KI rechtssicher einsetzen DSGVO und EU AI Act 2026

Rund um den Einsatz von Künstlicher Intelligenz herrscht in vielen Unternehmen Verunsicherung – vor allem in rechtlicher Hinsicht. Zwei Regelwerke bestimmen, was erlaubt ist und was nicht: die seit Jahren etablierte Datenschutz-Grundverordnung (DSGVO) und der neue EU AI Act. Hinzu kommt, dass viel über einen vermeintlichen Stichtag im August 2026 geschrieben wurde – ein großer Teil davon ist inzwischen überholt. Denn der sogenannte Digital Omnibus wurde am 24. Juli 2026 als Verordnung (EU) 2026/1744 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Er verschiebt wesentliche Pflichten und ändert den Text des AI Act an mehreren Stellen. In diesem Beitrag ordnen wir ehrlich ein, was 2026 für österreichische Unternehmen tatsächlich gilt, was sich verschoben hat und was Sie beim DSGVO-konformen Einsatz von KI jetzt beachten sollten.

Zwei Regelwerke, die zusammenspielen: DSGVO und EU AI Act

Wer KI im Unternehmen einsetzt, bewegt sich fast immer in zwei rechtlichen Welten gleichzeitig. Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen – sie greift also immer dann, wenn eine KI mit Namen, Kundendaten, Bewerbungen oder anderen personenbezogenen Informationen arbeitet. Der EU AI Act regelt dagegen das KI-System selbst und stuft es nach seinem Risiko ein.

Beide Regelwerke können gleichzeitig gelten. Ein KI-Tool, das Bewerbungen vorsortiert, fällt unter die DSGVO (weil es personenbezogene Daten verarbeitet) und unter den EU AI Act (weil Personalauswahl als Hochrisiko-Anwendung gilt). Für die Praxis heißt das: Datenschutz und KI-Regulierung müssen zusammen gedacht werden – nicht nacheinander.

Was beim EU AI Act 2026 bereits gilt und was sich verschoben hat

Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern stufenweise. Genau hier entstand zuletzt viel Verwirrung: Ein großer Teil der Pflichten für Hochrisiko-KI, der ursprünglich für August 2026 vorgesehen war, wurde durch den Digital Omnibus nach hinten verschoben. Seit 27. Juli 2026 ist diese Verschiebung geltendes Recht und kein Entwurf mehr. Der folgende Überblick zeigt, was tatsächlich schon gilt – und was erst später kommt.

Wichtig für die ehrliche Einordnung: Der Digital Omnibus wurde am 7. Mai 2026 zunächst vorläufig vereinbart, am 16. Juni 2026 vom Europäischen Parlament und am 29. Juni 2026 vom Rat der EU förmlich angenommen. Am 24. Juli 2026 folgte die Veröffentlichung im Amtsblatt der EU als Verordnung (EU) 2026/1744; in Kraft getreten ist sie am 27. Juli 2026. Der Planungshorizont für Hochrisiko-KI ist damit verbindlich der 2. Dezember 2027 – und dieses Datum ist nicht mehr an die Verfügbarkeit harmonisierter Normen geknüpft. Das verschafft Unternehmen mehr Zeit. Ein Grund, gar nichts zu tun, ist es nicht: Verbote, KI-Kompetenz, GPAI-Regeln, Transparenzpflichten und die DSGVO gelten weiterhin – die Verbote wurden sogar erweitert, die Pflicht zur KI-Kompetenz lediglich neu formuliert.

Was sich bei der KI-Kompetenz geändert hat

Ein Punkt, der in vielen älteren Beiträgen noch anders steht: Die Pflicht zur KI-Kompetenz nach Artikel 4 des AI Act wurde durch den Digital Omnibus neu gefasst. Bis Ende Juli 2026 mussten Anbieter und Betreiber ein ausreichendes Maß an KI-Kompetenz sicherstellen. Seit 27. Juli 2026 gilt eine abgeschwächte Formulierung: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden und jener Personen zu fördern, die KI-Systeme in ihrem Auftrag bedienen. Ausdrücklich klargestellt ist, dass damit kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss.

