EU AI Act im Kundenservice: Was Unternehmen bis August 2026 umsetzen müssen
TL;DR — Das Wichtigste in 30 Sekunden
- August-Deadline: Ab dem 2. August 2026 greifen die Kennzeichnungspflichten des EU AI Acts für Chatbots, Voicebots und KI-gestützte E-Mail-Automatisierung.
- Bußgelder: Bei Verstößen gegen die Transparenzpflicht (Art. 50) drohen bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Verstöße gegen verbotene Praktiken (Art. 5) können bis zu 35 Mio. Euro oder 7 % kosten.
- Risikoklasse: Kundenservice-KI fällt in aller Regel unter „Limited Risk" — die konkrete Pflicht: Nutzer müssen wissen, dass sie mit einer KI interagieren.
- Integriertes Compliance-Framework: DSGVO und EU AI Act müssen künftig gemeinsam betrachtet werden — wer beide Regelwerke getrennt verwaltet, riskiert Lücken.
- Hosting-Vorteil: Anbieter mit europäischem Hosting vereinfachen die Compliance erheblich — kein Drittland-Transfer, keine zusätzliche Risikoprüfung.
- 8-Punkte-Checkliste für IT-Verantwortliche weiter unten im Artikel.
Definition :
Der EU AI Act ist die weltweit erste umfassende Regulierung für künstliche Intelligenz. Er klassifiziert KI-Systeme nach ihrem Risikopotenzial in vier Stufen: Inakzeptables Risiko (verboten), Hohes Risiko, Begrenztes Risiko und Minimales Risiko. Für jede Stufe gelten unterschiedliche Pflichten — von Verboten über Transparenz- und Dokumentationsauflagen bis hin zu keinen Anforderungen. Die Verordnung ist seit August 2024 in Kraft und wird stufenweise angewendet.
Zeitplan EU AI Act: Was gilt wann?
Der EU AI Act tritt gestaffelt in Kraft. Einen ausführlichen Überblick, was die Verordnung grundsätzlich für Unternehmen bedeutet, liefert der Artikel EU AI Act: Was bedeutet er für KI in Unternehmen? Für Kundenservice-Teams sind drei Daten entscheidend.
Februar 2025 — das Verbot inakzeptabler Risiken gilt bereits. KI-Systeme, die Menschen manipulieren oder soziale Bewertungssysteme betreiben, sind seit diesem Datum verboten. Betrifft Standard-Kundenservice-KI nicht.
2. August 2026 — Transparenzpflichten für „Limited Risk"-Systeme treten in Kraft. Grundlage: Art. 50 EU AI Act (Verordnung 2024/1689). Gleichzeitig greifen die vollständigen Hochrisiko-Pflichten — für FAQ-Bots nicht relevant, wohl aber für KI-Systeme, die eigenständig Kreditentscheidungen oder Vertragsauflösungen vornehmen. Wer bis dahin keine Kennzeichnung implementiert hat, riskiert Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
August 2027 — Hochrisiko-Anforderungen für biometrische Systeme gelten vollständig. Für Standard-Kundenservice-Anwendungen nicht relevant.
Die Faustregel: Für 95 % der Kundenservice-KI-Implementierungen zählt vor allem der 2. August 2026.
Hinweis zu Bußgeldzahlen: In manchen Quellen kursieren 35 Mio. Euro und 7 % im Zusammenhang mit dem AI Act — das ist korrekt, bezieht sich aber ausschließlich auf Verstöße gegen verbotene Praktiken nach Art. 5. Für Verstöße gegen die Kennzeichnungspflicht nach Art. 50 gilt der mittlere Bußgeld-Tier: bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes. Quelle: Art. 99 EU AI Act (Verordnung 2024/1689).
