KI-Agenten nach DSGVO und AI Act: Welche Architektur die Regeln verlangen

Ein KI-Agent, der selbst Daten abruft und Aktionen ausführt, muss in erster Linie die DSGVO einhalten, sobald er personenbezogene Daten verarbeitet: Zweckbindung und Datenminimierung begrenzen, worauf er zugreift, Artikel 22 begrenzt, was er ohne Menschen entscheiden darf, und die Rechenschaftspflicht verlangt, dass Sie seine Verarbeitung nachweisen können. Die KI-Verordnung ergänzt das für jeden KI-gestützten Agenten um die Kompetenzpflicht und die Verbote aus Artikel 5 und, je nach Rolle und Funktion, um Transparenzpflichten aus Artikel 50; Protokoll- und Aufsichtspflichten nach dem Hochrisiko-Kapitel kommen nur hinzu, wenn sein Einsatzzweck einem Hochrisiko-Anwendungsfall wie dem Sichten von Bewerbungen entspricht, und gelten dort ab dem 2. Dezember 2027.

Aus diesen Regeln folgt eine bestimmte Bauweise: ein eng gefasster Zweck je Agent, eigene Zugänge mit wenigen Rechten, Freigabestufen für folgenreiche Aktionen und ein Protokoll je Durchlauf. Dieser Beitrag ordnet die zentralen Anforderungen einer Architekturentscheidung zu. Die allgemeinen Pflichten aus der KI-Verordnung für Unternehmen, die KI nur einsetzen, stehen im Beitrag zu den Pflichten des EU AI Act für Anwenderunternehmen; was einen Agenten von Chatbot und RPA unterscheidet, im Beitrag Was ist ein KI-Agent?.

Warum ein Agent anders zu prüfen ist als ein Chat-Werkzeug

Die DSGVO versteht unter Verarbeitung jeden Vorgang im Zusammenhang mit personenbezogenen Daten, ausdrücklich auch das Abfragen, die Verwendung und die Offenlegung durch Übermittlung (Artikel 4 Nummer 2). Ein Chat-Werkzeug ohne angebundene Systeme verarbeitet, was ein Mitarbeiter hineingibt. Ein Agent holt sich Daten selbst: Er liest ein Postfach, fragt das CRM ab, schreibt einen Datensatz zurück und versendet eine E-Mail. Jeder dieser Werkzeugaufrufe ist eine Verarbeitung, sobald personenbezogene Daten betroffen sind, und die Zugangsdaten, mit denen der Agent arbeitet, legen fest, welche Vorgänge überhaupt möglich sind.

Daraus ergibt sich die Leitfrage für die Prüfung. Ob das Sprachmodell dahinter datenschutzfreundlich betrieben wird, ist eine Frage an den Dienstleister und den Vertrag. Welche Daten der Agent lesen, welche Aktionen er auslösen und welche Entscheidungen er ohne Menschen treffen kann, legen Sie selbst beim Bau fest.

Die Zuordnung: Anforderung, Norm, Architekturentscheidung, Prüffrage

Die Tabelle ordnet die zentralen Anforderungen ihrer Norm samt Geltungsbedingung zu, dann der Entscheidung, die sie im Agenten auslöst, und einer Frage, mit der Sie einen bestehenden oder geplanten Agenten prüfen. Die Abschnitte danach erläutern die Zeilen, bei denen Ausnahmen eine Rolle spielen.

