EU AI Act ab August: Millionenstrafen für KI-Verstöße drohen
Veröffentlicht am: 28.07.2026 um 18:03 Uhr | Redaktion boerse-global.de
Die Datenschutz-Grundverordnung gilt seit 2018. Doch die Realität in deutschen Unternehmen sieht düster aus. Eine aktuelle Umfrage unter 500 Datenschutzverantwortlichen zeigt: Rund 80 Prozent der Organisationen mit mehr als 500 Mitarbeitern verstoßen gegen geltende Bestimmungen. Besonders kritisch: veraltete Dokumentationen und fehlende Einbindung von Experten in laufende Projekte.
Nur jedes fünfte Unternehmen hat aktuelle Datenschutz-Dokumente
Die Erhebung von Dury Consult offenbart eine tiefe Kluft zwischen Anspruch und Wirklichkeit. Lediglich 21 Prozent der befragten Firmen verfügen über ein aktuelles Verzeichnis von Verarbeitungstätigkeiten (VVT). 60 Prozent arbeiten mit veralteten Verzeichnissen, 20 Prozent führen gar kein entsprechendes Dokument.
Ein wesentlicher Grund: Datenschutzbeauftragte werden viel zu selten in Projekte eingebunden. Bei Personalprojekten bleiben 86 Prozent der Zuständigen außen vor. Ähnlich sieht es bei neuer Software (79 Prozent) und IT-Sicherheitsfragen (75 Prozent) aus. Das erhöht das Risiko für Bußgelder und persönliche Haftung massiv.
Neuer EU AI Act: Ab August drohen Millionenstrafen
Ab dem 2. August 2026 kommen neue Pflichten auf Unternehmen zu. Dann treten erste Transparenzpflichten nach Artikel 50 des EU AI Acts in Kraft. Wer KI-Systeme wie den SAP-Assistenten Joule oder eigene Agent-Lösungen einsetzt, muss deren Nutzung erfassen und die eigene Rolle klar definieren – als Anbieter oder Betreiber.
Die Strafen sind happig: Bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes drohen bei Verstößen gegen die Vorgaben für KI-Systeme mit allgemeinem Verwendungszweck.
Die neuen EU-Vorgaben für künstliche Intelligenz stellen viele Unternehmen vor enorme Herausforderungen bei der Dokumentation. Dieser kostenlose Umsetzungsleitfaden hilft Ihnen, Risikoklassen und Fristen des AI Acts rechtzeitig zu verstehen. EU AI Act in 5 Schritten verstehen
Parallel verschärfen sich die Anforderungen durch die EU-CER-Richtlinie sowie nationale Umsetzungen von DORA und NIS2. Betreiber kritischer Infrastrukturen und Finanzinstitute müssen Personal in sensiblen Bereichen regelmäßig überprüfen – das betrifft mittlerweile elf Sektoren inklusive externer Dienstleister.
Automatisierung als Rettungsanker
Um die wachsende Komplexität zu bewältigen, setzen Firmen verstärkt auf integrierte Softwarelösungen. Ende Juli kündigten Evy Solutions und forcont business technology eine strategische Partnerschaft an. Ziel: KI-basierte Dokumentenanalysen direkt in Personal- und Vertragsmanagementsysteme einbinden und Prozesse DSGVO-konform automatisieren.
Auch der Finanzsektor zieht nach. Ein Multi-Agent-KI-System zur automatisierten Kontoabstimmung wurde Ende Juli freigegeben – inklusive prüfungsreifer Dokumentation. Die finale Kontrolle bleibt aber beim Menschen. In der Logistikbranche sind für Herbst 2026 neue KI-Assistenten angekündigt, die Tourenvorschläge automatisieren und Daten aus PDF-Scans eigenständig erfassen.
Da viele Unternehmen laut Umfragen bei der Dokumentation ihrer Datenverarbeitung hinterherhinken, riskieren sie empfindliche Bußgelder. Mit einer professionellen Excel-Vorlage lässt sich das gesetzlich geforderte Verzeichnis der Verarbeitungstätigkeiten deutlich schneller und rechtssicher erstellen. Kostenlose Muster-Vorlage für das Verarbeitungsverzeichnis herunterladen
BGH: Schon kleine Datenschutz-Pannen können teuer werden
Die Dringlichkeit lückenloser Compliance unterstreicht die aktuelle Rechtsprechung. Der Bundesgerichtshof bestätigte: Bereits geringfügige Verstöße wie die versehentliche Weitergabe von Gehaltsdaten über soziale Netzwerke können Entschädigungsansprüche auslösen. Laut Europäischem Gerichtshof kommt es nicht auf den Grad des Verschuldens an – der bloße Kontrollverlust über personenbezogene Daten kann bereits einen entschädigungsfähigen Schaden darstellen.
Auch steuerliche Compliance rückt in den Fokus. Ein Aktionsplan gegen Steuerkriminalität vom 16. Juli 2026 sieht Verschärfungen vor: mögliche Verlängerung der Aufbewahrungsfristen auf 15 Jahre und verstärkter KI-Einsatz bei Betriebsprüfungen. Experten raten zu einer gründlichen Bestandsaufnahme vor der Einführung neuer Technologien. Nur eine strukturierte Datenbasis verhindere, dass KI lediglich bestehende ineffiziente Abläufe beschleunigt.
Übrigens: Für die Vernichtung alter Datenbestände gelten neue Normen. Ein Arbeitspapier der bayerischen Datenschutzaufsicht vom Mai 2026 weist darauf hin, dass die DIN 66399 durch die ISO/IEC 21964 ersetzt wurde. Für personenbezogene Daten ist nun mindestens Schutzklasse 2 erforderlich.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
