KI und Datenschutz 2026: Was Sich Durch EU AI Act & DSGVO Ändert

2026 ist ein Schlüsseljahr für Künstliche Intelligenz in Europa. Mit dem Inkrafttreten zentraler Bestimmungen des EU AI Acts, neuen Leitlinien des Europäischen Datenschutzausschusses (EDSA) und einer verschärften Auslegung der DSGVO durch deutsche Aufsichtsbehörden müssen Unternehmen ihre KI-Systeme grundlegend überprüfen. Dieser Leitfaden zeigt, was sich konkret ändert, welche Pflichten gelten und wie Sie als Nutzer Ihre Rechte wahren.

Was bedeutet KI-Datenschutz im Jahr 2026?

KI-Datenschutz bezeichnet die Gesamtheit rechtlicher und technischer Anforderungen, die beim Einsatz von Künstlicher Intelligenz zum Schutz personenbezogener Daten gelten. 2026 wird dieser Bereich erstmals durch zwei sich überlagernde Regelwerke geprägt: die DSGVO als bestehendes Datenschutzrecht und der EU AI Act als neue produktbezogene Regulierung von KI-Systemen.

Konkret bedeutet das: Wer ein KI-System entwickelt, vertreibt oder einsetzt, muss ab 2026 nicht nur prüfen, ob personenbezogene Daten rechtmäßig verarbeitet werden, sondern auch, in welche Risikoklasse das System fällt und welche zusätzlichen Sicherheits-, Transparenz- und Dokumentationspflichten gelten.

Der EU AI Act: Zeitplan und Risikoklassen 2026

Der EU AI Act ist im August 2024 in Kraft getreten und wird stufenweise anwendbar. 2026 markiert den Übergang von der Vorbereitungs- in die operative Anwendungsphase.

Wichtige Stichtage

2. Februar 2025: Verbot von KI-Systemen mit inakzeptablem Risiko (z. B. Social Scoring, manipulative Systeme).
2. August 2025: Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI) wie GPT, Claude oder Gemini.
2. August 2026: Volle Anwendung der Vorschriften für Hochrisiko-KI-Systeme nach Anhang III (z. B. Biometrie, Personalwesen, Kreditwürdigkeitsprüfung).
2. August 2027: Erweiterte Anforderungen für KI in regulierten Produkten (Medizinprodukte, Maschinen).

Die vier Risikoklassen im Überblick

Risikoklasse	Beispiele	Pflichten 2026
Inakzeptabel	Social Scoring, emotionale Manipulation	Verboten
Hochrisiko	HR-Tools, Kreditscoring, Biometrie	Konformitätsbewertung, Risikomanagement, Dokumentation
Begrenztes Risiko	Chatbots, Deepfakes	Transparenz- und Kennzeichnungspflicht
Minimales Risiko	Spam-Filter, KI in Spielen	Keine speziellen Pflichten

DSGVO und KI: Die wichtigsten Änderungen 2026

Die DSGVO selbst wurde nicht reformiert, doch ihre Auslegung im KI-Kontext hat sich durch neue EDSA-Leitlinien und Urteile des EuGH erheblich konkretisiert. Drei Bereiche stechen 2026 besonders hervor.

1. Rechtsgrundlage für KI-Training

Der EDSA hat 2024 mit der Opinion 28/2024 klargestellt, dass das Training von KI-Modellen mit personenbezogenen Daten grundsätzlich eine Rechtsgrundlage nach Art. 6 DSGVO benötigt. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) kann ausreichen – aber nur, wenn ein dreistufiger Test bestanden wird: legitimer Zweck, Erforderlichkeit und Interessenabwägung. 2026 prüfen die Aufsichtsbehörden diese Tests deutlich strenger.

2. Automatisierte Einzelfallentscheidungen (Art. 22 DSGVO)

KI-Systeme, die ohne menschliche Beteiligung Entscheidungen mit rechtlicher Wirkung treffen (z. B. Bewerberauswahl, Kreditvergabe), unterliegen weiterhin Art. 22 DSGVO. Neu ist: Der EuGH hat im Schufa-Urteil (C-634/21) bereits 2023 entschieden, dass auch Scoring-Werte selbst als automatisierte Entscheidung gelten können. 2026 wird diese Linie auf Generative-AI-Anwendungen ausgeweitet.

