EU-KI-Verordnung vs. DSGVO: Wie die beiden Verordnungen zusammenwirken

Wenn Ihre Organisation bereits die DSGVO einhält, fragen Sie sich vielleicht, ob die EU-KI-Verordnung (Verordnung 2024/1689) nur mehr vom Gleichen ist. Das ist sie nicht. Während beide Verordnungen gemeinsame Wurzeln haben — beide gründen auf dem Schutz der Grundrechte und beide sind mit erheblichen Sanktionen verbunden — regulieren sie unterschiedliche Dinge, auf unterschiedliche Weise, und stellen oft Anforderungen, die gleichzeitig erfüllt werden müssen.

Die DSGVO reguliert die Verarbeitung personenbezogener Daten. Die KI-Verordnung reguliert die Entwicklung, den Einsatz und die Nutzung von Systemen Künstlicher Intelligenz. Wenn ein KI-System personenbezogene Daten verarbeitet — was äußerst häufig vorkommt — gelten beide Verordnungen gleichzeitig. Das Verständnis ihres Zusammenspiels ist für jede Organisation, die KI in der Europäischen Union betreibt, unerlässlich.

Grundlegende Unterschiede im Anwendungsbereich

Was jede Verordnung abdeckt

Die DSGVO gilt immer dann, wenn personenbezogene Daten verarbeitet werden, unabhängig davon, ob KI beteiligt ist. Die KI-Verordnung gilt immer dann, wenn ein KI-System in der EU in Verkehr gebracht, in Betrieb genommen oder genutzt wird — unabhängig davon, ob personenbezogene Daten beteiligt sind.

Aspekt	DSGVO	EU-KI-Verordnung
Primärer Fokus	Schutz personenbezogener Daten	Sicherheit von KI-Systemen und Grundrechte
Gilt für	Jede Verarbeitung personenbezogener Daten	KI-Systeme auf dem EU-Markt oder in der EU genutzt
Risikoansatz	Datenschutz-Folgenabschätzungen (DSFA)	Risikoklassifizierung (vier Stufen)
Schlüsselrollen	Verantwortlicher, Auftragsverarbeiter	Anbieter, Betreiber, Einführer, Händler
Durchsetzung	Datenschutzbehörden	Marktüberwachungsbehörden
Höchststrafe	20 Mio. EUR / 4 % Umsatz	35 Mio. EUR / 7 % Umsatz

Die KI-Verordnung stellt ausdrücklich fest, dass sie die DSGVO „unberührt lässt". Das bedeutet, die KI-Verordnung ersetzt, reduziert oder überschreibt keine DSGVO-Pflichten. Organisationen müssen beide Verordnungen einhalten, wo sie sich überschneiden.

Unterschiedliche Regulierungsphilosophien

Die DSGVO ist technologieneutral. Die KI-Verordnung ist technologiespezifisch. Sie zielt speziell auf KI-Systeme ab und auferlegt Pflichten basierend auf dem Risikoniveau der KI-Anwendung.

Wo sich DSGVO und KI-Verordnung überschneiden

Automatisierte Entscheidungsfindung

Einer der deutlichsten Überschneidungsbereiche ist die automatisierte Entscheidungsfindung. Artikel 22 der DSGVO gibt Einzelpersonen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet. Die KI-Verordnung geht weiter, indem sie die KI-Systeme selbst reguliert.

Betrachten Sie ein KI-System zur Einstellungsvorauswahl:

DSGVO verlangt: Rechtsgrundlage für die Verarbeitung von Bewerberdaten, Transparenz, Recht auf menschliches Eingreifen, Recht auf Anfechtung der Entscheidung und eine Datenschutz-Folgenabschätzung
KI-Verordnung verlangt: Registrierung in der EU-Datenbank, Konformitätsbewertung vor dem Einsatz, technische Dokumentation, eingebaute Mechanismen zur menschlichen Aufsicht, laufende Überwachung von Genauigkeit und Verzerrung sowie Risikomanagement über den gesamten Lebenszyklus

Beide Anforderungskataloge gelten gleichzeitig. Die Erfüllung des einen befriedigt nicht den anderen.

Transparenzanforderungen

Beide Verordnungen stellen Transparenzanforderungen, zielen aber auf unterschiedliche Aspekte:

DSGVO-Transparenz konzentriert sich auf die Datenverarbeitung: Welche personenbezogenen Daten werden erhoben? Warum? Wie lange werden sie gespeichert?

