenbezogenen Daten'. Wenn dein KI-Anwendungsfall automatisierte Entscheidungen über Personen, umfangreiches Profiling oder besondere Datenkategorien betrifft, ist eine DSFA wahrscheinlich angebracht und wirklich nützlich, weil sie dich zwingt, über Risiken nachzudenken, bevor sie zuschlagen. Für gewöhnliche Produktivitätsanwendungen ist sie meist nicht erforderlich.

In den meisten Fällen hat ein KMU höchstens ein oder zwei Anwendungsfälle, die überhaupt eine DSFA erfordern könnten. Bei einem Grenzfall ist es sinnvoll, eine Datenschutzfachperson hinzuzuziehen, statt sich auf das Bauchgefühl zu verlassen.

GiBSeS — Wir helfen dir herauszufinden, welche deiner Anwendungsfälle die DSFA-Schwelle überschreiten könnten, damit du weder eine wirklich nötige auslässt noch unnötigen Papierkram erzeugst. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Nein, die Einwilligung ist nicht die einzige Option und oft nicht die beste. Nach der DSGVO braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage, und davon gibt es mehrere: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder 'berechtigtes Interesse'. Für viele gewöhnliche geschäftliche Zwecke passen Vertrag oder berechtigtes Interesse besser als die Einwilligung, die schwach ist, weil sie jederzeit widerrufen werden kann.

Der Einsatz von KI ändert die Auswahl an Rechtsgrundlagen nicht; er bedeutet nur, dieselbe Logik auf die personenbezogenen Daten anzuwenden, die die KI berührt. Wenn du Kundendaten bereits auf einer gültigen Grundlage verarbeitet hast, braucht es in der Regel keine neue Grundlage, nur weil ein Teil dieses Prozesses über ein KI-Werkzeug läuft — auch wenn sich ändern kann, was du den Menschen über die Verarbeitung ihrer Daten mitteilst.

Grundsätzlich solltest du es vermeiden, reflexartig überall um Einwilligung zu bitten. Wähle die Rechtsgrundlage, die wirklich zum Zweck passt, und dokumentiere die Begründung.

GiBSeS — Wir helfen dir, jedem KI-Anwendungsfall eine sinnvolle Rechtsgrundlage zuzuordnen und die Datenschutzerklärung entsprechend anzupassen — ohne deine Kunden mit Einwilligungsbannern zu überschütten. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Das ist eine der häufigsten Compliance-Fragen rund um KI, weil viele verbreitete Werkzeuge von US-Unternehmen betrieben werden. Die DSGVO erlaubt Übermittlungen außerhalb der EU, aber nur mit Garantien. Grundsätzlich ist eine Übermittlung in die USA abgedeckt, wenn der Anbieter im Rahmen des EU-US Data Privacy Framework zertifiziert ist, oder wenn man sich auf die Standardvertragsklauseln stützt, ergänzt — wo nötig — durch zusätzliche Maßnahmen. Die Dokumentation des Anbieters gibt in der Regel an, welcher Mechanismus greift.

Für ein KMU ist die praktische Aufgabe überschaubar: prüfen, ob dein Anbieter einen gültigen Übermittlungsmechanismus anbietet und idealerweise, falls verfügbar, eine Datenverarbeitungsregion in der EU. Viele Business-Versionen von Diensten bieten das inzwischen an.

In den meisten Fällen musst du US-Werkzeuge nicht vollständig meiden — du musst solche wählen, die Übermittlungen korrekt handhaben und das klar erklären. Da sich der rechtliche Rahmen hier in der Vergangenheit bereits geändert hat, ist dies ein Bereich, den man sinnvollerweise im Auge behält und bei sensiblen Daten mit einer Fachperson bestätigen sollte.

GiBSeS — Wir prüfen den Übermittlungsmechanismus und die Optionen zur Datenregion, wenn wir Werkzeuge für dich auswählen, damit grenzüberschreitende Daten später keine Überraschung sind. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Für die meisten KMU, die KI nutzen, bist du der 'Verantwortliche' der Verarbeitung: Du entscheidest, warum und wie personenbezogene Daten verarbeitet werden. Der KI-Anbieter ist in der Regel der 'Auftragsverarbeiter', der nach deinen Weisungen handelt, und die Kette kann dessen eigene Unterauftragsverarbeiter einschließen. Die Unterscheidung ist wichtig, weil der Verantwortliche die Hauptverantwortung trägt — du bist der Ansprechpartner für Kunden und Aufsichtsbehörden.