Anforderung	Norm und Geltung	Entscheidung im Agenten	Prüffrage
Rechtsgrundlage	DSGVO Art. 6 Abs. 1, für jede Verarbeitung personenbezogener Daten; bei besonderen Kategorien wie Gesundheitsdaten zusätzlich Art. 9	Rechtsgrundlage je Zweck festlegen, bevor der Agent Zugriff bekommt	Auf welche Rechtsgrundlage stützt sich jede Datenquelle, die der Agent nutzt?
Zweckbindung	DSGVO Art. 5 Abs. 1 lit. b, sobald personenbezogene Daten verarbeitet werden	Ein schriftlich festgelegter Zweck je Agent; nur Werkzeuge, die diesem Zweck dienen	Lässt sich der Zweck in einem Satz nennen, und dient jedes angebundene Werkzeug ihm?
Datenminimierung	DSGVO Art. 5 Abs. 1 lit. c; Art. 25 Abs. 1 (Maßnahmen unter Berücksichtigung von Stand der Technik, Kosten und Risiko) und Abs. 2 (Voreinstellungen)	Eigener Zugang je Agent, Rechte nur auf benötigte Postfächer, Ordner und Felder	Welche Daten könnte der Agent mit seinen Zugangsdaten lesen, die er für den Zweck nicht braucht?
Speicherbegrenzung	DSGVO Art. 5 Abs. 1 lit. e	Löschfristen für Gesprächsverläufe, Caches und Protokolle	Wo legt der Agent Kontext ab, und wann wird er gelöscht?
Grenze für automatisierte Entscheidungen	DSGVO Art. 22 Abs. 1, mit Ausnahmen nach Abs. 2 und Schutzmaßnahmen nach Abs. 3	Aktionen nach Wirkung gestuft; Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gehen an einen Menschen, oder die Ausnahme ist dokumentiert	Kann eine Aktion des Agenten eine Person rechtlich oder ähnlich erheblich treffen, ohne dass ein Mensch sie inhaltlich prüft?
Nachweisbarkeit	DSGVO Art. 5 Abs. 2 (Rechenschaftspflicht)	Protokoll je Durchlauf: Auslöser, gelesene Quellen, ausgeführte Aktionen, Freigaben	Können Sie für einen Vorgang der letzten Woche zeigen, was der Agent gelesen und getan hat?
Information der Betroffenen	DSGVO Art. 13 und 14; Ausnahmen Art. 13 Abs. 4, Art. 14 Abs. 5	Datenschutzhinweise auf die Verarbeitung durch den Agenten prüfen	Decken Ihre Datenschutzhinweise Zwecke, Rechtsgrundlage, Empfänger (auch Dienstleister) und Drittlandübermittlungen dieser Verarbeitung ab?
Sicherheit der Verarbeitung	DSGVO Art. 32 Abs. 1, Maßnahmen unter Berücksichtigung von Stand der Technik, Kosten und Risiko	Zugangsdaten des Agenten sicher verwahren, Schutz gegen manipulierte Eingaben, Zugriff auf Protokolle beschränken	Was kann ein Angreifer auslösen, der dem Agenten eine präparierte E-Mail oder ein präpariertes Dokument unterschiebt?
Verzeichnis von Verarbeitungstätigkeiten	DSGVO Art. 30; Ausnahme für Unternehmen unter 250 Beschäftigten nach Abs. 5 nur, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten der Betroffenen birgt, nur gelegentlich erfolgt und weder besondere Kategorien (Art. 9 Abs. 1) noch Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10) betrifft	Verarbeitung durch den Agenten ins Verzeichnis aufnehmen	Steht der Agent mit Zweck, Datenkategorien und Empfängern im Verzeichnis?
KI-Hinweis im direkten Kontakt	KI-Verordnung Art. 50 Abs. 1 und 5, Pflicht des Anbieters, seit 2. August 2026; entfällt, wenn die KI-Interaktion offensichtlich ist	Hinweis spätestens beim ersten Kontakt	Kommuniziert der Agent direkt mit Menschen, und wer ist Anbieter des Systems?
Verträge mit Dienstleistern	DSGVO Art. 28 Abs. 1 und 3, bei Verarbeitung im Auftrag	Vertrag nach Art. 28 mit jedem Dienst, der personenbezogene Daten in Ihrem Auftrag verarbeitet	Welche Dienste (Modell-Schnittstelle, Hosting, Automatisierungsplattform) verarbeiten in Ihrem Auftrag, und gibt es mit jedem einen Vertrag nach Art. 28?
Übermittlung in Drittländer	DSGVO Art. 44 bis 46	Verarbeitungsregion und Unterauftragsverarbeiter festlegen	Auf welche Grundlage nach Kapitel V stützt sich jede Übermittlung außerhalb des EWR?
Datenschutz-Folgenabschätzung	DSGVO Art. 35, bei voraussichtlich hohem Risiko; Liste der Aufsichtsbehörden nach Abs. 4	Vor der Inbetriebnahme durchführen, wenn die Schwelle erreicht ist	Steuert der Agent die Interaktion mit Betroffenen, etwa im Kundendialog, oder bewertet er persönliche Aspekte?
KI-Kompetenz	KI-Verordnung Art. 4, seit 27. Juli 2026 in der Neufassung durch die VO (EU) 2026/1744	Unterweisung der Personen, die den Agenten betreuen und seine Aktionen freigeben	Wissen die Freigebenden, wo der Agent Fehler macht?
Hochrisiko-Pflichten	KI-Verordnung Art. 26 (Betreiber), Art. 12, 14 und 19 (System und Anbieter); bei Einsatz nach Anhang III ab 2. Dezember 2027, als Produkt oder Sicherheitsbauteil nach Anhang I Abschnitt A ab 2. August 2028	Protokolle aufbewahren, menschliche Aufsicht mit Befugnis, Beschäftigte informieren	Fällt der Einsatzzweck unter Anhang III, und greift eine Ausnahme nach Art. 6 Abs. 3?

