Kundenservice-Chatbot: Risikoklasse und Pflichten im EU-KI-Recht
Ein Kundenservice-Chatbot, der direkt mit Personen kommuniziert, ist nach Art. 50 Abs. 1 AI Act KI mit BEGRENZTEM RISIKO. Er ist nicht verboten, nicht hochriskant, nicht konformitätsprüfungspflichtig — unterliegt aber der Transparenzpflicht: Betroffene müssen erkennen können, dass sie mit einem KI-System interagieren (nicht mit einem Menschen). Diese Pflicht gilt spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026). Keine CE-Kennzeichnung, keine notifizierte Stelle, keine technische Dokumentation nach Anhang IV. Überlagert: DSGVO (Verarbeitung personenbezogener Daten, Auftragsverarbeitung), DSA bei Plattform-Betrieb, allgemeines Konsumentenrecht (keine Irreführung). Eine KI-gestützte Entscheidung mit rechtlicher Wirkung (z. B. automatische Vertragsablehnung) kann zusätzlich Art. 22 DSGVO auslösen.
Steve Baka
Begrenztes Risiko (Art. 50 Abs. 1)
Art. 50 Abs. 1 verpflichtet Anbieter/Betreiber, Personen zu informieren, dass sie mit einem KI-System interagieren — es sei denn, dies ist offenkundig. Das trifft Chatbots, Sprachassistenten, konversationelle KI zu. Die Pflicht ist rein informationell („Sie chatten mit einem KI-Assistenten"), keine Konformitätsbewertung, keine CE-Kennzeichnung, keine technische Dokumentation nach Anhang IV, keine Registrierung. Sanktionen bei Verstoß bis zu 7,5 Mio. EUR / 1 % Umsatz (Art. 99 Abs. 5). Die Pflicht gilt spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026).
Grenze zu Hochrisiko
Ein Chatbot wird HOCHRISKANT, wenn er in einen Anhang III-Kontext eingebettet ist — z. B. als KI-Hotline zur Bonitätsauskunft (Anhang III Nr. 5), als Beratung in Asylverfahren (Nr. 7) oder in der Personalvorauswahl (Nr. 4). Die Funktion entscheidet, nicht die Schnittstelle. Reiner allgemeiner Kundenservice (Produktinfo, Terminbuchung, FAQs) bleibt begrenzt riskant. Eine klare Zweckabgrenzung ist wichtig — ein allgemeiner Chatbot, der faktisch Bonitätsvorabauskünfte erteilt, rutscht in Hochrisiko.
Schnittstellen: DSGVO, DSA, Konsumentenrecht
Üblerlagert wird der Chatbot durch die DSGVO: Verarbeitung personenbezogener Daten erfordert Rechtsgrundlage (Vertrag/Einwilligung/berechtigtes Interesse), Auftragsverarbeitung mit dem KI-Anbieter (Art. 28), Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35), Transparenz nach Art. 13/14. Automatisierte Entscheidungen mit rechtlicher Wirkung: Art. 22 DSGVO (Recht auf menschliche Prüfung). DSA bei Plattform-Betrieb (große Plattformen: Risikobewertung). Konsumentenrecht: keine irreführenden Geschäftspraktiken (Richtlinie 2005/29/EG), Transparenz bei „Chatbot-Verkäufern". Haftungsfragen bei Falschberatung klären.
Quellen
Amtsblatt der Europäischen Union. Verbindlicher Primärtext des EU AI Act (konsolidierte Fassung).
EU AI OfficeEuropäische Kommission. Zentrale EU-Behörde für AI-Act-Durchsetzung, GPAI-Aufsicht und Leitlinien.
Verordnung (EU) 2023/2854 (Data Act) — EUR-LexAmtsblatt der Europäischen Union. Verbindlicher Primärtext des EU Data Act zur Datenweitergabe an verbundenen Produkten.
Datenschutz-Grundverordnung (DSGVO) — EUR-LexAmtsblatt der Europäischen Union. Verbindlicher Primärtext der DSGVO; maßgeblich für KI-Verarbeitung personenbezogener Daten.
AI Act — konsolidierter Lesetext (ai-act-law.eu)Future of Life Institute / Konsortium. Breit genutzte inoffiziell-konsolidierte, artikelgenaue Darstellung des AI Act.
European Data Protection Supervisor (EDPS)EDPS. EU-Datenschutzaufsicht; Stellungnahmen zum AI Act und Schnittstelle KI/Datenschutz.
European Data Protection Board (EDPB)EDPB. Gremium der EU-Datenschutzbehörden mit Leitlinien zur KI-Verarbeitung.
EU AI PactEuropäische Kommission. Freiwillige Frühumsetzung des AI Act; Indikator für Markterwartungen.
Bundesamt für Sicherheit in der Informationstechnik (BSI)BSI. IT-Sicherheitsbehörde Deutschland; relevant für Cybersecurity-Pflichten des AI Act und CRA/NIS2.
Datenschutzkonferenz (DSK)DSK. Zusammenschluss der deutschen Aufsichtsbehörden; Orientierungshilfen auch zu KI.
Der Bundesbeauftragte für Datenschutz (BfDI)BfDI. Bundesweiter Datenschutzbeauftragter Deutschland.
Rat für Künstliche Intelligenz (Österreich)Bundesministerium AT. Beratendes Gremium und Ministerium für KI-Politik in Österreich.
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)EDÖB / FDPIC. Schweizer Datenschutzbehörde; Bezug zu EU-KI-Recht für die Schweiz.
Cyber Resilience Act (VO (EU) 2024/2847) — EUR-LexAmtsblatt der Europäischen Union. Schnittstellen-Rechtsakt zur Cybersicherheit von Produkten mit digitalen Elementen (KI-relevant).
Richtlinie (EU) 2022/2555 (NIS2) — EUR-LexAmtsblatt der Europäischen Union. Schnittstellen-Rechtsakt zu IT-Sicherheitsanforderungen für kritische Sektoren.
Häufige Fragen
Muss ich einen Chatbot kennzeichnen?
Ja. Art. 50 Abs. 1 verlangt, dass Nutzer erkennen, dass sie mit KI interagieren. Ab 2. Aug. 2026. Sanktion bis 7,5 Mio. EUR / 1 % Umsatz.
Brauche ich CE oder notifizierte Stelle?
Nein. Begrenztes Risiko braucht kein Konformitätsverfahren, keine technische Dokumentation, keine Registrierung. Nur Transparenz.
Wann wird der Chatbot hochriskant?
Wenn er in Anhang III-Kontexte eingebettet ist (Bonitätsauskunft, Asylberatung, Personalvorauswahl). Die Funktion entscheidet, nicht die Schnittstelle.
Rechtskonforme Umsetzung für Kundenservice-Chatbot?
Wenn du Kundenservice-Chatbot rechtskonform einführen oder prüfen willst, entwickle ich mit dir die passende Compliance-Strategie — von der Risikoklassifizierung bis zum Nachweis.