AI-Act-Verschiebung: Entfällt die DSFA-Pflicht im KMU?

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse.

Praxisregel: Die Verschiebung betrifft die Hochrisiko-Fristen nach Anhang III und Anhang I sowie eine Übergangsfrist für Art. 50 Abs. 2, nicht die DSGVO. ✅ Art. 50 Abs. 1 AI Act gilt seit dem 02.08.2026, für die Kennzeichnung nach Abs. 2 läuft eine Übergangsfrist bis 02.12.2026, aber nur für KI-Systeme, die schon vor dem 02.08.2026 auf dem Markt waren (Stand: 2026-10). ⚠️ Eine DSFA kann nötig sein, sobald ein KI-Tool in großem Umfang Personendaten auswertet, bewertet oder besondere Kategorien verarbeitet. ⚠️ Prüfe die DSFA-Frage vor dem Einsatz, nicht erst nach der Einführung. ⚠️ Wer Mitarbeitende oder Kunden mit KI bewertet, sollte die Pflicht besonders genau prüfen.

Was die Verschiebung tatsächlich geändert hat

Der Digital Omnibus ist als Verordnung (EU) 2026/1744 beschlossen. Laut mehreren Kanzlei- und Fachquellen wurde er am 24.07.2026 im Amtsblatt veröffentlicht und trat am 27.07.2026 in Kraft (Stand: 2026-10). Er ändert die Anwendungstermine der EU-KI-Verordnung, nicht den Inhalt der DSGVO.

Tabelle seitlich scrollen →

Art. 50 Abs. 1 gilt seit dem 02.08.2026. Für die Kennzeichnung nach Abs. 2 gilt bis 02.12.2026 eine Übergangsfrist, aber nur für Systeme, die vor dem 02.08.2026 auf dem Markt waren (Stand: 2026-10, laut FAQ der EU-Kommission zu Art. 50). Der frühere Termin für Anhang III war der 02.08.2026. Er ist durch den Digital Omnibus überholt. Die Primärtexte findest du auf eur-lex.europa.eu, prüfe dort vor wichtigen Entscheidungen den aktuellen Stand.

Warum die DSFA-Pflicht davon unberührt bleibt

Die DSFA ist ein Instrument der DSGVO. Art. 35 Abs. 1 DSGVO verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen hat. Das gilt für jedes KI-Tool, unabhängig davon, ob der AI Act es als Hochrisiko einstuft.

Das Missverständnis liegt nahe: Wer liest, „Hochrisiko-Pflichten verschoben“, schließt schnell auf „Risikoprüfungen verschoben“. Das stimmt nicht. Ein Chatbot kann nach dem AI Act als System mit begrenztem Risiko eingestuft sein und trotzdem eine DSFA auslösen, wenn du damit Gesundheitsdaten oder Bewerberprofile verarbeitest. Umgekehrt gilt: Sofern kein Personenbezug vorliegt, fällt ein Textentwurf in der Regel nicht in den Anwendungsbereich der DSGVO, und die DSFA-Frage stellt sich nicht.

Wann KI-Tools im KMU eine DSFA auslösen

Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, keine ganzen Branchen:

• systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung, einschließlich Profiling, mit Rechtswirkung oder ähnlich erheblicher Wirkung
• umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten
• systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche

Dazu kommt die Muss-Liste der Datenschutzkonferenz (DSK) nach Art. 35 Abs. 4 DSGVO, die KI-Einsätze zur Bewertung persönlicher Aspekte oder zur Steuerung der Interaktion mit Betroffenen aufführt. Den aktuellen Wortlaut prüfst du auf der Seite der DSK. Als Faustregel nennen die Leitlinien WP 248 zur DSFA (vom Europäischen Datenschutzausschuss übernommen): Treffen zwei oder mehr Risikokriterien zu, etwa neue Technologie plus umfangreiche Verarbeitung, ist eine DSFA in der Regel angezeigt.

Was ausdrücklich nicht automatisch darunterfällt: Ein Übersetzungstool für Geschäftskorrespondenz, ein Schreibassistent für Marketingtexte oder eine Rechnungs-KI mit wenigen Kundendaten lösen für sich genommen nicht automatisch eine DSFA aus. Gesundheitsbezogene Angaben können besondere Kategorien nach Art. 9 DSGVO darstellen und sollten daher mit besonderer Sorgfalt behandelt werden. Ob eine DSFA nötig ist, entscheidet der Einzelfall.

Kurz gesagt: Wenn du mit KI viele Personendaten gleichzeitig auswertest, Menschen bewertest oder sensible Angaben wie Gesundheitsdaten eingibst, solltest du vor dem Start eine DSFA durchführen oder dokumentiert begründen, warum keine nötig ist.

Wie AI Act und DSFA ab Dezember 2027 zusammenspielen

Für Hochrisiko-Systeme verknüpft der AI Act beide Regelwerke. Nach Art. 26 Abs. 9 AI Act sollen Betreiber die Informationen des Anbieters (Art. 13) nutzen, um ihre DSFA nach Art. 35 DSGVO durchzuführen. Der Anbieter muss also Dokumentation liefern, die dir die Risikobewertung erleichtert.

Zusätzlich verlangt Art. 27 AI Act eine Grundrechte-Folgenabschätzung (FRIA), aber nur von bestimmten Betreibern: öffentlichen Stellen, privaten Anbietern öffentlicher Dienste und Betreibern bestimmter Anhang-III-Systeme, etwa bei Kreditwürdigkeit und Versicherungen. Für Freiberufler und kleine Teams ohne diese Einsatzfelder entfällt sie. Auch diese Pflicht rückt mit dem Anhang-III-Termin nach hinten.