In der Praxis bedeutet das konkret: Du solltest einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter haben, solltest wissen, wer seine Unterauftragsverarbeiter sind, und bleibst dafür verantwortlich, einen Anbieter zu wählen, der ausreichende Garantien bietet. Dass der Anbieter die Daten verwaltet, überträgt deine Verantwortung nicht weg; er teilt sich lediglich den operativen Teil davon.

Die Aufgabe für ein KMU ist hier grundsätzlich einfach: sicherstellen, dass jeder genutzte KI-Anbieter einen angemessenen AVV unterzeichnet hat, und im Groben verstehen, wer nachgelagert Zugriff auf die Daten hat.

GiBSeS — Wir helfen dir zu prüfen, dass jedes Werkzeug mit einem echten Auftragsverarbeitungsvertrag und einer klaren Liste der Unterauftragsverarbeiter kommt — die Grundlagen, die man leicht vergisst. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Beide Regelwerke sehen umsatzabhängige Bußgelder vor, was alarmierend klingt, aber richtig eingeordnet werden muss. Nach der DSGVO können die schwersten Verstöße mit bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro geahndet werden, je nachdem, welcher Betrag höher ist. Die KI-Verordnung legt eigene Stufen fest, wobei die härtesten Sanktionen — bis zu 7 % des Umsatzes oder 35 Millionen Euro — dem Einsatz verbotener KI-Systeme vorbehalten sind, mit niedrigeren Stufen für andere Verstöße.

Diese Schlagzeilen-Höchstbeträge sind für schwere, oft vorsätzliche Verstöße großer Akteure gedacht, nicht für ein kleines Unternehmen, das mit einem Chatbot einen Fehler in gutem Glauben gemacht hat. Die Aufsichtsbehörden bewerten in der Regel Art, Schwere und Vorsätzlichkeit des Verstoßes. Wer zahlt, hängt von der Rolle ab: der Betreiber für Fehler bei der Nutzung, der Anbieter für Produktmängel.

Insgesamt ist das realistische Risiko für ein KMU, das vernünftig handelt, deutlich kleiner als die Schlagzeilenzahlen — aber die Pflicht, vernünftig zu handeln, ist real. Wenn du nicht weißt, wo du stehst, ist eine fachliche Prüfung sinnvoll.

GiBSeS — Wir helfen dir, dich auf die wenigen Dinge zu konzentrieren, die das Risiko wirklich senken, statt ein Bußgeld zu fürchten, das für ganz andere Unternehmen gedacht ist. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Der Cyber Resilience Act (CRA) ist ein eigenständiges EU-Gesetz zur Cybersicherheit von Produkten mit digitalen Elementen — im weiten Sinne: Software und vernetzte Geräte, die auf den Markt gebracht werden. Er legt Sicherheitspflichten vor allem den Herstellern auf: Secure-by-Design-Entwicklung, Schwachstellenmanagement und Sicherheitsupdates über die gesamte Lebensdauer eines Produkts.

Für ein KMU, das KI nutzt statt Softwareprodukte zu verkaufen, erreicht dich der CRA meist nur indirekt: Er drängt die Werkzeuge und Geräte, die du kaufst, dazu, sicherer zu sein — eine gute Nachricht. Direkt betroffen bist du vor allem, wenn du selbst digitale Produkte entwickelst und auf den Markt bringst. Wo KI in ein Produkt eingebettet ist, können sich die Sicherheitspflichten des CRA und die der KI-Verordnung überschneiden und müssen gemeinsam gelesen werden.

Für ein typisches nutzendes KMU ist der CRA insgesamt eher ein Grund, Anbieter zu bevorzugen, die Produktsicherheit ernst nehmen, als eine neue schwere Pflicht für dich selbst.