3. Recht auf Vergessenwerden bei KI-Modellen

Eine besonders kontroverse Frage: Wie kann ein Betroffener verlangen, dass seine Daten aus einem trainierten Modell entfernt werden? Die deutschen Aufsichtsbehörden, allen voran die BfDI, fordern technische Lösungen wie "Machine Unlearning" oder Output-Filter. Mehr zum Verfahren lesen Sie in unserem Leitfaden zum Recht auf Vergessenwerden.

Pflichten für Unternehmen: Was Sie 2026 umsetzen müssen

Unternehmen, die KI einsetzen, stehen 2026 vor einem doppelten Compliance-Aufwand: DSGVO und AI Act müssen integriert betrachtet werden. Die folgende Checkliste fasst die wichtigsten Schritte zusammen.

Schritt-für-Schritt-Checkliste

KI-Inventar erstellen: Listen Sie alle eingesetzten KI-Systeme auf – inklusive eingebetteter Funktionen in SaaS-Tools.
Risikoklassifizierung: Ordnen Sie jedes System einer der vier AI-Act-Klassen zu.
Datenschutz-Folgenabschätzung (DSFA): Für Hochrisiko-Systeme nach Art. 35 DSGVO zwingend.
Rechtsgrundlagen dokumentieren: Pro Verarbeitungszweck separat festlegen.
Transparenzpflichten erfüllen: Nutzer müssen wissen, wenn sie mit KI interagieren.
Human Oversight implementieren: Menschliche Aufsicht bei Hochrisiko-Anwendungen sicherstellen.
Schulungen durchführen: Art. 4 AI Act verlangt KI-Kompetenz beim Personal.
Auftragsverarbeitung prüfen: Verträge mit KI-Anbietern an AI-Act-Anforderungen anpassen.

Besonderheit: General Purpose AI (GPAI)

Wer Modelle wie ChatGPT, Claude oder Mistral in eigene Anwendungen integriert, wird unter Umständen selbst zum "Anbieter" eines KI-Systems im Sinne des AI Acts. Das ist insbesondere dann der Fall, wenn das Modell durch Fine-Tuning, RAG oder spezifische Prompts an einen neuen Verwendungszweck angepasst wird. 2026 ist diese Abgrenzung Schwerpunkt der Marktüberwachung.

Rechte der Nutzer: Was Sie 2026 verlangen können

Auch für Privatpersonen verändert sich die Rechtslage spürbar. Sie haben 2026 erweiterte Möglichkeiten, sich gegen intransparente oder unfaire KI-Entscheidungen zu wehren.

Ihre wichtigsten Rechte im Überblick

Auskunftsrecht (Art. 15 DSGVO): Welche Daten wurden über Sie verarbeitet – auch im KI-Kontext?
Erklärungsrecht (Art. 86 AI Act): Bei Hochrisiko-Entscheidungen können Sie eine Erklärung der zentralen Entscheidungsfaktoren verlangen.
Beschwerderecht (Art. 85 AI Act): Direkte Beschwerde bei der nationalen Marktüberwachungsbehörde.
Widerspruchsrecht (Art. 21 DSGVO): Insbesondere gegen Profiling und KI-Training auf Basis berechtigten Interesses.
Recht auf menschliche Überprüfung: Bei automatisierten Entscheidungen nach Art. 22 DSGVO.

Praxistipp: So formulieren Sie eine Anfrage

Stellen Sie Ihre Anfrage schriftlich (E-Mail genügt) und nennen Sie konkret das KI-System, von dem Sie betroffen sind. Verweisen Sie auf Art. 15 DSGVO und – bei Hochrisiko-Systemen – auf Art. 86 AI Act. Unternehmen müssen innerhalb eines Monats antworten.

