Wenn Ihr Unternehmen KI in der Personalauswahl, bei der Kreditwürdigkeitsprüfung, in kritischer Infrastruktur oder im Grenz- und Strafverfolgungskontext entwickelt, einsetzt oder nutzt, war der 2. August 2026 eine Frist, die Sie nicht verpassen durften. An diesem Datum wurden die Pflichten der EU-KI-Verordnung für Hochrisiko-KI-Systeme vollständig durchsetzbar — und damit ist die DSGVO nicht mehr das einzige Datengesetz, das Ihr Compliance-Budget in einem schlechten Jahr sprengen kann.

Zum ersten Mal gelten nun zwei getrennte EU-Sanktionsregime parallel für dieselbe zugrunde liegende Tätigkeit: die Verarbeitung personenbezogener Daten durch ein KI-System. Zu verstehen, wo sie sich überschneiden, wo sie auseinandergehen und wo sie beide gleichzeitig greifen können, ist die Compliance-Frage der zweiten Jahreshälfte 2026.

Was sich am 2. August geändert hat

Hochrisiko-KI-Systeme — definiert in Anhang III der KI-Verordnung und unter anderem für Personalbeschaffung, Kreditwürdigkeitsprüfung, Verwaltung kritischer digitaler Infrastruktur und Grenzkontrolle — müssen nun unter anderem verfügen über:

Von Anbietern wurde erwartet, dass zum Stichtag Konformitätsbewertungen abgeschlossen, die technische Dokumentation finalisiert, die CE-Kennzeichnung angebracht und die Registrierung in der EU-Datenbank erfolgt ist.

Wenn Ihnen mehrere dieser Pflichten bekannt vorkommen, ist das kein Zufall. Die DSGVO verlangte bereits Datenschutz-Folgenabschätzungen, dokumentierte Risikoanalysen, Transparenz gegenüber betroffenen Personen und Schutzmaßnahmen bei automatisierter Entscheidungsfindung. Die KI-Verordnung ersetzt nichts davon — sie kommt obendrauf, mit eigener Rechtsgrundlage, eigenen Dokumentationspflichten und eigenen Bußgeldern.

Wo sich die beiden Gesetze tatsächlich überschneiden

Die deutlichsten Kollisionspunkte:

Daten-Governance. Artikel 10 der KI-Verordnung verlangt Governance über Trainings- und Validierungsdatensätze — Relevanz, Repräsentativität, Bias-Erkennung. Die Grundsätze der Datenminimierung und Richtigkeit der DSGVO (Artikel 5) regeln bereits die personenbezogenen Daten innerhalb genau dieser Datensätze. Ein fehlerhafter Trainingsdatensatz kann nun gleichzeitig gegen beide Rahmenwerke verstoßen und wird nach zwei verschiedenen Maßstäben bewertet.

Folgenabschätzungen. Die DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA) für Verarbeitungen mit hohem Risiko. Die KI-Verordnung verlangt eine Grundrechte-Folgenabschätzung (FRIA) für bestimmte Hochrisiko-Einsätze, insbesondere durch öffentliche Stellen und in sensiblen Sektoren. Das sind nicht dieselben Dokumente, aber sie stützen sich weitgehend auf dieselbe zugrunde liegende Risikoanalyse — was bedeutet, dass eine zu eng zugeschnittene DSFA jetzt ein zweites Gesetz vor sich hat, das auffängt, was sie übersieht.

Transparenz. Die Artikel 12–14 DSGVO verlangen klare Informationen an betroffene Personen über die Verarbeitung. Die KI-Verordnung verlangt davon getrennt, dass Anbieter Betreibern Anweisungen für den sicheren Einsatz sowie Angaben zu Genauigkeit und Grenzen des Systems geben, und dass Menschen darüber informiert werden, wenn sie mit einem KI-System interagieren. Zwei Transparenzregime, zwei Zielgruppen, zwei Sätze von Offenlegungspflichten.

