KI in der Praxis: Neue Dokumentationsaufgaben sauber einordnen
Der Beitrag ordnet die gestaffelte Anwendung der KI-Verordnung für kleine Verantwortliche ein. Er zeigt, welche vorhandenen DSGVO-Unterlagen bei KI-Einsatz überprüft und aktualisiert werden sollten.
Wer in einer Praxis, Kanzlei oder einem Handwerksbetrieb KI einsetzt, muss nicht auf den vollständigen Geltungsbeginn der Verordnung (EU) 2024/1689 warten. Die KI Verordnung gilt bereits stufenweise. Zugleich bleibt die Datenschutz Grundverordnung für jede Verarbeitung personenbezogener Daten maßgeblich. Für Verantwortliche ist daher nicht allein entscheidend, ob ein Werkzeug als KI beworben wird, sondern was es mit welchen Daten für welchen Zweck tatsächlich tut.
Der belastbare Nachweis entsteht nicht durch eine allgemeine KI Richtlinie. Er entsteht aus einer nachvollziehbaren Bestandsaufnahme und aus zueinander passenden Unterlagen: Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeiter Liste, Verträge, technische und organisatorische Maßnahmen sowie Löschkonzept. Gerade Word Dateien, die bei ihrer ersten Erstellung stehen geblieben sind, zeigen bei einer Anfrage der Aufsicht häufig Widersprüche.
Die KI-Verordnung gilt stufenweise seit 2024
Die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates, die KI Verordnung, ist am 1. August 2024 in Kraft getreten. Als Verordnung gilt sie unmittelbar in den Mitgliedstaaten. Ihr Inkrafttreten bedeutet jedoch nicht, dass sämtliche materiellen Pflichten seit diesem Tag anwendbar sind.
Artikel 113 ordnet einen gestaffelten Beginn der Anwendung an. Einzelne Vorschriften gelten bereits seit Februar 2025, weitere seit August 2025. Die meisten Vorschriften werden ab August 2026 anwendbar. Für bestimmte Hochrisiko Systeme nach Artikel 6 Absatz 1 gilt eine weitere Frist bis August 2027.
Inkrafttreten, Anwendung und Einsatz sauber unterscheiden
Diese Zeitpunkte beantworten verschiedene Fragen. Das Inkrafttreten beschreibt, dass die Verordnung Teil des geltenden Unionsrechts ist. Der Anwendungszeitpunkt bestimmt, ab wann eine konkrete Pflicht durchsetzbar ist. Die Datenschutzpflichten nach der Datenschutz Grundverordnung hängen dagegen nicht von diesem Zeitplan ab und gelten beim Umgang mit personenbezogenen Daten schon heute.
Dokumentieren Sie deshalb pro Anwendung mindestens den Namen des Dienstes, den fachlichen Zweck, den tatsächlichen Start der Nutzung, die verantwortliche Stelle und die betroffenen Daten. Damit lässt sich später belegen, welche Prüfung zu welchem Zeitpunkt vorgenommen wurde. Für die Führung des Verzeichnisses ist besonders wichtig, neue Verarbeitungsvorgänge nicht erst bei einer vollständigen Überarbeitung zu erfassen.
Verbote und KI-Kompetenz gelten seit dem 2. Februar 2025
Seit dem 2. Februar 2025 gelten Artikel 5 und Artikel 4 der KI Verordnung. Artikel 5 verbietet bestimmte KI Praktiken. Dazu gehören unter den jeweils geregelten Voraussetzungen etwa manipulative oder ausbeuterische Techniken, Social Scoring, bestimmte Formen biometrischer Kategorisierung und Emotionserkennung in Arbeitsstätten und Bildungseinrichtungen. Ob ein Verbot im Einzelfall greift, richtet sich nach dem konkreten Einsatz und den Tatbestandsmerkmalen des Artikels, nicht nach einer Selbsteinordnung des Anbieters.
Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zu treffen, um ein ausreichendes Maß an KI Kompetenz ihres Personals und anderer Personen sicherzustellen, die KI Systeme in ihrem Auftrag betreiben oder nutzen. Die Norm verlangt kein bestimmtes Zertifikat und keine pauschale Schulungsdauer. Sie verlangt eine am System, an den Risiken, an der Zielgruppe und am Nutzungskontext ausgerichtete Kompetenz.