Risikoklassen: Warum Kundenservice-Chatbots unter „Limited Risk" fallen
Ein Standard-Chatbot, der FAQ beantwortet, ist klar „Begrenztes Risiko". Ein AI Agent, der eigenständig Rückerstattungen auslöst oder Vertragsänderungen vornimmt, könnte in den Bereich „Hohes Risiko" fallen — wenn er als wesentliche Entscheidungskomponente in einem rechtlich relevanten Prozess agiert. Was AI Agents grundsätzlich leisten und wie sie sich von klassischen Chatbots unterscheiden, erklärt der Leitfaden AI Agents im Service: Wie sie Prozesse verändern — und wie du startest. Die Risikoklasse hängt weniger vom System-Typ ab als von der konkreten Funktion — prüfe das im Einzelfall mit einem Rechtsberater und deinem Datenschutzbeauftragten.
Praxis-Hinweis: Im Zweifel konservativ einstufen. Ein Chatbot, der nur antwortet, ist „Limited Risk". Ein Agent, der Verträge auflöst oder Kreditrahmen anpasst, braucht eine rechtliche Einzelfallprüfung.
Kennzeichnungspflicht: So setzt du sie konkret um
Art. 50 EU AI Act schreibt vor: Nutzer müssen „klar und deutlich" informiert werden, dass sie mit einem KI-System interagieren — und zwar spätestens beim ersten Kontakt.
Bei Chat-Widgets muss der Hinweis sichtbar sein, bevor der Nutzer die erste Nachricht sendet. Konforme Optionen: ein dauerhafter Hinweis im Chat-Header ("Dieser Chat wird von einer KI bearbeitet"), ein Begrüßungstext der KI, der sich selbst vorstellt, oder ein einmaliger Hinweis beim ersten Öffnen des Widgets. Ein versteckter Hinweis im Impressum oder Footer reicht nicht.
Bei Voicebots muss die KI sich zu Beginn des Gesprächs als solche identifizieren. "Guten Tag, Sie sprechen mit dem automatischen Assistenten von [Unternehmen]" ist eine konforme Formulierung.
Bei KI-generierten E-Mails — wenn eine KI E-Mail-Antworten eigenständig verfasst und versendet, nicht nur Entwürfe vorschlägt — greift die Kennzeichnungspflicht ebenfalls. Ein Hinweis in der Signatur ("Diese Antwort wurde von unserem KI-System erstellt") ist ausreichend.
Was nicht ausreicht: Allgemeine Formulierungen in den AGB, ein Hinweis nur auf der Datenschutzseite, oder ein Disclaimer, der erst nach der ersten Interaktion erscheint.
DSGVO und EU AI Act: Das integrierte Compliance-Framework
Ab August 2026 greifen EU AI Act-Kennzeichnungspflichten für KI-Inhalte. Zusammen mit DSGVO- und NIS2-Risiken müssen Unternehmen Compliance, Dokumentation und Cloud-Zugriffe neu ausrichten — so das Fazit einer aktuellen Analyse von IT Boltwise. Wer beide Regelwerke weiterhin getrennt betrachtet, riskiert strukturelle Lücken — und doppelten Aufwand.
Wer bereits DSGVO-konform arbeitet, hat einen erheblichen Vorsprung. Die DSGVO nach Art. 5 und Art. 28 regelt die Verarbeitung personenbezogener Daten: Rechtsgrundlage, Auftragsverarbeitungsvertrag (AVV), Datensparsamkeit, Löschpflichten. Der EU AI Act ergänzt das um eine systemische Ebene: Welches Risiko geht von der KI selbst aus — unabhängig davon, ob personenbezogene Daten verarbeitet werden? Transparenz- und Dokumentationspflichten nach dem AI Act gelten auch, wenn die KI vollständig anonymisiert arbeitet.
Die Überschneidungen sind groß und sollten aktiv genutzt werden: Ein DSGVO-konformer AVV deckt oft auch die Subunternehmer-Transparenz des AI Acts ab. Eine Datenschutz-Folgenabschätzung (DSFA) liefert viele Informationen, die auch für die AI-Act-Dokumentation benötigt werden. Welche konkreten DSGVO-Anforderungen bei Chatbots und KI-Systemen im Kundenkontakt gelten, erklärt der Artikel Chatbots im Unternehmen DSGVO-konform einsetzen mit praktischen Umsetzungshinweisen.