Zweck und Zugriff: was der Agent lesen darf

Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und müssen auf das für diese Zwecke notwendige Maß beschränkt sein (Artikel 5 Absatz 1 Buchstaben b und c DSGVO). Artikel 25 verpflichtet Sie, das sowohl bei der Festlegung der Mittel als auch während der Verarbeitung durch technische und organisatorische Maßnahmen umzusetzen und per Voreinstellung nur die Daten zu verarbeiten, die für den jeweiligen Zweck erforderlich sind. Die Pflicht erstreckt sich ausdrücklich auf die Menge der Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit. Welche Maßnahmen nach Absatz 1 geeignet sind, bemisst die Norm unter anderem am Stand der Technik, an den Implementierungskosten und am Risiko der Verarbeitung.

Für einen Agenten heißt das konkret:

• Ein Zweck je Agent. Ein Agent, der Rechnungseingänge vorsortiert und nebenbei Bewerbungen beantwortet, hat zwei Zwecke. Getrennte Agenten mit getrennten Zugängen lassen sich einzeln begründen, dokumentieren und abschalten.
• Eigene Zugangsdaten statt geliehener. Arbeitet der Agent mit dem Konto einer Mitarbeiterin, kann er alles lesen, was sie lesen kann. Ein eigenes Dienstkonto mit Rechten nur auf das Rechnungspostfach begrenzt den Zugriff auf den Zweck. Wie eine Berechtigungslücke bei einem selbst gebauten Wissensassistenten entsteht, zeigt der Beitrag zum Wissensassistenten auf SharePoint-Daten.
• Nur die Felder, die der Schritt braucht. Braucht das Sprachmodell für die Einordnung einer Anfrage nur Betreff und Text, muss es die Kundenhistorie nicht sehen.
• Werkzeuge statt freier Zugriffe. Stellen Sie dem Agenten eng definierte Werkzeuge bereit, etwa „Rechnung als geprüft markieren“, statt eines allgemeinen Schreibzugriffs auf die Datenbank. Die Liste der Werkzeuge ist dann zugleich die Liste dessen, was er tun kann.

Dazu kommt die Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e): Gesprächsverläufe, Caches für den Kontext und Protokolle enthalten dieselben personenbezogenen Daten wie die Quellsysteme und brauchen eine eigene Löschfrist.

Handlungsspielraum: was der Agent ohne Menschen entscheiden darf

Artikel 22 Absatz 1 DSGVO gibt jeder Person das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Erwägungsgrund 71 nennt als Beispiele die automatische Ablehnung eines Online-Kreditantrags und Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen.

Das Recht gilt nicht absolut. Nach Absatz 2 ist eine solche Entscheidung zulässig, wenn sie

• für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und Ihnen erforderlich ist,
• aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten zulässig ist, die angemessene Schutzmaßnahmen enthalten, oder
• mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

In den Fällen Vertrag und Einwilligung müssen Sie nach Absatz 3 angemessene Maßnahmen treffen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Auf besondere Kategorien personenbezogener Daten wie Gesundheitsdaten dürfen solche Entscheidungen nach Absatz 4 nur beruhen, wenn die ausdrückliche Einwilligung oder ein erhebliches öffentliches Interesse auf Grundlage des Unions- oder mitgliedstaatlichen Rechts nach Artikel 9 Absatz 2 Buchstabe a oder g vorliegt und angemessene Schutzmaßnahmen getroffen sind. Und wer automatisiert nach Artikel 22 entscheidet, muss die Betroffenen darüber, über die involvierte Logik sowie über Tragweite und angestrebte Auswirkungen informieren (Artikel 13 Absatz 2 Buchstabe f, Artikel 14 Absatz 2 Buchstabe g).

Zwei Punkte machen das für Agenten praktisch relevant:

1. Vorbereitung kann schon Entscheidung sein. Der EuGH hat 2023 entschieden, dass bereits der automatisiert erstellte Bonitätswert einer Wirtschaftsauskunftei eine Entscheidung im Sinne von Artikel 22 ist, wenn von ihm maßgeblich abhängt, ob ein Dritter einen Vertrag mit der Person begründet, durchführt oder beendet (Rechtssache C-634/21). Sortiert ein Agent Anfragen so vor, dass abgelehnte Fälle faktisch nie ein Mensch sieht, prüfen Sie, ob seine Einstufung maßgeblich für das Ergebnis ist.
2. Eine Freigabe zählt nur, wenn sie echt ist. Nach den Leitlinien der Artikel-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat, darf die Beteiligung eines Menschen keine symbolische Geste sein; entscheiden soll eine Person, die befugt und befähigt ist, die Entscheidung zu ändern. Ein Bestätigungsknopf, den niemand ablehnt, weil die Person die zugrunde liegenden Daten nicht sieht, erfüllt das nicht.

