EU AI Act und DSGVO: Was Artikel 4 für deine KI-Praxis auch 2027 bedeutet

Artikel 4 des EU AI Acts verpflichtet Unternehmen, die KI-Kompetenz ihrer Belegschaft sicherzustellen. Wer KI-Tools im Betrieb einsetzt, steuert oder deren Ergebnisse weiterverarbeitet, muss geschult sein. Diese Pflicht ist seit Februar 2025 in Kraft und zählt nach wie vor zu den am häufigsten unterschätzten Vorgaben der Verordnung (EU) 2024/1689.

Das Kernproblem in der Praxis: Der Gesetzgeber schreibt weder feste Stundenzahlen noch spezifische Standard-Zertifikate vor. Unternehmen müssen die erforderliche Qualifikation selbst anhand der jeweiligen Risikoklasse der KI, der Rolle des Mitarbeitenden und des Automatisierungsgrads festlegen.

Im Audit oder bei Kontrollen durch Aufsichtsbehörden drohen bei fehlenden Schulungsnachweisen empfindliche Bußgelder. Dokumentierte Lernpfade, interne KI-Guidelines und Zertifikate aus unserer EU AI Act Schulung dienen als direkter Nachweis Eurer Artikel-4-Konformität.

Während der EU AI Act die Sicherheit und Transparenz von KI-Systemen regelt, schützt die DSGVO personenbezogene Daten. Sobald Eure KI-Anwendung mit Namen, Kundendaten oder internen Personaldokumenten arbeitet, greifen beide Regelwerke gleichzeitig.

Ein KI-Tool kann datenschutzrechtlich sauber sein und dennoch gegen den EU AI Act verstoßen – etwa wenn es als Hochrisiko-System eingestuft ist und erforderliche Risikobewertungen fehlen. Umgekehrt reicht die reine AI-Act-Konformität nicht aus, wenn die Rechtsgrundlage für die Datenverarbeitung fehlt.

Für Eure Praxis bedeutet das: KI-Projekte benötigen zwingend eine zweistufige Prüfung aus Datenschutz- und KI-Regulierungsperspektive.

Eine Auftragsverarbeitungsvereinbarung (AVV) nach Artikel 28 DSGVO ist Pflicht, sobald ein externer KI-Dienstanbieter personenbezogene Daten Eures Unternehmens verarbeitet. Ohne gültige AVV fehlt die Rechtsgrundlage.

Achte bei der Anbieterauswahl auf folgende Punkte:

• Verarbeitungsort: Serverstandort und Datenverarbeitung idealerweise ausschließlich in der EU.

• Modelltraining ausschließen: Stelle sicher, dass Eure eingegebenen Prompts und Firmendaten nicht zum Training des öffentlichen KI-Modells genutzt werden (Opt-Out).

• AI-Act-Dokumentation: Transparente Dokumentation des Anbieters zur Risikoeinstufung.

Der Markt an Anbietern, die beide Regelwerke erfüllen, wächst seit 2025 spürbar. Mehrere europäische Cloud-Anbieter und einige internationale Anbieter mit EU-Rechenzentren bieten mittlerweile Verträge an, die sowohl AVV als auch AI-Act-Dokumentation umfassen (bitte ergänzen: aktuelle Liste konkreter Anbieter mit Stand 2026).

Wichtige Kriterien bei der Auswahl: Verarbeitung ausschließlich in der EU, klare AVV, Opt-out vom Modelltraining und eine dokumentierte Risikoeinstufung nach EU AI Act. Anbieter, die diese vier Punkte transparent kommunizieren, sind in der Regel eine sichere Wahl.

Grundsätzlich gilt: Ein Siegel oder eine Werbeaussage „DSGVO-konform“ ersetzt keine eigene Prüfung. Jedes Unternehmen muss selbst bewerten, ob der konkrete Einsatzzweck – etwa Bewerbermanagement oder medizinische Diagnoseunterstützung – zusätzliche Pflichten auslöst.

er Gesetzgeber unterteilt KI-Systeme in vier risikobasierte Kategorien:

1. Unannehmbares Risiko: Verbotene Anwendungen (z. B. Social Scoring oder unzulässige Biometrie).

2. Hohes Risiko: Strenge Auflagen für Dokumentation, Risikomanagement und menschliche Aufsicht (z. B. KI bei Personalentscheidungen, Bewerbersortierung oder Kreditwürdigkeitsprüfungen).

3. Begrenztes Risiko: Transparenzpflichten für Chatbots und Generative KI (Nutzer müssen erkennen, dass sie mit einer KI interagieren).

4. Minimales Risiko: Keine zusätzlichen Auflagen für Standard-Software (z. B. KI-gestützte Spamfilter).

Eine falsche Risikoeinstufung birgt hohe Haftungsrisiken. Vertiefe Euer Risikomanagement in unserem Seminar Risikomanagement für KI: Sicher und konform.

Vertrauliche Geschäftsdaten, Quellcodes oder personenbezogene Daten dürfen niemals ungeprüft in öffentliche KI-Systeme eingegeben werden. Die größte Schwachstelle ist oft Unwissenheit im Arbeitsalltag.

Artikel 4 fordert deshalb gezielte Mitarbeiter-Sensibilisierung: Wer weiß, wie Halluzinationen entstehen, welche Daten in KI-Tools erlaubt sind und wie Prompts sicher formuliert werden, schützt Euer Unternehmen wirksam vor Datenpannen. Praktische Handlungsrichtlinien lernst Du im Kurs KI-Tools nutzen: Datenschutz, Governance und Umsetzung.

Ab August 2026 gelten weitere Pflichten des EU AI Acts, insbesondere für Hochrisiko-Systeme. 2027 dürften verstärkt Prüfungen und erste Bußgeldverfahren folgen, da nationale Aufsichtsbehörden ihre Strukturen bis dahin aufgebaut haben werden (bitte ergänzen: konkreter Fahrplan der Bundesnetzagentur bzw. zuständiger deutscher Behörde für 2027).

Unternehmen, die jetzt in Schulung und saubere Verträge investieren, sind klar im Vorteil. Wer 2026 noch wartet, wird 2027 unter Zeitdruck nachziehen müssen – mit weniger Auswahl an geprüften Anbietern und engeren Fristen.

• EU AI Act Schulung besuchen: Erfülle die Artikel-4-Schulungspflicht für Eure Teams rechtssicher und nachweisbar.

• KI-Tools nutzen: Datenschutz & Governance: Etabliere klare Richtlinien und AVVs für den täglichen Einsatz generativer KI.

• Risikomanagement für KI: Stufe Eure KI-Systeme korrekt ein und bereite Eure IT-Governance auf Audits vor.