Stellen Sie sich vor, ein Vertriebsleiter kopiert kurz vor dem Meeting einen Kundenvertrag in ChatGPT und lässt sich eine Zusammenfassung schreiben. Das dauert zwei Minuten und spart eine halbe Stunde. Dabei schickt er Namen, Konditionen und Laufzeiten an einen Anbieter in den USA, über ein privates Konto und ohne Auftragsverarbeitungsvertrag. Datenschutzrechtlich war ein solches Vorgehen schon immer heikel. Seit dem 2. August 2026 gilt zusätzlich die KI-Verordnung mit ihren Transparenzpflichten und Bußgeldern. Dieser Beitrag erklärt, welche Regeln aus DSGVO und KI-Verordnung nebeneinander gelten, was Unternehmen intern regeln müssen und wer in Deutschland und den Niederlanden die Aufsicht führt.

Zwei Regelwerke, die nebeneinander gelten

Die KI-Verordnung ersetzt die DSGVO nicht. Beide greifen gleichzeitig, sobald ein KI-Tool personenbezogene Daten verarbeitet oder Inhalte für die Öffentlichkeit erzeugt.
Die Datenschutz-Grundverordnung fragt nicht, ob eine Software klassisch programmiert ist oder mit künstlicher Intelligenz arbeitet. Sie greift, sobald jemand personenbezogene Daten verarbeitet, also bei jedem Kundennamen, jeder Personalakte und jeder Vertragspartei, die in ein Eingabefeld der KI wandert.
Die KI-Verordnung (Verordnung (EU) 2024/1689) kommt seit 2024 hinzu und regelt nicht die Daten, sondern das System: Sie verbietet bestimmte Anwendungen, stellt Anforderungen an Hochrisiko-Systeme und verpflichtet Anbieter und Betreiber zur Transparenz. Betreiber ist hierbei jedes Unternehmen, das ein KI-System in eigener Verantwortung einsetzt. Wer einen KI-Assistenten im Kundendienst nutzt, ist somit Betreiber, ohne eine Zeile Code geschrieben zu haben.

Der Zeitplan, der seit dem Sommer verbindlich ist

Die KI-Verordnung trat am 1. August 2024 in Kraft und greift stufenweise:

• Februar 2025: Verbote bestimmter Praktiken und die Pflicht aus Artikel 4, Beschäftigte mit ausreichender KI-Kompetenz auszustatten.
• August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
• August 2026: Transparenzpflichten nach Artikel 50. Seit diesem Tag können die Behörden Verstöße mit Geldbußen ahnden.

Der im Juli 2026 verabschiedete Digital-Omnibus zur KI (Verordnung (EU) 2026/1744) hat den Zeitplan an anderer Stelle gestreckt. Eigenständige Hochrisiko-Systeme müssen die Anforderungen erst ab dem 2. Dezember 2027 erfüllen, KI-Komponenten in bereits regulierten Produkten wie Maschinen oder Medizinprodukten erst ab dem 2. August 2028. Anbieter generativer Systeme, die vor dem 2. August 2026 auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, ihre Ausgaben maschinenlesbar zu kennzeichnen. Die Transparenzpflichten für Betreiber hat der Omnibus nicht verschoben.

Was Artikel 50 von Betreibern verlangt

Drei Pflichten treffen den Unternehmensalltag unmittelbar:

• Chatbots offenlegen. Wer ein KI-System einsetzt, das direkt mit Menschen spricht, etwa auf der Website oder im Kundendienst, muss den Nutzern sagen, dass sie mit einer Maschine interagieren, es sei denn, das ist aus dem Kontext offensichtlich.
• Künstliche Bilder, Ton und Video kennzeichnen. Inhalte, die eine KI erzeugt oder wesentlich verändert hat und die als echt durchgehen könnten, brauchen den Hinweis, dass sie künstlich entstanden sind.
• KI-Texte offenlegen. Wer die Öffentlichkeit mit KI-generierten Texten über Themen von öffentlichem Interesse informiert, muss das kenntlich machen, außer ein Mensch hat den Text redaktionell geprüft und trägt die Verantwortung.

Ein Beitrag, der mit KI-Unterstützung entsteht und vor der Veröffentlichung fachlich geprüft wird, braucht deshalb keine Kennzeichnung; ein ungeprüft veröffentlichter Text schon. Verstöße gegen Artikel 50 kosten nach Artikel 99 Absatz 4 KI-Verordnung bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der niedrigere Betrag als Obergrenze.

Die DSGVO-Seite: Vertrag, Tarif und Datenfluss

Unabhängig von der KI-Verordnung gilt: Verarbeitet ein externer Dienst personenbezogene Daten im Auftrag eines Unternehmens, verlangt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag. Bei den großen Anbietern hängt dieser Vertrag am Geschäftstarif. OpenAI bietet sein Data Processing Addendum nach eigenen Angaben für ChatGPT Team, Enterprise und die Programmierschnittstelle an, nicht jedoch für die kostenlose Version und nicht für den Privattarif Plus. Diese beiden Konsumentenprodukte nutzen Eingaben zudem standardmäßig für das Training der Modelle, solange der Nutzer das nicht in den Einstellungen deaktiviert. Für Firmendaten taugen sie damit nicht, so sorgfältig die einzelne Person auch arbeitet.