Wir empfehlen, die DSFA-Dokumentation früh anzulegen, damit du sie später um die Angaben des AI Act ergänzen kannst, statt im Dezember 2027 bei null zu beginnen.

Relevante KI-Tools im Überblick

Die folgende Auswahl zeigt drei Tools aus unserer Datenbank mit sehr unterschiedlichem Datenbezug. Sie ist keine vollständige Marktübersicht, sondern dient als Beispiel für die DSFA-Einordnung. Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.

Tabelle seitlich scrollen →

Die Scores setzen sich in unserer Methodik aus gewichteten Kategorien wie KI-Training, AVV, Drittlandtransfer und Datenspeicherung zusammen, mehr dazu unter /methodik. Sie bewerten Datenschutz und Compliance, nicht die Qualität der KI-Funktionen.

Warum diese Beispiele?

Wer Marketingtexte entwirft und dabei keine Personendaten eingibt, für den fällt dieser Arbeitsschritt mit ChatGPT Plus in der Regel nicht in den Anwendungsbereich der DSGVO, eine DSFA stellt sich dann nicht. Anders sieht es aus, wenn Bewerbungsunterlagen oder Kundenchats hochgeladen werden. Dann ist der Score von 5,0 ein Hinweis darauf, dass die Nutzung individuell geprüft werden muss, in unserer Methodik vor allem aufgrund des fehlenden AVV (laut Tool-Seite, Stand: Juni 2026) und der Frage nach der Trainingsnutzung von Eingaben.

Bei DeepL Pro hängt die DSFA-Frage vom übersetzten Inhalt ab. Wer Verträge mit vollständigen Personendaten oder Patientenschreiben übersetzt, sollte vorab prüfen, ob der Datenumfang eine Risikobewertung nötig macht.

Lexware Office dient der Buchhaltung und Rechnungsstellung, dort liegen Kundenstammdaten, Rechnungen und Belege. Der hohe Score von 8,0/10 bedeutet nicht, dass keine DSFA-Prüfung nötig ist: Das muss individuell geprüft werden, besonders wenn KI-Funktionen auf große Mengen an Kundendaten zugreifen.

Drittland: US-Tools und die DSFA

Bei ChatGPT stellt sich die Drittland-Frage unmittelbar. OpenAI ist ein US-Unternehmen. Ob OpenAI im EU-US Data Privacy Framework gelistet ist, ließ sich bis Stand 2026-10 nicht eindeutig klären: Das Teilnehmerverzeichnis war bei unserer Prüfung nicht auslesbar, der Registerstatus ist deshalb nicht abschließend verifiziert. Prüfe den Eintrag selbst auf dataprivacyframework.gov. Die Anwendbarkeit des Cloud Act durch die US-Unternehmensstruktur bleibt in jedem Fall nicht vollständig ausgeschlossen. Für ChatGPT Plus gibt es laut unserer Tool-Seite keinen AVV (Stand: Juni 2026).

Ein Drittlandtransfer ist für sich genommen kein Auslöser nach Art. 35 DSGVO. Er erhöht aber das Gesamtrisiko und gehört in jede DSFA-Dokumentation, zusammen mit der Frage, ob der Anbieter Eingaben für sein KI-Training nutzt. Prüfe beides vor dem Start in den Vertragsunterlagen des Anbieters und halte den Stand mit Datum fest.

So gehst du als KMU vor

1. Tool-Inventar anlegen: Liste alle KI-Tools auf, die im Team genutzt werden, auch inoffiziell genutzte.
2. Datenarten festhalten: Notiere je Tool, ob personenbezogene Daten eingegeben werden und welche.
3. Schwellenprüfung: Vergleiche mit Art. 35 Abs. 3 DSGVO, der DSK-Muss-Liste und den Risikokriterien. Dokumentiere auch ein „keine DSFA nötig“ mit Begründung.
4. DSFA durchführen, wenn nötig: Beschreibe Zweck, Risiken und Schutzmaßnahmen. Bleibt ein hohes Restrisiko, kann nach Art. 36 DSGVO die vorherige Konsultation der Aufsichtsbehörde nötig werden.
5. Transparenz prüfen: Setzt du einen Chatbot gegenüber Kunden ein oder veröffentlichst KI-generierte Inhalte, prüfe die Pflichten nach Art. 50 AI Act.
6. Jährlich neu prüfen: Tools ändern Funktionen und Vertragsbedingungen, deshalb empfehlen wir eine Überprüfung mindestens einmal im Jahr, damit die Dokumentation aktuell bleibt.

Methodik

Die DSGVO-Scores in diesem Beitrag sind Risikoeinschätzungen, keine Rechtsgutachten. Wie sie entstehen, erklären wir auf der Seite /methodik. Die Fristangaben stammen aus Sekundärquellen (Stand: 2026-10) und sollten vor verbindlichen Entscheidungen gegen EUR-Lex geprüft werden. Keine Rechtsberatung, Stand 2026-10.

Fazit & Empfehlung

Die Verschiebung nimmt dir Druck bei den Hochrisiko-Pflichten, nicht bei der DSFA. Wir empfehlen kleinen Betrieben, mit drei Schritten zu starten: Tool-Inventar anlegen, pro Tool die Datenarten festhalten und die DSFA-Schwellenprüfung schriftlich dokumentieren. Das schafft eine Grundlage, die sich bis Dezember 2027 um die AI-Act-Anforderungen erweitern lässt.

Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.