GiBSeS — Die Sicherheitshaltung des Anbieters gehört zu dem, was wir prüfen, wenn wir dir bei der Wahl von Werkzeugen helfen, damit die vom CRA angestoßene Qualität dir zugutekommt. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Die KI-Verordnung schaltet sich nicht auf einen Schlag ein; sie tritt stufenweise in Kraft. Sie ist 2024 in Kraft getreten, und verschiedene Pflichten gelten nach einem gestaffelten Zeitplan. Grob gesagt kamen die Verbote unzulässiger Praktiken und die Pflicht zur KI-Kompetenz zuerst, Anfang 2025. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck folgten im Laufe von 2025. Der Großteil der Regeln zu Hochrisikosystemen gilt später, mit wichtigen Terminen 2026 und einem längeren Horizont bis 2027 für bestimmte Kategorien, die an bestehende Produktsicherheitsvorschriften gekoppelt sind.

Für ein KMU bedeutet das praktisch: Es gibt nicht einen einzigen Stichtag, auf den alles zusteuert, sondern eine Abfolge — und ein Großteil dessen, was gewöhnliche Nutzer betrifft, Transparenz und KI-Kompetenz, gilt bereits jetzt. Die schwereren Pflichten zu hohem Risiko, die die meisten kleinen Unternehmen ohnehin nicht auslösen, kommen später.

In den meisten Fällen ist es sinnvoll, jetzt die bereits geltenden Pflichten zu erledigen und den Zeitplan zu überprüfen, sobald die nächsten Phasen näher rücken, statt sich vorschnell in Übererfüllung zu stürzen.

GiBSeS — Wir helfen dir, das umzusetzen, was bereits verlangt wird, und das Kommende in Ruhe zu planen, ohne jede Frist wie einen Notfall zu behandeln. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Es kann bei bestimmten Bedenken helfen, ist aber kein magischer Compliance-Schalter. Modelle auf eigenen Servern oder auf 'souveräner', in der EU ansässiger Infrastruktur zu betreiben, hält die Daten physisch näher und kann Fragen zu Übermittlung, Speicherung und Zugriff vereinfachen. Für wirklich sensible Daten — Gesundheitsdaten, Rechtsdaten, bestimmte Geschäftsgeheimnisse — ist diese Kontrolle ein echter Vorteil und manchmal der ausschlaggebende Faktor.

Die Kompromisse sind real: On-premise-KI kostet mehr in Einrichtung und Wartung, offene Modelle, die du selbst betreiben kannst, sind oft weniger leistungsfähig als die besten Cloud-Modelle, und 'souverän' ist ein Etikett, keine Garantie — du musst trotzdem prüfen, was tatsächlich dahintersteht. Compliance hängt auch davon ab, wie du das System nutzt, nicht nur davon, wo es läuft.

On-premise lohnt sich insgesamt dann, wenn die Sensibilität der Daten oder Souveränitätsanforderungen die Mehrkosten klar rechtfertigen, und ist überzogen, wenn das nicht der Fall ist. Es ist ein Werkzeug, keine Standardantwort.

GiBSeS — Wir helfen dir ehrlich einzuschätzen, ob On-premise für deine Daten gerechtfertigt ist oder ob ein gut gewähltes Cloud-Setup ausreicht — ohne Vorfestlegung in irgendeine Richtung. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Rechenschaftspflicht (Accountability) ist ein zentrales Prinzip der DSGVO: Du musst nicht nur konform sein, sondern das auch nachweisen können. Für den KI-Einsatz bedeutet das, eine schlanke, aber echte Spur zu führen — welche Werkzeuge du wofür nutzt, mit welchen Daten, auf welcher Rechtsgrundlage, und welche Entscheidungen du zu den Risiken getroffen hast. Das ist der Unterschied zwischen 'wir glauben, dass wir es richtig machen' und 'so machen wir es richtig, und hier ist der Beleg'.

Ein Audit-Trail im technischen Sinn — Protokolle darüber, was ein System wann getan hat — zählt vor allem bei Anwendungen mit höherem Risiko, insbesondere überall dort, wo Rechte von Personen betroffen sind und eine Entscheidung nachvollziehbar sein muss. Für gewöhnliche Produktivitätswerkzeuge kann die Dokumentation deutlich schlanker ausfallen: In der Regel genügt ein einfaches internes Verzeichnis.

Das Ziel ist grundsätzlich nicht Bürokratie um ihrer selbst willen, sondern die Fähigkeit, ruhig und schnell auf die Frage 'was tun wir, und warum ist das vertretbar' antworten zu können. Für ein KMU deckt oft ein einziges, lebendig gepflegtes Dokument den Großteil davon ab.