Architektonisch lässt sich das über Wirkungsstufen umsetzen, die Sie je Werkzeug festlegen:

• Stufe 1, lesen und vorbereiten: Daten abrufen, zusammenfassen, Entwürfe anlegen. Der Agent handelt allein.
• Stufe 2, ausführen ohne Wirkung auf Rechte einer Person: Eingangsbestätigung senden, Termin vorschlagen, Datensatz ergänzen. Der Agent handelt allein, jeder Schritt wird protokolliert.
• Stufe 3, Wirkung auf eine Person: Antrag ablehnen, Vertrag kündigen, Bewerbung aussortieren. Ein Grenzfall ist das Verweigern einer Kulanz: Weil der Kunde darauf keinen Rechtsanspruch hat, fehlt die rechtliche Wirkung, und ob eine erhebliche Beeinträchtigung vorliegt, hängt von der Bedeutung für den Betroffenen ab. Der Agent legt einen Vorschlag mit Begründung und Datengrundlage vor, ein befugter Mensch entscheidet. Soll eine solche Entscheidung vollautomatisch ergehen, dokumentieren Sie vorher, welche Ausnahme nach Absatz 2 greift und wie Sie die Rechte aus Absatz 3 gewährleisten.

Wo die Grenze zwischen Stufe 2 und 3 verläuft, hängt vom Einzelfall ab; die Einordnung sollte Ihre Datenschutzberatung mitprüfen.

Artikel 22 steht zur Überarbeitung an: Die Europäische Kommission hat am 19. November 2025 vorgeschlagen, die Absätze 1 und 2 neu zu fassen (COM(2025) 837). Nach dem Stand der Legislative-Train-Übersicht des Europäischen Parlaments vom 1. August 2026 ist der Vorschlag nicht verabschiedet. Bis dahin gilt der zitierte Wortlaut.

Nachvollziehbarkeit: was protokolliert wird

Für jeden Agenten, der personenbezogene Daten verarbeitet, gilt die Rechenschaftspflicht: Sie sind für die Einhaltung der Grundsätze verantwortlich und müssen sie nachweisen können (Artikel 5 Absatz 2 DSGVO). Die DSGVO schreibt dafür kein bestimmtes Protokoll vor. Ohne Aufzeichnung dessen, was der Agent gelesen und getan hat, wird es aber schwer, bei einer Auskunftsanfrage nach Artikel 15 anzugeben, welche Daten er verarbeitet und an welche Empfänger er sie übermittelt hat, oder zu zeigen, dass er beim Zweck geblieben ist.

Ein Protokoll je Durchlauf sollte deshalb mindestens festhalten: den Auslöser, die abgerufenen Quellen, die aufgerufenen Werkzeuge mit Ergebnis, jede Freigabe mit Person und Zeitpunkt. Wie Sie Ausführungen und Fehler technisch überwachen, beschreibt der Beitrag zum Monitoring von n8n-Workflows. Das Protokoll enthält selbst personenbezogene Daten und braucht deshalb einen eigenen Zweck, beschränkte Zugriffsrechte und eine Löschfrist.

Die Protokollpflichten der KI-Verordnung haben einen engeren Anwendungsbereich. Artikel 12 verlangt, dass die Technik von Hochrisiko-KI-Systemen die automatische Protokollierung von Ereignissen ermöglicht; das richtet sich an die Gestaltung des Systems. Artikel 26 Absatz 6 verpflichtet Betreiber solcher Systeme und Artikel 19 Absatz 1 deren Anbieter, die automatisch erzeugten Protokolle, soweit sie ihrer Kontrolle unterliegen, für einen der Zweckbestimmung angemessenen Zeitraum von mindestens sechs Monaten aufzubewahren, sofern das Unionsrecht oder nationale Recht nichts anderes bestimmt; für Finanzinstitute gilt eine Sonderregel. Diese Pflichten gelten nur für Hochrisiko-Systeme, für Systeme nach Anhang III ab dem 2. Dezember 2027 und nach Anhang I Abschnitt A ab dem 2. August 2028.

