Mehrere Gesetze.
Eine Plattform.
Ein fester Monatsbeitrag

Höchstwahrscheinlich ja. Der EU AI Act gilt für jedes Unternehmen, dessen Mitarbeitende KI-Tools beruflich nutzen – ChatGPT, Microsoft Copilot, KI im Recruiting oder Kundenservice. Damit gilt Ihr Unternehmen als offizieller "Betreiber" im Sinne der Verordnung, unabhängig von seiner Größe. KI-Kompetenzpflichten gelten seit dem 2. Februar 2025. Die meisten Unternehmen sind noch nicht so weit: In einer Bitkom-Befragung deutscher Unternehmen ab 20 Beschäftigten aus dem Jahr 2025 schulen nur 8% alle Beschäftigten zu KI, 21% einen Großteil, 25% ausgewählte Personen – und 43% bieten gar keine KI-Schulungen an. Schulungen sind nicht der einzige Weg, diese Anforderung zu erfüllen, aber der einfachste Nachweis gegenüber einer Aufsichtsbehörde, die danach fragt. Es gibt keine Ausnahmen nach Unternehmensgröße.

Wahrscheinlich nicht. In einer Bitkom-Studie von 2025 unter deutschen Unternehmen ab 20 Beschäftigten sagten 86%, Datenschutz sei nie vollständig abgeschlossen, und 82% sind unsicher, was die Vorgaben konkret verlangen. Als größten Aufwandstreiber nannten die Unternehmen die Dokumentationspflichten zu Verarbeitungstätigkeiten (73%). Genau dort sammeln sich die Lücken unbemerkt an – veraltete oder unvollständige Verzeichnisse von Verarbeitungstätigkeiten (VVT), Auftragsverarbeitungsverträge, die Ihre heutigen Tools nicht abbilden, fehlende oder unzureichende technische und organisatorische Maßnahmen (TOM). Kein einziges Unternehmen berichtete von sinkendem Aufwand; bei 69% ist er gestiegen. Zudem erfordert der Einsatz von KI-Tools eine Aktualisierung der DSGVO-Dokumentation – zwei Gesetze mit unterschiedlichen Auslösern, und eine einmalige DSGVO-Compliance deckt den AI Act nicht ab.

Wenn Ihr Anwalt ein praktizierender DSB ist, der auf DSGVO und AI Act spezialisiert ist und Ihre Dokumentation laufend aktuell hält – dann sind Sie möglicherweise tatsächlich gut aufgestellt. Wenn es sich um eine Einmalberatung oder einen allgemeinen Unternehmensanwalt handelt: Die DSGVO erfordert kontinuierliches Monitoring, der AI Act eine strukturierte Dokumentation, die bei jeder Änderung Ihrer KI-Nutzung aktualisiert werden muss. Es ist eine Plattform zur dauerhaften Aktualisierung Ihrer Compliance-Dokumentation. Allerdings ersetzt unsere Plattform keine Rechtsberatung durch einen Anwalt.

Ab diesem Zeitpunkt haben Marktüberwachungsbehörden volle Befugnisse, Betreiber auf Compliance mit dem AI Act zu prüfen und den Einsatz nicht konformer Systeme zu untersagen. Ein Unternehmen, das nichts getan hat, ist ein Unternehmen ohne Dokumentation, ohne KI-Systemverzeichnis, ohne Nachweis von Mitarbeiterschulungen. Genau das wird zuerst geprüft. Die behördliche Empfehlung ist eindeutig: Ein Unternehmen, das dokumentiert nachweisen kann, rechtzeitig Maßnahmen ergriffen zu haben, steht bei einer Prüfung grundlegend besser da als eines, das nichts unternommen hat.

Im Jahr 2026 hat die EU Änderungen am EU AI Act verabschiedet und dabei einige Fristen verschoben. Die Verschiebung betrifft Hochrisikosysteme: KI im Recruiting, bei der Kreditvergabe oder bei ähnlich folgenreichen Entscheidungen (Anhang III, jetzt fällig zum 2. Dezember 2027), sowie KI, die in regulierte Produkte wie Medizingeräte oder Fahrzeuge eingebettet ist (Anhang I, jetzt fällig zum 2. August 2028). Das betrifft Anbieter und Betreiber gleichermaßen, einschließlich der Betreiberpflichten für Hochrisikosysteme (Art. 26) – menschliche Aufsicht, Dokumentationspflichten und die Information der Betroffenen. Zwei Pflichten sind von der Verschiebung nicht betroffen und gelten bereits: KI-Kompetenz, also dass Ihre Mitarbeitenden verantwortungsvoll mit KI umgehen können (Art. 4, in Kraft seit Februar 2025), und Transparenz, also dass Betroffene erfahren, wenn sie es mit KI zu tun haben (Art. 50, ab 2. August 2026). Wenn Sie keine Hochrisiko-KI einsetzen, hat sich für Sie nichts geändert. Wenn doch – etwa im Recruiting oder bei der Mitarbeiterüberwachung –, gelten Ihre Pflichten zu KI-Kompetenz und Transparenz bereits jetzt, und der sicherste Weg ist, sich frühzeitig auf die vollständige Hochrisiko-Compliance vorzubereiten, statt auf die Frist 2027 zu warten.