Menschliche Aufsicht und automatisierte Entscheidungen. Artikel 22 DSGVO beschränkt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Die Anforderung an menschliche Aufsicht in der KI-Verordnung ist breiter und gilt unabhängig davon, ob eine Entscheidung „ausschließlich" automatisiert ist — ein System, das die Schwelle von Artikel 22 DSGVO nimmt, weil ein Mensch die Ergebnisse formal prüft, kann an der höheren Messlatte der KI-Verordnung für wirksame Aufsicht dennoch scheitern.

Die Bußgeld-Rechnung

Hier wird es schärfer. Artikel 99 der KI-Verordnung sieht eine dreistufige Struktur vor:

Zwei Sanktionsregime, ein KI-System Zwei Sanktionsregime, ein KI-System Bußgeld-Obergrenzen · Balkenlänge = % des Weltjahresumsatzes KI-VO — verbotene Praktiken (Art. 5) €35M / 7% DSGVO — schwerste Verstöße (Art. 83 Abs. 5) €20M / 4% KI-VO — Verstöße bei Hochrisiko-Systemen €15M / 3% KI-VO — irreführende Angaben an Behörden €7.5M / 1% EU-KI-Verordnung (Art. 99) DSGVO (Art. 83) Maßgeblich ist der jeweils höhere Wert — Euro-Obergrenze oder Prozentsatz. Umsatz = weltweiter Jahresumsatz des vorangegangenen Geschäftsjahres.
Die oberste Stufe der KI-Verordnung liegt inzwischen über dem DSGVO-Höchstmaß und macht sie damit an der Obergrenze zum schärferen der beiden Regime. Für normale Unternehmen wird aber die mittlere Stufe entscheidend sein — Verstöße bei Hochrisiko-Systemen mit 15 Mio. € oder 3 %.

Die oberste Stufe übersteigt inzwischen das DSGVO-Höchstmaß von 20 Mio. € oder 4 % des weltweiten Umsatzes und macht die KI-Verordnung damit an ihrer Obergrenze zum schärferen der beiden Regime.

Entscheidend ist, dass Artikel 99 Absatz 8 eine Regel „ein Sachverhalt, eine Sanktion" enthält: Verstößt ein einzelner tatsächlicher Vorgang sowohl gegen die KI-Verordnung als auch gegen ein anderes EU-Recht wie die DSGVO, verhängen die Behörden nur das höhere der beiden anwendbaren Bußgelder. Dieser Schutz ist jedoch enger, als er klingt. Verstößt ein KI-System durch einen verzerrten Trainingsdatensatz gegen die Daten-Governance-Regeln der KI-Verordnung und daneben durch die Art der Erhebung oder Speicherung derselben Daten gegen die Grundsätze der Richtigkeit oder Datenminimierung der DSGVO, gelten das als getrennte Verstöße — und können getrennt sanktioniert werden.

Juristisch ist das kein „Doppelbestrafungsverbot" in dem Sinne, den viele Compliance-Teams annehmen. Es ist eine Bewertung Verstoß für Verstoß — und je stärker die Datenpraktiken Ihres KI-Systems mit DSGVO-geregelten personenbezogenen Daten verflochten sind, desto mehr Angriffsfläche bietet diese Trennung gegen Sie.

Was das praktisch bedeutet

Der Reflex, KI-Verordnung und DSGVO als zwei nacheinander abzuarbeitende Checklisten zu behandeln, ist derzeit der teuerste verfügbare Fehler. Ein paar Dinge, die stattdessen sinnvoll sind:

