Gilt der EU AI Act für jedes KMU mit ChatGPT?

Die konkrete Einordnung hängt von Rolle, System, Zweck und Nutzung ab. Der AI Act enthält unterschiedliche Regeln und Anwendungstermine. Ein KI-Inventar schafft die Grundlage; die rechtliche Bewertung muss anhand des aktuellen Falls erfolgen.

Reicht ein Auftragsverarbeitungsvertrag für DSGVO-Konformität?

Nein. Ein Vertrag kann ein notwendiger Baustein sein, ersetzt aber nicht die Prüfung von Zweck, Rechtsgrundlage, Datenminimierung, Rollen, Drittlandtransfers, Schutzmaßnahmen, Aufbewahrung und Betroffenenrechten.

Muss jede KI-Ausgabe von einem Menschen freigegeben werden?

Nicht pauschal. Die Kontrollstufe sollte sich nach Fehlerfolgen, Reversibilität, Datenrisiko und rechtlicher Einordnung richten. Kritische oder externe Aktionen brauchen meist strengere Gates als interne, klar erkennbare Entwürfe.

Was gehört in ein KI-Inventar?

Mindestens Zweck, Prozesseigner, technischer Betreiber, Anbieter und Modell, Datenquellen und -kategorien, Empfänger, Aktionen, Nutzergruppen, Schutzmaßnahmen, Freigaben, Protokollierung und aktueller Prüfstatus.

Kann DAB DSGVO- oder AI-Act-Konformität garantieren?

Nein. DAB strukturiert technische und organisatorische Anforderungen und dokumentiert den Systemweg. Eine verbindliche rechtliche Bewertung oder formale Konformitätsprüfung muss durch die dafür qualifizierte Stelle erfolgen.

Wie oft muss KI-Governance aktualisiert werden?

Bei Änderungen an Zweck, Modell, Anbieter, Datenquellen, Aktionen oder Betroffenengruppen sollte neu geprüft werden. Zusätzlich ist ein regelmäßiger Review sinnvoll, weil Systeme, Leitlinien und Rechtslage fortentwickelt werden.

KI-Governance für KMU | DSGVO & EU AI Act

Mit einem KI-Inventar anfangen

Governance beginnt mit Sichtbarkeit. Für jeden Einsatz werden Zweck, fachlicher Prozesseigner, technischer Betreiber, Modell oder Dienst, Datenkategorien, Quellen, Empfänger, Aktionen und Nutzergruppen erfasst. Erst dann lässt sich beurteilen, welche Datenschutz-, Sicherheits-, Transparenz- oder AI-Act-Fragen tatsächlich relevant sind.

Geschäftszweck und betroffener Arbeitsprozess
Anbieter, Modell, Hosting, Schnittstellen und Unterauftragnehmer
Datenkategorien, Quellen, Speicherorte und Empfänger
Automatisierte Ausgaben, Aktionen und mögliche Betroffenengruppen
Fachliche, technische und rechtliche Verantwortlichkeit

DSGVO-Prüfung entlang des realen Datenflusses

Wenn personenbezogene Daten verarbeitet werden, müssen unter anderem Zweck, Rechtsgrundlage, Datenminimierung, Speicherfristen, Betroffenenrechte, Rollen und Schutzmaßnahmen fallbezogen geprüft werden. Ein EU-Serverstandort oder ein Auftragsverarbeitungsvertrag allein beweist keine vollständige Rechtmäßigkeit. DAB dokumentiert den technischen Datenfluss; die rechtliche Bewertung erfolgt getrennt.

Zweck und Daten – Zweck, Kategorien, Quellen, Notwendigkeit – Welche Daten dürfen überhaupt in den Ablauf?
Rollen und Anbieter – Verantwortlicher, Auftragsverarbeiter, Unterauftragnehmer – Welche Verträge und Prüfungen sind erforderlich?
Zugriff und Schutz – Berechtigungen, Verschlüsselung, Protokollierung – Wer darf welche Eingabe und Ausgabe sehen?
Aufbewahrung – Speicherorte, Fristen, Lösch- und Exportweg – Wann werden Eingaben, Ausgaben und Logs entfernt?
Betroffene – Auswirkung, Information, Korrektur- und Widerspruchsweg – Wie kann ein Ergebnis geprüft oder korrigiert werden?

EU AI Act: Rolle und Risikokontext zuerst bestimmen

Der EU AI Act arbeitet risikobasiert und gilt stufenweise. Ob ein Unternehmen Anbieter, Betreiber oder in einer anderen Rolle handelt und welche Pflichten greifen, hängt vom konkreten System, seinem Zweck und Einsatzkontext ab. Eine interne Klassifizierung ist deshalb nur ein Startpunkt; aktuelle Kommissionshinweise und bei Bedarf qualifizierte Rechtsberatung bleiben erforderlich.

