FLOWKI · NEWSROOM
KI-Governance unter Druck: DSGVO und EU AI Act verschärfen Compliance-Anforderungen
business-mit-ki

KI-Governance unter Druck: DSGVO und EU AI Act verschärfen Compliance-Anforderungen

business-mit-ki4 unabhängige QuellenFlowKI Newsroom

Was passiert

Die Realität in deutschen und österreichischen Unternehmen offenbart eine massive Governance-Lücke: Laut t3n nutzen bereits 75 Prozent der Knowledge Worker künstliche Intelligenz — allerdings in der überwiegenden Mehrheit ohne offizielle Freigabe ihrer Arbeitgeber. Diese unkontrollierte Nutzung kollidiert direkt mit den neuen Anforderungen des EU AI Act und den strengeren Interpretationen der DSGVO, die Unternehmen zunehmend in eine Haftungsfalle führen.

Die zentrale Compliance-Herausforderung liegt in drei Bereichen. Erstens: Wo werden Daten verarbeitet? Der Hosting-Standort ist nicht länger optional, sondern eine Rechtsfrage. Wie t3n berichtet, rückt diese Frage mit jeder produktiven KI-Anwendung stärker in den Fokus — besonders, weil neue KI-Modelle mittlerweile wöchentlich auf den Markt kommen und schnell ohne IT-Involvement produktiv eingesetzt werden. Zweitens: Datenschutzrisiken durch Inferenzen. Selbst einzelne Informationen können Rückschlüsse auf Personen zulassen; eine deutsche Lösung verspricht hier, durch Privacy-Filter vor Tools wie ChatGPT zu schützen. Drittens: Sicherheit von trainierten Modellen. Forschende haben gezeigt, dass spezialisierte KI-Systeme (etwa in der Medizin) durch einfache Methoden attackierbar sind, was zu gezielten Sicherheitsmaßnahmen zwingt.

Der EU AI Act verschärft die Anforderungen an High-Risk-Systeme und Transparenzpflichten erheblich. Unternehmen, die KI einsetzen, müssen nun dokumentieren, wie diese Systeme fungieren, wer dafür verantwortlich ist und welche Risiken bestehen. Ohne formale KI-Governance-Prozesse entstehen schnell Bußgelder und Haftungsrisiken.

Warum für DACH relevant

Im deutschsprachigen Raum verschärft sich die Lage durch mehrere Faktoren erheblich. Die DSGVO war bereits der weltweit strengste Datenschutzrahmen — nun kommen der EU AI Act (ab 2025/2026 in Kraft) und nationale Umsetzungen hinzu. Österreich und die Schweiz folgen teilweise eigenen Interpretationen, wodurch multinational tätige Unternehmen mehrfach reguliert werden.

Für den deutschen Mittelstand ist das besonders kritisch. Viele Betriebe haben weder dedizierte KI-Security-Teams noch formale Freigabeprozesse aufgebaut. Datenverarbeitung durch US-amerikanische Cloud-Anbieter (AWS, Azure, OpenAI) wird zum juristischen Risiko, wenn kein Datenverarbeitungsvertrag und kein angemessenes Datenschutzniveau vorliegen. Die Datenschutzbehörden in Bayern, Baden-Württemberg und Berlin haben bereits erste Prüfungen eingeleitet.

Hinzu kommt ein branchenspezifisches Risiko: Besonders in Medizin, Pharmazie und Finanzwesen haben Datenschutzverletzungen gravierende Folgen. Hier ist die Nutzung von KI ohne Governance nicht nur ein Compliance-Risiko, sondern auch ein Reputationsrisiko. Forschende haben dokumentiert, dass spezialisierte medizinische KI-Modelle systematisch angreifbar sind — ein Fund, der regulatorischen Druck aufbaut.

Der EU AI Act bringt zusätzliche Dokumentationspflichten: Unternehmen müssen ein Register führen, Risikobewertungen durchführen und nachweisen, dass sie die Anforderungen erfüllen. Wer ohne diese Prozesse arbeitet, verstößt nicht nur gegen DSGVO, sondern auch gegen das kommende Primärrecht. Die Strafgelder im EU AI Act liegen bei bis zu 6 Prozent des globalen Jahresumsatzes — deutlich höher als bei DSGVO-Verstößen.

Was du jetzt tun/wissen solltest

Die zentrale Erkenntnis lautet: KI-Governance ist kein IT-Projekt, sondern ein Business- und Compliance-Projekt. Die fehlende Freigabe bei 75 Prozent der Knowledge Worker ist das Kernproblem. Unternehmen müssen sofort drei Schritte einleiten.

Erster Schritt: Eine Bestandsaufnahme durchführen. Wo werden KI-Tools heute bereits eingesetzt? Welche Daten fließen dabei? Das ist nicht "Kontrolle verbieten", sondern "Visibility schaffen". Unternehmen, die erste stille KI-Nutzung tolerieren und dokumentieren, sitzen später bei Audits besser. Zweiter Schritt: Governance-Prozesse aufbauen. Das bedeutet konkret: Wer darf welche KI-Tools für welche Datentypen nutzen? Für sensible Daten (Personaldaten, Gesundheitsdaten, Kundendaten) muss es Freigabeprozesse geben, gestützt durch Data Classification und Privacy Impact Assessments. Dritter Schritt: Hosting-Compliance prüfen. Wenn medizinische oder finanzielle Daten verarbeitet werden, ist der Standort kritisch — Cloud-Verarbeitung in den USA ohne Privacy Shield oder Standard Contractual Clauses ist rechtlich fragwürdig.

Das Entscheidende: Unternehmen, die jetzt handeln (2026), haben einen dokumentierbaren Compliance-Prozess, wenn Behörden später prüfen. Unternehmen, die abwarten, riskieren Verwarnungen und Bußgelder, die im schlimmsten Fall die Millionen-Grenze überschreiten. Governance ist nicht Bremse — sie ist Risikoversicherung und ermöglicht gleichzeitig schnellere Innovation, weil die legitimen Use Cases klarer werden.

Mehr zum Thema KI in der Praxis findest du in unserem Leitfaden KI im Mittelstand: 5 überraschende Erkenntnisse zur echten Nutzung. Und wer verstehen will, wie Governance konkret aussieht, findet in unserem Bericht KI-Piloten in der Praxis: Warum Demo nicht gleich Produktion ist praktische Anhaltspunkte.

Mehr zum Thema im Ressort Kategorie Business mit KI.

Quellen