Die EU-KI-Verordnung: Was für Sie tatsächlich gilt

Die meisten kleinen EU-Unternehmen mit einem kundenorientierten KI-Sprachagenten oder Supportchatbot sind Betreiber eines risikoärmeren Systems, keine Anbieter eines Hochrisikosystems. Daraus folgt eine überschaubare Liste: auf KI hinweisen, das System gemäß Dokumentation nutzen, echte menschliche Aufsicht sichern und weiterhin die DSGVO erfüllen.

Zuerst ein wichtiger Hinweis. Dieser Artikel bietet allgemeine Informationen für Unternehmer, keine Rechtsberatung, und begründet kein Mandatsverhältnis. Vorschriften werden im jeweiligen Kontext ausgelegt, nationale Behörden und Leitlinien entwickeln sich weiter, und für Ihre Branche können zusätzliche Regeln gelten. Bevor Sie eine konkrete Entscheidung darauf stützen, konsultieren Sie eine qualifizierte Beratung, die Ihren tatsächlichen Einsatz beurteilen kann.

Was die EU-KI-Verordnung ist, verständlich erklärt

Die EU-KI-Verordnung ist die branchenübergreifende Verordnung der Europäischen Union für künstliche Intelligenz. Sie ist nicht für eine einzelne Branche geschrieben. Wie die DSGVO für Zahnarztpraxen und Logistikunternehmen gilt sie sektorübergreifend. Ihr Leitgedanke: Die Regeln für ein KI-System sollen im Verhältnis zu den Risiken für Menschen stehen.

Behalten Sie diese Einordnung im Blick. Viele Sorgen entstehen, weil Schlagzeilen über die leistungsfähigsten Modelle auf den eigenen Terminassistenten übertragen werden. Meist geht es nicht um ihn. Die oft diskutierten Pflichten – technische Dokumentationspakete, Konformitätsbewertungen, Qualitätsmanagement und Marktbeobachtung – betreffen bestimmte Systemkategorien und Rollen in der Lieferkette. Ein Sanitärbetrieb mit fünf Mitarbeitern und KI am Telefon ist in einer ganz anderen Lage als ein Unternehmen, das das zugrunde liegende Modell entwickelt und verkauft.

Die Verordnung formalisiert für praktisch alle zwei Grundsätze guter Betreiber: Menschen dürfen nicht darüber getäuscht werden, ob sie mit einer Maschine sprechen. Und für das reale Verhalten eines KI-Systems muss jemand identifizierbar verantwortlich sein. Fast alles, was kleine oder mittlere Dienstleister tun müssen, folgt daraus.

Die Verordnung erwartet außerdem, dass Organisationen, die KI bereitstellen oder einsetzen, ein angemessenes Verständnis bei den damit arbeitenden Personen sicherstellen. Die Kommission nennt das KI-Kompetenz. Für einen kleinen Betrieb bedeutet das kein Schulungsprogramm. Gemeint ist, dass Empfangskraft, Praxisleitung und die wöchentlich Transkripte prüfende Person verstehen, was der Assistent kann und nicht kann, wo er scheitert und wie sie übernehmen.

Wie die Risikostufen funktionieren und wo Sprachagenten meist einzuordnen sind

Die Europäische Kommission beschreibt vier Stufen. An der Spitze stehen Praktiken mit unannehmbarem Risiko. Sie sind vollständig verboten, weil sie Sicherheit, Lebensgrundlagen und Rechte von Menschen eindeutig bedrohen. Es folgt hohes Risiko bei Anwendungen mit ernsten Gefahren für Gesundheit, Sicherheit oder Grundrechte. Dann kommt das Transparenzrisiko: Hier sollen Menschen vor allem wissen, womit sie es zu tun haben. Unten steht minimales oder kein Risiko. Laut Kommission fällt die große Mehrheit der derzeit in der EU eingesetzten KI-Systeme darunter.

