EU Data Act und KI
Der EU Data Act (Verordnung (EU) 2023/2854) ist seit September 2025 voll anwendbar und ergänzt DSGVO, EU-KI-Verordnung und Data Governance Act zu einem geschlossenen Daten-Recht. Für KI-Praxis ist er aus drei Gründen zentral: Er regelt Datenzugang aus vernetzten Geräten, er schreibt Cloud-Wechselbarkeit vor, und er verlangt eine neue Balance zwischen offenem Datenzugang und Trade-Secret-Schutz. Wer 2026 KI baut, muss seine Datenstrategie an Data Act anpassen.
Anwendungsbereich
Der Data Act gilt für Hersteller vernetzter Produkte (IoT), Anbieter dazugehöriger Dienste, Daten-Inhaber, Daten-Empfänger und Datenverarbeitungs-Dienste (Cloud, Edge). Er greift in jeder Branche, in der Daten aus vernetzten Geräten oder aus Software-Diensten generiert werden.
Daten-Zugangs-Recht für Nutzer
Nutzer eines vernetzten Produkts (Privatperson oder Unternehmen) haben Anspruch auf Zugang zu den von ihnen generierten Daten. Sie können verlangen, dass der Daten-Inhaber Daten an Dritte weitergibt, etwa an einen alternativen Wartungs-Dienstleister oder einen KI-Anbieter ihrer Wahl.
Trade-Secret-Schutz
Daten-Inhaber dürfen Geschäftsgeheimnisse weiterhin schützen. Der Data Act verlangt eine konkrete Identifikation der geheimen Bestandteile und vertragliche Schutzmassnahmen, kein pauschales Zurückhalten. Streitigkeiten gehen vor Schiedsstellen, die Mitgliedstaaten benennen.
Cloud-Wechselbarkeit
Datenverarbeitungs-Dienste müssen Wechsel-Funktionalität bereitstellen. Vertraglich höchstens 30 Tage Wechsel-Frist, schrittweiser Abbau der Wechsel-Gebühren bis Januar 2027 auf null. Für KI-Plattform-Käufer heisst das: Lock-in-Risiken sind klagbar zurückzudrängen.
Folgen für KI-Trainings-Daten
IoT-Daten dürfen ohne Einwilligung nicht für KI-Training verwendet werden, das mit dem Produkt konkurriert. Daten-Inhaber müssen Trainings-Zwecke vorab klar darlegen. Die Beweislast liegt beim Daten-Inhaber, nicht beim Nutzer.
Bezug zu DSGVO und EU-KI-Verordnung
Der Data Act gilt zusätzlich zur DSGVO. Wo personenbezogene Daten betroffen sind, bleibt die DSGVO-Rechts-Grundlage massgeblich. Bei KI-Hochrisiko-Systemen kommen Datenanforderungen aus Art. 10 EU-KI-Verordnung (Trainings-Daten-Qualität) hinzu. Eine integrierte Daten-Governance ist die einzige praktikable Antwort.
Diese deutsche Fassung wird laufend ausgebaut. Für ein konkretes Projekt nutzen Sie bitte das Beratungsgespräch oder schreiben an info@ainora.lt.