Rolle des Unternehmens und Zweck des Systems dokumentieren
Betroffene Personen, Einsatzbereich und mögliche Folgen beschreiben
Verbotene, transparente, allgemeine oder potenziell hochriskante Nutzung prüfen lassen
Änderungen an Modell, Zweck oder Datenfluss erneut bewerten

Menschliche Kontrolle als konkreten Prozess bauen

Ein Hinweis wie ‚Human in the loop‘ reicht nicht. Governance benennt, welche Ausgabe geprüft wird, welche Information die prüfende Person sieht, welche Befugnis sie hat und was bei Ablehnung oder Unsicherheit passiert. Je schwerer eine Aktion rückgängig zu machen ist, desto klarer müssen Freigabe und Fehlerweg sein.

Entwurf, Empfehlung und autonome Aktion deutlich unterscheiden
Freigabe vor externen, finanziellen oder personenbezogenen Folgen
Abbruch, Wiederholung und manuelle Ersatzbearbeitung dokumentieren
Relevante Quelle, Modellversion und Freigabestatus nachvollziehbar halten

Informationssicherheit und laufender Betrieb

KI-Sicherheit betrifft nicht nur das Modell. Zugänge, Geheimnisse, Prompt-Injection, manipulierte Quellen, ungewollte Datenausgabe, Abhängigkeit von Anbietern und fehlende Wiederanlaufwege gehören in Architektur und Betrieb. Testfälle, minimale Rechte, Monitoring, Updates, Vorfallprozess und Rückfalloption werden vor der Produktivstufe festgelegt.

KI-Kompetenz passend zur Aufgabe organisieren

Die Europäische Kommission beschreibt KI-Kompetenz als relevante Pflicht für Anbieter und Betreiber von KI-Systemen. Ein pauschaler Vortrag reicht nicht für jeden Einsatz. Schulung und Anleitung sollten Rolle, technisches Vorwissen, konkrete Aufgaben, mögliche Betroffene, erlaubte Daten, typische Fehler und Eskalationswege berücksichtigen. Der rechtlich erforderliche Umfang ist fallbezogen zu prüfen.

Was DAB im System-Check vorbereitet – und was nicht

DAB kann KI-Inventar, Prozess-, Daten-, Rollen-, Freigabe- und Risikokarte sowie technische Schutz- und Testanforderungen strukturieren. Das schafft eine prüfbare Grundlage für Umsetzung und externe Fachprüfung. DAB erteilt keine Rechtsberatung, führt keine Konformitätsbewertung als benannte Stelle durch und gibt keine pauschale DSGVO- oder AI-Act-Garantie.

Häufige Fragen

Antworten auf die wichtigsten Fragen zur Entscheidung und zum nächsten sicheren Schritt.

Gilt der EU AI Act für jedes KMU mit ChatGPT? – Die konkrete Einordnung hängt von Rolle, System, Zweck und Nutzung ab. Der AI Act enthält unterschiedliche Regeln und Anwendungstermine. Ein KI-Inventar schafft die Grundlage; die rechtliche Bewertung muss anhand des aktuellen Falls erfolgen.
Reicht ein Auftragsverarbeitungsvertrag für DSGVO-Konformität? – Nein. Ein Vertrag kann ein notwendiger Baustein sein, ersetzt aber nicht die Prüfung von Zweck, Rechtsgrundlage, Datenminimierung, Rollen, Drittlandtransfers, Schutzmaßnahmen, Aufbewahrung und Betroffenenrechten.
Muss jede KI-Ausgabe von einem Menschen freigegeben werden? – Nicht pauschal. Die Kontrollstufe sollte sich nach Fehlerfolgen, Reversibilität, Datenrisiko und rechtlicher Einordnung richten. Kritische oder externe Aktionen brauchen meist strengere Gates als interne, klar erkennbare Entwürfe.
Was gehört in ein KI-Inventar? – Mindestens Zweck, Prozesseigner, technischer Betreiber, Anbieter und Modell, Datenquellen und -kategorien, Empfänger, Aktionen, Nutzergruppen, Schutzmaßnahmen, Freigaben, Protokollierung und aktueller Prüfstatus.
Kann DAB DSGVO- oder AI-Act-Konformität garantieren? – Nein. DAB strukturiert technische und organisatorische Anforderungen und dokumentiert den Systemweg. Eine verbindliche rechtliche Bewertung oder formale Konformitätsprüfung muss durch die dafür qualifizierte Stelle erfolgen.
Wie oft muss KI-Governance aktualisiert werden? – Bei Änderungen an Zweck, Modell, Anbieter, Datenquellen, Aktionen oder Betroffenengruppen sollte neu geprüft werden. Zusätzlich ist ein regelmäßiger Review sinnvoll, weil Systeme, Leitlinien und Rechtslage fortentwickelt werden.

Offizielle Orientierung und Prüfgrenzen

Fachlich geprüft von Jan Sommershoff, Automatisierungsberater und Geschäftsführer. Stand: 2026-08-21. Die Quellen beweisen weder den Nutzen eines einzelnen Projekts noch die rechtliche Konformität eines konkreten Systems. Rechtsberatung ist nicht Teil der Leistung.

System-Check anfragen