Wo fällt ein Empfangsassistent hinein? Ein System, das begrüßt, Fragen zu Zeiten und Leistungen beantwortet, Nachrichten aufnimmt, Termine bucht oder verschiebt und Ungewöhnliches an Menschen weitergibt, unterliegt im Normalfall Transparenzanforderungen. Es entscheidet nicht folgenreich über den Zugang zu Arbeit, Bildung, Krediten, wesentlichen Dienstleistungen oder Rechten. Es bearbeitet normale Empfangsaufgaben. Entscheidend ist, dass Anrufende von der Automatisierung wissen.

Das ist der Normalfall. Entscheidend ist aber, wodurch ein Einsatz darüber hinausgehen kann. Die Risikoeinstufung folgt der Zweckbestimmung im Nutzungskontext. Erweitern Sie einen Sprachassistenten um die Bewertung medizinischer Dringlichkeit und die Entscheidung, ob Patienten untersucht werden müssen, hängen gesundheitliche Folgen von seiner Ausgabe ab. Prüft oder bewertet Gesprächs-KI Bewerber, betrifft das Beschäftigung. Soll sie den emotionalen Zustand Anrufender erkennen und danach handeln, berührt sie einen besonders kritisch behandelten Bereich. Für Kliniken oder Agenturen, die einen ursprünglich reinen Telefonassistenten laufend erweitern, ist das keineswegs theoretisch.

Die praktische Regel ist einfach: Die Einstufung hängt nicht von der Technologie ab, sondern von ihrer Aufgabe. Beschreiben Sie in einem Absatz den Zweck des Assistenten anhand von Tätigkeiten statt Funktionen. Prüfen Sie die Einstufung erneut, wenn sich dieser Absatz ändert. Falls die Aufgaben noch offen sind, erläutert unser Beitrag, was eine KI-Rezeption tatsächlich ist, den realistischen Umfang dieser Rolle.

Müssen Sie Anrufenden sagen, dass sie mit KI sprechen?

Im Grundsatz ja. Diese Pflicht betrifft Ihren Betrieb am unmittelbarsten. Die Übersicht der Kommission zum Rechtsrahmen formuliert den Grundsatz klar: Menschen sollen wissen, dass sie mit einer Maschine interagieren, damit sie informiert entscheiden können. Dieselbe Übersicht nennt August 2026 als Beginn der Transparenzregeln.

Technisch ist das einfach, die Versuchung zur Täuschung aber real. Anbieter verkaufen realistische Stimmen. Manche Betriebe möchten Anrufende glauben lassen, sie sprächen mit einem Menschen, weil sie durch den Hinweis weniger Abschlüsse befürchten. Das ist ein Compliance-Problem und nach unserer Erfahrung auch ein geschäftlicher Fehler. Wer mitten im Gespräch die Täuschung bemerkt, reagiert verärgert. Die Wiederherstellung des Vertrauens kostet weit mehr als die geringe Reibung eines ehrlichen Einstiegssatzes.

So sieht ein guter Hinweis am Telefon aus:

• Der Hinweis kommt zuerst, vor der Abfrage personenbezogener Daten – nicht erst nach Name und Geburtsdatum.
• Er verwendet normale Worte. Den Hinweis auf den automatisierten Assistenten der Praxis versteht jeder. Begriffe wie „konversationeller KI-Agent“ nicht.
• Er enthält einen Ausweg: Sagen Sie, wie ein Mensch erreichbar ist, und kommen Sie diesem Wunsch auf Anfrage sofort nach.
• Er ist kanalübergreifend einheitlich. Betreibt das Unternehmen neben dem Telefon auch einen Webchat, gilt der Grundsatz für beide.

Der Hinweis auf KI-Kommunikation ist von der Einwilligung zur Gesprächsaufzeichnung zu trennen. Für Aufzeichnungen gelten Datenschutzrecht und in manchen Mitgliedstaaten zusätzliche nationale Regeln. Behandeln Sie beides als zwei Hinweise mit zwei Zwecken, nicht als einen Satz, der beide Aufgaben unzureichend erfüllen soll.