GiBSeS — Wir helfen dir, ein einseitiges Verzeichnis aufzusetzen, das die Rechenschaftspflicht erfüllt, ohne sich zu einem Papierkram-Projekt aufzublähen. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Menschen behalten alle ihre gewohnten DSGVO-Rechte auch dann, wenn KI im Spiel ist: Auskunft über die eigenen Daten, Berichtigung, Löschung, Widerspruch und so weiter. Der Einsatz eines KI-Werkzeugs setzt nichts davon außer Kraft. In der Praxis bedeutet das, dass du weiterhin in der Lage sein musst, die personenbezogenen Daten einer Person zu finden, zu korrigieren oder zu löschen — auch solche, die durch ein KI-System gelaufen sind —, und in groben Zügen erklären zu können, wie sie verwendet werden.

Es gibt ein zusätzliches Recht, das man kennen sollte: Grundsätzlich haben Menschen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und erhebliche Auswirkungen auf sie hat — man denke an eine vollständig automatisierte Einstellungs- oder Kreditablehnung —, ohne Garantien wie eine echte menschliche Beteiligung. Die Lösung besteht meist darin, bei wichtigen Entscheidungen tatsächlich einen Menschen im Prozess zu behalten.

In den meisten Fällen löst gewöhnliche, KI-unterstützte Arbeit das alles nicht aus, weil immer noch ein Mensch entscheidet. Die Pflicht greift, wenn die Maschine allein entscheidet und viel auf dem Spiel steht.

GiBSeS — Wir helfen dir, die wichtigen Prozesse so zu gestalten, dass tatsächlich ein Mensch im Ablauf bleibt und individuelle Rechte leicht zu wahren sind. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Grundsätzlich liegt die Verantwortung dafür, wie die Ausgabe der KI verwendet wird, beim nutzenden Unternehmen, nicht beim Werkzeug. Wenn ein KI-Assistent eine falsche Angabe schreibt und du sie an einen Kunden schickst, ist das deine Ausgabe — ähnlich wie der Entwurf eines Nachwuchskollegen zu deiner Verantwortung wird, sobald du ihn freigibst. Genau deshalb zählt die menschliche Überprüfung bei allem, was Folgen hat.

Wo ein Fehler eindeutig auf ein defektes Produkt oder eine vertragliche Pflichtverletzung des Anbieters zurückgeht, kann sich die Haftung teilweise auf den Anbieter verlagern, und die EU-Regeln zu Produkt- und KI-Haftung entwickeln sich weiter, um diese Ketten zu klären. Aber für alltägliche Fehler — eine erfundene Tatsache, eine ungeschickte E-Mail — lautet die realistische Antwort: Du bist verantwortlich für das, was du veröffentlichst, entscheidest oder versendest.

Der praktische Schutz ist in den meisten Fällen einfach und wenig glamourös: Behandle die KI-Ausgabe als Entwurf, überprüfe, was wichtig ist, und lass die vermeintliche Sicherheit einer Maschine nicht dein eigenes Urteil ersetzen. Bei Streitfällen mit echtem Schaden ist das eindeutig eine Sache für einen Anwalt.

GiBSeS — Wir helfen dir zu entscheiden, welche Ausgaben eine menschliche Freigabe brauchen und welche nicht, damit die Verantwortung klar und handhabbar bleibt. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Eine kurze Liste deckt den Großteil der wirklichen Gefahr ab. Füge keine personenbezogenen, vertraulichen oder Kundendaten in ungeprüfte kostenlose Werkzeuge ein — das ist mit Abstand der häufigste Fehler. Nutze KI nicht für die von der KI-Verordnung verbotenen Zwecke, wie manipulative Systeme oder Social Scoring. Lass die KI keine Entscheidungen mit Auswirkungen auf Menschen treffen — Einstellungen, Kündigungen, Kredite, Leistungen — ohne jede menschliche Beteiligung. Veröffentliche von KI erzeugte Inhalte nicht so, als hätte ein Mensch sie geprüft, wenn das niemand getan hat. Tu nicht so, als sei ein Chatbot ein Mensch, wenn die Regeln eine Offenlegung verlangen. Und geh nicht davon aus, dass 'der Anbieter kümmert sich um Compliance' dich als Nutzer aus der Verantwortung entlässt.