Für die Praxis heißt das: Der Nachweis- und Dokumentationsaufwand sinkt, die Pflicht selbst bleibt bestehen. Schulungen, klare interne Richtlinien und eine dokumentierte Einweisung sind weiterhin der richtige Weg – nur muss niemand ein Zertifikat pro Mitarbeitendem vorlegen. Wer bereits ein Schulungskonzept aufgesetzt hat, muss nichts rückgängig machen.

Die Risikoklassen des EU AI Act einfach erklärt

Der EU AI Act reguliert nicht die Technologie an sich, sondern den jeweiligen Anwendungsfall – je nach Risiko. Vier Klassen sind entscheidend:

Verbotene KI (unannehmbares Risiko): Anwendungen wie Social Scoring oder manipulative Systeme sind grundsätzlich untersagt. Mit dem Digital Omnibus kamen zwei neue Verbote hinzu: KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen („Nudify“-Apps) und von Missbrauchsdarstellungen Minderjähriger (CSAM) sind ab 2. Dezember 2026 untersagt. Hochrisiko-KI: etwa KI in Personalauswahl, Kreditvergabe, Biometrie oder kritischer Infrastruktur – mit strengen Pflichten zu Risikomanagement, Dokumentation und menschlicher Aufsicht (hier greift die Verschiebung auf Dezember 2027 beziehungsweise August 2028). Begrenztes Risiko (Transparenzpflicht): Chatbots und KI-generierte Inhalte – sie müssen als solche gekennzeichnet werden (seit August 2026). Minimales Risiko: die große Mehrheit der Anwendungen, etwa Spamfilter oder einfache Automatisierungen – ohne besondere Pflichten.

Für die meisten kleinen und mittleren Unternehmen fällt der Großteil der KI-Nutzung in die unteren beiden Klassen. Wer kein Hochrisiko-System betreibt, hat deutlich weniger Pflichten – muss aber Transparenz und Datenschutz trotzdem einhalten.

Was DSGVO-konforme KI in der Praxis bedeutet

Sobald eine KI personenbezogene Daten verarbeitet, gilt die DSGVO vollständig – unabhängig vom EU AI Act. In der Praxis bedeutet DSGVO-konforme KI vor allem: eine gültige Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber den betroffenen Personen, Datenminimierung und Zweckbindung sowie der Schutz vor rein automatisierten Entscheidungen mit erheblicher Wirkung (Art. 22 DSGVO). Mit jedem KI-Anbieter, der in Ihrem Auftrag Daten verarbeitet, brauchen Sie zudem einen Auftragsverarbeitungsvertrag (AVV).

Ein oft unterschätzter Punkt ist der Datenstandort. Viele bekannte KI-Tools – insbesondere aus den USA – übertragen Daten in Drittländer, was zusätzliche Garantien erfordert. Genau hier setzen wir als KI Agentur an: Wer auf EU-Hosting und DSGVO-konforme Anbieter setzt, reduziert dieses Risiko erheblich und behält die Kontrolle über seine Daten. Bei Verarbeitungen mit hohem Risiko kann außerdem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein.

Neu seit 27. Juli 2026 ist Artikel 4a des EU AI Act. Er erlaubt ausnahmsweise die Verarbeitung besonderer Kategorien personenbezogener Daten – etwa Angaben zu Herkunft oder Gesundheit –, wenn dies unbedingt erforderlich ist, um Verzerrungen (Bias) in KI-Systemen zu erkennen und zu korrigieren. Bisher war das nur Anbietern von Hochrisiko-Systemen möglich; nun steht der Weg auch Betreibern von Hochrisiko-Systemen sowie Anbietern und Betreibern anderer KI-Systeme und KI-Modelle offen. Für diese gilt das allerdings nur bei Verzerrungen, die voraussichtlich die Gesundheit und Sicherheit von Personen beeinträchtigen, sich negativ auf Grundrechte auswirken oder zu einer nach EU-Recht verbotenen Diskriminierung führen. Die Hürden sind hoch: Das Ziel darf nicht mit anderen Daten erreichbar sein (auch nicht mit synthetischen oder anonymisierten), es braucht Pseudonymisierung und weitere technische Schutzmaßnahmen, strenge und dokumentierte Zugriffskontrollen, ein Weitergabeverbot sowie die Löschung nach Behebung des Bias. Zudem muss im Verzeichnis von Verarbeitungstätigkeiten begründet werden, warum die Verarbeitung unbedingt erforderlich war. Wichtig: Die Anforderungen der DSGVO gelten zusätzlich unverändert weiter. Und Artikel 4a verpflichtet niemanden dazu, Bias-Prüfungen durchzuführen – er erlaubt sie nur unter klaren Bedingungen.

