AI Act im Unternehmen: Pflichten bei Chatbots und KI Agenten
Ein Chatbot auf der Website, ein KI Agent, der Mails beantwortet, ein Assistent im Kundenservice. Seit dem 2. August 2026 unterliegen solche Werkzeuge den Transparenzpflichten aus Art. 50 AI Act, und seit dem 28. Oktober 2026 gelten in Polen Vorschriften zu Kontrollen, Beschwerden und Geldbußen. In diesem Artikel erklären wir, welche Pflichten aus dem AI Act ein Unternehmen mit Chatbots und KI Agenten treffen, wer dafür verantwortlich ist, was verschoben wurde und was Sie schon jetzt tun sollten. Rechtsstand: November 2026.
Veröffentlicht
Teilen
Der AI Act im Unternehmen in einem Absatz
Wenn ein Mensch direkt mit Ihrem KI System spricht, muss er das spätestens bei der ersten Interaktion erfahren, es sei denn, es ist offensichtlich. Diese Pflicht steht in Art. 50 Abs. 1 AI Act, also der Verordnung (EU) 2024/1689. Sie trifft den Anbieter des Systems, und Anbieter kann auch ein Unternehmen sein, das einen Chatbot in Auftrag gegeben hat und unter eigenem Namen nutzt. Die strengsten Anforderungen an Hochrisikosysteme wurden verschoben, die Transparenzpflichten gelten aber bereits.
Weiterlesen
Weitere Artikel, die Sie interessieren könnten.
Nächster Schritt
Eigenen Stack zu prüfen?
Das kostenlose Audit kartiert Ihre Situation in einem Gespräch. Sie gehen mit einer Liste automatisierbarer Prozesse, einem Angebot und einer Einsparungsschätzung heraus.
Fristen des AI Act: was gilt und was verschoben wurde
Die Verordnung (EU) 2026/1744, bekannt als Digital Omnibus on AI, ist am 27. Juli 2026 in Kraft getreten und hat einen Teil des Zeitplans geändert. Der AI Act wurde dadurch jedoch nicht insgesamt verschoben. Für ein typisches Unternehmen sind diese Daten am wichtigsten:
2. Februar 2025: verbotene KI Praktiken (Art. 5) und die Pflicht, KI Kompetenz zu fördern (Art. 4).
2. August 2026: Transparenzpflichten aus Art. 50, darunter der Hinweis auf das Gespräch mit einem Chatbot.
28. Oktober 2026: In Polen gelten die Vorschriften zu Kontrollen, Verfahren, Einzelfallstellungnahmen und Geldbußen.
2. Dezember 2026: Ende der Übergangsfrist für die technische Kennzeichnung von Inhalten nach Art. 50 Abs. 2, nur für Generatoren, die vor dem 2. August 2026 in Verkehr gebracht wurden.
2. Dezember 2027: Anforderungen an Hochrisikosysteme aus Anhang III, zum Beispiel im Recruiting.
2. August 2028: Anforderungen an Hochrisikosysteme, die Teil von Produkten nach den EU Vorschriften aus Anhang I sind.
Anbieter oder Betreiber: welche Rolle hat Ihr Unternehmen
Von dieser Antwort hängen die meisten Pflichten ab. Anbieter ist, wer ein KI System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI System in eigener Verantwortung beruflich verwendet. Ein Unternehmen kann je nach Werkzeug beide Rollen haben.
Ein für Sie gebauter Chatbot unter Ihrer Marke
Wenn Ihr Team oder ein externer Dienstleister einen Assistenten auf einem per API verfügbaren Modell gebaut hat und dieser unter Ihrem Namen läuft, ist Ihr Unternehmen grundsätzlich Anbieter dieses Systems. Die Leitlinien der Europäischen Kommission zu Art. 50 nennen ausdrücklich das Beispiel eines Unternehmens, das einen Chatbot selbst entwickelt hat und ihn für den Eigengebrauch unter eigenem Namen in Betrieb nimmt. Art. 50 betrifft Systeme und nicht die Modelle selbst, die Nutzung eines fremden Modells verlagert diese Pflicht also nicht auf dessen Hersteller.
