Zum Inhalt
Anfrage stellen

Was eine KI in Ihrem Haus erfüllen muss

Setzen Sie eine KI mit personenbezogenen Daten ein, sind Sie dafür verantwortlich, nicht der Anbieter der KI [4]. Viele Angebote sagen dazu wenig. Hier steht, was Datenschutz-Grundverordnung (DSGVO) und KI-Verordnung von einer KI verlangen, die mit Ihren Unterlagen arbeitet, welche Fragen Sie jedem Anbieter stellen sollten und was Convalo davon heute erfüllt.

Stand Oktober 2026, nach bestem Wissen aus den genannten Quellen zusammengestellt. Diese Übersicht ersetzt keine Rechtsberatung. Für Ihren Einzelfall fragen Sie Ihren Datenschutzbeauftragten oder eine Anwältin.

Vier Ebenen, von außen nach innen

Datenschutz beginnt nicht bei der Antwort, sondern bei der Frage, wo Ihre Unterlagen überhaupt verarbeitet werden. Wir gehen von Ihrem Haus bis in das Protokoll einer einzelnen Antwort. Auf jeder Ebene steht, was das Recht verlangt und was Convalo heute tut.

Zeichnung einer Werkhalle. Eine Verbindung zu einer Cloud außerhalb ist durchgestrichen. In der Halle steht ein Rechner, auf dessen Bildschirm eine gekennzeichnete Antwort mit gelb markierter Fundstelle und daneben ein verkettetes Protokoll zu sehen sind. Beim Lesen der vier Abschnitte vergrößert sich die Zeichnung Ebene für Ebene.

  1. Ihr Haus

    Wo werden Ihre Unterlagen verarbeitet?

    Was das Recht verlangt

    Gehen personenbezogene Daten an Server außerhalb der EU, gelten strenge Regeln für die Übermittlung [4]. Für die USA erlaubt sie derzeit ein Abkommen, der Datenschutzrahmen EU-USA. Ob er Bestand hat, prüft gerade der Europäische Gerichtshof [6]. Ihre Betriebsgeheimnisse schützt das Gesetz außerdem nur, wenn Sie angemessene Maßnahmen zur Geheimhaltung treffen [7]. Bei manchen Cloud-Diensten für Privatnutzer werden Eingaben zum Training der Modelle verwendet, solange niemand widerspricht [8].

    Was Convalo tut

    Convalo läuft auf einem Rechner in Ihrem Haus, auch das Sprachmodell. Ihre Unterlagen, Fragen und Antworten verlassen den Rechner nicht. Ins Netz geht es für Aktualisierungen. Derzeit lädt es außerdem nach jedem Neustart einmal die Programmteile zum Einlesen von Dokumenten nach. Inhalte überträgt es dabei nicht, Nutzungsdaten schickt es nicht an uns. Heute lieferbar

  2. Ihr Rechner

    Wer darf welche Dokumente sehen, und lässt sich etwas wieder löschen?

    Was das Recht verlangt

    Die deutschen Datenschutzbehörden haben 2025 beschrieben, worauf es bei Systemen ankommt, die in Dokumenten suchen [5]. Auch der Suchindex, also die aufbereitete Fassung Ihrer Dokumente, in der das System sucht, braucht eine Rechtsgrundlage. Ein Konzept für Rechte und Rollen legt fest, wer welche Dokumente sehen darf, damit Daten nur für ihren Zweck genutzt werden. Verlangt jemand die Löschung seiner Daten, müssen sie auch aus dem Suchindex verschwinden [4].

    Was Convalo tut

    Wer mit Convalo arbeitet, meldet sich mit einem eigenen Konto an. Heute lieferbar

    Sie können jedes Dokument einzeln löschen. Convalo entfernt es mitsamt den daraus erzeugten Suchdaten und vermerkt die Löschung im Protokoll. Heute lieferbar

    Rollen, die festlegen, wer welche Dokumente sehen darf, sind in Arbeit. In Arbeit

  3. Die Antwort

    Erkennt man, dass eine KI schreibt, und wer entscheidet?

    Was das Recht verlangt

    Wer eine KI anbietet, die Texte erzeugt, muss diese seit dem 2. August 2026 maschinenlesbar als künstlich erzeugt kennzeichnen [1]. Für Systeme, die schon vorher am Markt waren, gilt eine Frist bis zum 2. Dezember 2026 [2]. Entscheidungen, die für einen Menschen rechtliche Folgen haben, darf nicht allein eine Maschine treffen [4]. Nach einem Urteil des Europäischen Gerichtshofs kann schon ein errechneter Wert eine solche Entscheidung sein, wenn sich ein Mensch maßgeblich darauf stützt [9].

