KI rechtssicher einsetzen DSGVO und EU AI Act 2026

Rund um den Einsatz von Künstlicher Intelligenz herrscht in vielen Unternehmen Verunsicherung – vor allem in rechtlicher Hinsicht. Zwei Regelwerke bestimmen, was erlaubt ist und was nicht: die seit Jahren etablierte Datenschutz-Grundverordnung (DSGVO) und der neue EU AI Act. Hinzu kommt, dass viel über einen vermeintlichen Stichtag im August 2026 geschrieben wurde – ein großer Teil davon ist inzwischen überholt. Denn der sogenannte Digital Omnibus wurde am 24. Juli 2026 als Verordnung (EU) 2026/1744 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Er verschiebt wesentliche Pflichten und ändert den Text des AI Act an mehreren Stellen. In diesem Beitrag ordnen wir ehrlich ein, was 2026 für österreichische Unternehmen tatsächlich gilt, was sich verschoben hat und was Sie beim DSGVO-konformen Einsatz von KI jetzt beachten sollten.

Zwei Regelwerke, die zusammenspielen: DSGVO und EU AI Act

Wer KI im Unternehmen einsetzt, bewegt sich fast immer in zwei rechtlichen Welten gleichzeitig. Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen – sie greift also immer dann, wenn eine KI mit Namen, Kundendaten, Bewerbungen oder anderen personenbezogenen Informationen arbeitet. Der EU AI Act regelt dagegen das KI-System selbst und stuft es nach seinem Risiko ein.

Beide Regelwerke können gleichzeitig gelten. Ein KI-Tool, das Bewerbungen vorsortiert, fällt unter die DSGVO (weil es personenbezogene Daten verarbeitet) und unter den EU AI Act (weil Personalauswahl als Hochrisiko-Anwendung gilt). Für die Praxis heißt das: Datenschutz und KI-Regulierung müssen zusammen gedacht werden – nicht nacheinander.

Was beim EU AI Act 2026 bereits gilt und was sich verschoben hat

Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern stufenweise. Genau hier entstand zuletzt viel Verwirrung: Ein großer Teil der Pflichten für Hochrisiko-KI, der ursprünglich für August 2026 vorgesehen war, wurde durch den Digital Omnibus nach hinten verschoben. Seit 27. Juli 2026 ist diese Verschiebung geltendes Recht und kein Entwurf mehr. Der folgende Überblick zeigt, was tatsächlich schon gilt – und was erst später kommt.

Wichtig für die ehrliche Einordnung: Der Digital Omnibus wurde am 7. Mai 2026 zunächst vorläufig vereinbart, am 16. Juni 2026 vom Europäischen Parlament und am 29. Juni 2026 vom Rat der EU förmlich angenommen. Am 24. Juli 2026 folgte die Veröffentlichung im Amtsblatt der EU als Verordnung (EU) 2026/1744; in Kraft getreten ist sie am 27. Juli 2026. Der Planungshorizont für Hochrisiko-KI ist damit verbindlich der 2. Dezember 2027 – und dieses Datum ist nicht mehr an die Verfügbarkeit harmonisierter Normen geknüpft. Das verschafft Unternehmen mehr Zeit. Ein Grund, gar nichts zu tun, ist es nicht: Verbote, KI-Kompetenz, GPAI-Regeln, Transparenzpflichten und die DSGVO gelten unverändert.

Was sich bei der KI-Kompetenz geändert hat

Ein Punkt, der in vielen älteren Beiträgen noch anders steht: Die Pflicht zur KI-Kompetenz nach Artikel 4 des AI Act wurde durch den Digital Omnibus neu gefasst. Bis Ende Juli 2026 mussten Anbieter und Betreiber ein ausreichendes Maß an KI-Kompetenz sicherstellen. Seit 27. Juli 2026 gilt eine abgeschwächte Formulierung: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden und jener Personen zu fördern, die KI-Systeme in ihrem Auftrag bedienen. Ausdrücklich klargestellt ist, dass damit kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss.

Für die Praxis heißt das: Der Nachweis- und Dokumentationsaufwand sinkt, die Pflicht selbst bleibt bestehen. Schulungen, klare interne Richtlinien und eine dokumentierte Einweisung sind weiterhin der richtige Weg – nur muss niemand ein Zertifikat pro Mitarbeitendem vorlegen. Wer bereits ein Schulungskonzept aufgesetzt hat, muss nichts rückgängig machen.