Dazu kommen die Pflichten, die Unternehmen von anderen Cloud-Diensten kennen: das KI-Tool ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen, die Übermittlung in die USA prüfen und je nach Einsatz eine Datenschutz-Folgenabschätzung durchführen. Wer im Unternehmenstarif die Datenspeicherung in der EU aktiviert, senkt das Übermittlungsrisiko, beseitigt es aber nicht, weil der Anbieter ein US-Unternehmen bleibt.

Was intern geregelt sein muss

Eine KI-Richtlinie für Beschäftigte ist der Ort, an dem DSGVO und KI-Verordnung praktisch zusammenlaufen. Sie muss nicht lang sein, aber vier Fragen beantworten:

• Welche KI-Tools dürfen die Beschäftigten nutzen, und über welche Konten?
• Welche Daten bleiben grundsätzlich draußen: Kundendaten, Personaldaten, Vertragsinhalte, Zugangsdaten?
• Wer prüft KI-erzeugte Inhalte, bevor sie das Haus verlassen?
• Wie dokumentiert das Unternehmen diese Prüfung?

Artikel 4 der KI-Verordnung verlangt seit Februar 2025 außerdem, dass Beschäftigte, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen, passend zu ihren Aufgaben. Eine dokumentierte Schulung weist das am einfachsten nach.

Wer in Deutschland und den Niederlanden zuständig ist

In Deutschland gilt seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung; KI im Zusammenhang mit regulierten Finanztätigkeiten beaufsichtigt weiterhin die BaFin. Die Niederlande setzen auf zehn bestehende Aufsichtsbehörden, koordiniert von der Autoriteit Persoonsgegevens und der Rijksinspectie Digitale Infrastructuur. Die Autoriteit Persoonsgegevens überwacht dabei unter anderem die Transparenzpflichten. Die zugehörige Uitvoeringswet AI-verordening lag im Frühjahr 2026 zur Konsultation und ist noch nicht in Kraft. An den Pflichten der Unternehmen ändert das nichts. Die Verordnung gilt unmittelbar, ob die nationale Aufsicht schon steht oder nicht.

Ausblick

Die Regeln für den Arbeitsalltag gelten seit August 2026 vollständig. Offen ist die Praxis, wie streng die Behörden die Kennzeichnung von Bildern und Texten auslegen und wie die niederländische Aufsicht arbeitet, sobald die Uitvoeringswet steht. Wer einen Geschäftstarif mit Auftragsverarbeitungsvertrag nutzt, eine kurze Richtlinie eingeführt hat und seine Beschäftigten schult, erfüllt den Kern beider Regelwerke schon heute.

Quellen

Europäische Union (2024). Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 4, 50 und 99. Abgerufen von https://eur-lex.europa.eu/eli/reg/2024/1689/oj

Europäische Union (2026). Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI) zur Änderung der Verordnung (EU) 2024/1689. Abgerufen von https://eur-lex.europa.eu/eli/reg/2026/1744/oj

Europäische Union (2016). Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 28. Abgerufen von https://eur-lex.europa.eu/eli/reg/2016/679/oj

Bundesnetzagentur (2026). Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung, Pressemitteilung vom 29. Juli 2026. Abgerufen von https://bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2026/20260729_KI_VO.html

Deutscher Bundestag (2026). Ausschuss nimmt Gesetz zur Durchführung der KI-Verordnung an, hib 469/2026. Abgerufen von https://www.bundestag.de/presse/hib/kurzmeldungen-1184102

IHK Nürnberg für Mittelfranken (2026). EU AI-Act: Transparenz- und Kennzeichnungspflichten ab 2. August. Abgerufen von https://www.ihk-nuernberg.de/meldungen/details/eu-ai-act-transparenz-und-kennzeichnungspflichten-ab-2-august

Future of Life Institute (2026). Die Transparenzvorschriften des EU-KI-Gesetzes: Ein praktischer Leitfaden zu Artikel 50. Abgerufen von https://artificialintelligenceact.eu/de/transparency-rules-article-50/

Stibbe (2026). Nederlands voorstel voor AI-toezicht: hybride samenwerking tussen markttoezichtautoriteiten. Abgerufen von https://www.stibbe.com/nl/publications-and-insights/nederlands-voorstel-voor-ai-toezicht-hybride-samenwerking-tussen

Security Management (2026). EU AI Act: Nederlandse toezichthouders AP en RDI krijgen sleutelrol. Abgerufen von https://www.securitymanagement.nl/eu-ai-act-nederlandse-toezichthouders-ap-en-rdi-krijgen-sleutelrol/

Bild: FJ Design Agentur (fjdesign.de)