KI-Verordnung-Transparenz konzentriert sich auf das KI-System selbst: Interagiert der Nutzer mit KI? Wie funktioniert das System? Ist der Inhalt KI-generiert?

Eine häufige Compliance-Lücke: Organisationen stellen DSGVO-konforme Datenschutzhinweise bereit, versäumen aber, den Einsatz von KI-Systemen wie von der KI-Verordnung gefordert offenzulegen. Ihre Datenschutzerklärung reicht nicht aus, um die Transparenzpflichten der KI-Verordnung zu erfüllen — Sie benötigen separate, spezifische Offenlegungen über die KI-Systemnutzung.

Datenschutz-Folgenabschätzungen und KI-Risikomanagement

Die DSGVO verlangt Datenschutz-Folgenabschätzungen (DSFA), wenn die Verarbeitung voraussichtlich ein hohes Risiko für Einzelpersonen birgt. Die KI-Verordnung verlangt Risikomanagementsysteme für Hochrisiko-KI-Systeme. Dies sind ergänzende, aber unterschiedliche Prozesse.

Für Hochrisiko-KI-Systeme, die personenbezogene Daten verarbeiten, müssen Organisationen beide Bewertungen durchführen. Artikel 26 Absatz 9 der KI-Verordnung besagt, dass Betreiber die nach Artikel 13 bereitgestellten Informationen (Transparenzdokumentation) zur Erfüllung ihrer DSFA-Pflicht unter der DSGVO nutzen können.

Duale Compliance mit DSGVO und KI-Verordnung managen?

Ctrl AI hilft Organisationen, KI-Systeme mit eingebauter Compliance zu entwickeln — nachverfolgbare Ausführungsnachweise, dokumentierte Entscheidungslogik und Transparenz by Design.

Learn About Ctrl AI

Was DSGVO-konforme Organisationen noch tun müssen

Was sich übertragen lässt

Datengovernance-Rahmenwerke — Die KI-Verordnung verlangt qualitativ hochwertige Trainingsdaten mit angemessener Governance
Dokumentationsgewohnheiten — Der Grundsatz der Rechenschaftspflicht der DSGVO hat wahrscheinlich eine Dokumentationskultur geschaffen
Erfahrung mit Folgenabschätzungen — DSFA-erfahrene Teams werden die KI-Risikobewertungen methodisch vertraut finden
Rechtemanagement-Prozesse — Mechanismen für Betroffenenrechte können auf die KI-Verordnung erweitert werden

Was Sie noch brauchen

KI-System-Inventar und Risikoklassifizierung — Die DSGVO verlangt ein Verarbeitungsverzeichnis. Die KI-Verordnung verlangt die Identifizierung aller KI-Systeme und deren Klassifizierung nach Risikostufe.
Konformitätsbewertungen — Hochrisiko-KI-Systeme müssen Konformitätsbewertungsverfahren durchlaufen. Hierfür gibt es kein DSGVO-Äquivalent.
Technische Robustheits- und Genauigkeitsanforderungen — Die KI-Verordnung schreibt spezifische Niveaus für Genauigkeit, Robustheit und Cybersicherheit vor.
KI-Kompetenzprogramme — Artikel 4 verlangt ausreichende KI-Kompetenz beim Personal. DSGVO-Schulungen erfüllen diese Anforderung nicht.
Marktüberwachung nach dem Inverkehrbringen — Anbieter müssen Systeme zur Marktüberwachung einrichten.

Wesentliche Spannungen zwischen den beiden Verordnungen

Datenminimierung vs. Trainingsdatenbedarf

Der DSGVO-Grundsatz der Datenminimierung (Artikel 5 Absatz 1 Buchstabe c) verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" sind. Die KI-Verordnung erkennt diese Spannung an — Artikel 10 Absatz 5 erlaubt Anbietern von Hochrisiko-KI-Systemen, besondere Kategorien personenbezogener Daten (wie rassische oder ethnische Herkunft) speziell zur Erkennung und Korrektur von Verzerrungen zu verarbeiten, vorbehaltlich strenger Schutzmaßnahmen.

