Seit dem 27. Juli 2026 gilt im europäischen Recht der Artikel 4a des AI Act (Verordnung (EU) 2024/1689). Die Regelung gestattet es Betreibern von Systemen mit künstlicher Intelligenz unter eng definierten Voraussetzungen, auch besondere Kategorien personenbezogener Daten wie Gesundheitsdaten, Angaben zur ethnischen Herkunft oder Behinderungen zu verarbeiten.
Zweck dieser Ausnahmeregelung ist es, algorithmische Verzerrungen und Fehlsteuerungen – den sogenannten Bias – in KI-Systemen aufzuspüren und zu korrigieren. Wie aus einem Branchenbericht vom 14. September 2026 hervorgeht, bedeutet die formale Konformität mit dem AI Act für Unternehmen jedoch keineswegs, dass damit auch die Anforderungen des europäischen Datenschutzrechts automatisch erfüllt sind.
Eigenständige Prüfung nach Datenschutz-Grundverordnung bleibt Pflicht
Trotz der im AI Act geregelten Ausnahme für Bias-Analysen müssen Unternehmen für jede Datenverarbeitung weiterhin eine gesonderte und tragfähige Rechtsgrundlage gemäß Artikel 6 der Datenschutz-Grundverordnung (DSGVO) nachweisen. Die Einhaltung der Vorgaben des AI Act ersetzt die datenschutzrechtliche Prüfung zu keinem Zeitpunkt.
Selbst eine vollumfänglich AI-Act-konforme Systemklassifizierung schließt einen Verstoß gegen die DSGVO nicht aus. Betreiber von KI-Systemen müssen sicherstellen, dass neben der Benennung einer passenden Rechtsgrundlage auch alle übrigen Vorgaben des Datenschutzrechts gewahrt bleiben.
Wer sich mit der neuen KI-Verordnung und den damit verbundenen Dokumentationspflichten befasst, benötigt eine klare Übersicht über alle Fristen und Risikoklassen. Dieser kostenlose Umsetzungsleitfaden zum EU AI Act verschafft Ihrer Rechts- und IT-Abteilung sofort den nötigen Überblick. EU AI Act in 5 Schritten verstehen
Werden diese flankierenden Pflichten vernachlässigt, riskieren Unternehmen datenschutzrechtliche Sanktionen, selbst wenn ihre Systeme sämtliche produktsicherheitsrechtlichen Anforderungen der KI-Verordnung vollständig erfüllen.
Spannungsfeld zwischen Diskriminierungsprüfung und Datenminimierung
Die Schaffung von Artikel 4a des AI Act reagierte auf ein Kernproblem beim Training und Testen intelligenter Modelle: Um verlässlich zu prüfen, ob automatisierte Entscheidungen bestimmte Personengruppen diskriminieren, sind Entwickler und Betreiber häufig auf den Zugriff auf sensible Merkmale angewiesen.
Die DSGVO untersagt die Verarbeitung solch besonderer Kategorien personenbezogener Daten jedoch grundsätzlich und knüpft Ausnahmen an sehr enge Voraussetzungen.
Obwohl der AI Act nun einen Rechtsrahmen für die gezielte Erkennung und Behebung von Verzerrungen bereitstellt, bleiben die Grundsätze der Zweckbindung, der Datenminimierung und der Transparenz uneingeschränkt bindend.
Da die EU-KI-Verordnung neue rechtliche Regeln aufstellt, stellt sich für viele Unternehmen die Frage nach der korrekten Einordnung ihrer Systeme. Erfahren Sie in diesem kostenlosen Report, welche KI-Anwendungen als Hochrisiko gelten und was Sie jetzt konkret für Ihre Compliance tun müssen. Kostenlosen KI-Verordnung Report jetzt herunterladen
Für Unternehmen bedeutet dies, dass sie detailliert dokumentieren müssen, warum die Verarbeitung sensibler Merkmale für den konkreten Korrekturzweck unerlässlich war und warum weniger eingriffsintensive Methoden nicht ausgereicht hätten.
Erhöhte Compliance-Anforderungen für Betreiber
Für die betriebliche Praxis führt das Zusammenspiel beider Regelwerke zu einem deutlich erhöhten Dokumentations- und Prüfaufwand. Die Vorgaben des AI Act und der DSGVO können nicht getrennt voneinander abgearbeitet werden, sondern verlangen integrierte Compliance-Strukturen.
Ein rein technischer Nachweis robuster Testverfahren genügt den Aufsichtsbehörden nicht, wenn die datenschutzrechtliche Legitimation der verarbeiteten Datensätze lückenhaft bleibt. Betreiber von KI-Systemen stehen damit vor der Herausforderung, algorithmische Qualitätssicherung und den Schutz individueller Persönlichkeitsrechte parallel zu gewährleisten.
