Diese Seite nennt die wichtigsten Punkte, die Unternehmen und Einrichtungen beim Einsatz eines KI-Systems nach der KI-Verordnung der EU (Verordnung (EU) 2024/1689) und dem türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten beachten sollten. Grundlage sind die am Ende aufgeführten Veröffentlichungen von Prof. Dr. Murat Volkan Dülger. Die zitierten Vorschriften wurden am 1. November 2026 anhand amtlicher Quellen geprüft. Anwendungsbereich und Verhältnis zum Datenschutzrecht behandelt eine eigene, am Ende verlinkte Seite.

1. Die eigene Rolle bestimmen

Die Pflichten nach der KI-Verordnung hängen von der Rolle ab. Betreiber ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet (Art. 3 Nr. 4). Ein Unternehmen, das ein fertiges System in seinen Abläufen einsetzt, ist in der Regel Betreiber. Natürliche Personen, die KI im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit verwenden, unterliegen den Betreiberpflichten nicht (Art. 2 Abs. 10).

In bestimmten Fällen gilt der Betreiber als Anbieter und übernimmt dessen Pflichten (Art. 25 Abs. 1): wenn er ein bereits in Verkehr gebrachtes Hochrisiko-System mit seinem Namen oder seiner Marke versieht, wenn er es wesentlich verändert oder wenn er die Zweckbestimmung eines nicht hochriskanten Systems, einschließlich eines Systems mit allgemeinem Verwendungszweck, so ändert, dass es hochriskant wird. Wer ein allgemeines Sprachmodell zur Vorauswahl von Bewerbern einsetzt, ist ein Beispiel für den letzten Fall.

2. Die Verwendung einordnen

Für jede Verwendung sind vier Fragen zu stellen: Ist sie verboten (Art. 5)? Fällt sie in einen der Hochrisiko-Bereiche des Anhangs III? Löst sie Transparenzpflichten aus (Art. 50)? Trifft nichts davon zu, bleibt nach der KI-Verordnung die Pflicht zur KI-Kompetenz (Art. 4). Das Datenschutzrecht gilt in jedem Fall daneben. Einstellung und Entscheidungen über Beschäftigte, Kreditwürdigkeit, Tarifierung von Lebens- und Krankenversicherungen, Zulassung und Bewertung im Bildungswesen sowie biometrische Fernidentifizierung sind Beispiele für Verwendungen, die als hochriskant gelten.

3. Verbotene Praktiken vermeiden

Die Verbote gelten seit dem 2. Februar 2025 und binden auch Betreiber. Für Unternehmen sind vor allem die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen), die biometrische Kategorisierung, mit der auf Rasse, politische Einstellung, Gewerkschaftszugehörigkeit, religiöse Überzeugung oder sexuelle Ausrichtung geschlossen wird, und das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen von Bedeutung. Software, die den emotionalen Zustand von Beschäftigten aus Kamerabildern oder Stimmanalysen ermittelt, darf daher nicht eingesetzt werden. Die mit dem digitalen Omnibus eingefügten Verbote zu ohne Einwilligung erzeugten realistischen intimen Darstellungen und zu Darstellungen sexuellen Kindesmissbrauchs gelten ab dem 2. Dezember 2026.

4. Beim Einsatz eines Hochrisiko-Systems

Nach dem digitalen Omnibus gelten die Pflichten für Systeme nach Anhang III ab dem 2. Dezember 2027. Ab diesem Zeitpunkt muss der Betreiber das System entsprechend der Betriebsanleitung des Anbieters verwenden, die menschliche Aufsicht Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis übertragen, dafür sorgen, dass Eingabedaten unter seiner Kontrolle der Zweckbestimmung entsprechen und hinreichend repräsentativ sind, den Betrieb überwachen, bei erkannten Risiken die Verwendung aussetzen und Anbieter sowie Marktüberwachungsbehörde informieren und die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren (Art. 26).

Ein Betreiber, der Arbeitgeber ist, muss die Arbeitnehmervertreter und die betroffenen Beschäftigten informieren, bevor er ein Hochrisiko-System am Arbeitsplatz in Betrieb nimmt (Art. 26 Abs. 7). Trifft ein System Entscheidungen über natürliche Personen oder unterstützt es solche Entscheidungen, sind diese Personen über seine Verwendung zu informieren (Art. 26 Abs. 11); sie können eine Erläuterung zur Rolle des Systems verlangen (Art. 86). Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und Betreiber von Systemen zur Kreditwürdigkeitsprüfung sowie für Lebens- und Krankenversicherungen müssen vor der Verwendung eine Grundrechte-Folgenabschätzung durchführen (Art. 27). Werden personenbezogene Daten verarbeitet, dienen die Informationen des Anbieters der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO (Art. 26 Abs. 9).

