EU-AI-Act & DSGVO-Checkliste (KMU)

Seit dem 2. August 2026 greifen die Transparenzpflichten des EU-AI-Act (Art. 50): Wer KI im Unternehmen einsetzt, muss KI-generierte Inhalte und Chatbots ab jetzt kennzeichnen. Zusammen mit der DSGVO entsteht daraus ein Pflichten-Bündel, bei dem viele kleine und mittlere Betriebe den Überblick verlieren. Diese abhakbare Checkliste ordnet, was jetzt zählt — verständlich, ohne Jura-Studium.

Erstellt von der FlowKI-Community. Wichtig: Das ist eine Orientierungshilfe, keine Rechtsberatung. Deine konkrete Pflichtenlage hängt vom Einzelfall ab — im Zweifel eine Fachanwältin oder einen Datenschutzbeauftragten hinzuziehen. Stand: August 2026.

---

Zuerst verstehen: die Risiko-Stufen des AI-Act

Der EU-AI-Act stuft KI-Systeme nach Risiko ein. Deine Pflichten hängen davon ab, in welche Stufe dein Einsatz fällt.

Stufe	Bedeutung	Beispiele
Verboten	seit 02.02.2025 untersagt	Social Scoring, manipulative Systeme, unzulässige biometrische Kategorisierung
Hochrisiko	strenge Auflagen (voll ab 02.08.2027)	KI in Bewerbung/Personal, Kreditvergabe, kritischer Infrastruktur
Begrenztes Risiko	Transparenzpflicht (seit 02.08.2026)	Chatbots, KI-generierte Texte/Bilder/Videos
Minimales Risiko	keine besonderen Pflichten	Spamfilter, KI in Spielen

Die meisten Standard-Einsätze im Mittelstand (Chatbot auf der Website, KI-generierte Texte, Bild-Generierung) fallen unter begrenztes Risiko — hier ist die Transparenzpflicht das zentrale neue Thema.

1. Transparenzpflichten (AI-Act Art. 50) — seit 02.08.2026 aktiv

• Chatbots kennzeichnen: Nutzer müssen erkennen, dass sie mit einer KI sprechen, nicht mit einem Menschen.
• KI-generierte Inhalte kennzeichnen: synthetisch erzeugte Texte, Bilder, Audio und Videos als solche ausweisen (maschinenlesbar, wo möglich).
• Deepfakes deutlich markieren: täuschend echte, aber künstliche Darstellungen von Personen/Ereignissen offenlegen.
• Kennzeichnung klar und leicht auffindbar platzieren, nicht im Kleingedruckten.

2. KI-Kompetenz im Team (AI-Act Art. 4) — seit 02.02.2025 Pflicht

• Mitarbeitende, die KI einsetzen, haben ein ausreichendes Grundverständnis (Chancen, Grenzen, Risiken).
• Es gibt eine interne KI-Richtlinie (was ist erlaubt, was nicht, welche Tools).
• Schulungen/Onboarding sind dokumentiert (Nachweisbarkeit).

3. DSGVO-Grundlagen bei jedem KI-Einsatz mit Personendaten

• Rechtsgrundlage geklärt (Art. 6 DSGVO): Einwilligung, Vertrag oder berechtigtes Interesse — bewusst gewählt, nicht „irgendwie".
• Zweckbindung & Datensparsamkeit: nur die Daten verarbeiten, die wirklich nötig sind.
• Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter geschlossen (Art. 28), wenn dieser in deinem Auftrag personenbezogene Daten verarbeitet.
• Ort der Verarbeitung geprüft: EU-Server bevorzugt; bei US-Diensten die Übermittlungsgrundlage klären (z.B. EU-US Data Privacy Framework).
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30) um den KI-Einsatz ergänzt.
• Bei hohem Risiko für Betroffene: Datenschutz-Folgenabschätzung (DSFA, Art. 35) geprüft/durchgeführt.

4. Keine sensiblen Daten in fremde KI-Tools

• Team weiß: keine Passwörter, Kunden-, Gesundheits- oder Geschäftsgeheimnisse in öffentliche KI-Dienste eingeben.
• Prüfen, ob der Dienst Eingaben zum Training nutzt — und das abschalten/opt-out, wo möglich (Business-/Enterprise-Tarife bieten das oft).
• Für sensible Fälle: EU-gehostete oder selbst betriebene Modelle erwägen.

5. Betroffenenrechte müssen auch bei KI funktionieren

• Auskunft (Art. 15): Du kannst sagen, welche Personendaten in welchen KI-Prozess fließen.
• Löschung (Art. 17): personenbezogene Daten sind aus Prompts/Logs/Trainingsdaten entfernbar.
• Keine unzulässige automatisierte Einzelentscheidung (Art. 22) ohne menschliche Prüfung bei rechtlich erheblichen Entscheidungen (z.B. Absagen).

6. Dokumentation & Verantwortlichkeit

• Wer ownt den KI-Einsatz? Eine benannte verantwortliche Person/Rolle.
• Eingesetzte KI-Systeme sind inventarisiert (welches Tool, wofür, welche Daten).
• Entscheidungen (Risiko-Einstufung, AVV, Kennzeichnung) sind schriftlich festgehalten — Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Die drei häufigsten Fehler

1. Kennzeichnung vergessen. Seit 02.08.2026 müssen Chatbot und KI-Content markiert sein — das wird oft übersehen, weil es neu ist.
2. Kein AVV mit dem KI-Anbieter. Wer ein KI-Tool mit Kundendaten füttert, braucht in der Regel einen Auftragsverarbeitungsvertrag.
3. Sensible Daten in Gratis-Tools. Der bequemste Weg ist oft der riskanteste — ein Team ohne klare Regel gibt schnell zu viel preis.

Offizielle Quellen (frei, verlässlich)

• EU-AI-Act im Volltext & Explorer: artificialintelligenceact.eu
• DSGVO-Volltext (Deutsch): dsgvo-gesetz.de
• Bundesbeauftragte/r für Datenschutz (BfDI): bfdi.bund.de

Fragen zur konkreten Umsetzung im eigenen Betrieb? In der FlowKI-Community tauschen sich andere KMU zu genau diesen Themen aus — Erfahrungen aus der Praxis, keine Kanzlei-Rechnung.