Der Run auf KI wird immer schneller: Immer mehr Unternehmen führen interne KI-Assistenten, automatisierte Auswertungen oder KI-gestützte Workflows ein. Die Technik ist heute schnell verfügbar. Die eigentliche Herausforderung liegt woanders: KI berührt zugleich technische Sicherheit, Datenschutz und Regulierung – und diese Ebenen lassen sich nicht sauber voneinander trennen.
Wer ein KI-System anbindet, trifft mit jeder Konfigurationsentscheidung zugleich eine rechtliche Entscheidung. Welche Datenquellen werden verbunden? Wer darf welche Ausgaben sehen? Werden personenbezogene Daten verarbeitet? Genau an dieser Schnittstelle entstehen in der Praxis die teuersten Fehler – meist nicht aus bösem Willen, sondern weil Technik und Recht getrennt betrachtet werden.
Dieser Beitrag zeigt, worauf Unternehmen und Startups bei der Einführung von KI achten sollten, welche Pflichten aus AI Act und DSGVO aktuell gelten und warum technisches Hardening und juristische Bewertung zusammengehören.
Warum die Einführung von KI mehr ist als ein technisches Projekt
KI-Projekte werden heute selten nur aus einer Perspektive entschieden. Cloud-Infrastruktur, Identitäts- und Berechtigungsmanagement, Datenschutz und regulatorische Vorgaben greifen ineinander. Eine technische Maßnahme kann rechtliche Folgen auslösen. Eine rechtliche Vorgabe muss technisch wirksam umgesetzt werden – sonst bleibt sie ein Papier ohne Substanz.
Ein einfaches Beispiel: Eine interne Richtlinie, die festlegt, dass ein KI-Assistent keine Personaldaten ausgeben darf, ist nur dann belastbar, wenn die Berechtigungen in der Infrastruktur tatsächlich so gesetzt sind. Fehlt die technische Umsetzung, schützt die Policy weder vor Datenschutzverstößen noch im Streitfall.
Deshalb gilt: Wer KI verantwortungsvoll einführen will, muss technische und rechtliche Fragen von Anfang an gemeinsam denken. Wird beides erst nachträglich zusammengeführt, sind Nachbesserungen aufwendig und im Zweifel teuer.
Der rechtliche Rahmen: AI Act und DSGVO greifen ineinander
Für den Einsatz von KI im Unternehmen sind aktuell vor allem zwei Regelwerke maßgeblich: die KI-Verordnung der EU (AI Act) und die Datenschutz-Grundverordnung (DSGVO). Sie verfolgen unterschiedliche Ziele, überschneiden sich in der Praxis aber an vielen Stellen.
AI Act: neue Fristen durch den Digital Omnibus
Der AI Act (Verordnung (EU) 2024/1689) ist die erste umfassende KI-Regulierung weltweit und seit dem 1. August 2024 in Kraft. Er folgt einem risikobasierten Ansatz: Je höher das Risiko eines KI-Systems, desto strenger die Pflichten. Verbotene Praktiken stehen an der Spitze, darunter folgen Hochrisiko-Systeme mit umfangreichen Anforderungen.
Im Frühjahr 2026 hat sich die Rechtslage bewegt. Mit dem sogenannten Digital Omnibus haben sich Rat und Parlament auf eine Verschiebung zentraler Fristen geeinigt. Die wichtigsten Punkte für Unternehmen:
- Hochrisiko-Systeme nach Anhang III (etwa KI in Personalauswahl, Kreditwürdigkeitsprüfung oder Bildungsbewertung): Die Pflichten sollten ursprünglich ab dem 2. August 2026 gelten und verschieben sich voraussichtlich auf den 2. Dezember 2027.
- In Produkte eingebettete Hochrisiko-Systeme nach Anhang I: Verschiebung voraussichtlich vom 2. August 2027 auf den 2. August 2028.