5. Transparenzpflichten

Die Transparenzpflichten gelten seit dem 2. August 2026 (Art. 50). Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung müssen die betroffenen Personen informieren. Betreiber eines Systems, das Deepfakes in Bild-, Ton- oder Videoform erzeugt oder manipuliert, müssen offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden; bei offensichtlich künstlerischen, kreativen oder satirischen Werken ist die Pflicht eingeschränkt. Dasselbe gilt für KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, der Text wurde menschlich überprüft oder redaktionell kontrolliert und eine Person trägt die redaktionelle Verantwortung.

Systeme, die unmittelbar mit Menschen interagieren, etwa Chatbots im Kundendienst, so zu gestalten, dass die Personen über die Interaktion mit einer KI informiert werden, ist Pflicht des Anbieters. Ein Unternehmen, das einen fertigen Chatbot einsetzt, sollte prüfen, ob dieser Hinweis auch in seiner Anwendung funktioniert. Auch die maschinenlesbare Kennzeichnung synthetischer Inhalte obliegt dem Anbieter; für vor dem 2. August 2026 in Verkehr gebrachte Systeme endet die Frist am 2. Dezember 2026.

6. KI-Kompetenz

Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind (Art. 4). In der Fassung des digitalen Omnibus verlangt die Vorschrift nicht, ein bestimmtes Kompetenzniveau einzelner Personen zu gewährleisten. Die Maßnahmen richten sich nach den technischen Kenntnissen, der Erfahrung und der Ausbildung der Personen sowie nach dem Einsatzkontext.

7. Personenbezogene Daten

Die Eingabe personenbezogener Daten in ein KI-System ist eine Verarbeitung im Sinne des Gesetzes Nr. 6698 (KVKK). Jede Verarbeitung muss auf einen der Tatbestände des Art. 5 oder, bei besonderen Kategorien von Daten, des Art. 6 gestützt werden; die Betroffenen sind zu informieren (Art. 10), und die erforderlichen technischen und organisatorischen Maßnahmen sind zu treffen (Art. 12). Hat der Anbieter seinen Sitz im Ausland und gelangen Daten auf Server außerhalb der Türkei, muss die Übermittlung Art. 9 und der Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland entsprechen. Der Leitfaden der türkischen Datenschutzbehörde empfiehlt, keine identifizierenden Angaben wie Namen, Anschriften, Telefonnummern oder Ausweisdaten in diese Systeme einzugeben (Leitfaden, S. 57).

Bei Anwendungen, die Beschäftigte überwachen oder bewerten, kommt der Verhältnismäßigkeit besondere Bedeutung zu. Der Beitrag von Prof. Dr. Murat Volkan Dülger zur Überwachung der Kommunikation von Arbeitnehmern durch den Arbeitgeber behandelt die Grenzen solcher Überwachung im Lichte des Rechts auf Schutz personenbezogener Daten.

8. Geheimnisse und vertrauliche Informationen

Bevor Mandanten- oder Kundendaten, Geschäftsgeheimnisse oder dem Berufsgeheimnis unterliegende Informationen in ein öffentlich zugängliches KI-Werkzeug eingegeben werden, sind Vertrag und Nutzungsbedingungen des Anbieters zu prüfen: Werden Eingaben zum Training des Modells verwendet? Wie lange werden sie gespeichert? In welchem Land werden sie verarbeitet, und wer hat Zugriff? Für Rechtsanwälte steht dabei die Verschwiegenheitspflicht (Art. 36 des türkischen Rechtsanwaltsgesetzes Nr. 1136) im Mittelpunkt. Eine schriftliche interne Richtlinie, welche Werkzeuge mit welchen Daten und von wem genutzt werden dürfen, sichert diese Prüfung auf Dauer.

9. Die Ausgabe prüfen

Von KI-Systemen erzeugte Texte und Vorschläge können fehlerhaft sein; generative Modelle können nicht existierende Quellen und Entscheidungen anführen. Die Verantwortung für eine auf die Ausgabe gestützte Entscheidung tragen die Person und die Einrichtung, die das System verwenden. Wie Prof. Dr. Murat Volkan Dülger in seinem Beitrag zur KI in der Justiz festgehalten hat, kann das im Recht bedeutsame Ermessen diesen Systemen nicht überlassen werden; sie sind zur Unterstützung menschlicher Entscheidungen einzusetzen.