  1. Gleichen Sie Ihre DSFA und FRIA gegeneinander ab, statt sie getrennt zu beauftragen. Braucht ein System beides, sollte die zugrunde liegende Risikoanalyse eine gemeinsame Grundlage sein und nicht zwei unverbundene Übungen, die sich still widersprechen. Wenn Sie noch gar keinen DSFA-Prozess haben, fangen Sie dort an — die FRIA lässt sich auf einem Nichts deutlich schwerer aufbauen.
  2. Prüfen Sie Ihre bestehenden DSGVO-Transparenzhinweise gegen die Offenlegungspflichten der KI-Verordnung. Sie decken unterschiedliche Informationen ab, aber ein Hinweis, der nur für die DSGVO gebaut wurde, wird das, was die KI-Verordnung nun zusätzlich verlangt, sehr wahrscheinlich nicht enthalten — und das trifft zeitlich zusammen damit, dass der EDSA die Transparenz nach Artikel 12–14 zu seinem koordinierten Vollzugsschwerpunkt 2026 gemacht hat. Beide Aufsichtsseiten schauen dieses Jahr auf dieselben Hinweise, aus unterschiedlichen Gründen.
  3. Behandeln Sie menschliche Aufsicht als Design-Anforderung, nicht als Richtlinientext. Behörden werden unter beiden Regimen Nachweise verlangen, dass ein Mensch tatsächlich wirksam eingreifen kann — nicht nur, dass formal jemand eingebunden ist. Unsere Checkliste zur KI-Aufsicht beschreibt, wie dieser Nachweis in der Praxis aussieht.
  4. Bringen Sie Rechtsabteilung und technische Dokumentation jetzt an einen Tisch. Die Anforderungen der KI-Verordnung an technische Dokumentation und Protokollierung werden zunehmend die Nachweisgrundlage sein, auf der Behörden auch die DSGVO-Konformität beurteilen — beide hängen daran, zeigen und nicht nur behaupten zu können, wie ein System personenbezogene Daten tatsächlich verarbeitet.

Der Vollzugskontext macht das dringend, nicht theoretisch

Das landet nicht in einem ruhigen Vollzugsumfeld.

7,1 Mrd. €
DSGVO-Bußgelder kumuliert
600+ Mio. €
Allein im 1. Halbjahr 2026
443
Meldungen von Verletzungen pro Tag
+22 %
Steigerung im Jahresvergleich

Die DSGVO-Bußgelder haben kumuliert bereits 7,1 Mrd. € überschritten, davon über 600 Mio. € allein im ersten Halbjahr 2026. Die täglichen Meldungen von Datenschutzverletzungen sind im Jahresvergleich um 22 % auf 443 pro Tag gestiegen — das erste Mal, dass dieser Wert seit Geltungsbeginn der DSGVO 2018 über 400 liegt. Und der Vollzug hat sich klar über Big Tech hinaus verlagert: Seit Januar 2023 wurden mehr Bußgelder gegen kleine und mittlere Unternehmen verhängt als in den fünf Jahren davor zusammen.

Legt man auf diese Entwicklung ein zweites Sanktionsregime mit höherer Obergrenze, ist die Botschaft für Compliance-Teams eindeutig: Die KI-Verordnung hat nicht einfach ein weiteres Gesetz zur Beobachtungsliste hinzugefügt. Sie hat eine zweite Aufsichtsbehörde hinzugefügt, mit einer eigenen Vorstellung davon, was Ihr KI-System den Menschen schuldet, deren Daten es berührt — gleichzeitig, an denselben Systemen, oft am selben Sachverhalt.

Wenn Sie nicht sicher sind, auf welcher Seite der Hochrisiko-Grenze Ihre Systeme liegen, ist das die Frage, die zuerst zu beantworten ist — die obigen Pflichten greifen erst innerhalb von Anhang III, aber die Einstufung selbst müssen Sie dokumentiert haben. Kostenlose Beratung mit GDPRGard buchen →

Quellen

Auch lesenswert:

⚠️ Dieser Artikel dient nur der Information und stellt keine Rechtsberatung dar. Bei komplexen Compliance-Situationen wenden Sie sich an eine qualifizierte Datenschutzfachkraft. DSGVO- und EU-AI-Act-Anforderungen unterliegen laufender behördlicher Auslegung — prüfen Sie aktuelle Pflichten mit Ihrer Rechtsberatung.