Die Zahl ist real, und sie ist die Obergrenze für verbotene KI-Praktiken nach Artikel 5, etwa Social Scoring. Das ist kein Dokumentationsdefizit, das sich schließen lässt, sondern ein Verhalten, das grundsätzlich nicht erlaubt ist. Die Pflichten, die Sie als Betreiber tatsächlich treffen, darunter Transparenz und menschliche Aufsicht, liegen eine Stufe darunter: bis €15 Mio. oder 3 % des weltweiten Jahresumsatzes (Artikel 99 Absatz 4). Dieselbe Stufe erfasst die Anbieterpflichten, die Sie selbst übernehmen, wenn Sie Ihren Namen auf ein Hochrisikosystem setzen oder ein solches wesentlich verändern (Artikel 25). Für KMU und Start-ups gilt nach Artikel 99 Absatz 6 der jeweils niedrigere der beiden Werte statt des höheren, und die DSGVO kennt keine solche Regel: Beide Stufen gelten unabhängig von der Unternehmensgröße.

Nein. Unterschiedliche Auslöser, unterschiedliche Dokumentation. Die DSGVO gilt, weil Sie personenbezogene Daten verarbeiten. Der AI Act gilt, weil Sie KI-Tools einsetzen. Beide überschneiden sich, wo die KI personenbezogene Daten verarbeitet – aber es sind zwei separate Gesetze mit separaten Anforderungen. Beides getrennt zu managen, über verschiedene Berater oder Tools, bedeutet doppelte Kosten und das Risiko, Schnittstellen zu verpassen. ETHYX deckt beides in einer Plattform ab: schnell, kostengünstig und ohne doppelten Aufwand.

Ein DSB (Datenschutzbeauftragter) ist die Person, die in einem Unternehmen offiziell für die Überwachung der Einhaltung der DSGVO verantwortlich ist. Nach Art. 37 DSGVO trifft dies auf umfangreiche Datenverarbeitungen durch Unternehmen zu. Gemäß §38 BDSG ist die Bestellung eines DSB zudem Pflicht, wenn im Unternehmen 20 oder mehr Mitarbeitende regelmäßig personenbezogene Daten verarbeiten. In der Praxis betrifft das die meisten deutschen KMU. Ein externer DSB erfüllt dieselbe Funktion wie ein interner, ohne die Kosten einer Einstellung: offiziell bestellt, im Register eingetragen, per SLA erreichbar, fachlich verantwortlich für seine Einschätzungen. In den Expert- und Scale-Plänen enthalten.

Eine Kanzlei oder ein externer Berater berechnet €300-500/Stunde und behandelt DSGVO und AI Act als separate Projekte – Sie erhalten Beratung, kein System. ETHYX erstellt, speichert und aktualisiert Ihre Dokumentation automatisch bei Änderungen, mit einem zertifizierten DSB im Abonnement. Für laufende Compliance sind die Kosten schlicht nicht vergleichbar. Allerdings ersetzt unsere Plattform keine Rechtsberatung durch einen Anwalt.

Die meisten Plattformen decken ein Gesetz ab – entweder DSGVO oder AI Act – und sind für große Unternehmen mit eigenen Compliance-Teams konzipiert. ETHYX unterstützt Unternehmen, denen es an Datenschutz-Know-how, -Zeit oder -Ressourcen fehlt – mit oder ohne eigenen DSB. Beide Gesetze sind in einem Abonnement abgedeckt, mit übersichtlicher Oberfläche und transparenten Preisen. In den Expert- und Scale-Plänen ist ein zertifizierter externer DSB bereits enthalten – kein Chatbot, keine Vorlagenbibliothek.

Sie füllen den Onboarding-Fragebogen aus – und die Plattform erstellt sofort Ihre personalisierte Compliance-Dokumentation. In den Expert- und Scale-Plänen meldet sich Ihr DSB innerhalb von 48 Stunden bei Ihnen.

Die Plattform überwacht Ihr Compliance-Profil kontinuierlich. Bei Änderungen – ein neues Tool, ein neuer Dienstleister, ein regulatorisches Update – wird Ihre Dokumentation aktualisiert und die erforderlichen Maßnahmen erscheinen in Ihrem Dashboard.

Die Plattform enthält fertige Arbeitsabläufe für die wichtigsten Situationen: Betroffenenanfragen, Datenpannen und Meldungen an die Aufsichtsbehörde. In den Expert- und Scale-Plänen begleitet Sie Ihr DSB durch jeden Schritt.

AI Act und DSGVO gelten für jedes Unternehmen, das im EU-Markt tätig ist oder Daten von EU-Bürgern verarbeitet – unabhängig vom Registrierungsland. ETHYX ist in Deutschland entwickelt, nach deutschen und europäischen Rechtsstandards. Schreiben Sie uns vor der Registrierung – wir klären, wie die Plattform auf Ihre Situation zutrifft.

Nein – alle Pläne laufen über 12 Monate. Der Grund liegt in der Leistung selbst: Compliance ist kein einmaliges Projekt, sondern kontinuierliche Arbeit. Ihre Dokumentation muss gesetzlich jederzeit aktuell sein und laufend aktualisiert werden, und der externe DSB (in den Expert- und Scale-Plänen) ist offiziell für Ihre Organisation bestellt und bleibt das ganze Jahr über aktiv, nicht monatsweise. Sie haben immer die Wahl: Zahlen Sie monatlich, oder zahlen Sie ein Jahr im Voraus, und ein Monat ist gratis.