10. Geldbußen

Verstöße gegen die Verbote können mit Geldbußen von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die Betreiberpflichten (Art. 26) und die Transparenzpflichten (Art. 50) mit bis zu 15 Mio. Euro oder 3 %, unrichtige, unvollständige oder irreführende Angaben gegenüber Behörden mit bis zu 7,5 Mio. Euro oder 1 % (Art. 99). Bei Unternehmen gilt der höhere, bei KMU der niedrigere der beiden Beträge.

Bewertung

Nach Auffassung von Prof. Dr. Murat Volkan Dülger dürfen die Risiken der KI-Technologien kein Grund sein, die Entwicklung aufzuhalten; die Risiken sind vorab zu ermitteln, und mit den erforderlichen Vorkehrungen ist voranzugehen. Dieser Ansatz gilt auch für den Einsatz: Eine Einrichtung sollte wissen, welches System sie zu welchem Zweck verwendet, welche Daten es verarbeitet und wer die Ausgabe prüft. Wie in der gemeinsamen Stellungnahme von 2020, an der Dülger mitgewirkt hat, betont wird, ist in jeder Phase, in der KI Daten verarbeitet, eine Struktur der Rechenschaftspflicht einzurichten und die Verantwortung von Anfang an festzulegen.

Darin spiegelt sich Dülgers grundsätzlicher Ansatz zum KI-Recht innerhalb einer Einrichtung wider: KI nicht zu verbieten, sondern kontrolliert und überprüfbar zu verwenden. Umsetzen lässt sich dies durch eine Liste zugelassener Werkzeuge und Verwendungen, die Protokollierung der Nutzung, eine Möglichkeit, die Ausgabe zu beanstanden, und regelmäßige interne Prüfungen.

Die zitierten Vorschriften und Quellen und ihre Geltung für die Türkei

Die auf dieser Seite zitierten Vorschriften und Quellen sind im Folgenden mit vollständiger Bezeichnung und ihrer rechtlichen Geltung für die Türkei aufgeführt. Bei Texten, die in der Türkei nicht gelten, ist angegeben, warum sie herangezogen werden und in welchen Fällen sie Personen in der Türkei dennoch binden können.

  • Türkisches Recht: Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK; Amtsblatt vom 7.4.2016, Nr. 29677) und die Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland (Amtsblatt vom 10.7.2024, Nr. 32598). In der Türkei in Kraft und verbindlich.
  • Rechtsanwaltsgesetz, Gesetz Nr. 1136 (Amtsblatt vom 7.4.1969, Nr. 13168): in der Türkei in Kraft und verbindlich.
  • KI-Verordnung: Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024. In der EU seit dem 1. August 2024 in Kraft. Da die Türkei kein EU-Mitglied ist, gilt sie in der Türkei nicht und bindet türkische Behörden und Gerichte nicht. Sie bindet jedoch Anbieter und Betreiber in der Türkei, die Systeme in der EU in Verkehr bringen oder in Betrieb nehmen oder deren Systemausgaben in der EU verwendet werden (Art. 2 Abs. 1 Buchst. a und c). Weil die Türkei EU-Beitrittskandidat ist und im Rahmen der Zollunion ihre technischen Produktvorschriften angleichen muss, wird die Verordnung auch als Vorbild für türkische Regelungen herangezogen.
  • Digitaler Omnibus: Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 zur Änderung der KI-Verordnung; in der EU seit dem 27. Juli 2026 in Kraft. Für die Türkei gilt dasselbe wie für die KI-Verordnung.
  • Datenschutz-Grundverordnung (DSGVO): Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. In der EU seit dem 25. Mai 2018 anwendbar; in der Türkei nicht in Kraft. Sie bindet Unternehmen in der Türkei, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten (Art. 3 Abs. 2). Da das KVKK nach dem Vorbild des EU-Datenschutzrechts geschaffen wurde, werden DSGVO und EU-Rechtsprechung zum Vergleich herangezogen.
  • Türkische Datenschutzbehörde, Leitfaden zu generativer KI und Datenschutz (in 15 Fragen), Veröffentlichung Nr. 113, November 2025; Empfehlungen zum Datenschutz im Bereich der KI, 2021: Sie geben die Auslegung der türkischen Datenschutzbehörde wieder. Als weder Gesetz noch Verordnung sind sie nicht verbindlich, zeigen aber, wie das Gesetz in der Praxis des Datenschutzausschusses ausgelegt wird.

Weitere Veröffentlichungen und Seiten

Stand: 1. November 2026. Diese Seite dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall.