KI-Bots im Kundenkontakt: Was die Hinweispflicht des AI Act jetzt verlangt

Der Chatbot auf der Website heißt „Lisa“, antwortet in Sekunden und wünscht zum Abschied ein schönes Wochenende. Dass am anderen Ende kein Mensch sitzt, erfährt der Kunde – oft gar nicht. Genau dieses Muster ist seit dem 2. August 2026 ein Rechtsverstoß: Mit diesem Datum gelten die Transparenzpflichten der EU-KI-Verordnung (Art. 50 AI Act). Wer KI-Bots geschäftlich einsetzt, muss die Nutzung offenlegen.

Was der AI Act konkret verlangt

Die Regel selbst ist kurz: Interagiert ein KI-System mit Menschen, müssen diese darüber informiert werden – es sei denn, es ist „aus Sicht einer vernünftigen, informierten Person offensichtlich“. Dazu kommen Kennzeichnungspflichten für KI-generierte Inhalte: Synthetische Audio-, Bild-, Video- und Textinhalte müssen maschinenlesbar als KI-generiert markiert sein, Deepfakes sind offenzulegen, und KI-generierte Texte, die zur Information der Öffentlichkeit veröffentlicht werden, brauchen einen Hinweis, wenn keine redaktionelle Kontrolle stattfindet.

Wichtig ist die Rollenverteilung, die wir im Überblicksartikel zum AI Act beschrieben haben: Die meisten Unternehmen sind Betreiber – sie kaufen eine Bot-Lösung ein und setzen sie ein. Die Pflicht, den Bot so zu gestalten, dass der Hinweis erscheint, liegt formal beim Anbieter. Verlassen sollte man sich darauf nicht: Wer einen Bot unter eigenem Namen und eigener Marke in seine Website integriert, steht gegenüber dem eigenen Kunden in der Verantwortung – und wer die Lösung so stark anpasst, dass er sie faktisch unter eigenem Namen anbietet, kann selbst in die Anbieterrolle rutschen.

Die Ausnahme, die keine ist

In der Praxis wird viel auf die „Offensichtlichkeits“-Ausnahme gehofft: Der Bot heißt doch „Assistent“, das merkt doch jeder. Diese Hoffnung trägt selten. Die Systeme, die heute im Kundenservice laufen, sind gerade darauf optimiert, nicht wie Maschinen zu wirken – sie haben Namen, Foto-Avatare, Smalltalk-Floskeln und Tippanzeigen. Je besser der Bot, desto weniger offensichtlich ist er, und desto klarer greift die Hinweispflicht. Besonders heikel sind zwei Fälle:

• Voicebots am Telefon. Moderne Sprachmodelle sind am Telefon von Menschen kaum zu unterscheiden. Hier gehört der Hinweis an den Gesprächsbeginn – nicht ins Kleingedruckte der Website.
• Hybride Übergaben. Viele Setups beginnen mit dem Bot und reichen an Mitarbeitende weiter. Wenn der Kunde nicht erkennen kann, wann er mit der Maschine und wann mit einem Menschen spricht, ist der einmalige Hinweis am Anfang zu wenig.

Die Hinweispflicht ist das kleinste Problem

Der Hinweis selbst ist schnell eingebaut: „Sie chatten mit einem KI-Assistenten“ im Begrüßungstext, eine Ansage am Telefon, ein dauerhaft sichtbares Label im Chatfenster. Die eigentliche Problematik der Bots im Geschäftsverkehr liegt eine Ebene tiefer – und der AI Act ist dort nicht die einzige Rechtsquelle:

Der Bot spricht für das Unternehmen. Was der Bot zusagt, muss sich das Unternehmen unter Umständen zurechnen lassen. Der bekannteste Fall ist Air Canada: Deren Chatbot erfand eine Erstattungsregel, und ein kanadisches Streitschlichtungstribunal hielt die Airline an der Auskunft fest. Das Argument, der Bot sei „eine eigenständige Einheit“, überzeugte niemanden. Wer einen Bot verbindlich klingende Auskünfte zu Preisen, Fristen oder Verträgen geben lässt, braucht technische Leitplanken – nicht nur einen Disclaimer.

Lauterkeitsrecht und DSGVO laufen parallel. Ein als Mensch getarnter Bot kann eine irreführende geschäftliche Handlung nach UWG sein – abmahnfähig, unabhängig vom AI Act. Und sobald der Bot personenbezogene Daten verarbeitet oder gar Entscheidungen vorbereitet, greifen die DSGVO-Informationspflichten und im Zweifel Art. 22 (automatisierte Einzelentscheidung) zusätzlich.

Die Sanktionen sind real. Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Für den Mittelstand relevanter als die Maximalbeträge: Die Hinweispflicht ist von außen trivial überprüfbar. Jeder Wettbewerber, jede Verbraucherzentrale kann den Chatbot öffnen und nachsehen.

Berechtigte Kritik: Die Pflicht ist da, die Klarheit nicht

So richtig das Ziel ist – an der Umsetzung der Regelung gibt es begründete Kritik, und sie kommt nicht nur von Lobbyisten:

Vage Begriffe ohne Auslegungshilfe. Ob ein Bot „offensichtlich“ als KI erkennbar ist, entscheidet die Perspektive einer „vernünftigen, informierten Person“ – ein Maßstab, mit dem sich trefflich streiten lässt. Verbindliche Leitlinien der EU-Kommission und der angekündigte Verhaltenskodex zur Kennzeichnung ließen auf sich warten, während die Pflicht bereits gilt. Unternehmen sollen also etwas rechtssicher umsetzen, dessen Auslegung noch niemand verbindlich festgelegt hat.