Ein bestehendes System, das Sie verändern
Wenn Sie ein bestehendes generatives KI System eines anderen Anbieters übernehmen, es etwa durch neue Trainingsdaten verändern und unter eigenem Namen bereitstellen, werden Sie zum Anbieter eines neuen Systems. Die Verantwortung des ursprünglichen Anbieters für sein System bleibt bestehen.
Ein fertiges Werkzeug unter der Marke des Herstellers
Wenn Sie einen fertigen Chatbot mit dem Logo des Herstellers kaufen und unverändert nutzen, ist der Hersteller Anbieter und Sie sind Betreiber. Prüfen Sie dennoch, ob die Hinweisfunktion aktiviert ist und ob Ihre Konfiguration sie nicht verdeckt. Bei Lösungen, die unter Ihrer Marke laufen, ist die Grenze oft unscharf. Gehen Sie daher sinnvollerweise davon aus, dass die Pflicht bei Ihnen liegt, und halten Sie die Rollenverteilung im Vertrag fest.
Chatbot auf der Website: so erfüllen Sie die Hinweispflicht
Die Leitlinien der Kommission nennen unter den von Art. 50 Abs. 1 erfassten Systemen Chatbots im Kundenservice, im Beschwerdemanagement und im Onlinehandel. Sie stellen außerdem klar, dass in Onlineplattformen und Hilfecenter eingebettete Chatbots, deren Antworten Nutzer für menschlich halten könnten, nicht unter die Ausnahme für offensichtliche Fälle fallen.
Die Information muss klar, eindeutig und spätestens bei der ersten Interaktion erfolgen. Sie sollte außerdem die Anforderungen an die Barrierefreiheit erfüllen. In der Praxis:
Der Chatbot beginnt das Gespräch mit einem einfachen Satz, zum Beispiel: „Ich bin ein KI Assistent. Sie können jederzeit um Kontakt mit einem Menschen bitten.“
Die Kennzeichnung steht nah am Eingabefeld und nicht in der Fußzeile.
Ein Sprachassistent sagt es zu Beginn des Anrufs.
Eine von einem KI Agenten erstellte und versandte Mail trägt oben in der Nachricht eine Kennzeichnung.
Die Kommission nennt auch, was nicht ausreicht. Ein Hinweis nur in den AGB, hinter einem Link oder in der Dokumentation erfüllt die Pflicht nicht, ebenso wenig rein maschinenlesbare Markierungen. Ein menschlicher Name oder ein Foto am Chatbot erschweren es zu erkennen, dass die KI antwortet, daher ist ein deutlicher Hinweis umso wichtiger.
Ein KI Agent, der im Namen des Unternehmens handelt
Ein KI Agent ist ein System, das nicht nur antwortet, sondern auch handelt, zum Beispiel Termine bucht, Korrespondenz führt oder Bestellungen aufgibt. Nach den Leitlinien sollte ein Agent sowohl seine künstliche Natur offenlegen als auch die Person, in deren Namen er handelt. Das gilt auch, wenn auf der anderen Seite jemand ein anderes Unternehmen vertritt, eine B2B Beziehung befreit also nicht von der Pflicht.
Lässt sich nicht im Voraus feststellen, ob der Agent auf einen Menschen trifft, sollte er so gestaltet sein, dass er sich immer dann zu erkennen gibt, wenn ein solches Gespräch vernünftigerweise wahrscheinlich ist. Für Unternehmen ergibt sich daraus eine einfache Gestaltungsregel: Die Signatur oder der erste Satz jeder Nachricht des Agenten sagt, dass hier eine KI schreibt und wen sie vertritt.
Wann kein Hinweis nötig ist
Die Ausnahme gilt, wenn der Einsatz von KI für eine angemessen informierte, aufmerksame und verständige Person offensichtlich ist. Die Kommission legt sie eng aus. Dass Menschen allgemein wissen, dass es Chatbots gibt, genügt nicht. Außerhalb der Pflicht oder unter die Ausnahme fallen unter anderem:
Werkzeuge zur Unterstützung von Mitarbeitern, wenn ein Mensch mit dem Kunden spricht und die KI ihm nur Inhalte vorschlägt. Die bloße Möglichkeit einer menschlichen Prüfung darf allerdings nicht dazu dienen, die Vorschrift zu umgehen.
Ein interner Assistent für entsprechend geschulte Mitarbeiter, die wissen, dass sie KI nutzen.
