EU AI Act vs. DSGVO: zwei Regime, die Ihre Agenten erfüllen müssen

Nein, und das anzunehmen ist eines der teuersten Missverständnisse am Markt. Die DSGVO regelt personenbezogene Daten — Rechtsgrundlage, Zweckbindung, Betroffenenrechte, Sicherheit der Verarbeitung —, während der AI Act das KI-System selbst nach Risiko und Rolle regelt: Klassifizierung, Transparenz, menschliche Aufsicht und Konformität. Das sind orthogonale Fragen. Ein Agent kann personenbezogene Daten makellos verarbeiten und dennoch die Pflicht aus Artikel 50 verletzen, offenzulegen, dass ein Nutzer mit einer KI zu tun hat, und umgekehrt kann ein transparenter, risikoarmer Agent trotzdem personenbezogene Daten falsch behandeln und gegen die DSGVO verstoßen. Sie haben zudem unterschiedliche Zeitpläne, in vielen Mitgliedstaaten unterschiedliche Aufsichtsbehörden und unterschiedliche Bußgeldstrukturen. Das richtige Denkmodell sind zwei getrennte Linsen auf dasselbe System, kein einzelnes Häkchen. Behandeln Sie die DSGVO-Arbeit als notwendig, aber nicht hinreichend, und ergänzen Sie dann die AI-Act-spezifischen Kontrollen — Offenlegung, Aufsicht, Risikoklassifizierung und Audit-Logging — zusätzlich zu dem, was Sie für den Datenschutz bereits tun, nicht an dessen Stelle.

Es sind getrennte Regime, aber nicht disjunkt, und am schärfsten treffen sie sich bei automatisierten Entscheidungen und Daten. Die DSGVO beschränkt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung auf eine Person, und der AI Act kann genau dasselbe System als hochriskant einstufen, sodass ein Agent, der Bewerber vorsortiert oder Kreditwürdigkeit bewertet, Pflichten aus beiden zugleich auslöst. Datenminimierung ist ein weiterer Treffpunkt: Was ein Agent im Langzeitgedächtnis behält, ist zugleich eine DSGVO-Frage nach Erforderlichkeit und Aufbewahrung und eine Frage der Agenten-Sicherheit danach, was ein Angreifer erreichen könnte. Auch Transparenz überschneidet sich — die DSGVO verlangt, Betroffene über die Verarbeitung zu informieren, der AI Act verlangt, den KI-Einsatz offenzulegen, zwei verschiedene Pflichten, die oft am selben Nutzer-Kontaktpunkt landen. Die praktische Folge ist nicht, dass eine Pflicht die andere erfüllt; es ist, dass ein einzelnes Feature parallele Pflichten erzeugen kann, die Sie gemeinsam erfüllen müssen, idealerweise mit geteilter Dokumentation, um dasselbe Problem nicht zweimal in zwei Sprachen zu lösen.

Keines hat Vorrang; beide gelten parallel und keines hebt das andere auf, also lautet die praktische Antwort, die Vereinigung zu erfüllen, statt einen Sieger zu wählen. Am saubersten operationalisiert man das mit zwei Abbildungen über denselben Agenten. Für die DSGVO bilden Sie die Datenflüsse ab: welche personenbezogenen Daten der Agent liest, speichert, übermittelt und aufbewahrt, auf welcher Rechtsgrundlage und wie lange. Für den AI Act bilden Sie Verhalten und Risiko ab: ob der Agent mit Menschen interagiert, Inhalte erzeugt oder verändert oder in einem Hochrisikobereich aus Anhang III arbeitet. Setzen Sie dann den kombinierten Satz an Kontrollen um — Ihre bestehenden DSGVO-Schutzmaßnahmen plus AI-Act-Ergänzungen wie Offenlegung nach Artikel 50, menschliche Aufsicht und signierte Audit-Logs — und dokumentieren Sie Verantwortlichkeit einmal so, dass sie beide abdeckt. Die Reihenfolge zählt nur für die Projektplanung, nicht für den rechtlichen Vorrang: Womit Sie auch beginnen, Sie sind erst fertig, wenn beide erfüllt sind, denn eine Behörde des einen Regimes entschuldigt keinen Verstoß gegen das andere.

Beide Regime teilen Verantwortung nach Rolle, schneiden sie aber unterschiedlich, also müssen Sie Ihre Position unter jedem abbilden, statt anzunehmen, der Anbieter trage das Risiko. Unter der DSGVO ist die Achse Verantwortlicher gegen Auftragsverarbeiter: Wenn Sie entscheiden, warum und wie personenbezogene Daten verarbeitet werden, sind Sie der Verantwortliche und tragen die Hauptpflichten, selbst wenn ein Anbieter in Ihrem Auftrag auf Basis eines Auftragsverarbeitungsvertrags verarbeitet. Unter dem AI Act ist die Achse Anbieter gegen Betreiber: Der Anbieter entwickelt das KI-System oder bringt es in Verkehr, während Sie, der es im eigenen Kontext betreibt, typischerweise der Betreiber sind, und Betreiber tragen eigene reale Pflichten — das System bestimmungsgemäß nutzen, menschliche Aufsicht sicherstellen und die Offenlegung nach Artikel 50 erfüllen, wo Sie mit den Endnutzern interagieren. Wichtig: Sie können für denselben Agenten zugleich DSGVO-Verantwortlicher und AI-Act-Betreiber sein, und der Einkauf bei einem konformen Anbieter überträgt Ihre Pflichten nicht. Halten Sie beide Rollenpaare schriftlich fest, weisen Sie die konkreten Pflichten im Vertrag zu und bewahren Sie die Nachweise, dass jede Seite ihren Teil erfüllt.