Die Technik hinkt der Pflicht hinterher. Die maschinenlesbare Kennzeichnung generierter Inhalte setzt Standards voraus, die es so flächendeckend nicht gibt. Wasserzeichen-Verfahren sind fragil und je nach Format leicht zu entfernen; ein etabliertes, formatübergreifendes Verfahren fehlt. Eine Pflicht, deren technische Erfüllung ungeklärt ist, erzeugt vor allem eines: Papier.

Aufsicht im Rückstand. Die Durchsetzung liegt bei nationalen Behörden – und deren Aufbau war zum Stichtag vielerorts nicht abgeschlossen, in Deutschland ließ das Durchführungsgesetz auf sich warten. Das Ergebnis ist eine unangenehme Asymmetrie: Der Mittelstand muss liefern, bekommt aber auf konkrete Auslegungsfragen keine verbindliche Antwort.

Die Last verteilt sich ungleich. Große Anbieter haben Rechtsabteilungen, die Ausnahmen finden; getroffen wird vom Compliance-Aufwand vor allem, wer KI schlicht einsetzt. Dazu kommt die Überlappung mit DSGVO und UWG: Dieselbe Frage – muss ich den Bot kennzeichnen? – beantworten drei Rechtsregime mit drei Begrifflichkeiten. Wer es ernst meint, prüft dreifach; wer es nicht ernst meint, wird von der Regelung derzeit kaum behelligt, solange die Aufsicht nicht arbeitsfähig ist.

Nichts davon ist ein Argument, die Pflicht zu ignorieren – die zivilrechtlichen Risiken und das UWG bleiben ja bestehen. Aber es erklärt, warum viele Unternehmen gerade ratlos sind: Die Regelung verlangt Sorgfalt in einem Feld, in dem der Gesetzgeber seine eigenen Hausaufgaben noch nicht abgegeben hat.

Die pragmatische To-do-Liste

1. Inventur: Wo interagiert KI mit Kunden, Bewerbern oder Mitarbeitenden – Website-Chat, Telefon, WhatsApp, E-Mail-Autoresponder? Auch die Fälle zählen, die die Fachabteilung „nur mal testet“.
2. Hinweis einbauen: Klar, am Anfang der Interaktion, im Kanal selbst. Bei Voicebots als Ansage, bei Chatbots dauerhaft sichtbar – nicht nur in der ersten Nachricht, die aus dem Bildschirm scrollt.
3. Übergaben kennzeichnen: Wechsel zwischen Bot und Mensch für den Kunden erkennbar machen.
4. Zusagen begrenzen: Themen mit Rechtsbindung (Preise, Kündigungen, Erstattungen) technisch beschränken oder an Menschen leiten. Der Air-Canada-Fall ist die Blaupause dessen, was sonst passiert.
5. Anbieter in die Pflicht nehmen: Schriftlich bestätigen lassen, wie die Bot-Lösung die Art.-50-Pflichten erfüllt – inklusive der maschinenlesbaren Kennzeichnung generierter Inhalte.
6. Dokumentieren: Wer wann welchen Hinweis eingebaut hat, gehört ins KI-Inventar aus der AI-Act-Grundinventur.

Die Hinweispflicht ist keine Innovationsbremse – sie kostet eine Zeile Begrüßungstext. Wer sie als Anlass nimmt, die eigenen Bots einmal vollständig zu inventarisieren und ihnen klare Grenzen zu setzen, hat nicht nur die Compliance erledigt, sondern auch das Risiko im Griff, das größer ist als jedes Bußgeld: ein Bot, der im Namen des Unternehmens Dinge verspricht, die niemand halten will.

Wie wir dabei unterstützen

Genau an dieser Stelle setzen wir mit unseren Kunden an – nicht mit Rechtsgutachten, sondern mit der technischen und organisatorischen Umsetzung:

• KI-Bestandsaufnahme: Wir gehen mit Ihnen durch, wo in Website, Telefonie und internen Werkzeugen bereits KI mit Menschen interagiert – einschließlich der Schatten-KI, die offiziell gar nicht existiert. Ergebnis ist ein dokumentiertes KI-Inventar, auf dem alle weiteren Pflichten aufsetzen.
• Umsetzung der Hinweise: Kennzeichnung im Chat-Widget, Ansagen in der Telefonie, erkennbare Bot-Mensch-Übergaben – als konkrete Änderung in Ihren Systemen, nicht als Empfehlung auf einer Folie.
• Technische Leitplanken für Bots: Themenbegrenzung, Eskalation an Menschen bei verbindlichen Auskünften, Protokollierung der Bot-Antworten. Das ist der Teil, der vor dem Air-Canada-Szenario schützt – und den kein Hinweistext ersetzt.
• Schulung und Richtlinie: Die KI-Kompetenz-Pflicht aus Art. 4 gilt schon seit Februar 2025. Wir führen die dokumentierte Schulung durch und erstellen mit Ihnen eine KI-Nutzungsrichtlinie, die zum tatsächlichen Einsatz passt.

Wenn Sie wissen wollen, wo Ihr Unternehmen steht: Ein Erstgespräch mit Blick auf Ihre konkreten Bots dauert eine Stunde – sprechen Sie uns an.

Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.