KI-Omnibus: Verordnung 2026/1744 verdrahtet KI-Verordnung und DSGVO neu

Die EU hat geändert, wie ihre beiden größten digitalen Regelwerke zusammenpassen. Die Verordnung (EU) 2026/1744, bekannt als KI-Omnibus, ändert die KI-Verordnung und verschiebt, wo sie sich mit der DSGVO überschneidet. Dieser Leitfaden zu den Änderungen der KI-Verordnung und der DSGVO erklärt führt durch das, was die Quellenanalyse hervorhebt: einen neuen Artikel 4a zu Daten zur Bias-Erkennung, Grundrechte-Folgenabschätzungen (FRIAs), die Datenschutz-Folgenabschätzungen (DSFAs) nach der DSGVO wiederverwenden können, abgeschwächte Pflichten zur KI-Kompetenz und neue Aufsichtsregelungen.

Das Quellmaterial ist eine kurze Zusammenfassung, daher beschränkt sich dieser Beitrag auf diese Kernänderungen und vermeidet Spekulationen über Details, die es nicht ausführt. Wo das Kleingedruckte wichtig ist, sagen wir das.

Was der KI-Omnibus in der KI-Verordnung geändert hat

Laut der Zusammenfassung hat die Verordnung (EU) 2026/1744 die Überschneidung zwischen der KI-Verordnung und der DSGVO „neu verdrahtet“. Vier Änderungen stechen hervor:

• Daten zur Bias-Erkennung (Art. 4a): eine neue Bestimmung, die den Umgang mit Daten zur Erkennung von Bias in KI-Systemen regelt.
• FRIAs, die DSFAs wiederverwenden: Grundrechte-Folgenabschätzungen können auf den DSFAs aufbauen, die Organisationen bereits nach der DSGVO durchführen.
• Abgeschwächte KI-Kompetenz: Die Pflichten rund um die KI-Kompetenz wurden gelockert.
• Neue Aufsicht: Änderungen bei der Organisation der Aufsicht.

Der breitere Kontext ist ein Vorstoß zur Vereinfachung der EU-Digitalvorschriften. Wenn Sie das größere Bild wünschen, behandelt unser Erklärartikel dazu, was der EU-Digital-Omnibus für Cookies, DSGVO und KI ändert, das Vereinfachungspaket ausführlicher.

Daten zur Bias-Erkennung nach Artikel 4a: Was das für Ihre personenbezogenen Daten bedeutet

Bias-Tests sind ein echter Spannungspunkt. Um zu prüfen, ob ein KI-System Gruppen unfair behandelt, benötigen Entwickler oft Daten über Merkmale wie Ethnizität, Gesundheit oder andere sensible Attribute. Die DSGVO setzt der Verarbeitung solcher Daten enge Grenzen. Artikel 4a ist die Antwort der KI-Verordnung: Er erlaubt den Umgang mit Daten zur Bias-Erkennung innerhalb des KI-Rahmens.

Für gewöhnliche Menschen ist die praktische Frage, ob Ihre Daten zur Prüfung eines KI-Systems verwendet werden könnten. Die Zusammenfassung bestätigt, dass die Bestimmung existiert, legt aber nicht die damit verbundenen Schutzmaßnahmen, Bedingungen oder Grenzen dar. Dieses Detail ist wichtig. Zweckbindung, Datenminimierung und Sicherheit sind die Arten von Schutzmaßnahmen, nach denen man im Verordnungstext und in der Art und Weise, wie Organisationen ihre Praktiken beschreiben, Ausschau halten sollte.

Die Absicht – KI auf Diskriminierung zu prüfen – ist legitim. Das Datenschutzrisiko liegt darin, ob die Erlaubnis eng und gut kontrolliert oder weit und locker überwacht ist. Leser sollten dies als offene Frage behandeln, bis sie den maßgeblichen Wortlaut gesehen haben.

Wie FRIAs und DSFAs nach der DSGVO nun zusammenwirken

Eine DSFA ist die DSGVO-Folgenabschätzung, die eine Organisation durchführt, wenn die Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte der Menschen darstellt. Eine FRIA ist die Folgenabschätzung der KI-Verordnung dafür, wie sich ein Hochrisiko-KI-System auf Grundrechte auswirken könnte. Vor der Änderung konnte eine Organisation mit zwei sich überschneidenden Papierübungen konfrontiert sein.

