Die KI-Verordnung für Datenschutzteams.

Wenn Sie bereits ein DSGVO-Programm betreiben, haben Sie mehr von der KI-Verordnung erledigt, als Sie denken - und die Teile, die Sie nicht erledigt haben, sind nicht die, vor denen man Sie warnt. Diese Seite bildet die beiden Regime aufeinander ab, damit Sie herausfinden können, was wirklich neue Arbeit erfordert und was schlicht Ihr vorhandener Nachweis unter anderer Überschrift ist.

Die nützlichste Umdeutung: Die DSGVO fragt, ob Sie die Daten verarbeiten dürfen. Die KI-Verordnung fragt, ob Sie das System in Verkehr bringen dürfen und wie es sich verhalten muss. Sie überschneiden sich stark im Nachweis und fast gar nicht im Auslöser.

Was Ihre DSGVO-Arbeit bereits abdeckt

Eine DSFA ist keine Grundrechte-Folgenabschätzung und erfüllt Artikel 27 nicht, aber der zugrunde liegende Nachweis - Datenflüsse, Erforderlichkeits- und Verhältnismäßigkeitsbegründung, Garantien, Konsultation - trägt weitgehend hinüber.

Vier Stellen, an denen Datenschutzbeauftragte regelmäßig hängen bleiben

1. Der Anwendungsbereich hat nichts mit personenbezogenen Daten zu tun. Ein KI-System kann hochriskant sein, ohne überhaupt personenbezogene Daten zu verarbeiten - etwa als Sicherheitsbauteil kritischer Infrastruktur. Umgekehrt kann ein System, das in personenbezogenen Daten schwimmt, minimales Risiko sein. Wenn Sie die Exposition nach der KI-Verordnung danach triagieren, "ob personenbezogene Daten berührt sind", übersehen Sie in beide Richtungen etwas.

2. Die Rolle ist eine andere Analyse als die Verantwortlichkeit. Anbieter und Betreiber nach der KI-Verordnung bilden sich nicht auf Verantwortlicher und Auftragsverarbeiter ab. Sie können nach der DSGVO Auftragsverarbeiter und zugleich Anbieter nach der KI-Verordnung sein. Das eine zu klären sagt nichts über das andere. Die Prüfung nach der KI-Verordnung.

3. Die geltenden Pflichten sind nicht die Hochrisikopflichten. Alle planen für Dezember 2027. Währenddessen sind Artikel 50, Artikel 4 und Artikel 5 seit dem 2. August 2026 durchsetzbar, und sie gelten für Organisationen, die überhaupt keine Hochrisikosysteme haben.

4. Artikel 5 ist kein Risiko, das man mindert. Verbotene Praktiken lassen sich nicht durch Dokumentation, Einwilligung oder eine DSFA in Zulässigkeit überführen. Das Ableiten von Emotionen am Arbeitsplatz ist der Fall, der in ganz gewöhnlichen Organisationen auftaucht - meist eingebaut in ein HR-Analytics- oder Produktivitätswerkzeug, das niemand gemeldet hat.

Eine Triage-Reihenfolge, die funktioniert

• Inventar. Ihr Verzeichnis nach Artikel 30 ist der Ausgangspunkt, aber es übersieht KI-Systeme, die keine personenbezogenen Daten verarbeiten. Fragen Sie die Teams, was sie ausgeliefert haben, nicht, was sie gemeldet haben.
• Zuerst ein Durchgang nach Artikel 5. Verbote sind das Einzige, was das Herausreißen einer Funktion erzwingen kann. Machen Sie das, bevor Sie irgendetwas in Risikoklassen einteilen.
• Rolle je System - Anbieter oder Betreiber. Das entscheidet, welcher Pflichtensatz überhaupt gelten kann.
• Risikoklasse je System, dann die Ausnahme des Artikels 6(3) für alles, was in Anhang III landet. Profiling verschließt sie absolut.
• Schließen Sie die drei geltenden - Artikel 4, 5 und 50 - in diesem Quartal.
• Erst dann planen Sie die Arbeit nach Kapitel III, und nur für Systeme, die tatsächlich hochriskant sind.

Der Fehler, den es zu vermeiden lohnt, ist, die KI-Verordnung als zweites, paralleles Programm zu fahren. Der größte Teil der Kosten ist Doppelarbeit: zwei Inventare, zwei Risikobewertungen, zwei Sätze von Aufzeichnungen über dieselben Systeme. Ein Register mit beiden Brillen ist deutlich billiger zu pflegen und leichter zu verteidigen.

Reglynn-Reports weisen DSGVO-Überschneidungen genau deshalb ausdrücklich aus - wo eine Maßnahme beide Regime erfüllt, sagt der Report das, statt sie als neue Arbeit darzustellen. Die Methodik ist veröffentlicht, sodass Sie die Begründung prüfen können, statt der Ausgabe blind zu vertrauen.