Was tatsächlich gilt
Die meisten Firmen, die AI nutzen (ChatGPT, Copilot, Gemini, Claude und Ähnliches), bauen nichts — sie sind Deployer, nicht Provider. Trotzdem sind die folgenden Pflichten einschlägig. Nur eine davon ist das viel diskutierte High-Risk-Regime; die übrigen gelten unabhängig von der Risikostufe.
| Pflicht | Für wen | Ab / seit | Worum es geht |
|---|---|---|---|
| DSGVO (Datenschutz) | Jede Firma, die personenbezogene Daten verarbeitet | Immer — keine Übergangsfrist | Mitarbeiter, die Kunden- oder Personendaten in ein nicht freigegebenes AI-Tool geben, verarbeiten sie ohne Rechtsgrundlage, ohne AV-Vertrag und ohne Nachweis. |
| AI Act Art. 4 — AI-Kompetenz | Alle, die AI einsetzen — keine Ausnahme | Seit 02.02.2025 | Das Personal muss ausreichende AI-Kompetenz haben: ein Grundverständnis von Chancen und Risiken der genutzten Tools. |
| AI Act Art. 5 — Verbote | Alle | Seit 02.02.2025 | Bestimmte Praktiken sind untersagt — z. B. Emotionserkennung am Arbeitsplatz oder Social Scoring. |
| AI Act Art. 50 — Transparenz | Wer Chatbots betreibt oder AI-Content veröffentlicht | Ab 02.08.2026 | Chatbots als AI kennzeichnen; AI-generierten oder -bearbeiteten Content sichtbar labeln. |
| AI Act High-Risk (Annex III) | Nur bei einem High-Risk-Use-Case | Ab 02.12.2027 | Menschliche Aufsicht, Protokollierung, Information der Betroffenen — greift z. B. bei AI im Recruiting (siehe unten). |
| Geheimhaltung (Berufs- / Vertragsrecht) | Mandats- oder vertragsgebundene Firmen | Immer | Mandanten- oder Kundendaten in ein AI-Tool zu geben, kann Geheimhaltungs- und Geschäftsgeheimnis-Pflichten verletzen — unabhängig von der DSGVO. |
Der Punkt, den viele übersehen
Der AI Act hat Übergangsfristen. Die DSGVO nicht.
Die DSGVO gilt für jede Verarbeitung personenbezogener Daten — ab dem Moment, in dem jemand einen Kundennamen, eine E-Mail-Adresse oder einen Vertrag in ein AI-Tool kopiert. Das ist die Pflicht, die jedes Unternehmen sofort trifft, unabhängig von Größe, Branche oder AI-Act-Risikostufe. Und der Auslöser ist selten der Regulator: Es ist der erste Kunde oder Auditor, der einen Nachweis verlangt, welche Daten Ihr Team gerade wohin schickt. „Die High-Risk-Regeln sind auf 2027 verschoben" stimmt nur für die High-Risk-Regeln — über die Pflichten, die heute schon gelten, sagt es nichts.
High-Risk — für wen wirklich
Das High-Risk-Regime ist enger, als die Schlagzeilen nahelegen, und Annex III ist eine abschließende Liste. Drei Gruppen lohnen sich zu kennen:
- Breit betroffen — HR & Worker-Management. Der breiteste Treffer. Nicht nur Recruiting und CV-Screening, sondern auch Beförderung, Aufgabenverteilung sowie das Monitoring oder die Bewertung der Mitarbeiter-Performance. Fast jede Firma tut mindestens eines davon.
- Branchenspezifisch. Kreditwürdigkeit / Credit-Scoring (wer Bonität prüft oder Kredit gewährt) und Risikobewertung oder Pricing in der Leben- und Krankenversicherung. Eng, sektorgebunden.
- Nicht High-Risk. Kunden-Support-Chatbots und Lead-Qualifizierung sind in der Regel limited-risk — hier greift nur die Art.-50-Transparenzpflicht, nicht das High-Risk-Regime. Wer sie als High-Risk framet, überzieht (der DSGVO-Punkt gilt für alle personenbezogenen Daten, die sie berühren, dennoch).
Rutscht AI doch in Ihre HR-Entscheidungen, trägt den größten Aufwand — das Conformity Assessment — der Anbieter des Tools. Wer AI dort einsetzt, wird zum High-Risk-Deployer und muss operativ: menschliche Aufsicht sicherstellen, das System gemäß Anbieter-Vorgaben betreiben, den Betrieb überwachen und bei Auffälligkeiten aussetzen, die automatisch erzeugten Logs mindestens sechs Monate aufbewahren und Betroffene informieren (sowie vor dem Einsatz am Arbeitsplatz Mitarbeiter und Betriebsrat). Zur Einstufungs-Mechanik — die zwei Wege aus Artikel 6, jeder Annex-III-Bereich und der Ausnahme-Filter — siehe unseren Begleit-Guide dazu, welche AI-Systeme Hochrisiko sind.
Was das praktisch heißt
Für die meisten Firmen ist die eigentliche Frage nicht „Sind wir reguliert?", sondern: Wissen wir, welche AI-Tools unser Team nutzt — und mit welchen Daten? Und könnten wir es belegen, wenn jemand fragt? Meist lautet die ehrliche Antwort: nein.
Genau diese Lücke — Realtime-Sichtbarkeit, Policy-Durchsetzung und ein Audit Log über die AI-Nutzung — schließt Qadar AI Shield: erkennen, welche AI-Tools mit welchen Daten laufen, sie unternehmensweit steuern oder blockieren und die Nutzungsnachweise vorhalten, nach denen ein Auditor fragt. Und wo Art. 50 verlangt, AI-generierten Content oder Chatbots zu kennzeichnen, übernimmt Disclose diese Transparenz-Ebene. Nicht, weil ein Gesetz den Kauf erzwingt — sondern weil sich nicht kontrollieren lässt, was man nicht sieht. Wenn Sie Ihre konkrete Situation besprechen möchten, nehmen Sie Kontakt auf.
Die Ein-Seiten-Übersicht herunterladen
Sie möchten eine druckbare Zusammenfassung für intern oder für Ihre Rechtsberatung? Ein-Seiten-Übersicht herunterladen / drucken — dieselben Pflichten, Timeline und High-Risk-Einordnung auf einer Seite.
Dies ist kein Rechtsrat. Dieser Guide dient nur der allgemeinen Aufklärung. Die regulatorischen Angaben beziehen sich auf den EU AI Act in der Fassung nach dem Digital Omnibus, der angenommen ist, dessen Veröffentlichung im EU-Amtsblatt jedoch noch aussteht — Fristen können sich ändern. Für eine verbindliche Bewertung Ihres konkreten Falls holen Sie bitte qualifizierten Rechtsrat ein.
Zuletzt geprüft: 20. Juli 2026.