Anbieter oder Betreiber: Welche Rolle haben Sie?

Diese Unterscheidung legt Ihre Pflichten fest. Für Inhaber kleiner Unternehmen ist sie der wichtigste Punkt, den es zu klären gilt.

Ein Anbieter ist vereinfacht die Partei, die ein KI-System entwickelt und unter eigenem Namen oder eigener Marke auf den Markt bringt oder in Betrieb nimmt. Ein Betreiber nutzt das System in eigener Verantwortung im Rahmen seiner Tätigkeit. Abonnieren Sie einen Dienst, den eine Agentur oder ein Softwareanbieter entwickelt, hostet, wartet und aktualisiert, und lassen Sie damit Ihre Anrufe annehmen, sind Sie Betreiber und der Dienstleister Anbieter.

Die anspruchsvollen technischen Pflichten, Dokumentation, Risikomanagement und Konformitätsarbeit bei Hochrisikosystemen liegen damit beim Anbieter. Ihre Betreiberpflichten sind operativ: das System nach Anleitung nutzen, wirksame menschliche Aufsicht sichern, Fehlverhalten beobachten, ernste Probleme melden und nachvollziehbare Aufzeichnungen aufbewahren.

Zwei Warnungen: Rollen sind nicht unveränderlich. Wer das System unter eigener Marke wie ein eigenes Produkt anbietet oder seinen Zweck wesentlich ändert, kann Anbieterpflichten übernehmen. Zweitens – und häufiger – fehlen die Rollen im Vertrag. Verlangen Sie ihre Aufnahme. Ein Dienstleister, der den Anbieter nicht benennen will, liefert Ihnen damit eine wichtige Information.

Wie die KI-Verordnung Ihre bestehenden DSGVO-Pflichten ergänzt

Das häufigste Missverständnis ist, die KI-Verordnung ersetze die DSGVO oder ihre Kenntnis decke den Datenschutz bereits ab. Das stimmt nicht. Beide Regelwerke behandeln unterschiedliche Fragen und gelten gleichzeitig.

Die DSGVO regelt personenbezogene Daten. Sobald Anrufende Namen, Nummer oder Anliegen nennen, werden solche Daten verarbeitet. Alle bestehenden Pflichten greifen: Rechtsgrundlage, Beschränkung auf nötige Daten, feste Speicherfrist statt unbegrenzter Aufbewahrung, funktionierende Löschanfragen, Verarbeitungsverzeichnisse und korrekte Drittlandübermittlungen. Daran ändert ein Modell statt eines Menschen nichts. Mehr dazu erläutert unser Ratgeber DSGVO und KI-Kundenservice.

Die KI-Verordnung regelt das System: seinen Zweck und dessen Risiken, vorhandene Dokumentation, den Hinweis auf KI und die Möglichkeit wirksamer menschlicher Aufsicht und Eingriffe.

Sie können eine Regelung erfüllen und die andere verletzen. Deshalb sind getrennte Prüfungen nötig. Ein perfekter KI-Hinweis löst kein Datenschutzproblem, wenn Transkripte ohne Garantien in Drittländer gehen. Einwandfreies EU-Hosting löst kein Transparenzproblem bei heimlicher Menschenimitation. Bei Überschneidungen – rund um Audio und Transkripte ständig – klären Sie zuerst den Datenschutz: Er ist etablierter, den Behörden vertrauter und eher Anlass einer tatsächlichen Kundenbeschwerde.

Praktische Checkliste: Pflicht, Bedeutung und Zuständigkeit

Die folgende Tabelle fasst das Gesagte praktisch zusammen. Sie geht vom Normalfall aus: einem kleinen oder mittleren EU-Dienstleister, der einen vom Anbieter entwickelten Kundenassistenten für Termine und Routineanfragen einsetzt.

