Wer KI-Systeme entwickelt oder einsetzt, hat es in der EU mit zwei Regelwerken gleichzeitig zu tun: dem AI Act und der DSGVO. Sie verfolgen unterschiedliche Ziele, verwenden unterschiedliche Begriffe und haben unterschiedliche Behörden — und doch betreffen sie oft dasselbe System. Dieser Beitrag zeigt, wo sie sich überschneiden und wie man beide in einem Ablauf umsetzt, statt zwei getrennte Projekte zu führen.
Unterschiedliche Logik
Die DSGVO schützt Personen bei der Verarbeitung ihrer Daten. Sie gilt, sobald personenbezogene Daten verarbeitet werden, unabhängig von der Technik. Der AI Act ist im Kern Produktregulierung: Er legt Anforderungen an KI-Systeme fest, abgestuft nach Risiko, unabhängig davon, ob Personendaten im Spiel sind. Der AI Act hält ausdrücklich fest, dass er das Datenschutzrecht unberührt lässt. Beide gelten also nebeneinander.
Unterschiedliche Rollen
Die DSGVO kennt Verantwortliche und Auftragsverarbeiter, der AI Act Anbieter und Betreiber. Die Rollen decken sich nicht automatisch. Ein Softwarehaus kann Anbieter eines KI-Systems sein und zugleich Auftragsverarbeiter für die Daten seiner Kunden; ein Unternehmen, das ein KI-Werkzeug einsetzt, ist Betreiber und zugleich Verantwortlicher für die Verarbeitung. Die Rollen werden deshalb pro System und Regelwerk getrennt bestimmt.
Transparenz
Die DSGVO verlangt Information über Zwecke, Empfänger und Rechte, festgehalten in der Datenschutzerklärung. Der AI Act verlangt nach Art. 50 unter anderem, dass Menschen erfahren, wenn sie mit einer KI interagieren, und dass bestimmte KI-Inhalte gekennzeichnet werden. Die beiden Pflichten ergänzen sich: Ein Chatbot braucht den KI-Hinweis nach AI Act und die Information über die Verarbeitung der eingegebenen Daten nach DSGVO.
Automatisierte Entscheidungen und menschliche Aufsicht
Art. 22 DSGVO regelt automatisierte Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Der AI Act verlangt bei Hochrisiko-Systemen menschliche Aufsicht und gibt Betroffenen bestimmter Entscheidungen ein Recht auf Erläuterung. In der Praxis greifen beide ineinander: Ein Hochrisiko-System für Kreditentscheidungen braucht eine wirksame Aufsicht nach AI Act und die Rechte der Betroffenen nach DSGVO.
FRIA und DSFA
Die DSGVO verlangt eine Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko für die Rechte natürlicher Personen. Der AI Act verlangt von bestimmten Betreibern von Hochrisiko-Systemen eine Grundrechte-Folgenabschätzung. Der AI Act sieht ausdrücklich vor, dass die FRIA eine bereits durchgeführte DSFA ergänzt, wo sich die Inhalte decken. Sinnvoll ist deshalb ein gemeinsames Dokument mit einem Datenschutz- und einem Grundrechteteil. Wie eine DSFA aufgebaut ist, beschreibt der Beitrag Wann brauchen Sie eine DSFA.
Daten-Governance
Der AI Act verlangt für Hochrisiko-Systeme, dass Trainings-, Validierungs- und Testdaten nach Qualitätskriterien gesteuert werden, unter anderem zur Erkennung von Verzerrungen. Für diesen Zweck erlaubt er unter strengen Bedingungen auch die Verarbeitung besonderer Kategorien personenbezogener Daten. Die DSGVO bleibt dabei massgeblich: Rechtsgrundlage, Zweckbindung, Datenminimierung und Speicherbegrenzung gelten weiter. Gute Daten-Governance erfüllt beide Anforderungen zugleich.
Aufsicht
Die DSGVO wird von den Datenschutzbehörden durchgesetzt, der AI Act von Marktüberwachungsbehörden, die die Mitgliedstaaten bestimmen; für bestimmte Bereiche sind auch Datenschutzbehörden zuständig. Für Unternehmen heisst das: Ein Vorfall mit einem KI-System kann Fragen von zwei Behörden auslösen. Eine gemeinsame Dokumentation erleichtert die Antwort.
Gemeinsam umsetzen
1. Ein KI-Inventar führen, das pro System die Rolle nach AI Act und nach DSGVO, die Risikoklasse und die verarbeiteten Daten festhält.
2. Transparenz gemeinsam gestalten: KI-Hinweis und Datenschutzinformation an derselben Stelle.
3. Folgenabschätzungen zusammenführen: eine DSFA mit Grundrechteteil, wo eine FRIA verlangt ist.
4. Verträge mit KI-Anbietern auf beide Regelwerke prüfen: Auftragsverarbeitung, Training, Dokumentation, Unterstützung bei Pflichten.
5. Für die Schweiz zusätzlich das revidierte DSG berücksichtigen, das auch für KI-Anwendungen gilt.
Den Gesamtzusammenhang des AI Act beschreibt der Leitfaden zum AI Act 2026. Beide Regelwerke zusammen setzen wir im Rahmen der AI-Act-Beratung und des FRIA-und-DSFA-Pakets um.