Die kritische Lücke liegt woanders: Die DSGVO schreibt keine Kennzeichnungspflicht für KI vor. Das ist der einzige Punkt, den du für August 2026 neu implementieren musst, wenn du die DSGVO bereits einhältst.
Empfehlung für IT-Verantwortliche: Führe DSGVO-Compliance und AI-Act-Compliance unter einem gemeinsamen Governance-Framework zusammen — gleicher Verantwortlicher, gemeinsame Dokumentationsstruktur, gemeinsamer Review-Zyklus. Das spart Zeit und reduziert das Risiko, dass Pflichten zwischen den Zuständigkeiten fallen.
Checkliste: 8 Punkte vor August 2026
1. KI-Systeme im Kundenkontakt inventarisieren. Erstelle eine Liste aller KI-gestützten Systeme, die direkt mit Kunden kommunizieren: Chatbots, Voicebots, E-Mail-KI, KI-gestützte Suchfunktionen. Systeme ohne Kundenkontakt — interne Analyse-KI, Spam-Filter — sind nicht betroffen.
2. Risikoklasse je System bestimmen. Für Standard-Kundenservice-KI ist „Limited Risk" die Regel. Systeme, die eigenständig rechtlich relevante Entscheidungen treffen (Kreditgenehmigung, Vertragsänderung, Schadensregulierung), müssen einzeln geprüft werden.
3. Kennzeichnung im Chat-Widget implementieren. Der Hinweis muss vor der ersten Interaktion sichtbar sein. Teste das Widget mit einem frischen Browser-Cache ohne Cookies.
4. Voicebot-Skripte anpassen. Die KI muss sich zu Beginn des Gesprächs als KI identifizieren. Bestehende Skripte aktualisieren, Testläufe durchführen.
5. E-Mail-Kennzeichnung prüfen. Wenn E-Mails vollständig KI-generiert und versendet werden: Hinweis in Signatur oder Footer ergänzen.
6. AVV mit AI-Act-Klauseln aktualisieren. Prüfe mit deinem Anbieter, ob der bestehende AVV auch die AI-Act-Anforderungen abdeckt: Subunternehmer-Liste, Hostingstandort, Löschkonzept. DSGVO- und AI-Act-Klauseln gehören in ein gemeinsames Dokument.
7. Interne Dokumentation anlegen. Keine formale Konformitätserklärung nötig für „Limited Risk"-Systeme, aber eine interne Dokumentation ist Best Practice und bei Audits hilfreich: System-Beschreibung, Risikoklassifizierung, Kennzeichnungsnachweis, Datenbasis.
8. Datenschutzbeauftragten einbinden. Der DSB sollte die Implementierung freigeben und die Dokumentation abnehmen — idealerweise in einer gemeinsamen DSGVO/AI-Act-Review.
Hosting-Frage: Warum europäisches Hosting beide Regelwerke vereinfacht
Sowohl DSGVO als auch EU AI Act stellen Anforderungen an den Verarbeitungsort von Daten und die Nachvollziehbarkeit von KI-Systemen. Europäisches Hosting adressiert beide gleichzeitig.
Wer auf einen Anbieter mit Hosting in Deutschland oder der EU setzt, vermeidet das aufwändige DSGVO-Drittland-Transfer-Verfahren nach Art. 44 ff. DSGVO — Standardvertragsklauseln und Transfer Impact Assessments entfallen. Das BSI empfiehlt für sensible Branchen explizit Hosting in Deutschland; dieser Hinweis gilt auch im AI-Act-Kontext. Wenn das KI-Modell selbst in Europa gehostet wird, ist die Anforderung nach Nachvollziehbarkeit und Auditierbarkeit deutlich einfacher zu erfüllen. Für IT-Verantwortliche in Versicherungen, Gesundheitswesen oder der öffentlichen Hand ist das kein Komfort-Feature, sondern eine Grundvoraussetzung. Wer beides out-of-the-box erfüllt haben möchte, findet mit melibo einen Anbieter mit EU-Hosting, ISO 27001-Zertifizierung und 100 % DSGVO-konformer Plattform.
