KI-gestützte E-Mail-Klassifikation im Kundenservice: Risikoklasse und Pflichten im EU-KI-Recht

E-Mail-Klassifikation im Kundenservice ist minimal riskant. Beispiele: automatische Weiterleitung an Fachabteilung nach Thema, Spam-/Phishing-Filterung, Priorisierung nach Dringlichkeit, Auswertung des Sentiments zur Routing-Verbesserung. Keine Konformitätsbewertung, keine CE, keine AI-Act-Pflicht — die Anwendung gehört zum breiten Kreis der minimal-risk-KI. Der AI Act regelt nur minimale Transparenzpflichten, wenn überhaupt (Art. 50 meist nicht einschlägig, da keine direkte Nutzerinteraktion als KI). Die Grenze zum Hochrisiko entsteht nur bei Einbettung in grundrechtsrelevante Entscheidungen (Kundensperrung, Bonitätsableitung).

Die Grenze zum Hochrisiko wird überschritten, wenn die Klassifikation in grundrechtsrelevante Entscheidungen einfließt: Beschwerde-/Konflikt-Scoring, das Kunden sperrt/einstuft; automatische Bonitätsableitung aus E-Mail-Inhalten; KI-gestützte Versicherungsfälle-Ablehnung; Leistungsversagung auf Basis von Textanalyse. In diesen Fällen greift Anhang III Nr. 5 (wesentliche Dienstleistungen) oder Nr. 4 (Personal), mit dem vollständigen Art. 8–15-Pflichtenbündel spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026). Eine saubere Zweckbindung („nur Klassifikation/Routing, keine Bewertung der Person") und die klare Verhinderung sekundärer Verwendungen (Scoring aus Routing-Daten) schützen vor der Einstufung. Architektonische Trennung von Klassifikation und Bewertung ist ratsam.

Überlagert wird die E-Mail-Klassifikation durch: DSGVO — personenbezogene E-Mail-Inhalte (Absender, Betreff, Inhalt), Auftragsverarbeitung mit KI-Anbieter (Art. 28), Zweckbindung (nur Routing, keine sekundäre Bewertung), Löschkonzept, ggf. DSFA bei großvolumiger Verarbeitung. Telekommunikationsgeheimnis (TKG § 88, § 90) — bei geschäftsmäßiger E-Mail-Verarbeitung, strenge Anforderungen an Inhaltsauswertung. Berufsgeheimnisse — Anwaltsgeheimnis (§ 203 StGB), ärztliche Schweigepflicht, Steuergeheimnis (§ 30 AO); bei Verarbeitung sensibler Inhalte braucht es besondere Schutzvorkehrungen (z. B. Ausschluss von KI-Verarbeitung vertraulicher Anwalts-Kommunikation). Praktisch: transparente Zweckklärung, Zugriffsrechte, Protokollierung der Klassifikation (nicht des Inhalts), Auftragsverarbeitungsvertrag, DSGVO-konforme Datenminimierung.