Programmierassistenten, die ausschließlich professionellen Entwicklern zur Verfügung stehen.
Systeme im Hintergrund ohne direkte Interaktion mit Menschen, etwa die Klassifizierung von Dokumenten.
Bilder, Videos und Texte aus der KI
Hier entstehen die meisten Missverständnisse. Die Frist 2. Dezember 2026 betrifft ausschließlich Art. 50 Abs. 2, also die Pflicht der Anbieter von Generatoren, Ergebnisse maschinenlesbar zu kennzeichnen. Sie verschiebt weder die Hinweispflicht bei Chatbots noch die Pflichten der Betreiber.
Ein Unternehmen, das einen Generator nutzt, ist vor allem von Art. 50 Abs. 4 betroffen. Es muss offenlegen, dass Bild, Ton oder Video künstlich erzeugt wurden, wenn es sich um einen Deepfake handelt, also wenn der Inhalt existierenden Personen, Gegenständen, Orten oder Ereignissen ähnelt und fälschlich als echt erscheinen könnte. Eine ähnliche Pflicht gilt für Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, sie wurden von Menschen geprüft oder redaktionell kontrolliert und jemand trägt die Verantwortung für die Veröffentlichung. Eine gewöhnliche Produktbeschreibung oder Vertriebsmail fällt grundsätzlich nicht darunter. Inhalte, die vor dem 2. August 2026 erzeugt wurden, müssen nicht nachträglich gekennzeichnet werden.
KI Kompetenz: was Art. 4 wirklich verlangt
Nach den Änderungen durch den Digital Omnibus müssen Unternehmen Maßnahmen ergreifen, um die KI Kompetenz ihres Personals und anderer Personen zu fördern, die KI in ihrem Auftrag bedienen, unter Berücksichtigung von Wissen, Erfahrung und Einsatzkontext. Die Vorschrift stellt ausdrücklich klar, dass kein bestimmtes Kompetenzniveau einer einzelnen Person garantiert werden muss.
Diese Vorschrift des AI Act verlangt auch keinen AI Officer, kein Werkzeugregister und keine KI Richtlinie. Eine Liste der genutzten Systeme und kurze Nutzungsregeln sind dennoch sinnvoll, denn ohne sie lassen sich Grundfragen zu Rollen und Risiko kaum beantworten.
Wo KI im Unternehmen hohes Risiko oder ein Verbot bedeutet
Die meisten Chatbots und Automatisierungen sind keine Hochrisikosysteme. Aufmerksamkeit verlangen Bereiche, die mit Arbeit und dem Zugang zu Leistungen zusammenhängen:
Recruiting: Filtern von Bewerbungen, Bewertung von Kandidaten, gezielte Schaltung von Stellenanzeigen.
Personalführung: Entscheidungen über Beförderung oder Kündigung, Aufgabenzuweisung nach Verhalten oder persönlichen Merkmalen, Überwachung und Bewertung der Leistung.
Bewertung der Kreditwürdigkeit natürlicher Personen, mit Ausnahme der Aufdeckung von Finanzbetrug.
Für diese Systeme gelten die vollen Anforderungen ab dem 2. Dezember 2027. Ein Arbeitgeber, der ein solches System einsetzt, muss Beschäftigte und ihre Vertreter vorab informieren, und Personen, die von Entscheidungen betroffen sind, müssen vom Einsatz des Systems erfahren. Wenn Sie ein HR Werkzeug mit KI planen, sollten Sie diese Anforderungen schon jetzt berücksichtigen.
Anders sieht es bei der Erkennung von Emotionen der Beschäftigten aus. Art. 5 verbietet KI Systeme, die am Arbeitsplatz und in Bildungseinrichtungen auf Emotionen schließen, außer aus medizinischen oder Sicherheitsgründen. Das Verbot gilt seit dem 2. Februar 2025. Wenn ein Anbieter von Callcenter Software eine Stimmungsanalyse der Mitarbeiter verspricht, sollte das genau geprüft werden.
Geldbußen und Aufsicht in Polen
Das polnische Gesetz vom 3. Juli 2026 über Systeme der künstlichen Intelligenz (Gesetzblatt 2026, Pos. 1003) hat die Kommission für Entwicklung und Sicherheit der Künstlichen Intelligenz, kurz KRiBSI, geschaffen. Sie kann Kontrollen und Verfahren durchführen und Geldbußen verhängen. Beschwerden können natürliche Personen, Unternehmen und andere Organisationen einreichen.