    Was Convalo tut

    Über jeder Antwort steht „Von einem KI-System erzeugt“, dazu kommt eine maschinenlesbare Kennzeichnung. Wer die Antwort kopiert, kopiert einen Hinweis mit. Abschalten lässt sich das nicht. Heute lieferbar

    Zu jeder Antwort nennt Convalo die Fundstelle. Fehlt ein gültiger Beleg, steht „nicht belegt“ da. Convalo schlägt vor, entscheiden tut ein Mensch. Heute lieferbar

  4. Das Protokoll

    Lässt sich später nachweisen, was geschehen ist?

    Was das Recht verlangt

    Wer personenbezogene Daten verarbeitet, muss nachweisen können, dass er die Regeln einhält [4]. Kann eine technische Einrichtung Verhalten oder Leistung von Beschäftigten überwachen, bestimmt der Betriebsrat mit. Über die Planung von KI müssen Sie ihn rechtzeitig unterrichten [10].

    Was Convalo tut

    Convalo hält zu jeder KI-Ausgabe fest, welches Modell sie erzeugt hat, mit welcher Fassung der Anweisung und wann. Einträge lassen sich nur anfügen, nicht ändern. Jeder ist über eine Prüfsumme mit dem vorigen verkettet, sodass eine nachträgliche Änderung auffiele. Inhalte Ihrer Dokumente stehen nicht darin. Heute lieferbar

    Beteiligen Sie Ihren Betriebsrat trotzdem früh. Schon ein Protokoll kann die Frage nach Überwachung aufwerfen.

Der Zeitplan der KI-Verordnung

Die europäische KI-Verordnung gilt seit 2024 und greift in Stufen [1]. Im Juli 2026 hat die EU mehrere Fristen verschoben und einzelne Pflichten vereinfacht [2]. In Deutschland überwacht die Bundesnetzagentur, ob die Regeln eingehalten werden [3].

  1. Verbote und KI-Kompetenz

    Bestimmte Praktiken sind verboten, etwa die Bewertung von Menschen nach ihrem sozialen Verhalten. Wer KI anbietet oder einsetzt, muss dafür sorgen, dass die eigenen Leute damit umgehen können. Seit Juli 2026 heißt das, Maßnahmen dafür zu ergreifen [2].

  2. Pflichten für die Entwickler großer Sprachmodelle

    Sie treffen die Hersteller der Modelle. Wer ein solches Modell nur einsetzt, wird dadurch in der Regel nicht selbst zu dessen Anbieter [13].

  3. Änderungsverordnung in Kraft

    Neue Fristen für Hochrisiko-Systeme, eine vereinfachte Pflicht zur KI-Kompetenz, zwei weitere Verbote [2]. Einen Tag später wurde das deutsche Gesetz zur Marktüberwachung verkündet [3].

  4. Kennzeichnung von KI-Inhalten

    Menschen müssen erkennen können, dass sie mit einer KI sprechen und dass ein Text künstlich erzeugt ist [1].

  5. Heute, Oktober 2026

  6. Zwei weitere Verbote, Ende der Übergangsfrist

    Verboten sind dann KI-Systeme, die Darstellungen sexuellen Missbrauchs von Kindern oder intime Bilder realer Personen ohne deren Einwilligung erzeugen. Systeme, die schon vor August 2026 am Markt waren, müssen bis dahin maschinenlesbar kennzeichnen [2].

  7. Hochrisiko-Systeme nach Einsatzzweck

    Pflichten für KI in Bereichen wie Personalwesen und Bildung [2].

  8. Hochrisiko-Systeme in Produkten

    Pflichten für KI, die Teil eines Produkts ist, das bereits EU-Regeln unterliegt, etwa einer Maschine [2].

Verstöße gegen die Verbote können bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes kosten, Verstöße gegen andere Pflichten bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag [1].

Ist Ihre Anwendung ein Hochrisiko-System?

Das entscheidet nicht die Technik, sondern der Zweck. Dieselbe Software kann unkritisch sein oder strengen Pflichten unterliegen, je nachdem, wofür Sie sie einsetzen [1].

Wofür wollen Sie die KI einsetzen?

Fragen zu Handbüchern, Normen und Projektakten

In der Regel kein Hochrisiko

Es gelten die Kennzeichnung nach Artikel 50 der KI-Verordnung, die Pflicht zur KI-Kompetenz und die Datenschutz-Grundverordnung. Für diesen Zweck ist Convalo gebaut.

