EU-Datenschutzbehörden schärfen Regeln für KI und Datenflüsse
23.01.2026 - 06:25:12
Die europäischen Datenschutzaufsichtsbehörden setzen mit einer Reihe neuer Stellungnahmen ein klares Signal: Sie wollen die Regeln für Künstliche Intelligenz (KI) und grenzüberschreitende Datenströme verschärfen und vereinheitlichen. Diese Offensive wirft jedoch ein grelles Licht auf ein fundamentales Problem in vielen Unternehmen – das Chaos unstrukturierter Alt-Daten, das die KI-Compliance gefährdet.
Doppelstrategie der Aufseher: KI-Regeln verschärfen, Datenflüsse kontrollieren
Diese Woche markiert eine Zäsur in der europäischen Datenschutzpolitik. Am 21. Januar veröffentlichten der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) eine gemeinsame Stellungnahme zum „Digitalen Omnibus für KI“ der EU-Kommission. Sie unterstützen zwar das Ziel, den KI-Act praktikabler zu gestalten, pochen aber auf unverzichtbare Schutzvorkehrungen für Grundrechte. Jede Vereinfachung dürfe nicht zu Lasten des Privatsphärenschutzes gehen.
Parallel dazu veröffentlichte der EDPB am 22. Januar ein neues Verfahrensdokument zur Genehmigung von Vertragsklauseln für internationale Datenübermittlungen. Damit unterstreichen die Behörden ihre anhaltende Wachsamkeit bei globalen Datenströmen – eine ständige Herausforderung für Konzerne wie SAP oder die Telekom. Diese Aktivitäten folgen auf die Ankündigung, dass die koordinierten Durchsetzungsmaßnahmen 2026 auf Transparenzpflichten der DSGVO abzielen werden.
Passend zum Thema KI-Regulierung: Die EU-KI-Verordnung bringt neue Pflichten für Kennzeichnung, Risikoklassifizierung und umfassende Dokumentation von KI-Systemen. Wer jetzt reagiert, schützt sein Unternehmen vor Bußgeldern und Reputationsrisiken – besonders wenn Trainingsdaten aus unkontrollierten Archiven stammen. Der kostenlose Umsetzungsleitfaden fasst die wichtigsten Anforderungen inkl. Übergangsfristen und praktischer To‑dos für Entwickler und Anwender kompakt zusammen. Jetzt kostenlosen KI-Umsetzungsleitfaden herunterladen
Die tickende Zeitbombe: Unstrukturierte Alt-Daten
Während sich die Regulierung auf Hightech-KI konzentriert, schlummert in den digitalen Archiven der Wirtschaft eine massive Altlast. Schätzungsweise 80 Prozent aller Unternehmensdaten sind unstrukturiert. Dazu zählen gescannte Verträge, archivierte E-Mails, PDF-Rechnungen und jahrzehntealte Dokumente. Diese „dunklen Daten“ sind oft unkatalogisiert, ungeschützt und für moderne Governance-Tools unsichtbar.
Diese Blindstelle kollidiert frontal mit den Grundsätzen der DSGVO. Das Prinzip der Datenminimierung ist nicht durchsetzbar, wenn niemand weiß, welche Daten überhaupt lagern. Auch die Beantwortung von Auskunftsersuchen oder die Löschung personenbezogener Daten wird zum Ding der Unmöglichkeit, wenn die Informationen in Millionen unindizierter Dateien vergraben sind. Die 72-Stunden-Frist zur Meldung von Datenschutzverletzungen wird zur unlösbaren Aufgabe, wenn der Umfang eines Vorfalls in diesem Datenchaos nicht ermittelt werden kann.
KI verstärkt das Risiko: „Garbage in, garbage out“
Die Kombination aus unkontrollierten Alt-Daten und leistungsstarker KI erzeugt den perfekten Sturm für Compliance-Verstöße. Die Qualität und Fairness eines KI-Modells hängen direkt von seinen Trainingsdaten ab. Wird die KI mit ungeprüften, verzerrten oder veralteten Daten aus den Archiven gefüttert, sind die Ergebnisse betrieblich wie rechtlich desaströs.
Diese „Garbage in, garbage out“-Logik hat fatale Folgen für die Einhaltung des KI-Act, der eng mit der DSGVO verzahnt ist. Kann ein Unternehmen die Herkunft seiner Trainingsdaten nicht nachweisen oder deren Richtigkeit und Unvoreingenommenheit belegen, scheitert es an den strengen Fairness- und Transparenzanforderungen. Allein die Verarbeitung alter Daten für den neuen Zweck des KI-Trainings erfordert eine rechtliche Grundlage nach DSGVO – die für vor Jahren unter anderen Umständen gesammelte Informationen oft fehlt.
Analyse: Die Durchsetzung erfolgt an zwei Fronten
Die jüngsten Signale aus Brüssel zeigen: Die Aufseher bereiten eine neue Phase der Durchsetzung vor, die den gesamten Datenlebenszyklus umfasst. Der Fokus auf Transparenz für 2026 ist eine klare Warnung an die Wirtschaft. Unwissenheit wird als Entschuldigung für Verstöße nicht mehr akzeptiert. Unternehmen müssen wissen, welche Daten sie besitzen, warum sie sie halten und wie sie verwendet werden – ob im alten Ablagesystem oder im neuesten KI-Modell.
Die finanziellen Risiken sind immens. Die Geschichte millionenschwerer DSGVO-Bußgelder gegen DAX-Konzerne ist eine deutliche Mahnung. Mit der vollständigen Anwendbarkeit des KI-Act wachsen die rechtlichen Risiken zusätzlich. Marktbeobachter stellen bereits verstärkte KI-spezifische Durchsetzungsmaßnahmen in der EU und Großbritannien fest, die sich sowohl gegen Entwickler als auch Anwender richten.
Ausblick: Vom Datenchaos zur KI-tauglichen Compliance
Der Weg für Unternehmen führt von reaktiver Compliance zu proaktivem Daten-Governance. Der erste Schritt zur konformen KI-Nutzung ist die umfassende Inventur, Kategorisierung und Kontrolle der unstrukturierten Datenbestände. Sensible Daten müssen identifiziert, angemessen gesichert und mit klaren Aufbewahrungs- und Löschrichtlinien versehen werden.
Die Regulierungsrahmen werden sich weiter entwickeln. Die EU-Kommission hat in einem Bericht bereits die tiefgreifenden Veränderungen durch KI anerkannt und eine Modernisierung des regulatorischen Werkzeugkastens gefordert. Für Unternehmen bedeutet dies: Wachsamkeit ist geboten. Die laufenden Konsultationen und die gestaffelte Einführung neuer Gesetze wie des KI-Act sorgen für einen dynamischen Compliance-Horizont. Die Beherrschung der Risiken analoger Alt-Daten ist kein bloßes Haushaltsmanagement mehr. Sie ist die Grundvoraussetzung, um die Macht der KI von morgen legal und sicher nutzen zu können.
Übrigens: Seit August 2024 gelten neue Vorgaben zur Klassifizierung und Dokumentation von KI-Systemen – Fristen und Kennzeichnungspflichten betreffen jetzt auch Anwender von Trainingsdaten aus Archivbeständen. Wer seine Datenherkunft und Risikobewertung schnell nachrüsten möchte, findet im kostenlosen Umsetzungsleitfaden praxisnahe Checklisten, Beispiele für Risikoklassen und konkrete Dokumentationsvorlagen. Kostenlosen KI-Umsetzungsleitfaden sichern