Keiner dieser Punkte erfordert tiefes Rechtswissen; es ist größtenteils explizit gemachter gesunder Menschenverstand. Unternehmen, die in Schwierigkeiten geraten, haben meist das Offensichtliche übersprungen, nicht das Unklare.

Wenn ein Anwendungsfall das Gefühl gibt, ernsthaft in das Leben einer Person eingreifen oder sensible Daten offenlegen zu können, dann bremse und prüfe ihn — dieses Bauchgefühl liegt in der Regel richtig.

GiBSeS — Wir helfen dir, diese 'Nicht-tun'-Liste in eine einseitige interne Richtlinie zu verwandeln, die sich dein Team tatsächlich merken kann. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Fang mit einer Bestandsaufnahme an, nicht mit einem Anwalt. Liste die KI-Werkzeuge auf, die du tatsächlich nutzt, und was jedes davon tut. Notiere zu jedem zwei Dinge: Berührt es personenbezogene Daten, und trifft oder beeinflusst es stark Entscheidungen über Menschen? Allein dieser Schritt sortiert fast alles in 'wenig besorgniserregend' und 'im Blick behalten'.

Von dort aus sind die ersten praktischen Schritte meist bescheiden: Business-Versionen von Werkzeugen mit angemessenen Auftragsverarbeitungsverträgen wählen, einfache interne Regeln schreiben, welche Daten wohin dürfen, ein kurzes KI-Kompetenz-Briefing für das Personal durchführen und darüber ein einseitiges Verzeichnis führen. Für die wenigen Anwendungsfälle, die sensible Daten oder automatisierte Entscheidungen betreffen, zahlt sich dort eine DSFA oder eine fachliche Prüfung wirklich aus.

Compliance bedeutet für ein KMU insgesamt weniger große Projekte und mehr ein paar gute, schriftlich festgehaltene Gewohnheiten. Du musst nicht alles auf einmal tun; du musst wissen, was du hast, und zuerst die riskantesten Teile angehen.

GiBSeS — Wir können diese Bestandsaufnahme mit dir in einer einzigen Sitzung machen und dir eine klare, priorisierte Liste an die Hand geben, was zu tun ist — und was du getrost ignorieren kannst. Erstes Gespräch kostenlos, unverbindlich. Informativer Inhalt, keine Rechtsberatung.

Nicht wesentlich — es wendet größtenteils dieselben alten Prinzipien auf neue Werkzeuge an. Die DSGVO verlangt seit Jahren eine rechtmäßige, transparente, datensparsame und sichere Verarbeitung personenbezogener Daten. KI schreibt diese Prinzipien nicht neu; sie fügt nur ein paar neue Stellen hinzu, an denen sie angewendet werden: Was in einen Prompt eingegeben wird, wohin der Anbieter es schickt, ob deine Eingaben das Modell von irgendjemandem trainieren.

Die wirklich neuen Aspekte sind für die meisten KMU überschaubar: aufpassen, welche personenbezogenen Daten man in Werkzeuge einfügt, Anbieter mit soliden Datenbedingungen wählen und automatisierte Entscheidungen im Blick behalten. Wenn deine Datenordnung vor der KI schon einigermaßen in Ordnung war, ist die Erweiterung dieser Ordnung auf KI-Werkzeuge ein schrittweiser Schritt, kein Neuaufbau.

Unternehmen, die insgesamt Schwierigkeiten haben, waren meist schon vorher unordentlich im Umgang mit personenbezogenen Daten; KI macht bestehende Lücken nur sichtbarer. Die Grundlagen zu festigen ist der wertvollste Schritt, und er zahlt sich weit über die KI hinaus aus.

GiBSeS — Wir helfen dir, deine bestehenden Datenpraktiken auf KI-Werkzeuge auszuweiten, ausgehend von dem, was du bereits hast, statt bei null anzufangen. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Behandle das als Ausgangspunkt, nicht als Schlusspunkt. Kein einzelnes Produkt kann dich konform machen, weil ein Großteil der Compliance davon abhängt, wie du es nutzt und welche Rolle du als Verantwortlicher und Betreiber einnimmst. Ein Anbieter kann als Produkt konform sein, und du kannst trotzdem in der Art, wie du es einsetzt, nicht konform sein — etwa indem du Daten einfügst, die dort nicht hingehören, oder es für einen Zweck nutzt, für den es nicht gedacht war.

