2026 ist kein Übergangsjahr mehr — es ist das Jahr der Compliance-Pflichten. Der EU AI Act gilt für eine wachsende Zahl von Anwendungen, die DSGVO-Auslegung für KI wurde durch neue Leitlinien der Datenschutzbehörden konkretisiert, und die ersten Bußgelder für KI-Datenschutzverstöße in Deutschland wurden verhängt. Es ist Zeit, die eigene KI-Compliance zu überprüfen.
EU AI Act: Was jetzt für Ihr Unternehmen gilt
Der EU AI Act unterscheidet zwischen verschiedenen Risikoklassen. Die gute Nachricht für die meisten KMU: Nur ein kleiner Teil der KI-Anwendungen fällt in die Hochrisiko-Kategorie, für die strenge Auflagen gelten. Das schlechte: Auch für alle anderen KI-Systeme gibt es neue Transparenz- und Dokumentationspflichten.
Die Risikokategorien im Überblick
Verbotene KI: Social Scoring, manipulative Systeme, biometrische Massenüberwachung — verboten für alle. Hochrisiko-KI: KI in Personalentscheidungen, Kreditwürdigkeitsprüfungen, medizinischen Diagnosen — strenge Anforderungen, Dokumentationspflicht, Konformitätsbewertung. Standard-KI (die meisten Unternehmensanwendungen): Transparenzpflichten, keine zusätzliche Regulierung. Minimales Risiko (z.B. KI-Spamfilter): Praktisch keine Zusatzanforderungen.
Transparenzpflichten für KI-Kommunikationssysteme
Wichtig für Unternehmen mit KI-Chatbots und Telefonassistenten: Seit August 2026 müssen Nutzer informiert werden, wenn sie mit einer KI interagieren. Das bedeutet: Ihr KI-Telefonassistent muss zu Beginn oder auf Nachfrage klar kommunizieren, dass es sich um eine KI handelt. foncall.io und alle seriösen deutschen Anbieter haben das bereits implementiert.
DSGVO und KI: Was sich 2026 konkretisiert hat
Mehrere europäische Datenschutzbehörden haben 2025/2026 klarere Leitlinien für KI-Anwendungen veröffentlicht. Die wichtigsten Punkte für Unternehmen.
Rechtsgrundlagen für KI-Datenverarbeitung
Für die meisten KI-Anwendungen in Unternehmen gilt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) oder lit. b (Vertragserfüllung). Für KI-Systeme, die Nutzerdaten lernen und speichern: Explizite Einwilligung empfehlenswert. Bei Telefonaufnahmen für KI-Training: Informationspflicht und opt-out-Möglichkeit Pflicht.
Warum der Server-Standort entscheidend ist
US-basierte KI-Dienste (ChatGPT Enterprise, Claude.ai, Gemini for Workspace) können mit DSGVO-kompatiblen AVVs genutzt werden — aber Daten können dennoch in die USA übertragen werden. Für sehr sensible Daten (Patientendaten, Finanzinformationen, Personalakten) empfehlen wir EU-Server-only-Lösungen wie Omnifact oder selbst gehostete Systeme.
DSGVO-Checkliste für KI-Systeme
Diese sieben Punkte sollten Sie für jedes KI-System in Ihrem Unternehmen durchgehen.
Die 7-Punkte-Checkliste
1. Haben Sie einen AVV mit Ihrem KI-Anbieter abgeschlossen? 2. Wissen Sie, auf welchen Servern Ihre Daten verarbeitet werden? 3. Haben Sie eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt (bei Hochrisiko-KI Pflicht)? 4. Sind Nutzer über KI-Interaktionen informiert? 5. Haben Sie Löschfristen für KI-verarbeitete Daten definiert? 6. Können Sie Auskunftsanfragen von Betroffenen für KI-verarbeitete Daten beantworten? 7. Ist ein menschliches Override bei KI-Entscheidungen möglich (bei Hochrisiko Pflicht)?
Häufig gestellte Fragen
Muss ich meinen KI-Telefonassistenten in der Datenschutzerklärung erwähnen?
Ja. Wenn Ihr KI-Telefonassistent Gesprächsdaten verarbeitet oder aufzeichnet, müssen Sie das in Ihrer Datenschutzerklärung transparent machen. Fügen Sie einen Abschnitt 'KI-gestützte Kommunikation' hinzu, der Verarbeitungszweck, Rechtsgrundlage und Speicherdauer erklärt.
Was passiert, wenn ich gegen den EU AI Act verstoße?
Bußgelder bis zu 30 Millionen Euro oder 6 % des weltweiten Jahresumsatzes (bei verbotener KI). Bei nicht-konformen Hochrisiko-KI: bis zu 15 Millionen Euro oder 3 %. Die ersten Durchsetzungsmaßnahmen in Deutschland werden für 2026/2027 erwartet.
