Der Einsatz von KI-Tools im Unternehmen ist kein Freifahrtschein für Datenschutzverletzungen. Mit dem EU AI Act seit August 2026 gelten neue Pflichten — und viele Unternehmen stehen vor der Frage: Welche KI-Tools sind wirklich DSGVO-konform?
Eine Bitkom-Studie zeigt: 70 Prozent der Beschäftigten in Deutschland haben bislang keine KI-Fortbildung erhalten. Gleichzeitig prüfen Aufsichtsbehörden seit Anfang 2026 verstärkt die Kombination aus DSGVO und EU AI Act. Wer hier falsch liegt, riskiert Bußgelder bis zu 20 Millionen Euro.
Die drei kritischen Punkte bei jedem KI-Tool
Vor der Nutzung müssen Unternehmen drei Fragen beantworten:
- Gibt es einen Auftragsverarbeitungsvertrag (AVV)?
Ohne AVV nach Art. 28 DSGVO ist jede Verarbeitung personenbezogener Daten rechtswidrig. - Werden die Daten zum Training verwendet?
Standard-Versionen nutzen Eingaben oft für Modellverbesserungen — das ist bei sensiblen Daten problematisch. - Wo werden die Daten verarbeitet?
US-Server unterliegen dem Cloud Act und FISA 702 — das bedeutet potenziellen Zugriff durch US-Behörden.
Wichtigste Tools im DSGVO-Check 2026
| Tool | AVV | EU-Hosting | Training-Opt-out | Bewertung |
|---|---|---|---|---|
| Aleph Alpha | Ja | Deutschland | Ja | ✅ Grüne Ampel |
| Mistral AI | Ja | Frankreich (EU) | Ja | ✅ Grüne Ampel |
| Microsoft Copilot | Ja (M365) | EU (Data Boundary) | Ja | ✅ Grüne Ampel |
| ChatGPT Enterprise | Ja | EU (optional) | Ja | 🟡 Gelbe Ampel |
| Claude Enterprise | Ja | USA (vertraglich) | Ja | 🟡 Gelbe Ampel |
| ChatGPT Free/Plus | Nein | USA | Teilweise | 🔴 Rote Ampel |
Aleph Alpha: Die deutsche Alternative
Aleph Alpha ist ein deutsches Unternehmen mit Sitz in Heidelberg und bietet mit PHI-Modellen eine echte Alternative zu US-Anbietern. Die Modelle laufen ausschließlich auf deutschen Servern, es gibt keinen Drittlandtransfer, und ein vollständiger deutscher AV-Vertrag wird direkt mitgeliefert.
Für regulierte Branchen wie Steuerberatung, Wirtschaftsprüfung oder Medizintechnik ist Aleph Alpha oft die sicherste Wahl — besonders wenn §203 StGB (Berufsgeheimnisse) relevant ist.
Mistral AI: Europäischer Champion
Mistral AI aus Paris bietet mit Mistral Large und Mistral Nemo leistungsstarke Modelle mit EU-Hosting in Frankreich. Der AVV ist Standard, und da Frankreich Teil der EU ist, entfällt das Drittlandtransfer-Risiko vollständig.
Microsoft Copilot: Integration als Vorteil
Für Unternehmen, die ohnehin Microsoft 365 nutzen, ist Copilot for Microsoft 365 die nahtloseste Lösung. Der AVV ist im Enterprise Agreement enthalten, und mit der EU Data Boundary können Daten innerhalb Europas gehalten werden.
Aber Achtung: Copilot greift auf alle SharePoint- und OneDrive-Daten zu, auf die der Nutzer Zugriff hat. Schlecht gepflegte Berechtigungen können hier neue Datenschutzrisiken schaffen.
ChatGPT Enterprise: Möglich, aber mit Einschränkungen
OpenAI bietet seit Februar 2025 EU-Datenresidenz und seit Januar 2026 EU-Inferenz-Residenz für Enterprise-Kunden. Dennoch bleibt OpenAI ein US-Unternehmen — die Risiken durch Cloud Act und FISA 702 bestehen weiter.
Kostenlose Versionen: Finger weg!
Die kostenlose ChatGPT-Version und private Plus-Abos sind für den Unternehmens(einsatz mit personenbezogenen Daten NICHT geeignet. Sie bieten:
- Keinen AVV nach Art. 28 DSGVO
- Standardmäßige Nutzung der Daten für Modelltraining
- Keine Admin-Kontrollen oder Protokolle
Neue Pflichten ab August 2026: EU AI Act
Seit dem 2. August 2026 gilt der EU AI Act in voller Breite. Das bedeutet für Unternehmen:
- KI-Kompetenzpflicht (Art. 4): Mitarbeitende müssen über den sicheren Umgang mit KI geschult werden
- Transparenzpflichten (Art. 50): Nutzer müssen erkennen können, wann sie mit KI interagieren
- Dokumentationspflichten: KI-Einsatz muss im Verarbeitungsverzeichnis dokumentiert sein
- Haftungsrisiken: Bei Verstößen drohen Bußgelder bis zu 4% des weltweiten Umsatzes
Checkliste für DSGVO-konformen KI-Einsatz
- AVV mit dem Anbieter abschließen (oder prüfen, ob bereits vorhanden)
- Datenverarbeitungsdokumentation im Verarbeitungsverzeichnis erstellen
- Rechtsgrundlage nach Art. 6 DSGVO dokumentieren
- Bei Hochrisiko-Anwendungen: Datenschutz-Folgenabschätzung (DSFA) durchführen
- Interne KI-Nutzungsrichtlinien erstellen und von Mitarbeitern unterschreiben lassen
- Schulung der Mitarbeitenden dokumentieren (KI-Kompetenz nach Art. 4 EU AI Act)
- Regelmäßige Audits der KI-Nutzung durchführen
Fazit
DSGVO-konforme KI-Nutzung ist kein Tabuthema — sie erfordert aber strukturiertes Vorgehen. Deutsche Unternehmen wie Aleph Alpha und französische Anbieter wie Mistral AI bieten echte Alternativen zu US-Diensten. Wichtig ist: Ein AVV allein reicht nicht aus. Unternehmen müssen zusätzlich Datentransfers dokumentieren, Schulungsnachweise führen und interne Richtlinien etablieren.
Der richtige Zeitpunkt zum Handeln ist jetzt — nicht erst nach einer Abmahnung.
Quellen: EU AI Act Artikel 4, 50; DSGVO Artikel 6, 28, 35; Bitkom-Studie 2026; Aleph Alpha Datenschutzdaten; Mistral AI Enterprise-Dokumentation.