Nützliche Aussagen sind konkret und überprüfbar: ein namentlich genannter Übermittlungsmechanismus, ein echter Auftragsverarbeitungsvertrag, eine klare Liste der Unterauftragsverarbeiter, dokumentierte Speicherfristen, kein Training mit deinen Daten. Vage Etiketten wie 'DSGVO-konform' oder 'KI-Verordnungs-konform' ohne Substanz dahinter sind Marketing — und manchmal ein Warnsignal.

Ein seriöser Anbieter zeigt dir grundsätzlich gerne die Dokumente; einer, der das nicht tut, sagt dir damit etwas. Die Verantwortung für das Gesamtbild bleibt bei dir, und genau deshalb hilft ein unabhängiger Blick von außen.

GiBSeS — Das Compliance-Marketing beiseite zu schieben und zu den Dokumenten zu kommen, die wirklich zählen, ist der Kern unserer Art, Werkzeuge zu bewerten — unabhängig, ohne selbst etwas an dich verkaufen zu wollen. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.

Hohes Risiko hat nichts damit zu tun, wie leistungsfähig eine KI wirkt; es geht um den Anwendungsfall. Die KI-Verordnung listet die Bereiche auf, die als hochriskant gelten, und diese konzentrieren sich auf Entscheidungen mit realen Folgen für Menschen: Personalauswahl und Arbeitnehmermanagement, Zugang zu Bildung, Kreditwürdigkeit und wesentliche Dienstleistungen, bestimmte kritische Infrastrukturen und Sicherheitskomponenten, Strafverfolgung und Migration, sowie einige weitere. Wenn deine KI in einem dieser Bereiche liegt, ist sie wahrscheinlich hochriskant und trägt die schwersten Pflichten.

Für die meisten KMU lautet die ehrliche Antwort: Keines ihrer Werkzeuge ist hochriskant — Schreiben, Zusammenfassen, Planen und Analysieren sind es in der Regel nicht. Aufmerksam werden solltest du, sobald die KI beginnt, Menschen auszuwählen oder den Zugang zu etwas Wichtigem zu regeln.

Stell grundsätzlich jedem Werkzeug eine Frage: Hilft es, etwas Bedeutsames über eine bestimmte Person zu entscheiden? Wenn ja, schau genau hin; wenn nein, bist du fast sicher in den leichteren Stufen. Bei einem Grenzfall ist das ein guter Moment, eine fachliche Einschätzung einzuholen.

GiBSeS — Wir helfen dir zu prüfen, ob einer deiner Anwendungsfälle in den Bereich hohen Risikos hineinreicht, damit du weder überrascht noch überfrachtet wirst. Das erste Gespräch ist kostenlos. Informativer Inhalt, keine Rechtsberatung.

Beide haben unterschiedliche Risiken, und größer ist nicht automatisch sicherer. Große Anbieter haben tendenziell ausgereifte Auftragsverarbeitungsverträge, formelle Übermittlungsmechanismen und klare Dokumentation — das verringert deinen Compliance-Aufwand. Sie können aber auch unflexibler sein, schwerer erreichbar für Antworten, und sie verarbeiten Daten in enormem Umfang. Ein kleinerer, spezialisierter Anbieter kann dir näheren Support und klarere Antworten geben, es könnte ihm aber an soliden Verträgen, angemessener Transparenz über Unterauftragsverarbeiter oder langfristiger Kontinuität fehlen.

Die eigentliche Frage ist nicht die Größe, sondern ob der Anbieter die Grundfragen beantworten kann: Wo landen die Daten, wird mit deinen Eingaben trainiert, welchen Vertrag bietet er, wer sind seine Unterauftragsverarbeiter, und wird es ihn nächstes Jahr noch geben? Ein kleiner Anbieter, der klar antwortet, kann die sicherere Wette sein als ein Gigant, der dich unter Juristendeutsch begräbt.

Beurteile Anbieter grundsätzlich nach Transparenz und vertraglicher Substanz, nicht nach der Größe des Logos — und vertraue unersetzliche Daten niemandem an, der bei dir Zweifel an seiner Kontinuität hinterlässt.

GiBSeS — Wir bewerten Anbieter jeder Größe anhand dessen, was dich wirklich schützt, damit du auf Grundlage der Substanz wählst und nicht nur nach Ruf. Erstes Gespräch kostenlos. Informativer Inhalt, keine Rechtsberatung.