Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV), Sebastian Schmidt, hat im Juli 2026 einen neuen praxisorientierten Leitfaden zum „Datenschutzkonformen und digital-souveränen Einsatz von Künstlicher Intelligenz mit beschränktem oder minimalem Risiko“ veröffentlicht. Er richtet sich insbesondere an kleine und mittlere Unternehmen (KMU) sowie kleinere Verwaltungen. Ziel ist es, diesen Organisationen eine praktisch nutzbare Hilfestellung für die Einführung und den Betrieb von KI-Systemen zu geben, ohne sie mit den komplexeren Anforderungen an Hochrisiko-KI-Systeme zu belasten. Als typische Anwendungsfälle nennt der LfDI etwa interne Chatbots sowie Anwendungen zum Ordnen oder Zusammenfassen von Dokumenten.
Was war der Anlass?
Nach Einschätzung des LfDI konzentrieren sich die Diskussion über die KI-Verordnung und viele bestehende Orientierungshilfen vor allem auf Hochrisiko-KI-Systeme. Für kleinere Organisationen sind jedoch häufig Anwendungen mit begrenztem oder minimalem Risiko interessant, die beispielsweise Texte zusammenfassen oder als interner Chatbot eingesetzt werden. Der neue Leitfaden soll deshalb eine Lücke schließen und die Anforderungen für solche Anwendungen möglichst praxisnah darstellen.
Hinzu kommt die datenschutzrechtliche Relevanz: Nach Auffassung des LfDI werden bei der beruflichen wie privaten Verwendung von KI fast immer auch personenbezogene Daten verarbeitet. Der Leitfaden verbindet deshalb die Anforderungen der KI-Verordnung mit den Vorgaben der DSGVO und Fragen der IT-Sicherheit und digitalen Souveränität.
Zahlen, Fakten und wesentliche Empfehlungen
Der Leitfaden hat 33 Seiten und liegt in seiner ersten Version mit Stand Juli 2026 vor. Er unterscheidet entsprechend der KI-Verordnung zwischen vier Risikostufen: unannehmbarem, hohem, begrenztem und minimalem Risiko. Gegenstand des Leitfadens sind ausdrücklich nur Systeme mit begrenztem oder minimalem Risiko. Auch für diese Systeme gilt allerdings insbesondere die Pflicht zur Sicherstellung einer ausreichenden KI-Kompetenz nach Art. 4 KI-Verordnung; für Systeme mit begrenztem Risiko können zusätzlich die Transparenzpflichten des Art. 50 KI-Verordnung relevant werden.
Für die Praxis empfiehlt der LfDI einen systematischen KI-Managementprozess. Vor dem Einsatz sollen insbesondere das KI-System und sein konkreter Anwendungsfall dokumentiert, die eigene Rolle nach der KI-Verordnung bestimmt und die Risikoklasse festgestellt werden. Bei der Verarbeitung personenbezogener Daten sind zudem unter anderem Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechte sowie geeignete technische und organisatorische Maßnahmen zu berücksichtigen. Datenschutz- und IT-Sicherheitsbeauftragte sollen, soweit vorhanden, kontinuierlich eingebunden werden.
Besondere Bedeutung misst der Leitfaden der technischen Gestaltung bei. Die datenschutzrechtlichen und regulatorischen Anforderungen sollen über den gesamten Lebenszyklus eines KI-Systems – von Design und Entwicklung über Einführung und Betrieb bis zur Ausmusterung – berücksichtigt werden. Bei Cloud-Lösungen weist der LfDI darauf hin, dass die datenschutzrechtliche Verantwortlichkeit nicht auf den Dienstleister übergeht. Im Interesse der digitalen Souveränität werden außerdem offene Schnittstellen, offene Formate und Open-Source-Lösungen hervorgehoben. Anbieter und Dienstleister, die ausschließlich dem europäischen Rechtsrahmen unterliegen, sollen nach Auffassung des LfDI bevorzugt werden.
Der Leitfaden enthält außerdem ein konkretes Fallbeispiel für einen intern betriebenen Chatbot auf Basis eines Large Language Models (LLM), der Beschäftigte bei der Bearbeitung von Kundenanfragen unterstützt und hierzu lesenden Zugriff auf erforderliche Kundendaten erhält. Vorgesehen sind unter anderem ein auf das notwendige Maß begrenztes Rollen- und Rechtekonzept, ein On-Premise-Betrieb und – soweit möglich – der Einsatz von Open-Source-Komponenten.