Nachweise für kleine Verantwortliche
Für eine Arztpraxis kann das bedeuten, dass nur eingewiesene Mitarbeitende eine KI gestützte Gesprächszusammenfassung prüfen und in die Dokumentation übernehmen dürfen. In einer Steuerkanzlei muss klar sein, ob Mandatsdaten in einen externen Dienst eingegeben werden dürfen. In einem Handwerksbetrieb kann die Vorgabe betreffen, welche Angaben aus Kundenanfragen in ein Textwerkzeug gelangen dürfen.
- Halten Sie fest, welches System für welchen Zweck freigegeben ist.
- Benennen Sie zulässige und unzulässige Eingaben, insbesondere Gesundheitsdaten, Personalangaben und Mandatsdaten.
- Dokumentieren Sie Unterweisung, Datum, Zielgruppe und verantwortliche Person.
- Legen Sie fest, wer Ergebnisse fachlich prüft und wer Fehlverhalten oder Auffälligkeiten meldet.
Eine kurze, konkrete Unterweisung ist belastbarer als eine bloße Unterschrift unter allgemeine Verhaltensregeln. Die Unterlage sollte mit der tatsächlichen Konfiguration des Dienstes übereinstimmen. Besonders bei frei zugänglichen Konten ist zu prüfen, ob Eingaben zur Modellverbesserung oder zu anderen Zwecken des Anbieters verwendet werden können.
Regeln für KI mit allgemeinem Verwendungszweck gelten seit August 2025
Seit dem 2. August 2025 gelten unter anderem die Regelungen zu KI Modellen mit allgemeinem Verwendungszweck in Kapitel V der KI Verordnung. Gemeint sind Modelle, die eine erhebliche Allgemeinheit aufweisen und in viele nachgelagerte Systeme oder Anwendungen integriert werden können. Typische Text, Bild oder Sprachmodelle können darunter fallen, die rechtliche Einordnung hängt jedoch von Modell und Bereitstellung ab.
Die Kapitelpflichten treffen vorrangig den Anbieter eines solchen Modells. Er muss insbesondere technische Dokumentation und Informationen für nachgelagerte Anbieter bereitstellen sowie Vorgaben zum Urheberrecht beachten. Für Modelle mit systemischem Risiko gelten zusätzliche Anforderungen. Eine Praxis oder Kanzlei, die ein fertiges Werkzeug nutzt, ist regelmäßig Betreiber und nicht Anbieter des zugrunde liegenden Modells.
Die eigene Rolle nicht zu weit ziehen
Betreiberpflichten können dennoch entstehen, wenn die Organisation ein KI System in eigener Verantwortung verwendet. Wer ein Standardwerkzeug lediglich nutzt, muss nicht die Anbieter Dokumentation des Basismodells erstellen. Wer ein System wesentlich verändert, unter eigenem Namen anbietet oder für einen neuen Zweck in Verkehr bringt, kann dagegen in eine andere Rolle geraten. Diese Prüfung gehört in die Projektakte, wenn ein Dienst angepasst oder in eigene Software eingebunden wird.
Datenschutzrechtlich bleibt die Rollenfrage ebenfalls getrennt zu prüfen. Ein KI Anbieter kann Auftragsverarbeiter sein, aber auch eigene Zwecke verfolgen und dann eigenständiger Verantwortlicher sein. Die Vertragsbezeichnung entscheidet nicht allein. Maßgeblich sind die tatsächlichen Zwecke, Weisungsrechte und Verarbeitungen.
Die meisten Vorschriften werden ab dem 2. August 2026 anwendbar
Artikel 113 der KI Verordnung bestimmt als Grundsatz den 2. August 2026 für die Anwendung der meisten Bestimmungen. Dann gewinnen insbesondere die Regelungen für KI Systeme, die nicht unter die früheren oder späteren Sondertermine fallen, praktische Bedeutung. Verantwortliche sollten ihre Bestandsaufnahme vorher abgeschlossen haben, weil Klassifizierung, vertragliche Abstimmung und interne Freigaben Zeit benötigen.
Von diesem Grundsatz weicht Artikel 113 ab. Teile der Regelungen, darunter Kapitel V zu KI Modellen mit allgemeinem Verwendungszweck, gelten schon seit dem 2. August 2025. Für KI Systeme mit hohem Risiko im Sinne von Artikel 6 Absatz 1 gilt die Anwendung erst ab dem 2. August 2027. Diese Systeme sind an harmonisierte Unionsrechtsvorschriften aus Anhang I angeknüpft.
