Der AI Act wird häufig als „DSGVO für KI“ beschrieben. Diese Gleichsetzung greift jedoch zu kurz und kann in der Praxis zu Fehlinterpretationen führen. Unternehmen stehen vor der Herausforderung, zwei unterschiedliche Regelwerke parallel zu betrachten und in ihre Prozesse zu integrieren. Im Kontext wachsender Compliance Anforderungen in der EU entsteht daraus ein erhöhter Bedarf an Klarheit und Struktur.
Was regelt die DSGVO?
Die DSGVO konzentriert sich auf den Umgang mit personenbezogenen Daten.
Zentrale Fragestellungen sind:
- Welche Daten werden verarbeitet?
- Auf welcher Rechtsgrundlage erfolgt die Verarbeitung?
- Wie werden Betroffenenrechte umgesetzt und geschützt?
Damit bildet sie die Grundlage für Datenschutz‑Compliance im Unternehmen und definiert Anforderungen an Transparenz, Zweckbindung und Nachvollziehbarkeit.
Was regelt der AI Act?
Der EU AI Act verfolgt einen anderen Ansatz. Im Fokus steht die Klassifizierung von KI‑Systemen nach Risiko. Abhängig von der Risikokategorie ergeben sich unterschiedliche Anforderungen an Entwicklung, Einführung und Betrieb. Dazu zählen insbesondere:
- Einordnung von KI‑Systemen in Risikokategorien
- Anforderungen an Dokumentation und Nachvollziehbarkeit
- Definition von Verantwortlichkeiten entlang des Systemlebenszyklus
Der AI Act erweitert damit bestehende Compliance Anforderungen für Unternehmen in Europa um eine zusätzliche Dimension im Umgang mit KI.
Wo überschneiden sich beide Regelwerke?
Eine Überschneidung entsteht vor allem dort, wo KI‑Systeme personenbezogene Daten verarbeiten. In diesen Fällen reicht eine isolierte Betrachtung der DSGVO nicht aus. Unternehmen müssen zusätzlich die Anforderungen des AI Acts berücksichtigen. In der Praxis zeigt sich, dass genau diese Überschneidungsbereiche häufig zu Unsicherheiten führen – insbesondere bei der Bewertung von Verantwortlichkeiten und Risiken.
Was bedeutet das für Unternehmen konkret?
Für Unternehmen ergibt sich die Notwendigkeit, beide Regelwerke in bestehende Prozesse zu integrieren und miteinander zu verzahnen.
Zentrale Aufgaben sind:
- Aufbau eines Überblicks über eingesetzte KI‑Systeme (KI‑Inventar)
- Klassifizierung dieser Systeme nach Risiko
- Anpassung von Verträgen und SLAs mit Dienstleistern
- klare Definition von Rollen und Verantwortlichkeiten
Besonders relevant ist dabei die Nachvollziehbarkeit der Entscheidungen – sowohl intern als auch gegenüber Aufsichtsbehörden. In der Praxis zeigt sich, dass weniger die einzelnen Anforderungen als deren systematische Zusammenführung die zentrale Herausforderung darstellt.
Was bedeutet das für die Umsetzung im Unternehmen?
Die parallele Anwendung von DSGVO und AI Act erfordert einen strukturierten Ansatz, der juristische, organisatorische und technische Aspekte miteinander verbindet.
Unternehmen stehen vor der Aufgabe, bestehende Strukturen zu erweitern und gleichzeitig die Komplexität beherrschbar zu halten.
Ein klar definiertes Vorgehen hilft, Anforderungen einzuordnen und in tragfähige Prozesse zu überführen. Für die praktische Umsetzung sind eine strukturierte Einordnung sowie klare Verantwortlichkeiten entscheidend. Viele der Herausforderungen im Umgang mit DSGVO und AI Act entstehen nicht durch fehlende Vorgaben, sondern durch fehlende Abstimmung und Integration der Anforderungen im Unternehmen.