RAG-Systeme: EU AI Act und Datenschutz
Wir betreiben ein RAG-System (LLM + interne Dokumenten-Suche)
Minimales RisikoRange: minimal / limited
Rechtliche Grundlage
Artikel
Art. 4 EU AI Act
Erwägungsgründe
Recital 105
Praxis-Beispiele
Grenzfall
HR baut RAG über Personalakten — DSGVO Art. 9 Sonderkategorien möglich.
Unkritisch
Engineering-Team baut RAG über öffentliche API-Docs zur schnellen Suche — minimal risk.
Pflicht-Trigger für diesen Fall
- Entscheidungsunterstützung (Mensch im Loop)
- Nutzt General-Purpose AI (GPAI)
- Generiert synthetische Inhalte
Zusätzliche regulatorische Overlays
GDPRNDSG REVDSG CH
Neben dem AI Act greifen für diesen Fall sektorale Vorschriften, die zusätzliche Pflichten auslösen können.
Was muss konkret geklärt werden?
Ob Dein konkreter Use-Case unter Minimales Risiko fällt, hängt von folgenden Detailfragen ab:
- Werden Personalakten oder Bewerbungs-Daten im RAG indexiert?
- Werden RAG-Outputs öffentlich publiziert oder nur intern genutzt?
- Ist der RAG-Zugriff intern oder Customer-facing?
- Welche Datenkategorien wurden zum Trainieren verwendet?
Verwandte Anwendungsfälle
Klassifiziere Deinen konkreten Fall
Der Sector-First Wizard nimmt diesen Use-Case als Vorlage und stellt nur die wirklich relevanten Rückfragen — Du bekommst Risikoklasse, Pflichten-Liste und Audit-Package in unter 5 Minuten.
Assessment starten