Verträge und Datenwege: Auftragsverarbeitung, Drittland, Folgenabschätzung

Ein Agent kann mehrere externe Dienste nutzen: die Schnittstelle eines Sprachmodells, eine Automatisierungsplattform, einen Server. Verarbeitet einer davon personenbezogene Daten in Ihrem Auftrag, dürfen Sie nach Artikel 28 Absatz 1 DSGVO nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag nach Absatz 3 muss unter anderem festlegen, dass der Dienst die Daten nur auf Ihre dokumentierte Weisung verarbeitet, auch bei Übermittlungen in ein Drittland. Wie sich der Vertragspartner zwischen Cloud-Betrieb und selbst betriebener Plattform verschiebt, zeigt der Beitrag zum DSGVO-konformen Betrieb von n8n.

Liegt ein Dienst oder einer seiner Unterauftragsverarbeiter außerhalb des EWR, ist die Übermittlung nur zulässig, wenn die Bedingungen von Kapitel V eingehalten sind (Artikel 44). Grundlage kann ein Angemessenheitsbeschluss der Kommission sein (Artikel 45) oder, wenn keiner vorliegt, geeignete Garantien wie Standarddatenschutzklauseln (Artikel 46). Prüfen Sie für jede Übermittlung, welche Grundlage der Dienst dafür angibt.

Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 Absatz 1 vorab durchzuführen, wenn eine Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Absatz 3 nennt Fälle, in denen sie insbesondere erforderlich ist, darunter die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung dient. Zusätzlich veröffentlichen die Aufsichtsbehörden Listen der Verarbeitungen, für die eine Folgenabschätzung durchzuführen ist (Absatz 4). Die Liste der deutschen Datenschutzkonferenz für den nicht-öffentlichen Bereich (Version 1.1 vom 17. Oktober 2018; eine neuere Fassung ist Stand September 2026 nicht bekannt) nennt unter Nummer 11 den Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten, um die Interaktion mit den Betroffenen zu steuern oder persönliche Aspekte zu bewerten, mit dem Beispiel eines Systems, das mit Kunden durch Konversation interagiert und für deren Beratung personenbezogene Daten durch künstliche Intelligenz verarbeitet. Prüfen Sie deshalb, ob Ihr Agent personenbezogene Daten verarbeitet, um den Dialog mit Kunden oder anderen Betroffenen zu steuern; dann fällt er unter Nummer 11, auch wenn er keine Entscheidungen der Stufe 3 vorbereitet. Ein Agent, der nur Lieferantenrechnungen vorsortiert, fällt nach unserer Einschätzung nicht ohne Weiteres darunter.

Transparenz und KI-Kompetenz

Kommuniziert der Agent direkt mit Menschen, etwa im Chat oder im E-Mail-Dialog mit Kunden, gilt seit dem 2. August 2026 Artikel 50 Absatz 1 der KI-Verordnung: Das System muss so gestaltet sein, dass die Personen erfahren, dass sie mit einem KI-System interagieren, es sei denn, das ist für eine angemessen informierte, aufmerksame und verständige Person aus den Umständen offensichtlich. Die Pflicht richtet sich an den Anbieter. Wer einen Agenten selbst entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist nach Artikel 3 Nummer 3 selbst Anbieter. Ob ein E-Mail-Wechsel eine direkte Interaktion in diesem Sinne ist, prüfen Sie im Einzelfall; ein Hinweis in der Signatur kostet wenig. Sind Sie Anbieter und formuliert der Agent Texte selbst, prüfen Sie zusätzlich Artikel 50 Absatz 2: Anbieter von KI-Systemen, die synthetische Textinhalte erzeugen, müssen die Ausgaben maschinenlesbar als künstlich erzeugt kennzeichnen. Das gilt auch, wenn der Agent auf dem Sprachmodell eines Dritten läuft. Nach Satz 3 greift die Pflicht nicht, soweit das System eine unterstützende Funktion für die Standardbearbeitung ausführt oder die vom Betreiber bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändert (dazu kommt eine Ausnahme für gesetzlich zugelassene Systeme der Strafverfolgung). Prüfen Sie deshalb je Agent, ob er neue Inhalte erzeugt oder bestehende wesentlich verändert, etwa durch Zusammenfassen oder Übersetzen, oder ob er Texte nur korrigiert und formatiert. Die Pflicht gilt seit dem 2. August 2026. Die Übergangsfrist bis zum 2. Dezember 2026 aus Artikel 111 Absatz 4 erfasst nur Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Ein Agent, den Sie nur im eigenen Haus in Betrieb genommen haben, ist nach dem Wortlaut nicht in Verkehr gebracht (Artikel 3 Nummern 9 und 11); für ihn gilt Artikel 50 Absatz 2 deshalb bereits seit dem 2. August 2026.