Fragen zu Lehrunterlagen

In der Regel kein Hochrisiko

Solange das System nichts bewertet und über nichts entscheidet, gelten dieselben Pflichten wie im Betrieb. Bewertet es Lernergebnisse, ändert sich das, siehe den letzten Zweck.

Bewerbungen und Leistung von Beschäftigten

Hochrisiko nach Anhang III Nummer 4

Ab dem 2. Dezember 2027 müssen Sie als Betreiber unter anderem eine menschliche Aufsicht sicherstellen, Protokolle aufbewahren und die Beschäftigten informieren [1]. Der Betriebsrat bestimmt mit [10]. Sprechen Sie mit uns, bevor Sie Convalo dafür einsetzen.

Zulassung und Prüfungsleistungen

Hochrisiko nach Anhang III Nummer 3

Ab dem 2. Dezember 2027 gelten dieselben Betreiberpflichten wie bei Personalentscheidungen [1]. Sprechen Sie mit uns, bevor Sie Convalo dafür einsetzen.

Zwölf Fragen an jeden KI-Anbieter

Stellen Sie diese Fragen jedem Anbieter, auch uns. Unsere Antworten stehen daneben, auch dort, wo wir noch nicht fertig sind.

  1. Wo werden unsere Daten verarbeitet, und verlassen sie die EU?

    Übermittlungen in Länder außerhalb der EU sind nur unter besonderen Bedingungen erlaubt [4].

    Heute erfüllt

    Auf Ihrem eigenen Rechner, auch das Sprachmodell. Im Betrieb geht nichts nach außen.

  2. Wird mit unseren Eingaben oder Dokumenten ein Modell trainiert?

    Bei manchen Diensten geschieht das, solange niemand widerspricht [8].

    Heute erfüllt

    Nein. Convalo sucht in Ihren Dokumenten, es lernt sie nicht.

  3. Brauchen wir einen Vertrag zur Auftragsverarbeitung, und liegt er vor?

    Er ist nötig, wenn ein Dienstleister bei Einrichtung oder Wartung auf personenbezogene Daten zugreifen kann [4].

    In Arbeit

    Unsere Vorlage liegt als Entwurf vor und muss noch anwaltlich geprüft werden.

  4. Wer kann im System welche Dokumente sehen?

    Die Datenschutzbehörden verlangen ein Konzept für Rechte und Rollen [5].

    In Arbeit

    Rollen, die festlegen, wer welche Dokumente sehen darf, sind in Arbeit. Anmelden mit eigenem Konto geht schon heute.

  5. Können wir ein Dokument vollständig löschen, auch aus dem Suchindex?

    Das Recht auf Löschung gilt auch für die aufbereiteten Daten [5].

    Heute erfüllt

    Ja, je Dokument, mit einem Vermerk im Protokoll.

  6. Woran erkennen wir, dass ein Text von der KI stammt?

    Kennzeichnungspflicht seit dem 2. August 2026 [1].

    Heute erfüllt

    Sichtbarer Hinweis und maschinenlesbare Kennzeichnung an jeder Antwort, auch beim Kopieren. Nicht abschaltbar.

  7. Woher stammt eine Antwort, und wer entscheidet am Ende?

    Folgenreiche Entscheidungen darf nicht allein eine Maschine treffen [9].

    Heute erfüllt

    Jede Antwort nennt ihre Fundstelle oder sagt „nicht belegt“. Convalo schlägt vor, ein Mensch entscheidet.

  8. Lässt sich nachvollziehen, welches Modell wann was erzeugt hat?

    Sie müssen nachweisen können, dass Sie die Regeln einhalten [4].

    Heute erfüllt

    Ein Protokoll, das sich nicht nachträglich ändern lässt, ohne Inhalte Ihrer Dokumente.

  9. Welche Modelle laufen, und unter welcher Lizenz?

    Eine unklare Lizenz kann den Einsatz im Unternehmen verbieten.

    Heute erfüllt

    Nur freigegebene offene Modelle, jedes mit belegter Lizenz, etwa Apache 2.0 oder MIT.

  10. Was passiert, wenn der Vertrag endet?

    Ihre Unterlagen und Ergebnisse müssen erreichbar bleiben.

    Heute erfüllt

    Convalo arbeitet weiter, es gibt keine Fernabschaltung. Lesen und Exportieren sperrt die Lizenz nie. Nach Ablauf und 30 Tagen Übergangszeit gibt es keine Aktualisierungen mehr.