Nach dem KI-Omnibus können FRIAs DSFAs wiederverwenden. Einfach ausgedrückt: Die für eine Folgenabschätzung geleistete Arbeit kann in die andere einfließen, was Doppelarbeit reduzieren sollte.

Es gibt Vorteile und Vorbehalte:

• Vorteil: Eine gut gemachte Folgenabschätzung kann beiden Regimen dienen, was eher gründliche Arbeit fördern könnte, statt zweimal Häkchen zu setzen.
• Vorbehalt: Eine DSFA konzentriert sich auf Datenschutzrisiken. Eine FRIA soll weiter blicken, einschließlich Diskriminierung und anderer Rechte. Die Wiederverwendung einer DSFA hilft nur, wenn die weitergehenden Fragen tatsächlich noch gestellt werden.

Was datenschutzbewusste Nutzer gewinnen und verlieren

Wahrscheinliche Gewinne

• Klarere Regeln für Bias-Tests, die helfen können, diskriminierende KI zu erkennen, bevor sie Sie betrifft.
• Weniger doppelte Folgenabschätzungsarbeit, was Organisationen freisetzen könnte, sich auf Qualität zu konzentrieren.
• Fortbestehende DSGVO-Rechte. Die Zusammenfassung beschreibt eine angepasste Überschneidung, nicht eine Aufhebung der DSGVO.

Mögliche Verluste oder Unsicherheiten

• Ein neuer rechtlicher Weg zur Verarbeitung sensibler Daten zur Bias-Erkennung, mit Schutzmaßnahmen, die geprüft werden müssen.
• Abgeschwächte Pflichten zur KI-Kompetenz, was bedeuten könnte, dass Mitarbeiter, die KI-Werkzeuge nutzen, weniger verpflichtende Schulungen erhalten.
• Neue Aufsichtsregelungen, deren Auswirkung auf Durchsetzung und Bearbeitung von Beschwerden in der Quelle nicht ausgeführt wird.

Was das für Sie bedeutet

Nichts in der Zusammenfassung deutet darauf hin, dass Ihre Kernrechte nach der DSGVO – wie Auskunft, Löschung und Widerspruch – verschwunden sind. Was sich geändert hat, ist die Maschinerie rund um KI-Systeme: wie Daten zu deren Prüfung verwendet werden dürfen, wie Risikobewertungen kombiniert werden und wer darüber wacht.

Wenn Sie mit KI-Systemen interagieren, die bei Einstellung, Kreditvergabe, Bildung oder öffentlichen Diensten eingesetzt werden, könnten die neuen Regeln beeinflussen, wie Ihre Daten für Fairness-Tests verwendet werden und wie gründlich Ihre Rechte bewertet werden. Die Details hängen vom vollständigen Verordnungstext und davon ab, wie nationale Behörden ihn anwenden.

Praktische Erkenntnisse

• Lesen Sie Datenschutzhinweise auf KI-Sprache. Achten Sie darauf, ob eine Organisation angibt, personenbezogene Daten zur Prüfung oder Verbesserung von KI zu verwenden, einschließlich der Bias-Erkennung.
• Fragen Sie nach Folgenabschätzungen. Sie können ein Unternehmen fragen, ob es eine DSFA oder eine FRIA für KI-Systeme durchgeführt hat, die Sie betreffen, und wie die beiden zusammenhängen.
• Nutzen Sie Ihre DSGVO-Rechte. Auskunfts-, Widerspruchs- und Löschungsanträge bleiben verfügbar.
• Warten Sie auf die Details. Behandeln Sie die Kernänderungen als Ausgangspunkt und prüfen Sie den Verordnungstext auf Schutzmaßnahmen zu Artikel 4a.

Um den Kontext weiter aufzubauen, beginnen Sie mit unserem Digital-Omnibus-Erklärartikel und prüfen Sie dann, wie die Organisationen, die Ihre Daten halten, ihre KI- und Folgenabschätzungspraktiken beschreiben. Mit diesen Änderungen der KI-Verordnung und der DSGVO erklärt sind Sie besser in der Lage, die richtigen Fragen zu stellen.