Recht auf Löschung vs. Modelltraining

Wenn ein Betroffener sein Recht auf Löschung nach DSGVO Artikel 17 ausübt, was passiert mit einem KI-Modell, das mit seinen Daten trainiert wurde? Die KI-Verordnung behandelt diese Frage nicht direkt, aber die Spannung ist real. Organisationen benötigen klare Richtlinien zum Umgang mit Löschungsanträgen im Kontext des KI-Modelltrainings.

Protokollierungsanforderungen vs. Speicherbegrenzung

Die KI-Verordnung verlangt, dass Hochrisiko-KI-Systeme Protokolle für mindestens sechs Monate erzeugen und aufbewahren. Der DSGVO-Grundsatz der Speicherbegrenzung verlangt, dass personenbezogene Daten nicht länger als nötig gespeichert werden. Wenn Protokolle personenbezogene Daten enthalten — was oft der Fall ist — müssen Organisationen beide Anforderungen gleichzeitig navigieren.

Durchsetzung: Zwei Regulierungsbehörden, eine Organisation

Eine der praktischsten Herausforderungen ist, dass DSGVO und KI-Verordnung von unterschiedlichen Behörden durchgesetzt werden. Datenschutzbehörden setzen die DSGVO durch. Marktüberwachungsbehörden setzen die KI-Verordnung durch.

Strafen kumulieren sich

Dies ist entscheidend: Strafen unter der DSGVO und der KI-Verordnung sind kumulativ. Ein einzelnes KI-System, das gegen beide Verordnungen verstößt, kann Bußgelder unter jeder der beiden erhalten — bis zu 20 Millionen EUR oder 4 % des Umsatzes unter der DSGVO plus bis zu 35 Millionen EUR oder 7 % des Umsatzes unter der KI-Verordnung.

Es gibt keinen „Ne bis in idem"-Schutz zwischen DSGVO und KI-Verordnung. Ein einzelner KI-Einsatz könnte zu separaten Durchsetzungsmaßnahmen und separaten Bußgeldern sowohl von Ihrer Datenschutzbehörde als auch von Ihrer Marktüberwachungsbehörde führen.

Aufbau eines einheitlichen Compliance-Rahmenwerks

Anstatt DSGVO- und KI-Verordnung-Compliance als separate Arbeitsstränge zu behandeln, sollten Organisationen ein einheitliches Rahmenwerk aufbauen, das beide adressiert.

Integrierte Governance

Richten Sie ein funktionsübergreifendes KI-Governance-Team ein, das Datenschutzbeauftragte, KI/ML-Ingenieure, Rechtsberater und Stakeholder aus dem Geschäftsbereich umfasst.

Gemeinsame Dokumentation

Erstellen Sie wo möglich Dokumentation, die beiden regulatorischen Zwecken dient. Eine umfassende Systembeschreibung kann sowohl in das DSGVO-Verarbeitungsverzeichnis als auch in die technische Dokumentation der KI-Verordnung einfließen.

Kombinierter Bewertungsprozess

Entwickeln Sie eine integrierte Folgenabschätzungsmethodik, die abdeckt:

Datenschutzrisiken (DSGVO-DSFA-Anforderungen)
KI-Systemrisiken (Risikomanagement-Anforderungen der KI-Verordnung)
Grundrechtliche Auswirkungen (Grundrechte-Folgenabschätzung nach Artikel 27 für Betreiber)
Transparenzlücken (Zuordnung beider DSGVO- und KI-Verordnung-Offenlegungspflichten)

Fazit

Die DSGVO und die KI-Verordnung sind ergänzende Verordnungen, nicht konkurrierende. Die DSGVO schützt personenbezogene Daten. Die KI-Verordnung schützt Menschen vor unsicheren oder schädlichen KI-Systemen. Wenn KI-Systeme personenbezogene Daten verarbeiten — was sie in der Regel tun — gelten beide vollumfänglich.

Organisationen, die die Compliance mit der KI-Verordnung als Erweiterung ihrer bestehenden DSGVO-Programme behandeln, werden den Übergang leichter bewältigen. Sie müssen aber erkennen, dass die KI-Verordnung grundlegend neue Anforderungen rund um Systemklassifizierung, Konformitätsbewertung, technische Robustheit und KI-Kompetenz einführt, die weit über den Datenschutz hinausgehen.

Der effektivste Ansatz ist der Aufbau integrierter Compliance-Rahmenwerke, die beide Verordnungen durch gemeinsame Governance, Dokumentation und Überwachungsprozesse adressieren.