Pflichtenbereich	Was das praktisch bedeutet	Übliche Zuständigkeit
Verzeichnis der KI-Systeme	Eine einseitige Übersicht aller eingesetzten KI-Systeme: ihre Aufgaben, Anbieter und berührten Daten. Prüfen Sie sie bei jeder Änderung.	Sie
Systemdokumentation und Gebrauchsanweisung	Die Anbieterbeschreibung von Zweckbestimmung, Fähigkeiten, bekannten Grenzen und korrekten Betriebsbedingungen. Halten Sie eine Kopie vor, nicht nur die Zusicherung, dass sie existiert.	Anbieter erstellt, Sie bewahren auf
Risikoeinstufung des Anwendungsfalls	Eine schriftliche Zweckbeschreibung des Assistenten und eine Bewertung der passenden Risikokategorie. Bei jeder Erweiterung erneut prüfen.	Gemeinsam, Sie entscheiden
Hinweis auf KI-Interaktion	Ein verständlicher Satz zu Beginn jedes Gesprächs, der auf die Kommunikation mit einem automatisierten Assistenten hinweist.	Sie definieren, der Anbieter setzt um
Menschliche Aufsicht und Eskalation	Eine benannte verantwortliche Person, klare Auslöser für die Übergabe an Menschen und ein Ablauf, der innerhalb und außerhalb der Geschäftszeiten funktioniert.	Sie
Verständnis der Mitarbeiter (KI-Kompetenz)	Wer das System bedient oder beaufsichtigt, versteht Umfang, Fehlerbilder und Übernahme. Weisen Sie diese Personen ein und aktualisieren Sie die Einweisung bei Änderungen.	Sie, mit Angaben des Anbieters
Protokollierung und Aufbewahrung	Interaktionsaufzeichnungen, mit denen sich Handlungen und Gründe des Systems nachvollziehen lassen; nur für eine festgelegte Dauer aufbewahrt.	Anbieter stellt bereit, Sie legen die Aufbewahrung fest
Rechtsgrundlage, Datenminimierung und Löschung (DSGVO)	Ihre bestehenden Datenschutzpflichten, angewendet auf Audio, Transkripte und alle vom Assistenten erstellten CRM-Einträge.	Sie als datenschutzrechtlich Verantwortlicher
Datenstandorte und Übermittlungen	Klären Sie, in welchem Land Audio, Transkripte und Modellverarbeitung tatsächlich liegen – einschließlich aller weiteren Auftragsverarbeiter.	Anbieter legt offen, Sie prüfen
Überwachung und Vorfallmeldungen	Regelmäßige Prüfung einer Stichprobe von Interaktionen und ein Weg, schwerwiegende Fehlfunktionen schnell an den Anbieter zu melden.	Gemeinsam

Keiner dieser Punkte verlangt eine Compliance-Abteilung. Für den ersten Durchgang genügen meist ein Dokument und ein ehrliches Gespräch mit dem Anbieter. Das Problem ist nicht die Schwierigkeit, sondern fehlende Zuständigkeit.

Was Sie den Anbieter vor Vertragsabschluss fragen sollten

Die regulatorische Aufstellung lässt sich am besten vor der Zahlung beurteilen. Diese Fragen sollten Sie schriftlich stellen. Sie zeigen zugleich, ob der Anbieter ein seriöser Dienstleister oder nur ein Wiederverkäufer mit Demo ist.

Welche Rolle übernimmt jede Partei, und steht das im Vertrag?

Fragen Sie direkt, ob der Dienstleister sich als Anbieter des KI-Systems und Sie als Betreiber betrachtet. Lassen Sie diese Rollenverteilung neben den Datenverarbeitungsbedingungen im Vertrag festhalten. Unklarheit ist hier nicht neutral: Das Risiko landet bei der am leichtesten erreichbaren Partei – bei Ihnen.

Kann ich die Dokumentation sehen, nicht nur eine Zusammenfassung?