- Die KI-Kompetenzpflicht (Art. 4) wird ausdrücklich nicht verschoben. Beschäftigte müssen über ausreichende Kompetenz im Umgang mit KI verfügen.
- Verbotene KI-Praktiken (Art. 5) bleiben unverändert in Kraft.
Stand: Juni 2026. Die Einigung zum Digital Omnibus ist eine politische Einigung; die formale Annahme durch den Rat und die Veröffentlichung im Amtsblatt stehen noch aus. Maßgeblich wird der finale Verordnungstext sein. Die hier genannten Daten können sich im Detail noch verschieben.
Die entscheidende Botschaft lautet: Der Digital Omnibus verschiebt Fristen, er schafft keine Pflichten ab. Die inhaltlichen Anforderungen des AI Act bleiben in der Substanz bestehen. Wer den zeitlichen Spielraum nutzt, um die Vorbereitung zu vertagen, gewinnt Zeit, aber keine Sicherheit.
DSGVO und KI: Diese Pflichten müssen Sie kennen
Unabhängig vom AI Act gilt die DSGVO in vollem Umfang weiter – und sie ist in vielen KI-Projekten der praktisch wichtigere Maßstab. Sobald ein KI-System personenbezogene Daten verarbeitet, greifen unter anderem folgende Anforderungen:
- Rechtsgrundlage (Art. 6 DSGVO): Für jede Verarbeitung braucht es eine tragfähige Grundlage, etwa berechtigtes Interesse, Vertrag oder Einwilligung.
- Zweckbindung und Datenminimierung (Art. 5 DSGVO): KI darf nicht zum Selbstzweck auf alle verfügbaren Daten zugreifen. Es zählt, was für den konkreten Zweck erforderlich ist.
- Auftragsverarbeitung (Art. 28 DSGVO): Wird ein externer KI-Anbieter oder Cloud-Dienst genutzt, ist regelmäßig ein Auftragsverarbeitungsvertrag erforderlich.
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Bei voraussichtlich hohem Risiko – häufig bei umfangreicher oder neuartiger KI-Verarbeitung – ist eine DSFA Pflicht.
- Automatisierte Entscheidungen (Art. 22 DSGVO): Trifft die KI Entscheidungen mit rechtlicher Wirkung über Personen, gelten besondere Schranken.
AI Act und DSGVO ergänzen sich also: Der AI Act ordnet das System regulatorisch ein, die DSGVO regelt den Umgang mit den verarbeiteten personenbezogenen Daten. Ein sauberes KI-Projekt beantwortet beide Fragen – nicht nur eine.
Hardening von Systemen
Hier kommt ein Begriff ins Spiel, der oft als rein technisch verstanden wird: Hardening. Gemeint ist die gezielte Absicherung von Systemen – etwa durch restriktive Berechtigungen, sauberes Identitätsmanagement, Protokollierung von Zugriffen und das Prinzip der minimalen Rechtevergabe.
Was viele unterschätzen: Hardening ist nicht nur eine Frage der IT-Sicherheit, sondern auch der Rechtskonformität. Die DSGVO verlangt in Art. 32 ausdrücklich geeignete technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau sicherzustellen. Und Art. 25 DSGVO fordert Datenschutz durch Technikgestaltung sowie datenschutzfreundliche Voreinstellungen.
Auf ein KI-System übertragen heißt das konkret:
- Welche Identitäten und Berechtigungen übernimmt das System – und sind diese sauber abgegrenzt?
- Kann der KI-Assistent nur auf die Datenquellen zugreifen, für die er vorgesehen ist?
- Werden Zugriffe protokolliert, sodass nachvollziehbar bleibt, wer was abgefragt hat?
- Sind Schnittstellen, Cloud-Konfigurationen und Betriebssystem-Ebene abgesichert?
Erst wenn diese technischen Fragen beantwortet sind, lässt sich rechtlich verlässlich beurteilen, ob das System datenschutzkonform betrieben wird. Umgekehrt geben die rechtlichen Anforderungen vor, welches Maß an Hardening überhaupt erforderlich ist. Technik und Recht bedingen einander.