Zu welchem Ergebnis kommt der LfDI?
Die wesentliche Aussage des Leitfadens ist, dass auch vermeintlich einfache KI-Anwendungen nicht einfach ohne vorherige Prüfung eingeführt werden sollten. Ein geringes Risiko im Sinne der KI-Verordnung bedeutet insbesondere nicht, dass datenschutzrechtlich keine Anforderungen bestehen. Sobald personenbezogene Daten verarbeitet werden, bleibt die DSGVO neben der KI-Verordnung anwendbar.
Gleichzeitig will der LfDI gerade kleineren Organisationen zeigen, dass ein rechtskonformer KI-Einsatz nicht zwingend ein kaum beherrschbares Großprojekt sein muss. Bestandsaufnahme und Dokumentation, Rollen- und Risikobestimmung, Prüfung der datenschutzrechtlichen Voraussetzungen, ausreichende KI-Kompetenz und eine geeignete technische Umsetzung bilden dafür einen strukturierten Rahmen. Der Leitfaden fasst die wesentlichen Schritte zusätzlich in einer Checkliste zusammen.
Unsere Bewertung aus datenschutzrechtlicher Sicht
Der Leitfaden ist aus unserer Sicht vor allem deshalb hilfreich, weil er zwei Dinge voneinander trennt, die in der Praxis schnell vermischt werden: die Risikoklassifizierung nach der KI-Verordnung und die datenschutzrechtliche Bewertung nach der DSGVO. Ein KI-System kann nach der KI-Verordnung lediglich ein minimales Risiko darstellen und dennoch personenbezogene Daten in erheblichem Umfang verarbeiten. Die Einordnung als „minimales Risiko“ ist deshalb kein datenschutzrechtlicher Freibrief.
Für Unternehmen bedeutet dies praktisch, dass vor der Freigabe einer KI-Anwendung zunächst der konkrete Einsatzzweck festgelegt werden sollte. Danach muss geklärt werden, welche Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht, welche Anbieter und sonstigen Dienstleister beteiligt sind, wohin Daten übermittelt werden und welche technischen und organisatorischen Schutzmaßnahmen erforderlich sind. Hinzu kommen die Anforderungen der KI-Verordnung, insbesondere die Rollen- und Risikobestimmung sowie die Sicherstellung der erforderlichen KI-Kompetenz.
Besonders überzeugend ist daher der vom LfDI empfohlene Managementansatz. Unternehmen sollten KI nicht lediglich als neues Softwareprodukt betrachten, sondern in bestehende Datenschutz-, Informationssicherheits- und Compliance-Prozesse integrieren. Dazu gehören aus unserer Sicht insbesondere ein Verzeichnis der eingesetzten und freigegebenen KI-Systeme, klare interne Zuständigkeiten und Freigabeverfahren sowie eine betriebliche KI-Richtlinie. Gerade die unkontrollierte Nutzung beliebiger KI-Dienste durch Beschäftigte lässt sich allein durch technische Maßnahmen kaum sinnvoll beherrschen.
Auch die Ausführungen zur digitalen Souveränität sind für die Praxis relevant. Die Entscheidung zwischen Cloud- und On-Premise-Lösungen sollte allerdings nicht schematisch getroffen werden. Ein interner Betrieb kann zwar mehr Kontrolle ermöglichen, setzt aber die hierfür erforderlichen technischen, personellen und organisatorischen Ressourcen voraus. Entscheidend bleibt daher eine dokumentierte Bewertung des konkreten Systems und des jeweiligen Verarbeitungskontextes.
Thematisch passende Beiträge
Musterrichtlinie der GDD e.V. „Betriebliche Richtlinie zum Einsatz Künstlicher Intelligenz“
Orientierungshilfe zu IKT-Risiken bei KI
Red-Hat-Studie zu KI-Governance und Abhängigkeit deutscher Unternehmen von globalen KI-Anbietern
Auf anwalt-willich.de findet sich zudem der thematisch passende Beitrag „Flex Routing bei Microsoft Copilot führt zu Verarbeitung außerhalb der EU“ vom 26. Juni 2026.