Unabhängig davon verlangen Artikel 13 und 14 DSGVO, dass Sie die Betroffenen über Zwecke und Rechtsgrundlage der Verarbeitung informieren. Die Informationspflicht entfällt nach Artikel 13 Absatz 4, soweit die Person die Informationen bereits hat; Artikel 14 Absatz 5 enthält weitere Ausnahmen, wenn die Daten nicht bei der Person selbst erhoben wurden.

Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und seit dem 27. Juli 2026 in der Neufassung durch die Verordnung (EU) 2026/1744: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag mit KI-Systemen befasst sind, zu unterstützen; ein bestimmtes Kompetenzniveau je Person müssen sie nicht garantieren. Bei einem Agenten gehören dazu die Personen, die seine Vorschläge freigeben: Eine Freigabe in Stufe 3 ist nur so gut wie das Verständnis der Person dafür, wo der Agent danebenliegen kann.

Fällt Ihr Agent unter die Hochrisiko-Regeln? Ein Prüfweg in fünf Schritten

Arbeiten Sie die Schritte in dieser Reihenfolge ab. Ergibt einer der ersten drei Schritte, dass der Agent kein Hochrisiko-System ist, gelten die Anforderungen und Pflichten für Hochrisiko-Systeme nicht; die Pflichten eines Anbieters, der sich auf die Ausnahme aus Schritt 3 stützt, stehen dort. Die DSGVO-Anforderungen aus der Tabelle bleiben davon unberührt.