Keine vorschnelle Hochrisiko Einstufung
Ein KI Einsatz ist nicht schon deshalb hochriskant, weil er sensible Informationen verarbeitet oder weil die Folgen fachlich bedeutsam sind. Die KI Verordnung enthält eigene Kriterien, insbesondere Artikel 6 und die Anhänge I und III. Umgekehrt ersetzt eine fehlende Hochrisiko Einstufung keine Datenschutzprüfung. Eine KI gestützte Verarbeitung von Gesundheitsdaten bleibt beispielsweise an Artikel 9 DSGVO zu messen.
Notieren Sie bei jeder Anwendung die begründete Einstufung, die herangezogenen Informationen des Anbieters und offene Fragen. Bei Systemen in regulierten Produkten, bei biometrischen Funktionen oder bei Entscheidungen über Beschäftigte, Patienten, Kredit, Bildung oder öffentliche Leistungen ist eine vertiefte rechtliche Prüfung angezeigt.
Die KI-Verordnung ersetzt die DSGVO nicht
Die KI Verordnung und die DSGVO verfolgen unterschiedliche, sich ergänzende Regelungsansätze. Werden personenbezogene Daten verarbeitet, gilt weiterhin insbesondere Artikel 5 DSGVO mit den Grundsätzen der Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Artikel 6 DSGVO verlangt eine Rechtsgrundlage. Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten in einer Arztpraxis, ist zusätzlich Artikel 9 DSGVO zu prüfen.
Setzt ein Verantwortlicher einen Dienstleister weisungsgebunden ein, sind die Anforderungen des Artikels 28 DSGVO an die Auftragsverarbeitung maßgeblich. Artikel 30 DSGVO betrifft das Verzeichnis von Verarbeitungstätigkeiten, Artikel 32 DSGVO die Sicherheit der Verarbeitung. Je nach Gestaltung kommen weitere Pflichten hinzu, etwa Informationspflichten, Datenschutz Folgenabschätzung oder Regelungen zu Übermittlungen in Drittländer.
Eine knappe Übersicht zu den Voraussetzungen eines Verzeichnisses bietet der Beitrag Artikel 30 DSGVO und das Verzeichnis für kleine Betriebe. Auch wenn die Ausnahme für bestimmte kleine Unternehmen in Betracht kommt, entfällt sie nicht, wenn die Verarbeitung voraussichtlich ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten betrifft.
Jeder KI-Einsatz braucht eine belastbare Bestandsaufnahme
Die Prüfung beginnt vor der Freigabe und wird bei Änderungen wiederholt. Fragen Sie nicht nur, ob Mitarbeitende ein bestimmtes Chatfenster verwenden. Ermitteln Sie den vollständigen Verarbeitungsvorgang: von der Eingabe über Schnittstellen und Speicherung bis zur Ausgabe, fachlichen Prüfung und Löschung.
| Prüffeld | Dokumentierbare Frage |
|---|---|
| Zweck und Ergebnis | Welches Arbeitsergebnis soll die Anwendung erzeugen, und entscheidet ein Mensch über die Verwendung? |
| Daten und Personen | Welche Datenarten werden eingegeben oder abgerufen, welche Personengruppen sind betroffen? |
| Rollen und Vertrag | Wer ist Verantwortlicher, Auftragsverarbeiter oder eigenständig Verantwortlicher, und liegt ein passender Vertrag vor? |
| Ort und Weitergabe | Wo werden Daten verarbeitet, welche Unterauftragnehmer oder Drittlandübermittlungen sind vorgesehen? |
| Sicherheit und Löschung | Welche Zugriffsregeln, Protokollierung, Verschlüsselung, Prüfungen und Löschfristen gelten? |
Ergänzen Sie die Tabelle um die Rechtsgrundlage und bei besonderen Kategorien die Ausnahme nach Artikel 9 Absatz 2 DSGVO. Prüfen Sie, ob Eingabedaten, Protokolle, Prompts und Ausgaben unterschiedliche Speicherorte und Fristen haben. Eine Löschfrist für die Patientenakte beantwortet nicht automatisch, wie lange ein externer Dienst Eingaben oder Chatverläufe vorhält.
