KI-Systeme unterliegen rechtlich denselben Vorgaben wie andere datenverarbeitende Technologien, insbesondere der DSGVO. Die Verarbeitung personenbezogener Daten durch KI in der Cloud bringt dabei besondere Risiken, vor allem durch mangelnde Transparenz, globale Datenflüsse und unklare Verantwortlichkeiten. Die DSGVO fordert Rechtmäßigkeit, Transparenz, Zweckbindung und technisch-organisatorische Maßnahmen wie Datenminimierung oder Verschlüsselung. Ergänzend regelt die neue KI-Verordnung risikobasiert die Sicherheit und Zulässigkeit von KI-Systemen, insbesondere bei Hochrisiko-Anwendungen. Nationale Vorgaben wie das Bundesdatenschutzgesetz (BDSG) oder branchenspezifische Regeln konkretisieren diese Anforderungen, etwa im Beschäftigtendatenschutz oder bei automatisierten Entscheidungen.