KI-Sicherheit und Datenschutz: Technische Maßnahmen

Rechtliche Vorgaben allein reichen nicht – sie müssen technisch umgesetzt werden. 2026 etablieren sich mehrere Standardpraktiken, die Aufsichtsbehörden als "State of the Art" betrachten.

Privacy-Enhancing Technologies (PETs)

Technologie	Zweck	Reifegrad 2026
Differential Privacy	Verrauschung statistischer Auswertungen	Produktiv
Federated Learning	Training ohne zentrale Datenspeicherung	Produktiv
Homomorphe Verschlüsselung	Rechnen auf verschlüsselten Daten	Pilotphase
Synthetische Daten	Ersatz realer Trainingsdaten	Produktiv

Ergänzend bleibt klassische Verschlüsselung unverzichtbar. Wer Daten zwischen Client und KI-Modell überträgt, sollte konsequent auf Ende-zu-Ende-Verschlüsselung setzen.

Datenminimierung im KI-Kontext

Art. 5 Abs. 1 lit. c DSGVO verlangt, nur die nötigen Daten zu verarbeiten. Bei KI-Trainings bedeutet das konkret: Anonymisierung vor dem Training, Entfernung direkter Identifikatoren und Begrenzung auf relevante Merkmale. Auch beim Sharing von Inhalten – etwa über Tracking-Links oder Analyse-Tools – sollte Datenminimierung Priorität haben. Datenschutzfreundliche Dienste wie Lunyb verzichten bei der URL-Verkürzung bewusst auf personenbezogenes Tracking und sind damit kompatibel mit den 2026er Anforderungen.

Branchenspezifische Auswirkungen

Personalwesen und Recruiting

KI-gestützte Bewerberauswahl gilt nach Anhang III des AI Acts als Hochrisiko-Anwendung. 2026 müssen Arbeitgeber: eine DSFA durchführen, Bewerber transparent informieren, menschliche Entscheidungsträger einbinden und Diskriminierungstests dokumentieren.

Marketing und Werbung

Generative-AI-Tools zur Erstellung personalisierter Werbung sind grundsätzlich kein Hochrisiko – aber wenn sie mit Profiling kombiniert werden, gelten strenge DSGVO-Anforderungen. Auch die Auswahl von Marketing-Tools spielt eine Rolle: Bei der Wahl Ihrer Werkzeuge lohnt sich ein Blick auf datenschutzfreundliche Alternativen, etwa unter den besten Link-Tracking-Tools 2026 oder im Vergleich Bitly vs TinyURL.

Gesundheitswesen

Medizinische KI-Anwendungen unterliegen ab 2027 zusätzlich der Medical Device Regulation (MDR). 2026 sollten Einrichtungen mit der Vorbereitung beginnen: Risikomanagement nach ISO 14971, klinische Bewertung und CE-Konformität.

Finanzwesen

Kreditscoring und Betrugserkennung sind klassische Hochrisiko-Anwendungen. Der EuGH hat im Schufa-Urteil bereits die Linie vorgegeben: Transparenz über die wesentlichen Entscheidungsfaktoren ist Pflicht.

KI und Datenschutz in der Schweiz

Die Schweiz ist nicht direkt an den EU AI Act gebunden, doch das revidierte Schweizer Datenschutzgesetz wirkt parallel. Wer aus Deutschland Daten in die Schweiz übermittelt oder umgekehrt, muss beide Regelwerke berücksichtigen. Eine Übersicht bietet unser Artikel zum Schweizer Datenschutzgesetz. 2026 bereitet zudem der Bundesrat ein eigenes KI-Gesetz vor, das voraussichtlich 2027 in Kraft tritt und sich am EU AI Act orientiert.

Bußgelder und Durchsetzung 2026

Die Sanktionen des AI Acts sind erheblich – und sie addieren sich zu DSGVO-Bußgeldern:

Verbotene KI-Praktiken: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
Verstoß gegen Hochrisiko-Pflichten: bis zu 15 Mio. € oder 3 % Jahresumsatz.
Falsche Auskunft an Behörden: bis zu 7,5 Mio. € oder 1 % Jahresumsatz.