Die Risikoklassen des EU AI Act einfach erklärt

Der EU AI Act reguliert nicht die Technologie an sich, sondern den jeweiligen Anwendungsfall – je nach Risiko. Vier Klassen sind entscheidend:

Verbotene KI (unannehmbares Risiko): Anwendungen wie Social Scoring oder manipulative Systeme sind grundsätzlich untersagt. Mit dem Digital Omnibus kamen zwei neue Verbote hinzu: KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen („Nudify“-Apps) und von Missbrauchsdarstellungen Minderjähriger (CSAM) sind ab 2. Dezember 2026 untersagt. Hochrisiko-KI: etwa KI in Personalauswahl, Kreditvergabe, Biometrie oder kritischer Infrastruktur – mit strengen Pflichten zu Risikomanagement, Dokumentation und menschlicher Aufsicht (hier greift die Verschiebung auf Dezember 2027 beziehungsweise August 2028). Begrenztes Risiko (Transparenzpflicht): Chatbots und KI-generierte Inhalte – sie müssen als solche gekennzeichnet werden (ab August 2026). Minimales Risiko: die große Mehrheit der Anwendungen, etwa Spamfilter oder einfache Automatisierungen – ohne besondere Pflichten.

Für die meisten kleinen und mittleren Unternehmen fällt der Großteil der KI-Nutzung in die unteren beiden Klassen. Wer kein Hochrisiko-System betreibt, hat deutlich weniger Pflichten – muss aber Transparenz und Datenschutz trotzdem einhalten.

Was DSGVO-konforme KI in der Praxis bedeutet

Sobald eine KI personenbezogene Daten verarbeitet, gilt die DSGVO vollständig – unabhängig vom EU AI Act. In der Praxis bedeutet DSGVO-konforme KI vor allem: eine gültige Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber den betroffenen Personen, Datenminimierung und Zweckbindung sowie der Schutz vor rein automatisierten Entscheidungen mit erheblicher Wirkung (Art. 22 DSGVO). Mit jedem KI-Anbieter, der in Ihrem Auftrag Daten verarbeitet, brauchen Sie zudem einen Auftragsverarbeitungsvertrag (AVV).

Ein oft unterschätzter Punkt ist der Datenstandort. Viele bekannte KI-Tools – insbesondere aus den USA – übertragen Daten in Drittländer, was zusätzliche Garantien erfordert. Genau hier setzen wir als KI Agentur an: Wer auf EU-Hosting und DSGVO-konforme Anbieter setzt, reduziert dieses Risiko erheblich und behält die Kontrolle über seine Daten. Bei Verarbeitungen mit hohem Risiko kann außerdem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein.

Neu seit 27. Juli 2026 ist Artikel 4a des EU AI Act. Er schafft eine ausdrückliche Grundlage dafür, besondere Kategorien personenbezogener Daten – etwa Angaben zu Herkunft oder Gesundheit – zu verarbeiten, wenn dies der Erkennung und Korrektur von Verzerrungen (Bias) in KI-Systemen dient. Bisher war das nur Anbietern von Hochrisiko-Systemen möglich; nun steht der Weg auch Anbietern und Betreibern anderer KI-Systeme offen. Die Hürden sind allerdings hoch: Die Verarbeitung muss unbedingt erforderlich sein, das Ziel darf nicht mit anderen Daten erreichbar sein (auch nicht mit synthetischen oder anonymisierten), und es braucht Pseudonymisierung, strenge Zugriffskontrollen, ein Weitergabeverbot sowie die Löschung nach Behebung des Bias. Wichtig: Artikel 4a ist keine eigenständige Rechtsgrundlage, sondern konkretisiert das erhebliche öffentliche Interesse nach Art. 9 Abs. 2 lit. g DSGVO. Und er verpflichtet niemanden dazu, Bias-Prüfungen durchzuführen – er erlaubt sie nur unter klaren Bedingungen.

Was sich bei der DSGVO ändern könnte

Der Digital Omnibus besteht aus zwei Teilen – und nur einer davon ist beschlossen. In Kraft ist bislang ausschließlich der KI-Teil. Der zweite Teil, der unter anderem die DSGVO, die ePrivacy-Regeln, den Data Act und NIS2 betrifft, befindet sich weiterhin in Verhandlung. Der Rat der EU konnte bis zum Ende der zyprischen Ratspräsidentschaft am 30. Juni 2026 keine gemeinsame Position finden; der Kompromisstext wurde zurückgezogen, weil die erforderliche qualifizierte Mehrheit fehlte. Seit 1. Juli 2026 führt die irische Präsidentschaft das Dossier weiter.

