EU-Datenschutz: Rat will KI-Training mit personenbezogenen Daten erleichtern

Die Mitgliedstaaten der Europäischen Union haben sich im Rat der EU auf Anpassungen der Datenschutz-Grundverordnung verständigt, um die Nutzung personenbezogener Daten für die Entwicklung und den Einsatz von Künstlicher Intelligenz spürbar zu erleichtern.

Die Vereinbarung ist Teil eines Verhandlungsmandats zum sogenannten Digitalen Omnibus, auf das sich der Rat am 21. Oktober 2026 festlegte. Damit soll ein Vorschlag der Europäischen Kommission aus dem November 2025 vorangetrieben werden, der Erleichterungen in mehreren Digitalgesetzen vorsieht.

Im Zentrum der Einigung steht die Einführung eines neuen Artikels 88bis. Demnach soll die Verarbeitung personenbezogener Daten im Zusammenhang mit KI grundsätzlich als rechtmäßig eingestuft werden können.

Unternehmen erhielten damit die Möglichkeit, sich auf ein vorrangiges berechtigtes Interesse zu berufen, womit eine ausdrückliche Einwilligung der Betroffenen entfallen könnte. Dieser Schritt wurde im Schnellverfahren ohne eine vorherige Grundrechtsprüfung beschlossen.

Zudem sieht die Position des Rates vor, den Begriff der personenbezogenen Daten enger zu fassen. Pseudonyme Kennungen wie Nutzer- und Tracking-IDs, IP-Adressen sowie Sozialversicherungsnummern sollen künftig in der Regel nicht mehr den Vorgaben der DSGVO unterliegen.

Kritik an weitreichenden Ausnahmen

Angesichts der neuen EU-Regelungen stehen Unternehmen vor der Herausforderung, ihre Compliance-Strategien an die aktuellen Anforderungen für künstliche Intelligenz anzupassen. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über alle Pflichten, Risikoklassen und Fristen des EU AI Acts. EU AI Act in 5 Schritten verstehen

Gegen das Vorhaben regt sich deutlicher Widerstand von Datenschützern. Max Schrems von der Organisation noyb kritisierte den weiten Geltungsbereich der Neuregelung. Die Bestimmungen würden auch Personen erfassen, die niemals Kunden der verarbeitenden Unternehmen gewesen seien, sowie Datenbestände einbeziehen, die Jahrzehnte zurücklägen.

Schrems bemängelte zudem, dass das Gesetz an die Technologie statt an den Verarbeitungszweck anknüpfe. Dies erlaube unter anderem personalisierte Werbung ohne Zustimmung der Betroffenen, während wesentliche zusätzliche Schutzmaßnahmen fehlten.

Innerhalb der Mitgliedstaaten gab es während der Beratungen Nachbesserungen. Das niederländische Kabinett stimmte dem EU-Kompromiss zu, nachdem die Niederlande mehrere Anpassungen durchsetzen konnten.

Zwar blieb Artikel 88bis im Text verankert, wurde jedoch an strengere Bedingungen geknüpft. Demnach reicht die bloße Entwicklung von KI nicht als berechtigtes Interesse aus, es bleibt eine Einzelfallprüfung im Rahmen der gewöhnlichen Dreistufentestung erforderlich.

Wer sich mit der rechtssicheren Dokumentation von Datenverarbeitungsprozessen befasst, muss die strengen Vorgaben der Aufsichtsbehörden präzise erfüllen. Experten zeigen in diesem kostenlosen Report, wie Sie häufige Fehler im Verarbeitungsverzeichnis vermeiden und die gesetzliche Dokumentationspflicht zeitsparend umsetzen. Kostenlose Muster-Vorlage für das Verarbeitungsverzeichnis herunterladen

Werden sensible Daten versehentlich in Trainingsdatensätzen verarbeitet, soll dies unter strikten Voraussetzungen – etwa bei unbeabsichtigtem Auftreten, weitestgehender Filterung und Unverhältnismäßigkeit einer nachträglichen Löschung – nicht sofort einen Verstoß begründen.

Weitere Neuerungen und nächster Verfahrensschritt

Der Kompromiss zum Digitalen Omnibus umfasst zusätzliche Änderungen bestehender IT-Vorschriften. Bei Datenschutzverletzungen nach Artikel 33 DSGVO sieht der Ratsentwurf eine Verlängerung der Meldefrist von 72 auf 96 Stunden vor, sofern dies machbar ist, verbunden mit einer Anpassung der Risikoschwelle.

Für Cybersicherheitsvorfälle ist keine zentrale EU-Meldestelle, sondern jeweils eine nationale Anlaufstelle pro Mitgliedstaat sowie eine europäische Informationsstelle vorgesehen. Bei Cookies soll eine Ein-Klick-Lösung für Zustimmung oder Ablehnung greifen, wonach vier Monate lang keine erneute Nachfrage erfolgen darf.

Der europäische Datenschutzverband EFDPO begrüßte die Verhandlungsposition des Rates grundsätzlich, merkte jedoch an, dass die Regeln vor allem auf vergangene Probleme reagierten. Da das Training großer Sprachmodelle häufig bereits durch außereuropäische Anbieter erfolgt sei, bleibe die praktische Reichweite der Vorgaben begrenzt.

Bei der Einigung handelt es sich um eine Verhandlungsposition des Rates und noch nicht um geltendes Recht; bestehende Pflichten bleiben bis auf Weiteres unverändert. Das Europäische Parlament wird seinen Standpunkt voraussichtlich im März festlegen. Anschließend beginnen die Trilog-Verhandlungen zwischen Rat, Parlament und Kommission. Die Verhandlungspartner streben an, das Reformpaket bis Ende 2027 abzuschließen.