Besondere Sorgfalt bei Berufsgeheimnissen
Für Arzt und Zahnarztpraxen sowie Steuerkanzleien reichen DSGVO Fragen oft nicht aus. Berufsrechtliche Schweigepflichten und sonstige Geheimhaltungspflichten können die zulässige Weitergabe zusätzlich begrenzen. Die konkrete Bewertung hängt vom Berufsrecht, Vertragsmodell und Einzelfall ab. Eine Einwilligung ist nicht automatisch die passende oder ausreichende Lösung.
Erfassen Sie außerdem, ob die Anwendung lediglich Entwürfe erstellt oder ob sie Bewertungen, Priorisierungen oder Empfehlungen erzeugt. Daraus ergeben sich Anforderungen an Kontrolle, Plausibilitätsprüfung und mögliche Fehlerfolgen. Die Datenschutz Folgenabschätzung nach Artikel 35 DSGVO ist anhand der konkreten Risiken zu prüfen, nicht anhand eines pauschalen Etiketts KI.
Änderungen werden im Verzeichnis und bei Dienstleistern nachgezogen
Eine neue KI Anwendung ist im Verzeichnis von Verarbeitungstätigkeiten entweder als eigener Verarbeitungsvorgang oder als nachvollziehbare Änderung eines bestehenden Vorgangs abzubilden. Das hängt davon ab, ob Zweck, Datenfluss, Kategorien betroffener Personen, Empfänger, Systeme oder Risiken eigenständig beschreibbar sind. Entscheidend ist, dass Artikel 30 DSGVO vollständig und lesbar erfüllt wird.
Gleichzeitig ist die Auftragsverarbeiter Liste zu aktualisieren. Prüfen Sie den Vertrag nach Artikel 28 DSGVO, die benannten Unterauftragsverarbeiter, Weisungsrechte, Unterstützungspflichten, Kontrollmöglichkeiten und Regeln für Übermittlungen. Eine praktische Schrittfolge erklärt der Beitrag Auftragsverarbeiter im Verzeichnis richtig nachziehen.
Auch die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO müssen den tatsächlichen Stand abbilden. Dazu können getrennte Konten, Mehrfaktor Anmeldung, rollenbasierte Berechtigungen, deaktivierte Trainingsnutzung, Eingaberegeln, Protokollierung, Freigabeprozesse und regelmäßige Überprüfungen gehören. Welche Maßnahme angemessen ist, richtet sich nach Risiko, Datenarten und Systemgestaltung.
Verknüpfen Sie die Einträge mit dem Löschkonzept. Wenn ein Dienstleister wechselt, eine Schnittstelle hinzukommt oder der Anbieter seine Speichereinstellungen ändert, sind Verzeichnis, Dienstleister Liste, TOM und Löschfristen gemeinsam zu prüfen. Der Beitrag Löschkonzept, Fristen, Auslöser und Nachweise hilft bei der Trennung von Löschregel und belegbarer Umsetzung.
Dokumentation jetzt zusammenführen und vorführbar halten
Die gestaffelten Termine der KI Verordnung geben einen klaren Arbeitsplan vor: Verbote und KI Kompetenz sind bereits zu beachten, Regeln für Modelle mit allgemeinem Verwendungszweck gelten seit August 2025, die meisten weiteren Vorschriften folgen ab August 2026. Unabhängig davon muss jeder KI Einsatz mit personenbezogenen Daten schon jetzt nach der DSGVO rechtmäßig, sicher und nachvollziehbar dokumentiert sein.
Beginnen Sie mit einer Liste aller real genutzten KI Funktionen, nicht nur der zentral beschafften Software. Ziehen Sie anschließend Verzeichnis, Verträge, Dienstleister Liste, TOM, Löschkonzept und Unterweisungsnachweise für jede Anwendung gleich. So wird aus einzelnen Dateien ein prüfbarer Nachweisstand. Hinweise zur Einordnung gibt auch der Autor dieses Beitrags.
Wenn Sie Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen und Löschfristen in einem gepflegten, bei einer Anfrage der Aufsichtsbehörde sofort vorzeigbaren Dokument zusammenführen möchten, zeigt Verarbeitungsbuch für den gepflegten Datenschutz Nachweis den Ansatz. Für eine Vorführung oder frühen Zugang nutzen Sie bitte das Kontaktformular auf der Kontaktseite.