Für Unternehmen bedeutet das: Die DSGVO gilt heute unverändert. Wer aktuell Beiträge liest, die von gelockerten Einwilligungsregeln, einer engeren Definition personenbezogener Daten oder erleichterten Rechtsgrundlagen für KI-Training sprechen, sollte genau prüfen, ob es sich um geltendes Recht oder um einen Entwurf handelt. Derzeit ist es ein Entwurf – und Planungen sollten nicht darauf aufbauen.

Was Unternehmen jetzt konkret tun sollten

Statt auf einzelne Stichtage zu reagieren, lohnt sich ein strukturierter Überblick. Mit diesen Schritten schaffen Sie eine solide Grundlage für den rechtssicheren KI-Einsatz:

Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung. Welche Pflichten konkret für Ihr Unternehmen gelten, hängt von Ihren eingesetzten Systemen und Daten ab. Als KI Agentur mit Fokus auf DSGVO-konforme Lösungen und EU-Hosting begleiten wir österreichische Unternehmen dabei, KI rechtssicher und praxistauglich einzusetzen – von der ersten Bestandsaufnahme bis zur laufenden Umsetzung. Sichern Sie sich Ihre kostenlose KI-Potenzialanalyse.

Häufig gestellte Fragen (FAQ)

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, grundsätzlich gilt er für alle Unternehmen, allerdings mit Erleichterungen für KMU. Der Digital Omnibus hat diese Erleichterungen auf kleine Mid-Cap-Unternehmen ausgeweitet und sieht unter anderem eine vereinfachte technische Dokumentation sowie ein an die Unternehmensgröße angepasstes Qualitätsmanagement vor. Entscheidend für den Umfang der Pflichten ist aber nicht die Unternehmensgröße, sondern die Risikoklasse der eingesetzten KI.

Was ändert sich konkret am 2. August 2026?

Ab diesem Datum gelten die Transparenzpflichten nach Artikel 50: Nutzer müssen erkennen können, wenn sie mit einem Chatbot interagieren, und KI-generierte Inhalte müssen als solche gekennzeichnet werden. Außerdem tritt der überwiegende Teil des EU AI Act in Anwendung – mit Ausnahme der verschobenen Hochrisiko-Pflichten. Für Systeme, die bereits vor dem 2. August 2026 am Markt waren, gilt die maschinenlesbare Kennzeichnung erst ab 2. Dezember 2026.

Wurde der EU AI Act verschoben?

Teilweise. Der Digital Omnibus wurde am 24. Juli 2026 als Verordnung (EU) 2026/1744 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Er verschiebt die Pflichten für Hochrisiko-KI nach Annex III von August 2026 auf 2. Dezember 2027 und für produktintegrierte Hochrisiko-KI nach Annex I auf 2. August 2028. Die Verbote bestimmter Praktiken, die Regeln für General-Purpose-KI und die Transparenzpflichten ab August 2026 bleiben unverändert in Kraft.

Ändert sich durch den Digital Omnibus auch die DSGVO?

Derzeit nicht. Beschlossen und in Kraft ist bislang nur der KI-Teil des Digital Omnibus. Die geplanten Änderungen an DSGVO, ePrivacy, Data Act und NIS2 befinden sich weiterhin in Verhandlung im Rat der EU. Bis zu einem Beschluss gilt die DSGVO unverändert.

Was bedeutet DSGVO-konforme KI?

DSGVO-konforme KI bedeutet, dass personenbezogene Daten auf einer gültigen Rechtsgrundlage, transparent, datenminimierend und mit abgesichertem Datenstandort verarbeitet werden – inklusive eines Auftragsverarbeitungsvertrags mit dem Anbieter. EU-Hosting und DSGVO-konforme Anbieter erleichtern die Umsetzung erheblich.

Darf ich US-KI-Tools wie ChatGPT DSGVO-konform nutzen?

Grundsätzlich möglich, aber mit Sorgfalt. Es braucht eine Rechtsgrundlage, geeignete Garantien für den Datentransfer in Drittländer und idealerweise den Verzicht auf die Eingabe personenbezogener oder vertraulicher Daten. EU-gehostete Alternativen reduzieren das rechtliche Risiko deutlich.

Welche Strafen drohen bei Verstößen?

Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Beim EU AI Act sind je nach Art des Verstoßes Strafen von bis zu 35 Mio. € oder 7 % des Jahresumsatzes möglich.

Quellen: Verordnung (EU) 2026/1744 (Digital Omnibus on AI), veröffentlicht im Amtsblatt der EU am 24. Juli 2026, in Kraft seit 27. Juli 2026; Verordnung (EU) 2024/1689 (EU AI Act); Europäische Kommission, „Navigating the AI Act“ und Umsetzungszeitplan, digital-strategy.ec.europa.eu. Stand: 26. Juli 2026.