KI in Großbritannien: UK GDPR, ICO und EU AI Act in der Praxis

Seit dem Brexit arbeiten britische Unternehmen mit zwei regulatorischen Landkarten. Zu Hause gilt ein Datenschutzrecht, das aus der DSGVO stammt, inzwischen aber geändert wurde, dazu ein KI-Ansatz ohne eigenes großes Gesetz. Bei den europäischen Kunden gelten die ursprüngliche DSGVO und die europäische KI-Verordnung, der AI Act.

Für eine Bank in der City, einen Versicherer in Manchester oder ein Softwarehaus in Edinburgh, das auf dem Kontinent verkauft, ist die Frage sehr konkret: Welche Regeln gelten, wenn Beschäftigte Kundendaten in einen KI-Assistenten kopieren?

Die Grundlage: UK GDPR und Data Protection Act 2018

Das Vereinigte Königreich hat die DSGVO als UK GDPR in nationales Recht übernommen, ergänzt durch den Data Protection Act 2018. Die Grundsätze sind vertraut: Rechtsgrundlage, Datenminimierung, risikogerechte Sicherheit und Folgenabschätzung bei hohem Risiko. Ein Prompt mit Name, Adresse oder Akte eines Kunden ist eine Verarbeitung personenbezogener Daten, mit denselben Pflichten wie eine per E-Mail versandte Datei.

Zuständige Aufsicht war lange das Information Commissioner's Office (ICO). Seit dem 30. September 2026 hat eine neue Information Commission, geschaffen durch die Reform von 2025, seine Aufgaben übernommen. Die Leitfäden des ICO bleiben die praktische Referenz.

Was der Data (Use and Access) Act 2025 ändert

Der Data (Use and Access) Act 2025 erhielt am 19. Juni 2025 die königliche Zustimmung. Er tritt schrittweise in Kraft, die meisten datenschutzrechtlichen Änderungen gelten seit dem 5. Februar 2026. Für KI-Projekte sind drei Punkte wichtig:

• eine Liste anerkannter berechtigter Interessen, bei denen die übliche Interessenabwägung entfällt;

• gelockerte Regeln für ausschließlich automatisierte Entscheidungen, außer wenn sie auf besonderen Kategorien personenbezogener Daten beruhen, mit Garantien wie dem Recht, die Entscheidung anzufechten und ein menschliches Eingreifen zu verlangen;

• die Ablösung des ICO durch die Information Commission.

Eine Deregulierung ist das nicht. Pflichten zu Sicherheit, Datenminimierung und Transparenz bleiben bestehen. Gelangen personenbezogene Daten in ein frei verfügbares KI-Werkzeug, kann das weiterhin eine Datenschutzverletzung im Sinne der UK GDPR sein.

Das ICO und KI: umfangreiche Leitlinien

Das ICO hat einen ausführlichen Leitfaden zu KI und Datenschutz veröffentlicht, zuletzt 2023 aktualisiert. Er behandelt Rechenschaft, Transparenz, Richtigkeit, Fairness und Sicherheit von KI-Systemen. 2026 kündigte die Behörde einen verbindlichen Verhaltenskodex zu KI und automatisierten Entscheidungen an, außerdem Hilfen für KMU und öffentliche Stellen zur Prüfung fertig eingekaufter KI-Werkzeuge und Hinweise zu agentischer KI.

Der rote Faden bleibt gleich: Wer ein KI-Werkzeug einsetzt, bleibt für die Daten verantwortlich, die hineingehen. Der Anbieter trägt dieses Risiko nicht an seiner Stelle.

Der innovationsfreundliche Ansatz und der EU AI Act

London hat einen anderen Weg gewählt als Brüssel. Seit dem Weißbuch von 2023 zu einer innovationsfreundlichen KI-Regulierung sollen bestehende Aufsichtsbehörden wie ICO, FCA, CMA oder Ofcom gemeinsame Grundsätze in ihrem Sektor anwenden. Im Herbst 2026 hat die Regierung kein allgemeines KI-Gesetz eingebracht.

Der EU AI Act dagegen gilt seit Februar 2025 schrittweise. Seine Reichweite endet nicht an den Grenzen der Union: Er erfasst auch Anbieter außerhalb der EU, die ein System auf dem EU-Markt in Verkehr bringen, sowie Anbieter und Betreiber außerhalb der EU, wenn die Ergebnisse des Systems in der Union genutzt werden. Ein britisches Unternehmen mit europäischen Kunden kann also betroffen sein, auch ohne Tochtergesellschaft auf dem Kontinent.

Drei typische Situationen für britische Unternehmen

1. Sie verarbeiten Daten von Personen in der EU. Die EU-DSGVO kann zusätzlich zur UK GDPR gelten, vor allem wenn Sie diesen Personen Waren oder Dienstleistungen anbieten.

2. Sie bauen KI in ein Produkt ein, das in der EU verkauft wird. Der AI Act kann Sie als Anbieter erfassen, mit Pflichten je nach Risikostufe.

3. Ihre Teams nutzen täglich KI-Assistenten. Das ist der häufigste und am meisten übersehene Fall: Kunden-, Personal- oder Vertragsdaten landen jeden Tag in Prompts, oft ganz ohne Kontrolle.

Gute Nachricht für Datenflüsse: Im Dezember 2025 hat die Europäische Kommission ihre Angemessenheitsbeschlüsse für das Vereinigte Königreich bis Dezember 2031 verlängert. Übermittlungen aus der EU bleiben einfach. Über das, was Ihre Beschäftigten an einen anderswo gehosteten KI-Dienst schicken, sagt die Angemessenheit aber nichts.

Eine Kontrolle für zwei Regelwerke

Statt zwei getrennte Richtlinien zu pflegen, suchen viele Unternehmen eine Kontrolle, die auf beiden Seiten des Ärmelkanals funktioniert. Das leistet KI-DLP wie ZeusLock, auf dem Endgerät oder im Browser:

• sie erkennt personenbezogene und sensible Daten in Prompts und Dateien vor dem Versand;

• sie ersetzt diese Daten durch fiktive Werte per formatbewahrender Anonymisierung, warnt die Nutzer oder blockiert den Upload, je nach Regel;

• sie protokolliert jeden Vorfall und dokumentiert so die geeigneten technischen Maßnahmen, die UK GDPR und DSGVO gleichermaßen verlangen.

Wie ein Datenleck konkret entsteht, zeigt unsere Anatomie eines KI-Datenlecks. Für die EU-Seite beschreibt unsere Compliance-Checkliste zu KI-VO und DSGVO Artikel 32 die erwarteten Kontrollen. Und um das Risiko zu beziffern, lesen Sie über die realen Kosten von Schatten-KI.

Zusammenfassung

Das Vereinigte Königreich lockert mit dem Data (Use and Access) Act 2025 Teile seines Datenschutzrechts und hat weiterhin kein allgemeines KI-Gesetz. Doch die UK GDPR verlangt nach wie vor Sicherheit und Datenminimierung, die Aufsicht bereitet einen KI-Kodex vor, und der EU AI Act greift, sobald Ihre Systeme den EU-Markt berühren. Daten an der Quelle zu kontrollieren, also im Prompt, bleibt der einfachste Weg, beiden Regelwerken gerecht zu werden.

Sie sind in Großbritannien und der EU tätig? Vereinbaren Sie eine ZeusLock-Demo und schützen Sie Ihre Daten in allen KI-Werkzeugen.