Anbietervergleich: Wer ist nachweislich konform, wer macht nur Marketing?
Viele Anbieter behaupten AI-Act-Konformität, ohne konkrete Nachweise zu liefern. Hier sind die vier Fragen, die du beim nächsten Anbieter-Briefing stellen musst:
Erstens: Haben Sie einen aktualisierten AVV, der explizit den EU AI Act adressiert? Gute Antwort: Ja, wir stellen einen AVV mit AI-Act-Klauseln sowie eine Subunternehmer-Liste bereit. Schlechte Antwort: "Wir sind DSGVO-konform" — das ist nicht dasselbe.
Zweitens: Wo wird das KI-Modell gehostet, das unsere Kundenanfragen verarbeitet? Gute Antwort: In Deutschland oder der EU, Rechenzentrum und Betreiber konkret benannt. Schlechte Antwort: "In der Cloud" oder "bei einem führenden Cloud-Anbieter".
Drittens: Wie wird die Kennzeichnungspflicht nach Art. 50 EU AI Act in Ihrem Widget umgesetzt? Gute Antwort: Konkrete Beschreibung mit Screenshot oder Demo. Schlechte Antwort: "Das regeln die Kunden selbst."
Viertens: Werden unsere Kundendaten für das Training Ihres Modells verwendet? Gute Antwort: Nein, vertraglich ausgeschlossen. Schlechte Antwort: Ausweichen oder "nur aggregiert".
Im DACH-Markt gibt es eine Handvoll relevanter Anbieter, deren Compliance-Positionierung sich klar unterscheidet. Userlike hostet in Deutschland, stellt standardmäßige AVV-Vorlagen bereit und kann die Kennzeichnungspflicht nativ konfiguriert werden — solide Wahl für KMU mit Live-Chat-Fokus. Tidio hostet in Irland (EU), bietet aber eine eingeschränktere Konfigurierbarkeit — für E-Commerce-KMU mit Shopify oder WooCommerce ein solider Einstieg, aber keine vollständig out-of-the-box-konforme Lösung. Intercom und Zendesk AI sind für Enterprise-Unternehmen relevant und bieten EU-Hosting-Optionen, meist als kostenpflichtiges Add-on. Freshbot ist nativ in den Freshdesk-Plan integriert, außerhalb dieses Ökosystems aber kaum flexibel. Botpress richtet sich an Entwickler-Teams — Hosting und Compliance liegen vollständig in der Eigenverantwortung.
Wer eine DACH-native Lösung sucht, die alle vier Fragen oben mit einem klaren Ja beantwortet: melibo hostet auf DSGVO-konformen Servern innerhalb der EU, ist nach ISO 27001 und ISO 9001 zertifiziert, überträgt alle Daten verschlüsselt und schließt die Nutzung von Kundendaten für externes Modelltraining vertraglich aus. Native Integrationen für Shopware, Zendesk, Freshdesk und GREYHOUND bedeuten, dass keine zusätzliche Middleware nötig ist.
Praxis-Tipp für IT-Verantwortliche: Je weniger du selbst dokumentieren und konfigurieren willst, desto stärker lohnt sich ein Anbieter mit deutschem Hosting, standardisiertem AI-Act-AVV und nativ implementierter Kennzeichnung. Verlange beim Anbieter-Briefing immer einen ausgefüllten AVV sowie eine Subunternehmer-Liste.
Was kommt nach August 2026?