Was bedeutet das konkret für Unternehmen und Startups?
Für die Praxis lassen sich aus dieser Verzahnung einige klare Konsequenzen ableiten. Sie gelten für etablierte Unternehmen ebenso wie für Startups, die KI früh in ihr Produkt oder ihre Prozesse integrieren.
Erstens: Eine rein technische KI-Einführung greift zu kurz. Ohne datenschutzrechtliche Bewertung bleibt unklar, ob die Verarbeitung überhaupt zulässig ist. Zweitens: Eine rein juristische Bewertung bleibt abstrakt, wenn niemand prüft, wie das System technisch tatsächlich konfiguriert ist. Drittens: Dokumentation ist kein lästiges Beiwerk, sondern im Streitfall der entscheidende Nachweis – sowohl gegenüber Aufsichtsbehörden als auch gegenüber Geschäftspartnern.
Gerade Startups sollten dies früh berücksichtigen. Wer Datenschutz und Sicherheitsarchitektur von Beginn an mitdenkt, vermeidet teure Nachrüstungen – und kann gegenüber Investoren und Kunden eine belastbare Compliance vorweisen.
Handlungsempfehlungen: Checkliste für die KI-Einführung
Die folgende Checkliste fasst die wichtigsten Schritte zusammen, die bei der Einführung eines KI-Systems im Unternehmen sinnvoll sind:
- Anwendungsfall sauber definieren: Welches Problem soll die KI lösen, welche Daten sind dafür wirklich erforderlich?
- Datenflüsse erfassen: Welche Datenquellen werden angebunden, wohin fließen die Daten, werden personenbezogene Daten verarbeitet?
- Rechtsgrundlage prüfen: Auf welcher Grundlage (Art. 6 DSGVO) erfolgt die Verarbeitung?
- Regulatorische Einordnung vornehmen: Fällt das System unter eine Risikokategorie des AI Act?
- DSFA prüfen: Ist bei hohem Risiko eine Datenschutz-Folgenabschätzung erforderlich?
- Hardening umsetzen: Berechtigungen, Identitätsmanagement, Protokollierung und Zugriffskontrollen technisch absichern (Art. 32 DSGVO).
- Verträge ordnen: Auftragsverarbeitungsverträge mit externen KI- oder Cloud-Anbietern abschließen (Art. 28 DSGVO).
- KI-Kompetenz sicherstellen: Beschäftigte im verantwortungsvollen Umgang mit KI schulen (Art. 4 AI Act).
- Dokumentation aufbauen: Entscheidungen, Maßnahmen und Verantwortlichkeiten nachvollziehbar festhalten.
- Verantwortlichkeiten klären: Wer trägt intern die Verantwortung für Betrieb, Datenschutz und Sicherheit des Systems?
Fallbeispiel: Der interne KI-Assistent
Ein mittelständisches Unternehmen möchte einen internen KI-Assistenten einführen, der Mitarbeitenden den Zugriff auf Dokumente, E-Mails und Projektdaten erleichtert. Technisch ist das schnell aufgesetzt. Doch im Detail entstehen Fragen, die über die reine Konfiguration hinausgehen.
Technisch ist zu klären, welche Datenquellen angebunden werden, wie Identitäten und Berechtigungen übernommen werden und welche Informationen der Assistent ausgeben darf. Wird hier nicht sauber abgegrenzt, kann ein Mitarbeiter über den Assistenten plötzlich auf Personaldaten oder vertrauliche Dokumente zugreifen, für die er keine Berechtigung hat.