1. Ist der Agent ein KI-System? Artikel 3 Nummer 1 beschreibt ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt. Ein Agent auf Basis eines Sprachmodells erfüllt diese Beschreibung nach unserer Einschätzung; ein Workflow mit fest programmierten Regeln ohne Modell prüfen Sie gesondert.
2. Liegt der Einsatzzweck in Anhang III? Der zweite Weg zur Hochrisiko-Einstufung nach Artikel 6 Absatz 1 betrifft KI, die Sicherheitsbauteil eines Produkts nach den in Anhang I genannten Produktvorschriften ist oder selbst ein solches Produkt, wenn dafür eine Konformitätsbewertung durch Dritte vorgeschrieben ist; ist Ihr Agent Teil eines solchen Produkts, prüfen Sie diesen Weg gesondert. Für Agenten in Verwaltung, Vertrieb und Personal liegen nach unserer Einschätzung zwei Nummern am nächsten. Nummer 4: Einstellung und Auswahl, etwa gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerbern, sowie Entscheidungen über Arbeitsbedingungen, Beförderungen und Kündigungen, Aufgabenzuweisung nach individuellem Verhalten oder persönlichen Merkmalen und die Beobachtung und Bewertung von Leistung und Verhalten Beschäftigter. Nummer 5: unter anderem die Kreditwürdigkeitsprüfung natürlicher Personen (ausgenommen die Aufdeckung von Finanzbetrug) sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Prüfen Sie bei einem Agenten für Rechnungseingang, Angebotsvorbereitung oder Terminabstimmung, ob er Aufgaben aus diesen Nummern mit erledigt, etwa die Kreditwürdigkeit eines Einzelunternehmers bewertet; tut er das nicht, ist keine der beiden Nummern berührt.
3. Greift eine Ausnahme nach Artikel 6 Absatz 3? Ein System aus Anhang III gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, indem es unter anderem das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst. Die Ausnahme gilt, wenn eine von vier Bedingungen erfüllt ist: Das System ist dazu bestimmt, eine eng gefasste Verfahrensaufgabe durchzuführen, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern, Entscheidungsmuster oder Abweichungen davon zu erkennen, ohne die abgeschlossene menschliche Bewertung ohne angemessene Überprüfung zu ersetzen oder zu beeinflussen, oder eine vorbereitende Aufgabe für eine Bewertung nach Anhang III durchzuführen. Führt der Agent ein Profiling natürlicher Personen durch, greift keine dieser Ausnahmen. Wer sich als Anbieter auf die Ausnahme beruft, muss nach Artikel 6 Absatz 4 seine Bewertung vor dem Inverkehrbringen oder der Inbetriebnahme dokumentieren und auf Verlangen der zuständigen Behörde vorlegen; Artikel 6 gilt für Systeme nach Anhang III ab dem 2. Dezember 2027. Dieselbe Vorschrift verweist auf die Registrierungspflicht nach Artikel 49 Absatz 2. Artikel 49 wurde durch die Verordnung (EU) 2026/1744 nicht verschoben, knüpft aber an die Einstufung nach Artikel 6 Absatz 3 an, die erst ab dem 2. Dezember 2027 gilt.
4. Sind Sie Betreiber oder Anbieter? Setzen Sie ein zugekauftes Hochrisiko-System ein, treffen Sie ab dem Geltungsbeginn aus Schritt 5 die Betreiberpflichten aus Artikel 26, unter anderem: Verwendung nach Betriebsanleitung, menschliche Aufsicht durch Personen mit Kompetenz, Ausbildung und Befugnis, Überwachung des Betriebs, Aufbewahrung der Protokolle, vor dem Einsatz am Arbeitsplatz Information der Arbeitnehmervertreter und der betroffenen Beschäftigten, und Information der Personen, über die das System Entscheidungen trifft oder vorbereitet. Für Systeme nach Anhang III Nummer 5 Buchstaben b und c, etwa die Kreditwürdigkeitsprüfung, verlangt Artikel 27 vor der Inbetriebnahme zusätzlich eine Grundrechte-Folgenabschätzung; Teile einer Datenschutz-Folgenabschätzung können Sie dafür übernehmen (Artikel 27 Absatz 4). Anbieter werden Sie dagegen unter anderem, wenn Sie den Agenten entwickeln oder entwickeln lassen und unter eigenem Namen in Betrieb nehmen oder wenn Sie die Zweckbestimmung eines Systems so ändern, dass es hochriskant wird (Artikel 25 Absatz 1 Buchstabe c), etwa indem Sie einen allgemeinen Agenten auf Bewerbungen ansetzen. Dann gelten die Anbieterpflichten aus Artikel 16.
5. Ab wann? Nach Artikel 113 Absatz 3 Buchstabe c in der Fassung der Verordnung (EU) 2026/1744 gelten die Hochrisiko-Abschnitte für Systeme nach Anhang III ab dem 2. Dezember 2027, für Systeme nach Artikel 6 Absatz 1 und Anhang I ab dem 2. August 2028; für Produkte nach Anhang I Abschnitt B gelten davon nach Artikel 2 Absatz 2 nur Artikel 6 Absatz 1, Artikel 60a und Artikel 102 bis 112. Für Hochrisiko-Systeme, die vor diesem Datum in Verkehr gebracht oder in Betrieb genommen wurden, gilt die Verordnung nach Artikel 111 Absatz 2, abgesehen von den Verboten aus Artikel 5 und den in Absatz 1 genannten IT-Großsystemen, nur, wenn sie danach in ihrer Konzeption erheblich verändert werden; für Systeme, die von Behörden verwendet werden sollen, gilt eine eigene Frist bis zum 2. August 2030. Entwickeln Sie einen Agenten laufend weiter, prüfen Sie bei jeder Änderung, ob sie seine Konzeption erheblich verändert.

Für den Mittelstand heißt das

Für Agenten in Rechnungseingang, Angebotsvorbereitung oder interner Recherche greift das Hochrisiko-Kapitel der KI-Verordnung nicht, solange sie keinen Bereich aus Anhang III berühren und nicht Teil eines Produkts nach Anhang I sind. Die Anforderungen an solche Agenten kommen im Wesentlichen aus der DSGVO, dazu aus der KI-Verordnung die Kompetenzpflicht, die Verbote aus Artikel 5 und gegebenenfalls die Transparenzpflichten aus Artikel 50. Diese Pflichten gelten bereits; Ausnahmen sind zwei durch die Verordnung (EU) 2026/1744 neu eingefügte Verbote, die ab dem 2. Dezember 2026 gelten, und die Übergangsfrist für Artikel 50 Absatz 2 bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden.

Die Bauweise, die sich daraus ergibt, ist nach unserer Einschätzung auch die, die im Betrieb weniger Ärger macht: Ein Agent mit einem Zweck, eigenem Zugang und wenigen Werkzeugen lässt sich begründen, testen und abschalten. Freigabestufen verringern das Risiko, dass ein Fehler des Modells in folgenreichen Fällen unmittelbar bei einem Kunden oder Bewerber ankommt. Ein Protokoll je Durchlauf erleichtert Auskunftsanfragen und Fehleranalysen mit derselben Aufzeichnung.