Sie brauchen Zweckbestimmung, Betriebsbedingungen und bekannte Grenzen. Der Abschnitt über Einschränkungen ist die aufschlussreichste Seite der Anbieterdokumentation. Ein Dokument ohne wesentliche Grenzen beschreibt ein Produkt, das niemand ehrlich getestet hat.

Wer steht in der Lieferkette hinter Ihnen?

Spracherkennung, Sprachmodell, Telefonie, Transkriptspeicherung und Analytik verteilen sich häufig auf vier verschiedene Unternehmen. Sie brauchen die Liste, denn Datenschutzpflichten folgen den Daten, nicht der Rechnung. Spezifische Anbieterfragen zu Anrufdaten finden Sie im Beitrag zur Sicherheit von KI-Sprachagenten.

Wie funktioniert die Eskalation an Menschen tatsächlich?

Lassen Sie eine direkte Weiterleitung, eine Nachrichtenaufnahme außerhalb der Geschäftszeiten und einen Anruf mit dem Wort „Beschwerde“ vorführen. Aufsicht ist eine Gestaltungsfrage, keine bloße Richtlinienaussage. Ist die Übergabe schon in der Demo holprig, wird sie abends um acht nicht besser.

Was passiert bei meinem Ausstieg?

Exportformat für Transkripte und Anrufdaten, Löschfrist und schriftliche Bestätigung der erfolgten Löschung. Fragen Sie vor der Unterschrift, denn danach fehlt Ihnen der Verhandlungsspielraum.

Wo kleine Unternehmen Fehler machen

Drei Muster wiederholen sich. Keines davon beruht auf einem falschen Lesen der Verordnung.

Compliance nur als Aufgabe zum Start behandeln. Das Verzeichnis entsteht eine Woche vor dem Produktivstart und bleibt danach unberührt. Sechs Monate später hat der Assistent drei neue Fähigkeiten, eine zweite Leitung und Zugriff auf ein Patientenverwaltungssystem. Nichts davon steht im Dokument. Erweiterungen gehören zum Alltag eines funktionierenden Systems. Planen Sie eine vierteljährliche Prüfung von fünfzehn Minuten und aktualisieren Sie die Seite.

Annehmen, dass der Anbieter alles abdeckt. Anbieter haben echte Pflichten, und ein guter liefert Dokumentation ohne Nachhaken. Die Betreiberpflichten bleiben jedoch bei Ihnen: Aufsicht, korrekte Nutzung, verständliche Offenlegung, Speicherentscheidungen und die DSGVO-Rolle als Verantwortlicher. Kein Lieferantenvertrag verschiebt diese Pflichten.

Mehr einsetzen, nur weil das Tool es kann. Hier widersprechen wir Kunden am häufigsten. Ein Sprachassistent, der Buchungen, Verschiebungen, Öffnungszeiten, Wegbeschreibungen, Leistungsfragen und Nachrichten zuverlässig bearbeitet, ist ein wertvolles System im risikoarmen Bereich. Dieselbe Technologie für medizinische Triage, Bewerberauswahl oder Inkasso ist regulatorisch ein anderer Gegenstand mit deutlich höheren Anforderungen. Fähigkeit ist keine Erlaubnis. Ein bewusst enger Umfang ist eine Compliance-Strategie und verbessert zugleich die Leistung. Das erläutern wir im Ratgeber zum Training eines KI-Sprachagenten.

Die ehrliche Zusammenfassung: Für die große Mehrheit der EU-Dienstleister ist die KI-Verordnung nicht die oft dargestellte Hürde. Der Aufwand ist gering, überwiegend administrativ und überschneidet sich mit guter Betriebsführung: Systeme kennen, ehrlich mit Kunden sein, menschliche Verantwortung festlegen und schriftliche Anbieterantworten verlangen. Schwierigkeiten haben die Betriebe, die nie etwas davon dokumentiert haben.