Was sich bei der DSGVO ändern könnte

Der Digital Omnibus besteht aus zwei Teilen – und nur einer davon ist beschlossen. In Kraft ist bislang ausschließlich der KI-Teil. Der zweite Teil, der unter anderem die DSGVO, die ePrivacy-Regeln, den Data Act und NIS2 betrifft, befindet sich weiterhin in der ersten Lesung. Der Rat der EU konnte bis zum Ende der zyprischen Ratspräsidentschaft am 30. Juni 2026 keine gemeinsame Position finden; der Kompromisstext wurde zurückgezogen, weil die erforderliche qualifizierte Mehrheit fehlte, und die für 26. Juni 2026 geplante Abstimmung im Ausschuss der Ständigen Vertreter wurde abgesagt. Seit 1. Juli 2026 führt die irische Präsidentschaft das Dossier weiter und hat im September 2026 überarbeitete Kompromisstexte vorgelegt. Nach unserem Kenntnisstand (Anfang Oktober 2026) hat der Rat noch keine Verhandlungsposition festgelegt, das Europäische Parlament arbeitet ebenfalls noch an seiner Position, und Trilog-Verhandlungen haben noch nicht begonnen. Da sich die Verhandlungen laufend bewegen, kann sich dieser Zwischenstand kurzfristig ändern. Entscheidend für die Praxis ist: Selbst wenn sich Rat und Parlament jeweils positionieren, ist damit noch nichts beschlossen – Änderungen an der DSGVO gelten erst, wenn ein gemeinsamer Text verabschiedet, veröffentlicht und in Kraft getreten ist.

Besonders umstritten ist ein Vorschlag, der laut einem von der Datenschutzorganisation noyb veröffentlichten, geleakten Ratsdokument die Nutzung personenbezogener Daten im Zusammenhang mit KI grundsätzlich als berechtigtes Interesse einstufen würde – eine Einwilligung wäre dann in vielen Fällen nicht mehr nötig. Datenschutz- und Bürgerrechtsorganisationen wie noyb und EDRi kritisieren das scharf. Auch hier gilt: Es handelt sich um einen Verhandlungsentwurf, nicht um geltendes Recht.

Für Unternehmen bedeutet das: Die DSGVO gilt heute unverändert. Wer aktuell Beiträge liest, die von gelockerten Einwilligungsregeln, einer engeren Definition personenbezogener Daten oder erleichterten Rechtsgrundlagen für KI-Training sprechen, sollte genau prüfen, ob es sich um geltendes Recht oder um einen Entwurf handelt. Derzeit ist es ein Entwurf – und Planungen sollten nicht darauf aufbauen.

Was Unternehmen jetzt konkret tun sollten

Statt auf einzelne Stichtage zu reagieren, lohnt sich ein strukturierter Überblick. Mit diesen Schritten schaffen Sie eine solide Grundlage für den rechtssicheren KI-Einsatz:

Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung. Welche Pflichten konkret für Ihr Unternehmen gelten, hängt von Ihren eingesetzten Systemen und Daten ab. Als KI Agentur mit Fokus auf DSGVO-konforme Lösungen und EU-Hosting begleiten wir österreichische Unternehmen dabei, KI rechtssicher und praxistauglich einzusetzen – von der ersten Bestandsaufnahme bis zur laufenden Umsetzung. Sichern Sie sich Ihre kostenlose KI-Potenzialanalyse.