  11. Wie geht der Anbieter mit Sicherheitslücken um?

    Hersteller von Software müssen seit dem 11. September 2026 ausgenutzte Schwachstellen binnen 24 Stunden melden [12].

    Heute erfüllt

    Wir haben einen festen Ablauf für Sicherheitsvorfälle beschrieben und informieren Sie, wenn Ihre Installation betroffen ist.

  12. Was bekommen wir für unsere eigenen Pflichten?

    Sie müssen für KI-Kompetenz sorgen und prüfen, ob eine Folgenabschätzung nötig ist [2] [11].

    Teilweise

    Wir führen die Menschen ein, die mit Convalo arbeiten, und Ihre IT bekommt eine Beschreibung des Betriebs. Vorlagen für die Folgenabschätzung und Schulungsunterlagen zur KI-Kompetenz haben wir noch nicht.

Was Sie selbst tun müssen

Auch mit einem sorgfältigen Anbieter bleiben Pflichten bei Ihnen, denn Sie setzen die KI ein. Sechs Punkte sollten Sie vor dem Start klären.

  • Zweck und Rechtsgrundlage festlegen

    Schreiben Sie auf, wofür Sie die KI einsetzen und auf welcher Grundlage, und ergänzen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten [4].

  • Folgenabschätzung prüfen

    Klären Sie, ob Sie eine Datenschutz-Folgenabschätzung brauchen. Die Liste der Aufsichtsbehörden nennt dafür auch bestimmte Einsätze von KI [11].

  • Nur nötige Unterlagen einlesen

    Geben Sie der KI, was sie für den Zweck braucht. Personalakten gehören nicht in eine Sammlung für den Service [5].

  • Die Menschen befähigen

    Wer mit der KI arbeitet, sollte wissen, was sie kann, wo sie sich irrt und wie man eine Fundstelle prüft [2].

  • Den Betriebsrat beteiligen

    Unterrichten Sie ihn bei der Planung. Kann das System Verhalten oder Leistung erfassen, bestimmt er mit [10].

  • Den Datenschutzbeauftragten einbinden

    Haben Sie einen, ist er frühzeitig an allen Fragen des Datenschutzes zu beteiligen [4].

Sie möchten wissen, wie das für Ihr Vorhaben aussieht?

Anfrage stellen

Fundstellen dieser Seite

Jede Aussage zum Recht trägt eine Nummer. Hier steht, woher sie stammt. Gesetze verlinken wir in der amtlichen Fassung.

  1. [1] Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung), insbesondere Art. 4, 5, 26, 50, 99 und Anhang III. eur-lex.europa.eu
  2. [2] Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung, in Kraft seit 27.07.2026, neue Fassung von Art. 4, Art. 5 und Art. 113. eur-lex.europa.eu
  3. [3] Gesetz zur Marktüberwachung und Innovationsförderung von Künstlicher Intelligenz (KI-MIG), BGBl. 2026 I Nr. 223 vom 28.07.2026. gesetze-im-internet.de
  4. [4] Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, insbesondere Art. 4 Nr. 7, Art. 5 Abs. 2, Art. 17, 22, 28, 30, 38 und 44 ff. eur-lex.europa.eu
  5. [5] Datenschutzkonferenz, Orientierungshilfe zu RAG-Systemen, 17.10.2025. datenschutzkonferenz-online.de
  6. [6] WilmerHale, Rechtsmittel gegen den Datenschutzrahmen EU-USA beim Europäischen Gerichtshof, 01.12.2025. wilmerhale.com
  7. [7] Gesetz zum Schutz von Geschäftsgeheimnissen, § 2 Nr. 1. gesetze-im-internet.de
  8. [8] OpenAI, How your data is used to improve model performance, Angaben des Anbieters. openai.com
  9. [9] Europäischer Gerichtshof, Urteil vom 07.12.2023, C-634/21 (SCHUFA). curia.europa.eu
  10. [10] Betriebsverfassungsgesetz, § 87 Abs. 1 Nr. 6 und § 90 Abs. 1 Nr. 3.
  11. [11] Datenschutzkonferenz, Liste der Verarbeitungen, für die eine Datenschutz-Folgenabschätzung durchzuführen ist. lda.bayern.de
  12. [12] Europäische Kommission, Meldepflichten nach dem Cyber Resilience Act. digital-strategy.ec.europa.eu
  13. [13] WilmerHale zu den Leitlinien der Europäischen Kommission für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, 24.07.2025. wilmerhale.com