Neue Leitlinien aus Brüssel stellen die Datenschutzpraktiken von KI-Entwicklern auf den Prüfstand. Die europäischen Datenschutzbehörden und die EU-Kommission haben umfassende Vorgaben veröffentlicht, die klären, wie bestehende Datenschutzgesetze und der kommende AI Act auf generative KI anzuwenden sind. Die neuen Regelwerke legen strenge Bedingungen für Web-Scraping fest und schreiben klare Kennzeichnungspflichten für KI-generierte Inhalte vor.
Strengere Regeln für Trainingsdaten
Der Europäische Datenschutzausschuss (EDPB) hat kürzlich Entwürfe veröffentlicht, die den Einsatz von Web-Scraping zum Training generativer KI-Modelle betreffen. Demnach müssen Datenverantwortliche strenge Auflagen erfüllen, wenn sie Ausnahmen von der Informationspflicht gegenüber betroffenen Personen in Anspruch nehmen wollen.
Die Aufsichtsbehörden betonen, dass der Grundsatz der Datenminimierung auch für große Trainingsdatensätze gilt. Entwickler müssen konkrete Kriterien für die Datensammlung festlegen, sensible Webseiten ausschließen und technische Protokolle wie robots.txt oder ai.txt respektieren. Zudem muss jede Verarbeitung auf Basis berechtigter Interessen durch eine dokumentierte Interessenabwägung (LIA) gestützt werden. Der EDPB stellt klar: Die Verarbeitung besonderer Kategorien personenbezogener Daten – etwa Gesundheits- oder ethnische Informationen – ist grundsätzlich verboten, es sei denn, eine spezifische Rechtsgrundlage liegt vor. Das gilt selbst dann, wenn die Erhebung solcher Daten nur beiläufig beim Scraping erfolgt. Eine öffentliche Konsultation zu den Leitlinien läuft noch bis zum 30. Oktober 2026.
Parallel dazu hat die spanische Datenschutzbehörde (AEPD) am 22. Juli 2026 klargestellt, dass Datensätze, die keine Qualitätsstandards erfüllen, nicht als für die Verarbeitung notwendig gelten können. Der Zugang zu solchen Daten sollte auf Qualitätsprüfungen beschränkt bleiben.
Die neuen Transparenz- und Dokumentationspflichten für KI-Systeme stellen Unternehmen vor komplexe Herausforderungen. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen der EU-KI-Verordnung. EU AI Act in 5 Schritten verstehen
Transparenzpflichten und Strafen
Die EU-Kommission veröffentlichte am 21. Juli 2026 ihre finalen Leitlinien zu den Transparenzpflichten gemäß Artikel 50 des AI Acts. Diese Regeln treten am 2. August 2026 in Kraft und verlangen von KI-Anbietern, Systeme so zu gestalten, dass Nutzer erkennen können, wenn sie mit KI interagieren.
Die Vorgaben umfassen maschinenlesbare Markierungen für KI-generierte Inhalte und die explizite Kennzeichnung von Deepfakes. Auch Betreiber von KI-Systemen müssen offenlegen, wenn Texte zu Themen von öffentlichem Interesse ohne redaktionelle Aufsicht durch KI erstellt wurden. Für bereits auf dem Markt befindliche Systeme gilt eine Übergangsfrist bis zum 2. Dezember 2026. Verstöße können mit Bußgeldern von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden – bei besonders schweren Verstößen sogar bis zu 40 Millionen Euro.
Branchenbeobachter stellen fest, dass derzeit keine einzelne Wasserzeichen-Technologie alle Anforderungen der Kommission an Zuverlässigkeit und Interoperabilität erfüllt. Zur Unterstützung hat die EU einen AI Act Service Desk eingerichtet. Der 22. Juli 2026 war zudem die Frist für Unterzeichner des KI-Verhaltenskodex.
Da die EU-KI-Verordnung bereits unmittelbar gilt, müssen viele Unternehmen ihre Risikodokumentation jetzt dringend anpassen. Erfahren Sie in diesem kostenlosen Report, welche KI-Systeme als Hochrisiko eingestuft werden und was Sie konkret für eine rechtskonforme Nutzung tun müssen. Kostenlosen KI-Umsetzungsleitfaden jetzt sichern
Datenlecks und Streitigkeiten
Die regulatorische Verschärfung fällt mit mehreren prominenten Konflikten über KI-Trainingspraktiken zusammen. Der Börsenverein des Deutschen Buchhandels berichtete am 21. Juli 2026, dass ein kanadisches Unternehmen antiquarische Bücher in Europa aufkauft, um sie für KI-Trainingszwecke zu zerstören und einzuscannen – ein Vorgehen, das der Verband als schwerwiegenden Verstoß gegen bestehende Normen bezeichnet.
Auch die Datensicherheit bereitet zunehmend Sorgen. Ein kürzlicher Sicherheitsvorfall bei der KI-Musikplattform Suno betraf mehr als 55 Millionen Nutzerkonten. Dabei wurden E-Mail-Adressen, Telefonnummern und teilweise Finanzdaten offengelegt. Der Vorfall offenbarte zudem Quellcode, der darauf hindeutet, dass die Plattform Millionen von Songs von Diensten wie YouTube Music und Deezer gescrapt hat. Suno steht trotz einer kürzlich geschlossenen Partnerschaft mit Warner weiterhin im Rechtsstreit mit anderen großen Labels wegen Urheberrechtsverletzungen.
Bürger fordern mehr Kontrolle
Die Nachfrage nach mehr Datenkontrolle wächst. Ein erst Anfang Juli gestartetes EU-Register für menschliche Einwilligung verzeichnete innerhalb von 48 Stunden zwei Millionen Anmeldungen – Nutzer, die ihre Daten und ihr Abbild von KI-Trainingszwecken ausschließen wollen.
Auch die EU-Institutionen selbst rüsten sich: Das Europäische Parlament bereitet für September 2026 die Einführung des EPGenAI Hub vor. Dieser soll Abgeordneten und Mitarbeitern Zugang zu abgestuften KI-Modellen bieten, darunter lokale Versionen von Llama und Mistral sowie externe Tools wie ChatGPT. Hintergrund ist, dass rund 2.100 Mitarbeiter zuvor öffentliche Chatbots für die Gesetzesarbeit genutzt hatten – mit Problemen durch erfundene Zitate. Ironischerweise sind die Parlamentarier selbst derzeit nicht verpflichtet, den Einsatz von KI bei der Gesetzeserstellung offenzulegen.