Häufig gestellte Fragen

Gilt die EU-KI-Verordnung auch für einen kleinen Betrieb mit zehn Mitarbeitern?

Die Verordnung richtet sich nach Funktion und Nutzung des KI-Systems, nicht nach Unternehmensgröße. Eine Klinik mit zehn Beschäftigten und KI-Anrufannahme fällt als Betreiber darunter, auch wenn die schwersten Pflichten Anbieter risikoreicherer Systeme treffen. Praktisch bleibt für einen kleinen Betrieb mit risikoarmem Kundenassistenten eine kurze Liste: KI offenlegen, nach Anleitung nutzen, eine einfache Systemübersicht führen und die DSGVO weiter erfüllen. Die Verordnung enthält zudem Unterstützung speziell für kleinere Organisationen.

Muss ich Anrufenden sagen, dass sie mit KI sprechen?

Im Grundsatz ja. Die Übersicht der Europäischen Kommission zum Rechtsrahmen besagt, dass Menschen für eine informierte Entscheidung von der Interaktion mit einer Maschine wissen sollen. Am Telefon ist die Umsetzung einfach: ein verständlicher Hinweis im ersten Satz, bevor Daten erhoben werden. Ein kurzer Satz über den automatisierten Praxisassistenten genügt. Ein versteckter Hinweis in der Datenschutzerklärung nicht.

Bin ich Anbieter oder Betreiber des KI-Systems?

Wenn Sie ein KI-System kaufen oder abonnieren, das jemand anderes entwickelt, wartet und auf den Markt bringt, und es eigenverantwortlich für Ihren Betrieb nutzen, sind Sie fast immer Betreiber. Der Dienstleister ist Anbieter. Die Unterscheidung ist wichtig, weil beide Rollen unterschiedliche Pflichten haben. Sie ist aber nicht unveränderlich: Wer das System als eigenes vermarktet oder seinen grundlegenden Zweck ändert, kann Anbieterpflichten übernehmen. Halten Sie die Rolle im Vertrag fest, statt sie vorauszusetzen.

Ersetzt die KI-Verordnung die DSGVO?

Nein. Beide gelten nebeneinander und behandeln unterschiedliche Fragen. Die DSGVO regelt personenbezogene Daten im System: Rechtsgrundlage, Datenminimierung, Aufbewahrung, Löschrechte, Verarbeitungsaufzeichnungen und Drittlandübermittlungen. Die KI-Verordnung regelt das System selbst: Zweckrisiko, Dokumentation, KI-Hinweis und wirksame menschliche Aufsicht. Ein Einsatz kann eine Regelung erfüllen und die andere verletzen. Deshalb sind beide zu prüfen.

Was sollte ich einen KI-Anbieter vor Vertragsabschluss fragen?

Klären Sie schriftlich, welche Rolle jede Partei nach der KI-Verordnung übernimmt. Verlangen Sie Systemdokumentation und Gebrauchsanweisung, die Liste weiterer Auftragsverarbeiter und Modellanbieter, Speicherorte und Aufbewahrungsfristen für Audio und Transkripte sowie Angaben zum Training eigener oder fremder Modelle mit Ihren Daten. Fragen Sie nach menschlicher Eskalation sowie Export und Löschung beim Ausstieg. Wer das nicht schriftlich beantworten kann, ist nicht bereit für einen regulierten Markt.

Was passiert, wenn meine KI-Rezeption falsche Informationen gibt?

Die Verordnung entbindet Sie nicht von Ihrer üblichen Kundenverantwortung. Deshalb ist menschliche Aufsicht eine echte Pflicht, keine Formalität. Planen Sie sie ein: enger Assistentenumfang, Übergabe bei Überschreitung, nachvollziehbare Protokollierung jeder Interaktion und regelmäßige Stichproben der Transkripte. Ein Assistent, der Nichtwissen zugibt und weiterleitet, ist sicherer als einer, der improvisiert.