Der EU AI Act ist kein abgeschlossenes Projekt. Ab August 2027 gelten die vollständigen Anforderungen für Hochrisiko-KI-Systeme im Bereich Biometrie. Wenn ein AI Agent in Zukunft eigenständig rechtlich relevante Entscheidungen trifft — Kreditrahmen anpasst, Verträge auflöst, Beschwerdeentscheidungen trifft — könnte eine Neubewertung der Risikoklasse nötig werden. Die Europäische KI-Behörde (AI Office) erarbeitet außerdem branchenspezifische Verhaltenskodizes (Codes of Practice). Die allgemeinen Leitlinien für General-Purpose-AI-Modelle (GPAI) werden auch Auswirkungen auf Chatbot-Anbieter haben, die auf Modelle wie GPT-4o, Mistral oder Llama aufsetzen.
Implementiere die August-2026-Anforderungen daher nicht als einmaligen Fix, sondern als dauerhaften Prozess: halbjährliche Risikoklassen-Überprüfung, aktualisierte Dokumentation bei Systemänderungen, regelmäßige AVV-Aktualisierungen mit deinem Anbieter — DSGVO und AI Act gemeinsam im Blick.
Häufige Fragen (FAQ)
Was genau muss ich bis zum 2. August 2026 umgesetzt haben?
Die wichtigste Pflicht aus Art. 50 EU AI Act: Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren — spätestens beim ersten Kontakt. Chat-Widgets brauchen einen sichtbaren Hinweis vor der ersten Nutzereingabe, Voicebots müssen sich zu Beginn als KI identifizieren, und vollständig KI-generierte E-Mails benötigen einen Kennzeichnungshinweis.
Fällt mein Kundenservice-Chatbot unter „Hohes Risiko" oder „Begrenztes Risiko"?
Die meisten Kundenservice-Chatbots fallen unter „Begrenztes Risiko". Das gilt für Systeme, die FAQ beantworten, Bestellstatus liefern oder Anfragen weiterleiten. „Hohes Risiko" käme ins Spiel, wenn der Chatbot eigenständig und ohne menschliche Überprüfung rechtlich relevante Entscheidungen trifft. Im Zweifel mit dem Datenschutzbeauftragten und einem Rechtsberater prüfen.
Welche Bußgelder drohen konkret bei Verstößen gegen die Kennzeichnungspflicht?
Bei Verstößen gegen Art. 50 sieht Art. 99 EU AI Act Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor. Die höheren Bußgelder von bis zu 35 Mio. Euro oder 7 % gelten ausschließlich für Verstöße gegen verbotene Praktiken nach Art. 5. Für KMU und Start-ups gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge.
Ich habe bereits einen DSGVO-konformen AVV. Bin ich damit auch AI-Act-konform?
Teilweise. Ein DSGVO-konformer AVV ist notwendig, aber nicht hinreichend. Der EU AI Act verlangt zusätzlich: Kennzeichnung der KI gegenüber Nutzern, Dokumentation des KI-Systems (Verwendungszweck, Risikoklasse) und bei GPAI-Modellen Transparenz über die genutzten Infrastrukturen. Frage deinen Anbieter explizit nach einem aktualisierten AVV mit AI-Act-Klauseln — und führe DSGVO- und AI-Act-Compliance in einem integrierten Framework zusammen.
Reicht ein Hinweis in meinen AGB, dass ich KI einsetze?
Nein. Art. 50 EU AI Act verlangt eine aktive, klare Information zum Zeitpunkt der Interaktion — nicht eine passive Regelung im Kleingedruckten. Der Hinweis muss dort erscheinen, wo die Interaktion stattfindet: im Chat-Widget, im Voicebot-Begrüßungstext, in der E-Mail-Signatur.
Gilt der EU AI Act auch für kleine Unternehmen und Startups?
Ja, für alle Unternehmen, die KI-Systeme in der EU einsetzen — unabhängig von Unternehmensgröße und Herkunftsland. Für KMU und Start-ups gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge. Die Kennzeichnungspflicht nach Art. 50 gilt ohne Ausnahmen.
