Künstliche Intelligenz ist längst im Arbeitsalltag angekommen. Doch wer kontrolliert eigentlich, ob Unternehmen und Behörden KI rechtskonform einsetzen?

Seit 2026 ist die Bundesnetzagentur als zentrale Marktüberwachungsbehörde für die europäische KI-Verordnung vorgesehen. Trotzdem bleibt für viele Organisationen eine andere Aufsicht besonders relevant: die Datenschutzbehörden.

Denn auch mit der neuen KI-Verordnung verschwinden die bestehenden Datenschutzpflichten nicht.

KI-Verordnung: Wer ist für die Kontrolle zuständig?

Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) wurde die Bundesnetzagentur als zentrale Marktüberwachungsbehörde benannt.

Allerdings gibt es Ausnahmen. Für bestimmte Finanzdienstleistungen, regulierte Produkte oder den KI-Einsatz durch öffentliche Stellen der Länder können andere Behörden zuständig sein.

Besonders relevant ist die KI-Marktüberwachung für Anbieter von KI-Systemen und Organisationen, die Hochrisiko-KI einsetzen.

Für viele Unternehmen, die KI beispielsweise zur Texterstellung oder Unterstützung alltäglicher Arbeitsprozesse nutzen, stehen dagegen andere Anforderungen im Vordergrund.

Welche Pflichten müssen Unternehmen und Behörden beachten?

Die KI-Verordnung enthält verschiedene Anforderungen, die je nach Anwendung und Rolle der Organisation relevant werden können.

Dazu gehören insbesondere:

‼️ Verbotene KI-Praktiken: Bestimmte Anwendungen, etwa KI-gestützte Emotionserkennung am Arbeitsplatz, sind grundsätzlich untersagt.

‼️ KI-Kompetenz: Beschäftigte sollten die Chancen, Grenzen und Risiken eingesetzter KI-Systeme verstehen.

‼️ Transparenz: Für bestimmte KI-generierte Inhalte und KI-Systeme gelten Kennzeichnungspflichten.

‼️ Hochrisiko-KI: Besonders sensible Anwendungen, etwa im Personalwesen oder in bestimmten Bereichen der öffentlichen Verwaltung, unterliegen zusätzlichen Anforderungen.

Welche Pflichten konkret gelten, hängt vom eingesetzten System, seinem Verwendungszweck und der Rolle der jeweiligen Organisation ab.

Das größere Risiko liegt häufig beim Datenschutz

Die KI-Verordnung ist nur ein Teil der rechtlichen Anforderungen. Sobald beim Einsatz von KI personenbezogene Daten verarbeitet werden, muss auch die DSGVO eingehalten werden.

Genau hier entstehen in der Praxis häufig Schwierigkeiten.

Typische Fragen sind:

✅ Gibt es eine gültige Rechtsgrundlage für die Datenverarbeitung?

✅ Werden Beschäftigte, Kunden oder Bürger ausreichend informiert?

✅ Ist eine Datenschutz-Folgenabschätzung erforderlich?

✅ Sind die Datenverarbeitungen ordnungsgemäß dokumentiert?

✅ Wie werden vertrauliche Informationen vor unbefugtem Zugriff geschützt?

Wer KI einsetzt, ohne diese Fragen zu klären, riskiert Datenschutzverstöße, unabhängig davon, ob das eingesetzte System als Hochrisiko-KI eingestuft wird.

KI-Governance: Mehr als die Erfüllung gesetzlicher Pflichten

Für Unternehmen und Behörden reicht es deshalb nicht aus, sich ausschließlich mit der KI-Verordnung zu beschäftigen.

Entscheidend ist ein ganzheitlicher Umgang mit künstlicher Intelligenz. Dazu gehören klare interne KI-Richtlinien, definierte Verantwortlichkeiten, Freigabeprozesse, Mitarbeiterschulungen und geeignete technische Sicherheitsmaßnahmen.

Eine strukturierte KI-Governance hilft dabei, Risiken frühzeitig zu erkennen und den Einsatz von KI nachvollziehbar und sicher zu gestalten.

Fazit: Neue KI-Regeln, bekannte Verantwortung

Die Bundesnetzagentur übernimmt eine wichtige Rolle bei der Marktüberwachung von KI-Systemen. Für viele Unternehmen und Behörden bleiben jedoch die Datenschutzanforderungen der DSGVO mindestens ebenso entscheidend.

Wer KI sicher einsetzen möchte, sollte deshalb nicht nur fragen, was die KI-Verordnung erlaubt, sondern auch, wie personenbezogene Daten geschützt und Risiken kontrolliert werden.

Denn verantwortungsvoller KI-Einsatz beginnt nicht bei der Aufsichtsbehörde, sondern bei klaren Regeln innerhalb der eigenen Organisation.