Welche Datenschutzgesetze gelten für KI? Eine praktische Landkarte

Es gibt kein einzelnes Gesetz für KI und Datenschutz. Was gilt, hängt von drei Dingen ab. Wer Sie sind. Wo die Menschen leben, deren Daten Sie verarbeiten. Welche Daten Sie berühren. Die DSGVO erfasst Menschen, die sich in der Europäischen Union befinden, unabhängig davon, in welchem Land Sie sitzen. Das Vereinigte Königreich betreibt ein nahezu identisches Regime. Der EU AI Act regelt KI-Systeme nach Risikostufe und ersetzt die DSGVO nicht. Die Vereinigten Staaten haben kein allgemeines Bundesdatenschutzgesetz: Ein Flickenteppich aus Landesgesetzen und Sektorregelungen füllt die Lücke. Ein roter Faden zieht sich durch all das. Je weniger personenbezogene Daten Sie der KI zuführen, desto weniger Pflichten treffen Sie.

Die drei Fragen, die entscheiden

Bevor Sie zu einem Gesetzestext greifen, beantworten Sie drei Fragen. Sie sagen Ihnen fast immer, wo Sie stehen.

1. 1WER sind Sie? Ein Unternehmen, ein Krankenhaus, eine Schule, eine Bank? Mehrere US-Gesetze binden nur bestimmte Arten von Organisationen.
2. 2WO sind Ihre Menschen? Nicht Ihr Hauptsitz: die Menschen, deren Daten Sie verarbeiten. Die DSGVO folgt der Person, nicht der Postleitzahl.
3. 3WELCHE Daten berühren Sie? Eine E-Mail-Adresse, eine Krankenakte, ein Schulzeugnis, ein Bankkonto? Die Kategorie löst das Regime aus.

Diese drei Antworten verorten Sie auf der Landkarte. Der Rest ist Detail.

EU und Vereinigtes Königreich: Die DSGVO folgt der Person

Die DSGVO (Verordnung (EU) 2016/679) gilt nicht nach Ihrer Adresse. Sie gilt mit Blick auf die Menschen, deren Daten Sie berühren. Artikel 3 erstreckt sie auf Organisationen mit Sitz außerhalb der EU. Zwei Fälle genügen: Sie bieten Menschen in der EU Waren oder Dienstleistungen an, oder Sie beobachten ihr Verhalten. Ein US- oder britisches Unternehmen, das die Daten eines EU-Kunden in ein KI-Werkzeug einfügt, fällt also in den Anwendungsbereich. Das Vereinigte Königreich betreibt ein Zwillingsregime: die UK GDPR, gelesen zusammen mit dem Data Protection Act 2018.

Sobald personenbezogene Daten in ein KI-Werkzeug gelangen, greifen dieselben vier Pflichten.

• Eine Rechtsgrundlage (Artikel 6). Sie müssen sagen können, warum die Verarbeitung rechtmäßig ist.
• Datenminimierung (Artikel 5 Absatz 1 Buchstabe c). Die Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein.
• Ein Auftragsverarbeitungsvertrag (Artikel 28). Wenn ein Anbieter die Daten in Ihrem Auftrag verarbeitet, benötigen Sie einen schriftlichen Vertrag mit verbindlichen Bedingungen.
• Zusätzlicher Schutz für besondere Kategorien von Daten (Artikel 9). Gesundheit, Biometrie, Religion, Gewerkschaftszugehörigkeit, Sexualleben, politische Meinungen: grundsätzlich untersagt, sofern keine enge Ausnahme greift.

Das ist der Grundstock. Er gilt für ein CRM ebenso wie für einen in einen Chatbot eingefügten Prompt.

Der EU AI Act: ein Regelwerk für Systeme, kein Datenschutzgesetz

Der EU AI Act (Verordnung (EU) 2024/1689) wird weithin falsch verstanden. Er ist kein Datenschutzgesetz. Er reguliert KI-Systeme nach Risikostufe: inakzeptabel (verboten), hohes Risiko, begrenztes Risiko (Transparenz), minimal. Er steht neben der DSGVO, statt sie zu ersetzen. Sie können leicht unter beide zugleich fallen.

Anhang III listet die als hochriskant eingestuften Verwendungen auf. Beschäftigung und Personalverwaltung stehen darauf: Einstellung, Vorauswahl, Bewertung von Bewerbern. Ebenso Bildung, Kreditwürdigkeitsprüfung und bestimmte Verwendungen im öffentlichen Dienst und in der Strafverfolgung.