Die BfDI und die Landesdatenschutzbehörden haben 2025 bereits angekündigt, KI-Compliance zum Prüfschwerpunkt 2026 zu machen. Erste größere Bußgeldverfahren sind im zweiten Halbjahr 2026 zu erwarten.

Vor- und Nachteile der neuen Regulierung

Vorteile

Rechtssicherheit durch klare Regeln
Stärkere Nutzerrechte und Transparenz
Einheitlicher Binnenmarkt für vertrauenswürdige KI
Innovationsförderung durch regulatorische Sandboxes
Schutz vor diskriminierenden Systemen

Nachteile

Hoher Compliance-Aufwand, insbesondere für KMU
Komplexität durch Überlagerung von DSGVO und AI Act
Unklare Auslegungsfragen, insbesondere bei GPAI
Risiko von Wettbewerbsnachteilen gegenüber US- und China-Anbietern
Hohe Strafdrohungen schaffen Unsicherheit

Fazit: KI-Datenschutz wird 2026 ernst

2026 ist das Jahr, in dem KI-Datenschutz von der Theorie in die Praxis übergeht. Unternehmen, die jetzt handeln, vermeiden nicht nur Bußgelder, sondern bauen Vertrauen bei Kunden und Mitarbeitern auf. Nutzer wiederum erhalten erstmals wirksame Werkzeuge, um sich gegen intransparente Algorithmen zu wehren. Der Schlüssel liegt in einem integrierten Ansatz: DSGVO, AI Act und technische Schutzmaßnahmen müssen zusammen gedacht werden.

Häufig gestellte Fragen (FAQ)

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, der AI Act gilt grundsätzlich unabhängig von der Unternehmensgröße. Für KMU und Start-ups gibt es jedoch Erleichterungen, etwa vereinfachte Dokumentationsanforderungen, priorisierten Zugang zu regulatorischen Sandboxes und reduzierte Gebühren bei Konformitätsbewertungen. Die Kernpflichten – insbesondere Verbote und Transparenzanforderungen – gelten dennoch für alle.

Muss ich meine Mitarbeiter über KI-Nutzung schulen?

Ja. Art. 4 des EU AI Acts verlangt seit Februar 2025 ausdrücklich "ausreichende KI-Kompetenz" beim Personal, das KI-Systeme einsetzt oder betreibt. 2026 ist dies Prüfgegenstand der Aufsichtsbehörden. Eine dokumentierte Schulung mit Fokus auf Risiken, Datenschutz und Bedienung ist Pflicht.

Was ist der Unterschied zwischen DSGVO und AI Act?

Die DSGVO schützt personenbezogene Daten und gilt für jede Verarbeitung. Der AI Act hingegen ist eine Produktregulierung: Er stellt Anforderungen an KI-Systeme als solche, unabhängig davon, ob personenbezogene Daten verarbeitet werden. In der Praxis greifen beide Regelwerke ineinander – Unternehmen müssen sie parallel umsetzen.

Darf ich ChatGPT im Unternehmen einsetzen?

Grundsätzlich ja, aber unter Auflagen. Sie benötigen einen Auftragsverarbeitungsvertrag mit OpenAI (oder dem jeweiligen Anbieter), müssen die Nutzung in der Datenschutzerklärung transparent machen, sensible Daten in Prompts vermeiden und – bei betrieblichen Entscheidungen auf Basis der Ausgaben – die AI-Act-Pflichten beachten. Eine interne KI-Richtlinie ist 2026 Standard.

Wie kann ich als Nutzer prüfen, ob ein Unternehmen KI rechtskonform einsetzt?

Achten Sie auf folgende Indikatoren: transparente Kennzeichnung von KI-Interaktionen (z. B. Chatbots), aussagekräftige Datenschutzerklärung mit KI-Abschnitt, Möglichkeit zur menschlichen Überprüfung bei wichtigen Entscheidungen und klare Ansprechpartner für Datenschutzanfragen. Bei Zweifeln können Sie eine Beschwerde bei der zuständigen Landesdatenschutzbehörde oder der BfDI einreichen.