In fast jedem Gespräch mit Unternehmern über den EU AI Act kommt irgendwann derselbe Satz: "Wir sind doch bereits DSGVO-konform. Das sollte reichen."

In fast jedem Gespräch mit Unternehmern über den EU AI Act kommt irgendwann derselbe Satz: "Wir sind doch bereits DSGVO-konform. Das sollte reichen." Es reicht nicht. Und der Unterschied ist größer als die meisten denken. DSGVO und AI Act sind keine Duplikate. Sie schützen verschiedene Dinge, stellen verschiedene Anforderungen und treffen verschiedene Unternehmen. Wer glaubt das eine ersetzt das andere, hat beide nicht verstanden. Missverständnis 1: "DSGVO deckt alles ab was mit KI und Daten zu tun hat." Die DSGVO schützt personenbezogene Daten. Sie regelt wie Daten erhoben, gespeichert und verarbeitet werden dürfen. Der AI Act schützt Menschen vor den Risiken die durch KI-Systeme entstehen – unabhängig davon ob personenbezogene Daten im Spiel sind. Ein KI-System das keine personenbezogenen Daten verarbeitet fällt trotzdem unter den AI Act wenn es in einer Hochrisiko-Kategorie eingesetzt wird. Beide Gesetze können gleichzeitig gelten. Keines ersetzt das andere. Missverständnis 2: "Der AI Act betrifft nur KI-Unternehmen." Nein. Er betrifft jeden der KI-Systeme einsetzt – als Betreiber. Wer ChatGPT für Personalentscheidungen nutzt, wer ein KI-Tool für Kreditbewertungen einsetzt, wer automatisierte Systeme in der Personalauswahl verwendet – all das fällt unter den AI Act. Nicht weil man KI entwickelt. Sondern weil man sie einsetzt. Missverständnis 3: "Wir nutzen keine KI – also sind wir nicht betroffen." Das stimmt seltener als man denkt. KI steckt heute in Tools die niemand als KI bezeichnet – in Recruiting-Software die Bewerbungen vorsortiert, in CRM-Systemen die Kundenverhalten analysieren, in Buchhaltungstools die Anomalien erkennen. Wer nicht geprüft hat welche seiner Tools KI-Komponenten enthalten, weiß nicht ob er betroffen ist. Nicht wissen schützt nicht. Was das in der Praxis bedeutet: DSGVO-Compliance ist eine notwendige Grundlage – aber keine hinreichende. Wer KI einsetzt braucht zusätzlich eine Bestandsaufnahme welche Systeme er nutzt, in welche Risikokategorie sie fallen und welche Pflichten daraus entstehen. Das ist keine Frage für den Datenschutzbeauftragten allein. Es ist eine Führungsfrage.