Rechtlich stellt sich parallel die Frage, ob und welche personenbezogene Daten verarbeitet werden, welche Pflichten aus der DSGVO folgen und ob ggf. eine Datenschutz-Folgenabschätzung erforderlich ist. Beide Ebenen hängen unmittelbar zusammen: Die rechtliche Bewertung lässt sich nur abschließen, wenn klar ist, wie das System technisch umgesetzt wurde. Und die technische Architektur muss so gewählt werden, dass sie die rechtlichen Anforderungen tatsächlich erfüllt. Die Datenverarbeitung über KI bedeutet oft, dass Daten in Drittstaaten (USA, UK) übermittelt werden, sodass weitere rechtliche Schritte und Maßnahmen (z.B. Transfer Impact Assessments) beachtet werden müssen.
Genau an dieser Stelle zahlt sich die Kombination beider Perspektiven aus. Die technische Absicherung sorgt dafür, dass die Maßnahmen realistisch und wirksam sind. Die juristische Einordnung schafft Klarheit darüber, welche Anforderungen bestehen und wie Risiken zu bewerten sind.
(Das Bild wurde mit KI erstellt)
Typische Fehler bei der KI-Einführung
In der Beratungspraxis wiederholen sich einige Fehler immer wieder. Wer sie kennt, kann sie vermeiden:
- Technik ohne Recht: Das System wird produktiv gesetzt, bevor die datenschutzrechtliche oder KI-rechtliche Zulässigkeit geklärt ist.
- Policy ohne Umsetzung: Es existieren Richtlinien, die in der Infrastruktur nicht wirksam abgebildet sind.
- Unklare Berechtigungen: Der KI-Assistent erhält weitreichenden Zugriff, ohne dass das Prinzip der minimalen Rechtevergabe beachtet wird.
- Fehlende Verträge: Externe KI- oder Cloud-Dienste werden ohne Auftragsverarbeitungsvertrag eingesetzt.
- Keine Dokumentation: Im Prüf- oder Streitfall lässt sich nicht nachweisen, welche Maßnahmen getroffen wurden.
- Verschiebung als Entwarnung missverstanden: Die neuen AI-Act-Fristen werden als Anlass genommen, das Thema zu vertagen, obwohl die DSGVO unverändert gilt.
Technik und Recht gemeinsam denken: die Zusammenarbeit von Shiftavenue und Maisch.law
Viele dieser Fragen entstehen an der Schnittstelle von Technik und Recht. Daher arbeiten wir nun mit Shiftavenue zusammen, um unsere Leistungen noch effizienter zu machen. Shiftavenue bringt technische Expertise in den Bereichen Cloud, Workplace und Cyber Security ein: von der Analyse und Absicherung von IT-Umgebungen über Identitätsmanagement bis hin zum Hardening konkreter Systeme.
Rechtsanwalt Dr. Marc Maisch ergänzt diese Perspektive mit juristischer Expertise in IT-Recht, Datenschutzrecht, KI-Recht und regulatorischen Anforderungen. Dabei geht es um rechtliche Einordnung, Verantwortlichkeiten, Vertragsgestaltung, Datenschutz-Folgenabschätzungen und Governance-Strukturen.
Die Zusammenarbeit ist dabei kein starres Modell. Viele Aufgaben lassen sich eigenständig technisch oder juristisch bearbeiten. Wenn technische Umsetzung und rechtliche Bewertung jedoch eng zusammenhängen – wie bei der Einführung von KI –, schafft die Kombination beider Perspektiven einen klaren Mehrwert: Anforderungen bleiben nicht abstrakt, sondern werden mit der technischen Realität abgeglichen und in umsetzbare Maßnahmen übersetzt.
Fazit
Die Einführung von KI ist heute selten ein rein technisches Projekt. AI Act, DSGVO und technisches Hardening greifen ineinander. Der Digital Omnibus hat zwar Fristen für Hochrisiko-Systeme nach hinten verschoben, doch die inhaltlichen Pflichten bleiben bestehen – und die DSGVO gilt unverändert weiter.
Für Unternehmen und Startups bedeutet das: Wer KI verantwortungsvoll einsetzen will, sollte technische Sicherheit und rechtliche Bewertung von Anfang an zusammenführen. So entstehen Systeme, die nicht nur funktionieren, sondern auch rechtlich belastbar und im Streitfall nachweisbar sind.
