Der Rat der Europäischen Union will die Datenschutz-Grundverordnung um eine eigene Regel für künstliche Intelligenz erweitern. Der neue Artikel 88bis trägt den Titel „Processing in the context of the development and operation of AI“ und soll ausdrücklich ermöglichen, personenbezogene Daten für die Entwicklung und den Betrieb von KI-Systemen und KI-Modellen auf Grundlage eines „berechtigten Interesses“ nach Artikel 6 Absatz 1 Buchstabe f DSGVO zu verarbeiten. Eine vorherige Einwilligung der Betroffenen wäre damit nicht grundsätzlich erforderlich.
Der Text ist Teil des sogenannten Digital Omnibus. Die EU-Mitgliedstaaten einigten sich am 21. Oktober 2026 auf dieses Mandat für die Verhandlungen mit dem Europäischen Parlament. Es handelt sich noch nicht um geltendes Recht, sondern um die offizielle Position des Rates für die nun folgenden Verhandlungen.
Der dazugehörige Erwägungsgrund 33a nennt ausdrücklich auch das Training von KI-Systemen und KI-Modellen. Gleichzeitig stellt der Rat klar, dass KI-Entwicklung nicht automatisch ein berechtigtes Interesse darstellt. Im Einzelfall müsse geprüft werden, welchem Zweck die Verarbeitung dient und ob die Interessen oder Grundrechte der betroffenen Person überwiegen. Besondere Aufmerksamkeit soll dabei Kindern gelten; wo EU- oder nationales Recht ausdrücklich eine Zustimmung verlangt, bleibt diese erforderlich.
‼️ EU governments approved a GDPR change to let companies train AI on Europeans‘ personal data without consent. It makes AI training a possible "legitimate interest", judged case by case. Parliament must still agree. Max Schrems calls it a "digital expropriation" of Europeans. https://t.co/hCXn3AQMKa
— International Cyber Digest (@IntCyberDigest) October 26, 2026
Damit würde sich die bisherige Logik für bestimmte KI-Anwendungen deutlich verschieben. Unternehmen müssten nicht in jedem Fall zunächst die Zustimmung der betroffenen Person einholen, sondern könnten sich auf ein eigenes wirtschaftliches oder sonstiges berechtigtes Interesse berufen, sofern die vorgeschriebene Interessenabwägung und die übrigen Anforderungen der DSGVO erfüllt sind.
Der Rat verlangt zugleich technische und organisatorische Schutzmaßnahmen. Genannt werden unter anderem Datenminimierung, Schutz von im Modell verbliebenen Daten und das Widerspruchsrecht nach Artikel 21 DSGVO. Betroffene könnten einer solchen Verarbeitung grundsätzlich widersprechen.
Der Entwurf enthält zudem eine Regelung für besondere Kategorien personenbezogener Daten. Sensible Informationen, die unbeabsichtigt als Restbestand in Datensätze für Entwicklung, Training, Tests oder Validierung eines KI-Modells gelangen, sollen nach Möglichkeit gelöscht werden. Ist eine Löschung technisch unmöglich oder nur mit unverhältnismäßigem Aufwand möglich, sollen sie technisch gegen weitere Verarbeitung oder Ausgabe geschützt werden.
Die Datenschutzorganisation noyb um Max Schrems reagiert scharf. Sie spricht von einer „digitalen Enteignung“ der Europäer und warnt davor, dass große Technologieunternehmen künftig leichter auf umfangreiche, über Jahre angesammelte Datenbestände zurückgreifen könnten, um KI-Systeme zu entwickeln und zu betreiben. noyb befürchtet insbesondere, dass Daten, die ursprünglich für andere Zwecke gesammelt wurden, auf dieser Grundlage für KI verwendet werden könnten.
Der Rat begründet den Digital Omnibus dagegen mit der Wettbewerbsfähigkeit Europas, der Förderung von Innovation und dem Ziel, regulatorische Belastungen für Unternehmen zu reduzieren. In seiner offiziellen Mitteilung erklärt er ausdrücklich, dass die rechtliche Grundlage für die Verarbeitung personenbezogener Daten im Zusammenhang mit KI geklärt werden soll.
Damit steht Europa vor einer weitreichenden Weichenstellung: Die Mitgliedstaaten wollen in der DSGVO ausdrücklich festschreiben, dass KI-Entwicklung und KI-Betrieb unter bestimmten Voraussetzungen auch ohne vorherige Zustimmung der Betroffenen auf personenbezogene Daten gestützt werden können.
Ob diese Regel tatsächlich Gesetz wird, entscheidet sich in den Verhandlungen mit dem Europäischen Parlament.