Verstoß gegen Art. 50: bis zu 15 Mio. Euro oder bis zu 3% des gesamten weltweiten Jahresumsatzes.
Verbotene Praktiken nach Art. 5: bis zu 35 Mio. Euro oder bis zu 7% des Umsatzes.
Für große Unternehmen gilt der höhere dieser Werte, für KMU der niedrigere.
Das sind Obergrenzen. Die Behörde berücksichtigt unter anderem die Schwere des Verstoßes, seine Dauer und die wirtschaftliche Lage des Unternehmens.
Für ein KMU mit 20 Mio. PLN Umsatz liegt die Obergrenze bei einem Verstoß gegen Art. 50 zum Beispiel bei 3% des Umsatzes, also 600.000 PLN. Das polnische Gesetz sieht außerdem eine Verwarnung mit Abhilfemaßnahmen vor, über deren Umsetzung das Unternehmen innerhalb von 21 Tagen berichten muss.
Ein nützliches Instrument ist die Einzelfallstellungnahme. Der Antrag kostet 150 PLN, und die KRiBSI hat 30 Tage Zeit für die Antwort, in besonders komplexen Fällen 60 Tage. Bleibt die Antwort innerhalb der Frist aus, gilt die vom Unternehmen dargelegte Position als bestätigt. Wer die Stellungnahme befolgt, bevor sie geändert oder aufgehoben wird, darf dadurch keinen Nachteil erleiden.
Was im Unternehmen zu tun ist: 6 Schritte
Erfassen Sie alle KI Systeme: Chatbots, Agenten, Inhaltsgeneratoren, KI Funktionen in CRM und HR Werkzeugen.
Legen Sie für jedes System die Rolle des Unternehmens fest, Anbieter oder Betreiber, und halten Sie die Aufteilung der Pflichten in den Verträgen mit Dienstleistern fest.
Ergänzen Sie den KI Hinweis zu Beginn von Gesprächen, in Mails von Agenten und bei Sprachanrufen.
Prüfen Sie, dass kein Werkzeug auf Emotionen von Beschäftigten schließt, und markieren Sie Einsätze in Recruiting und Personal als gesondert zu prüfen.
Schulen Sie die Personen, die KI nutzen, und bewahren Sie den Nachweis der Schulung sowie kurze Nutzungsregeln auf.
Überprüfen Sie Auftragsverarbeitungsverträge und die Einhaltung der DSGVO, denn der AI Act ersetzt diese Pflichten nicht.
Häufige Fragen
Gilt der AI Act auch für kleine Unternehmen?
Ja. Eine allgemeine Ausnahme für KMU gibt es nicht. Kleine Unternehmen haben jedoch eine niedrigere Obergrenze bei Geldbußen und sollen verhältnismäßig behandelt werden.
Muss ich angeben, dass ein Mensch die Antworten des Chatbots prüft?
Spricht der Kunde direkt mit dem System, muss auf die KI hingewiesen werden, auch wenn ein Mensch die Antwort prüfen kann. Führt ein Mitarbeiter das Gespräch und schlägt die KI nur Inhalte vor, ist Art. 50 Abs. 1 grundsätzlich nicht anwendbar.
Reicht ein Hinweis in den AGB?
Nein. Die AGB können ergänzen, aber die Information muss in der Interaktion selbst erscheinen, spätestens zu ihrem Beginn.
Betrifft die Frist 2. Dezember 2026 meinen Chatbot?
Nein. Sie betrifft nur die technische Kennzeichnung von Inhalten durch Anbieter von Generatoren, die vor dem 2. August 2026 auf dem Markt waren. Die Hinweispflicht bei Chatbots gilt seit dem 2. August 2026.
Muss ich einen AI Officer benennen?
Der AI Act sieht diese Pflicht für Unternehmen mit typischen Chatbots nicht vor. Jemand sollte dennoch für die Liste der Systeme und die Nutzungsregeln verantwortlich sein, und sei es als Zusatzaufgabe.
Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Grundlage sind die Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung, die Leitlinien der Europäischen Kommission C(2026) 7702 und das polnische Gesetz vom 3. Juli 2026 über Systeme der künstlichen Intelligenz.