Die Pflichten greifen nicht alle auf einmal. Die Verordnung ist im August 2024 in Kraft getreten. Die Regeln zu verbotenen Praktiken und die KI-Kompetenzpflicht galten zuerst. Es folgten die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck. Der Großteil des Hochrisiko-Regimes kommt später, und produktintegrierte Systeme zuletzt. Die Europäische Kommission hat öffentlich erwogen, Teile des Zeitplans anzupassen. Prüfen Sie daher den aktuellen Stand, wenn Sie dies lesen.

Vereinigte Staaten: kein einheitliches Bundesgesetz

Die USA haben kein allgemeines Bundesdatenschutzgesetz. Stattdessen ein Flickenteppich. Landesgesetze auf der einen Seite. Sektorspezifische Bundesgesetze auf der anderen. Jedes hat einen engen, definierten Anwendungsbereich.

• CCPA, geändert durch den CPRA (Kalifornien). Der California Attorney General führt aus, dass er für gewinnorientierte Unternehmen gilt, die in Kalifornien geschäftlich tätig sind und einen Schwellenwert erreichen: über 25 Millionen US-Dollar Bruttojahresumsatz; das Kaufen, Verkaufen oder Teilen der personenbezogenen Daten von 100.000 oder mehr kalifornischen Einwohnern oder Haushalten; oder das Erzielen von 50 % oder mehr des Jahresumsatzes aus dem Verkauf personenbezogener Daten von Einwohnern.
• HIPAA (Gesundheit). Es bindet erfasste Einrichtungen — Krankenversicherungen, die meisten Gesundheitsdienstleister, Abrechnungsstellen — und ihre Geschäftspartner, die geschützte Gesundheitsdaten verarbeiten. Ein HR-Team oder eine Fitness-App ist in der Regel nicht erfasst.
• COPPA (Kinder). Es erfasst Onlinedienste, die sich an Kinder unter 13 richten oder wissentlich personenbezogene Daten von ihnen erheben. Es verlangt eine überprüfbare Einwilligung der Eltern.
• FERPA (Bildung). Es regelt Bildungsunterlagen an Schulen und Einrichtungen, die Mittel des US-Bildungsministeriums erhalten. KI-Anbieter sind stattdessen typischerweise vertraglich gebunden.
• GLBA und die Safeguards Rule der FTC (Finanzen). Sie gelten für Finanzinstitute, die Finanzdaten von Kunden verarbeiten.

Kalifornier erhalten echte Rechte: zu wissen, zu löschen, zu berichtigen, dem Verkauf oder Teilen zu widersprechen und die Nutzung sensibler personenbezogener Daten zu beschränken. Die Seite des Attorney General nennt in dieser sensiblen Kategorie unter anderem Sozialversicherungsnummern, Zugangsdaten zu Finanzkonten, präzise Standortdaten sowie genetische und biometrische Daten. Viele andere Bundesstaaten haben seither vergleichbare Gesetze erlassen, und die Liste wächst weiter.

Hinzu kommen die Sektoraufsichtsbehörden. Finanzen, Gesundheit, Versicherung, Bildung: Jede legt ihre eigenen Regeln obendrauf. Eine europäische Bank kann daher bei einem einzigen KI-Projekt der DSGVO, dem AI Act und ihrer Bankenaufsicht unterliegen.

Die Entscheidungslandkarte

Der rote Faden durch jedes Regime: Datenminimierung

Ein Prinzip zieht sich durch all diese Regime. Weniger personenbezogene Daten hinein, weniger rechtliche Angriffsfläche hinaus. Die DSGVO macht die Minimierung zu einem verbindlichen Grundsatz. Der CCPA gibt Verbrauchern das Recht, die Nutzung sensibler personenbezogener Daten zu beschränken. Die US-Sektorgesetze greifen nur bei identifizierbaren, regulierten Kategorien von Daten.

Die praktische Folge ist einfach. Entfernen Sie die Kennungen, bevor der Prompt das Modell erreicht. Die meisten Pflichten schrumpfen auf einen Schlag. Der eigentliche Hebel ist nicht, welchen KI-Anbieter Sie wählen. Es ist das, was Sie dem Modell zu lesen geben.

1. 1Beantworten Sie die drei Fragen: wer, wo, welche Daten.
2. 2Erkennen Sie die Kennungen in Ihrem Text, bevor Sie ihn senden.
3. 3Ersetzen Sie sie durch umkehrbare Token, im Browser.
4. 4Senden Sie nur den anonymisierten Text an das Modell.
5. 5Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Namen, E-Mails, Kennungen, Gesundheitsangaben, Bankzugangsdaten — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Sie behalten die Hilfe der KI und verkleinern zugleich die rechtliche Angriffsfläche, die jedes dieser Gesetze zu vermessen kommt.