# EU-AI-Act & DSGVO — Compliance-Checkliste (Deutsch)

Seit dem **2. August 2026** greifen die Transparenzpflichten des EU-AI-Act (Art. 50):
Wer KI im Unternehmen einsetzt, muss KI-generierte Inhalte und Chatbots ab jetzt
kennzeichnen. Zusammen mit der DSGVO entsteht daraus ein Pflichten-Bündel, bei dem viele
kleine und mittlere Betriebe den Überblick verlieren. Diese abhakbare Checkliste ordnet,
was jetzt zählt — verständlich, ohne Jura-Studium.

Erstellt von der [FlowKI-Community](https://flowki-club.de). **Wichtig: Das ist eine
Orientierungshilfe, keine Rechtsberatung.** Deine konkrete Pflichtenlage hängt vom
Einzelfall ab — im Zweifel eine Fachanwältin oder einen Datenschutzbeauftragten
hinzuziehen. Stand: August 2026.

---

## Zuerst verstehen: die Risiko-Stufen des AI-Act

Der EU-AI-Act stuft KI-Systeme nach Risiko ein. Deine Pflichten hängen davon ab, in
welche Stufe dein Einsatz fällt.

| Stufe | Bedeutung | Beispiele |
|---|---|---|
| **Verboten** | seit 02.02.2025 untersagt | Social Scoring, manipulative Systeme, unzulässige biometrische Kategorisierung |
| **Hochrisiko** | strenge Auflagen (voll ab 02.08.2027) | KI in Bewerbung/Personal, Kreditvergabe, kritischer Infrastruktur |
| **Begrenztes Risiko** | Transparenzpflicht (seit 02.08.2026) | Chatbots, KI-generierte Texte/Bilder/Videos |
| **Minimales Risiko** | keine besonderen Pflichten | Spamfilter, KI in Spielen |

Die meisten Standard-Einsätze im Mittelstand (Chatbot auf der Website, KI-generierte
Texte, Bild-Generierung) fallen unter **begrenztes Risiko** — hier ist die
Transparenzpflicht das zentrale neue Thema.

## 1. Transparenzpflichten (AI-Act Art. 50) — seit 02.08.2026 aktiv

- [ ] **Chatbots kennzeichnen:** Nutzer müssen erkennen, dass sie mit einer KI sprechen,
      nicht mit einem Menschen.
- [ ] **KI-generierte Inhalte kennzeichnen:** synthetisch erzeugte Texte, Bilder, Audio
      und Videos als solche ausweisen (maschinenlesbar, wo möglich).
- [ ] **Deepfakes deutlich markieren:** täuschend echte, aber künstliche Darstellungen
      von Personen/Ereignissen offenlegen.
- [ ] Kennzeichnung **klar und leicht auffindbar** platzieren, nicht im Kleingedruckten.

## 2. KI-Kompetenz im Team (AI-Act Art. 4) — seit 02.02.2025 Pflicht

- [ ] Mitarbeitende, die KI einsetzen, haben ein **ausreichendes Grundverständnis**
      (Chancen, Grenzen, Risiken).
- [ ] Es gibt eine **interne KI-Richtlinie** (was ist erlaubt, was nicht, welche Tools).
- [ ] Schulungen/Onboarding sind dokumentiert (Nachweisbarkeit).

## 3. DSGVO-Grundlagen bei jedem KI-Einsatz mit Personendaten

- [ ] **Rechtsgrundlage** geklärt (Art. 6 DSGVO): Einwilligung, Vertrag oder berechtigtes
      Interesse — bewusst gewählt, nicht „irgendwie".
- [ ] **Zweckbindung & Datensparsamkeit:** nur die Daten verarbeiten, die wirklich nötig
      sind.
- [ ] **Auftragsverarbeitungsvertrag (AVV)** mit dem KI-Anbieter geschlossen (Art. 28),
      wenn dieser in deinem Auftrag personenbezogene Daten verarbeitet.
- [ ] **Ort der Verarbeitung** geprüft: EU-Server bevorzugt; bei US-Diensten die
      Übermittlungsgrundlage klären (z.B. EU-US Data Privacy Framework).
- [ ] **Verzeichnis von Verarbeitungstätigkeiten** (Art. 30) um den KI-Einsatz ergänzt.
- [ ] Bei hohem Risiko für Betroffene: **Datenschutz-Folgenabschätzung (DSFA, Art. 35)**
      geprüft/durchgeführt.

## 4. Keine sensiblen Daten in fremde KI-Tools

- [ ] Team weiß: **keine Passwörter, Kunden-, Gesundheits- oder Geschäftsgeheimnisse** in
      öffentliche KI-Dienste eingeben.
- [ ] Prüfen, ob der Dienst **Eingaben zum Training nutzt** — und das abschalten/opt-out,
      wo möglich (Business-/Enterprise-Tarife bieten das oft).
- [ ] Für sensible Fälle: EU-gehostete oder selbst betriebene Modelle erwägen.

## 5. Betroffenenrechte müssen auch bei KI funktionieren

- [ ] **Auskunft (Art. 15):** Du kannst sagen, welche Personendaten in welchen
      KI-Prozess fließen.
- [ ] **Löschung (Art. 17):** personenbezogene Daten sind aus Prompts/Logs/Trainingsdaten
      entfernbar.
- [ ] **Keine unzulässige automatisierte Einzelentscheidung (Art. 22)** ohne menschliche
      Prüfung bei rechtlich erheblichen Entscheidungen (z.B. Absagen).

## 6. Dokumentation & Verantwortlichkeit

- [ ] **Wer ownt den KI-Einsatz?** Eine benannte verantwortliche Person/Rolle.
- [ ] Eingesetzte KI-Systeme sind **inventarisiert** (welches Tool, wofür, welche Daten).
- [ ] Entscheidungen (Risiko-Einstufung, AVV, Kennzeichnung) sind **schriftlich
      festgehalten** — Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

## Die drei häufigsten Fehler

1. **Kennzeichnung vergessen.** Seit 02.08.2026 müssen Chatbot und KI-Content markiert
   sein — das wird oft übersehen, weil es neu ist.
2. **Kein AVV mit dem KI-Anbieter.** Wer ein KI-Tool mit Kundendaten füttert, braucht in
   der Regel einen Auftragsverarbeitungsvertrag.
3. **Sensible Daten in Gratis-Tools.** Der bequemste Weg ist oft der riskanteste — ein
   Team ohne klare Regel gibt schnell zu viel preis.

## Offizielle Quellen (frei, verlässlich)

- **EU-AI-Act im Volltext & Explorer:** [artificialintelligenceact.eu](https://artificialintelligenceact.eu)
- **DSGVO-Volltext (Deutsch):** [dsgvo-gesetz.de](https://dsgvo-gesetz.de)
- **Bundesbeauftragte/r für Datenschutz (BfDI):** [bfdi.bund.de](https://www.bfdi.bund.de)

Fragen zur konkreten Umsetzung im eigenen Betrieb? In der
[FlowKI-Community](https://flowki-club.de) tauschen sich andere KMU zu genau diesen
Themen aus — Erfahrungen aus der Praxis, keine Kanzlei-Rechnung.