Häufig gestellte Fragen (FAQ)

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, grundsätzlich gilt er für alle Unternehmen, allerdings mit Erleichterungen für KMU. Der Digital Omnibus hat diese Erleichterungen auf kleine Mid-Cap-Unternehmen ausgeweitet und sieht unter anderem eine vereinfachte technische Dokumentation sowie ein an die Unternehmensgröße angepasstes Qualitätsmanagement vor. Entscheidend für den Umfang der Pflichten ist aber nicht die Unternehmensgröße, sondern die Risikoklasse der eingesetzten KI.

Was gilt seit dem 2. August 2026?

Seit diesem Datum gelten die Transparenzpflichten nach Artikel 50: Nutzer müssen erkennen können, wenn sie mit einem Chatbot interagieren, und KI-generierte Inhalte müssen als solche gekennzeichnet werden. Außerdem ist der überwiegende Teil des EU AI Act in Anwendung – mit Ausnahme der verschobenen Hochrisiko-Pflichten. Für generative KI-Systeme, die bereits vor dem 2. August 2026 am Markt waren, gilt die maschinenlesbare Kennzeichnung erst ab 2. Dezember 2026.

Wurde der EU AI Act verschoben?

Teilweise. Der Digital Omnibus wurde am 24. Juli 2026 als Verordnung (EU) 2026/1744 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Er verschiebt die Pflichten für Hochrisiko-KI nach Annex III von August 2026 auf 2. Dezember 2027 und für produktintegrierte Hochrisiko-KI nach Annex I auf 2. August 2028. Die bestehenden Verbote, die Regeln für General-Purpose-KI und die Transparenzpflichten gelten weiterhin. Neu hinzugekommen sind zwei Verbote, die ab 2. Dezember 2026 gelten; zudem erhalten Anbieter generativer KI-Systeme, die bereits vor dem 2. August 2026 am Markt waren, bis 2. Dezember 2026 Zeit für die maschinenlesbare Kennzeichnung.

Ändert sich durch den Digital Omnibus auch die DSGVO?

Derzeit nicht. Beschlossen und in Kraft ist bislang nur der KI-Teil des Digital Omnibus. Die geplanten Änderungen an DSGVO, ePrivacy, Data Act und NIS2 befinden sich weiterhin in Verhandlung; nach unserem Kenntnisstand (Anfang Oktober 2026) gibt es dazu weder eine Einigung zwischen Rat und Europäischem Parlament noch einen beschlossenen Text. Bis zu einem Beschluss und dessen Inkrafttreten gilt die DSGVO unverändert.

Was bedeutet DSGVO-konforme KI?

DSGVO-konforme KI bedeutet, dass personenbezogene Daten auf einer gültigen Rechtsgrundlage, transparent, datenminimierend und mit abgesichertem Datenstandort verarbeitet werden – inklusive eines Auftragsverarbeitungsvertrags mit dem Anbieter. EU-Hosting und DSGVO-konforme Anbieter erleichtern die Umsetzung erheblich.

Darf ich US-KI-Tools wie ChatGPT DSGVO-konform nutzen?

Grundsätzlich möglich, aber mit Sorgfalt. Es braucht eine Rechtsgrundlage, geeignete Garantien für den Datentransfer in Drittländer und idealerweise den Verzicht auf die Eingabe personenbezogener oder vertraulicher Daten. EU-gehostete Alternativen reduzieren das rechtliche Risiko deutlich.

Welche Strafen drohen bei Verstößen?

Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Beim EU AI Act sind je nach Art des Verstoßes Strafen von bis zu 35 Mio. € oder 7 % des Jahresumsatzes möglich.

Quellen: Verordnung (EU) 2026/1744 (Digital Omnibus on AI), veröffentlicht im Amtsblatt der EU am 24. Juli 2026, in Kraft seit 27. Juli 2026; Verordnung (EU) 2024/1689 (EU AI Act); Europäische Kommission, „Navigating the AI Act“ und Umsetzungszeitplan, digital-strategy.ec.europa.eu; Rat der EU, Dokumente zum Digital Omnibus (Verfahren 2025/0360(COD)). Stand: 2. Oktober 2026.