Ein praktischer Einstieg: Nehmen Sie einen geplanten oder laufenden Agenten und gehen Sie die Prüffragen aus der Tabelle durch. Jede Frage, die Sie nicht aus der Dokumentation beantworten können, ist ein Punkt für die Umsetzung, bevor der Agent mehr Rechte bekommt. Setzen Sie Agenten zuerst dort ein, wo alle Aktionen in den Stufen 1 und 2 bleiben, und erweitern Sie den Handlungsspielraum erst, wenn Protokoll und Freigabeprozess im Alltag funktionieren.

Dieser Beitrag gibt einen Überblick nach bestem Wissen zum Stand 17. September 2026 und ersetzt keine Rechtsberatung. Maßgeblich sind die amtlichen Texte der DSGVO, der KI-Verordnung und der Verordnung (EU) 2026/1744.

FAQ

Darf ein KI-Agent selbstständig E-Mails an Kunden versenden?

Das hängt vom Inhalt ab. Prüfen Sie zuerst, ob die E-Mail eine Entscheidung übermittelt, die für den Empfänger rechtliche Wirkung hat oder ihn ähnlich erheblich beeinträchtigt. Lehnt sie etwa einen Kreditantrag ab oder kündigt sie einen Vertrag, und hat der Agent diese Entscheidung ohne inhaltliche Prüfung durch einen Menschen getroffen, greift Artikel 22 DSGVO: Eine solche Entscheidung ist nur zulässig, wenn eine der Ausnahmen aus Absatz 2 vorliegt und Sie in den Fällen Vertrag und Einwilligung die Schutzmaßnahmen nach Absatz 3 treffen. Unabhängig davon muss die Verarbeitung der Kundendaten auf das für den Zweck notwendige Maß beschränkt sein und, soweit keine Ausnahme nach Artikel 13 Absatz 4 oder Artikel 14 Absatz 5 greift, in Ihren Datenschutzhinweisen stehen.

Reicht es, wenn ein Mitarbeiter Entscheidungen des Agenten mit einem Klick bestätigt?

Bei Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nicht, wenn der Klick nur formal ist. Die Leitlinien der Artikel-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat, verlangen dafür, dass eine Entscheidung nicht als ausschließlich automatisiert gilt, eine echte Aufsicht statt einer symbolischen Geste: Die Entscheidung soll eine Person treffen, die befugt und befähigt ist, sie zu ändern. Prüfen Sie deshalb, ob die freigebende Person die zugrunde liegenden Daten sieht und die Aktion tatsächlich ändern oder verwerfen kann.

Ist ein KI-Agent ein Hochrisiko-KI-System?

Das hängt vom Einsatzzweck ab. Für Agenten in Verwaltung, Vertrieb und Personal prüfen Sie Anhang III: Entspricht die Zweckbestimmung des Agenten einem dort aufgeführten Anwendungsfall, etwa dem Sichten und Filtern von Bewerbungen, und greift keine Ausnahme nach Artikel 6 Absatz 3, ist er hochriskant. Nimmt ein solcher Agent ein Profiling natürlicher Personen vor, gilt er immer als hochriskant. Die Anforderungen und Pflichten aus den Abschnitten 1 bis 3 des Hochrisiko-Kapitels gelten für diese Systeme nach der Änderung durch die Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027.

Braucht jeder KI-Agent eine Datenschutz-Folgenabschätzung?

Nein. Artikel 35 DSGVO verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere bei einer systematischen und umfassenden Bewertung persönlicher Aspekte, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung dient. Prüfen Sie zusätzlich die Liste nach Artikel 35 Absatz 4: Die Liste der Datenschutzkonferenz für den nicht-öffentlichen Bereich nennt den Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten, etwa im Kundendialog. Ein Agent, der nur Rechnungen von Lieferanten vorsortiert, erreicht die Schwelle nach unserer Einschätzung nicht ohne Weiteres.

Wie lange müssen Protokolle eines KI-Agenten aufbewahrt werden?

Für Hochrisiko-KI-Systeme schreibt die KI-Verordnung Betreibern (Artikel 26 Absatz 6) und Anbietern (Artikel 19 Absatz 1) einen der Zweckbestimmung angemessenen Zeitraum von mindestens sechs Monaten vor, soweit die Protokolle ihrer Kontrolle unterliegen und das Unionsrecht oder nationale Recht nichts anderes bestimmt; das gilt für Systeme nach Anhang III ab dem 2. Dezember 2027 und nach Anhang I Abschnitt A ab dem 2. August 2028. Für Agenten, die kein Hochrisiko-System sind, gibt die KI-Verordnung keine Frist vor. Enthalten die Protokolle personenbezogene Daten, legen Sie nach dem Grundsatz der Speicherbegrenzung eine Frist fest, die sich am Zweck der Protokolle orientiert.