Kostenlose Erstberatung für Unternehmen in KI-Projekten
Sie planen die Einführung von KI in Ihrem Unternehmen oder möchten ein bestehendes System datenschutzrechtlich und regulatorisch absichern? Rechtsanwalt Dr. Marc Maisch und MAISCH LAW unterstützen Sie bei der rechtlichen Einordnung, Datenschutz-Folgenabschätzung, Vertragsgestaltung und Governance – auf Wunsch in Zusammenarbeit mit technischen Partnern.
Vereinbaren Sie eine kostenlose Erstberatung für Unternehmen und klären Sie unverbindlich, worauf es bei Ihrem KI-Projekt ankommt.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Die Rechtslage zum AI Act befindet sich im Übergang; maßgeblich ist der jeweils finale Verordnungstext.
KI im Unternehmen: Häufige Fragen (FAQ)
Muss ich für die Einführung von KI eine Datenschutz-Folgenabschätzung durchführen?
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Bei umfangreicher oder neuartiger KI-Verarbeitung personenbezogener Daten ist das häufig der Fall. Ob im Einzelfall eine DSFA nötig ist, sollte vor dem Produktivstart geprüft werden.
Gilt der AI Act für mein Unternehmen?
Der AI Act gilt grundsätzlich für alle, die KI-Systeme in der EU entwickeln, bereitstellen oder einsetzen. Der Umfang der Pflichten richtet sich nach der Risikokategorie des Systems. Viele alltägliche KI-Anwendungen fallen nicht in die Hochrisiko-Kategorie, unterliegen aber dennoch allgemeinen Vorgaben wie der KI-Kompetenzpflicht.
Wurden die Fristen des AI Act verschoben?
Ja. Mit dem Digital Omnibus verschieben sich zentrale Fristen für Hochrisiko-Systeme voraussichtlich auf Dezember 2027 beziehungsweise August 2028. Verschoben werden jedoch nur die Fristen, nicht die Pflichten selbst. Die DSGVO gilt unverändert weiter, und die KI-Kompetenzpflicht nach Art. 4 AI Act wird nicht verschoben. Stand: Juni 2026, vorläufig.
Was bedeutet Hardening bei KI-Systemen?
Hardening bezeichnet die gezielte technische Absicherung eines Systems, etwa durch restriktive Berechtigungen, sauberes Identitätsmanagement, Protokollierung und das Prinzip der minimalen Rechtevergabe. Bei KI sorgt Hardening dafür, dass ein System nur auf vorgesehene Datenquellen zugreift. Es ist zugleich Teil der nach Art. 32 DSGVO geforderten technischen und organisatorischen Maßnahmen.
Brauche ich für KI-Tools einen Auftragsverarbeitungsvertrag?
Wird ein externer KI- oder Cloud-Anbieter eingesetzt, der personenbezogene Daten im Auftrag verarbeitet, ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Ohne diesen Vertrag fehlt eine zentrale Voraussetzung für eine rechtskonforme Nutzung. Die konkrete Einordnung hängt vom jeweiligen Dienst und Datenfluss ab.
Müssen Mitarbeitende im Umgang mit KI geschult werden?
Nach Art. 4 AI Act müssen Beschäftigte über ausreichende KI-Kompetenz verfügen. Diese Pflicht wurde durch den Digital Omnibus nicht verschoben. Das Gesetz schreibt keine bestimmte zertifizierte Pflichtschulung vor, verlangt aber nachweisbare Kompetenz im verantwortungsvollen Umgang mit KI.
Welche Folgen drohen bei Verstößen?
Bei Verstößen gegen die DSGVO sind Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes möglich. Der AI Act sieht für bestimmte Verstöße eigene, ebenfalls empfindliche Sanktionen vor. Hinzu kommen mögliche zivilrechtliche Ansprüche und Reputationsrisiken.