# AI Act und DSGVO: Worauf ist bei einem Firmen-Chatbot zu achten?

Die Mesterséges Intelligencia Központ Kft. ist ein Softwareentwicklungsunternehmen in Budapest. Für einen Firmen-Chatbot sind zwei Regeln am wichtigsten: Nach dem AI Act muss er offenlegen, dass eine KI antwortet, und nach der DSGVO müssen personenbezogene Daten rechtmäßig verarbeitet werden.

> **Das Wichtigste:** Artikel 50 Absatz 1 des AI Act gilt seit dem 2. August 2026: Ein Chatbot muss spätestens bei der ersten Interaktion klar darauf hinweisen, dass der Benutzer mit künstlicher Intelligenz spricht, es sei denn, dies ist offensichtlich. Ein typischer Kundenservice-Chatbot ist kein Hochrisiko-KI-System, verarbeitet er aber personenbezogene Daten, gelten für ihn auch die Regeln der DSGVO, unter anderem zur Rechtsgrundlage, zur Information der Benutzer, zur Datenminimierung und zum Auftragsverarbeitungsvertrag mit dem KI-Anbieter. Dies ist eine Information, keine Rechtsberatung (geprüft am 17. Oktober 2026).

## Um welche zwei Rechtsakte geht es?

Der AI Act ist die Verordnung der Europäischen Union über künstliche Intelligenz, amtlich die [Verordnung (EU) 2024/1689](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689). Als Verordnung gilt er in jedem Mitgliedstaat unmittelbar. Der amtliche ungarische Text nennt ein KI-System „MI-rendszer“; in diesem Artikel verwenden wir die gebräuchliche Bezeichnung „KI“.

Artikel 3 der Verordnung unterscheidet zwei Rollen. **Anbieter** ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter dem eigenen Namen oder der eigenen Handelsmarke in Verkehr bringt oder in Betrieb nimmt. **Betreiber** ist, wer ein KI-System in eigener Verantwortung verwendet, es sei denn, die Verwendung erfolgt im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Lässt ein Unternehmen einen Chatbot entwickeln und betreibt es ihn unter dem eigenen Namen auf seiner Website, können beide Begriffe zutreffen; die Pflichten sollte man deshalb nicht allein dem Entwickler überlassen.

Die DSGVO, also die Datenschutz-Grundverordnung, amtlich die [Verordnung (EU) 2016/679](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), gilt für jede Verarbeitung personenbezogener Daten, auch für die durch einen Chatbot. Artikel 2 Absatz 7 des AI Act stellt klar, dass die Verordnung die DSGVO (von einigen engen Ausnahmen abgesehen, die Chatbots in der Regel nicht betreffen) unberührt lässt: Die beiden Regelwerke gelten nebeneinander, keines ersetzt das andere.

## Was schreibt Artikel 50 des AI Act vor?

Artikel 50 legt Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme fest. Einen Firmen-Chatbot betrifft vor allem Absatz 1, die übrigen Absätze sollte man aber ebenfalls kennen, denn ein Assistent, der auch Bilder, Ton oder veröffentlichte Texte erzeugt, kann unter sie fallen.

| Absatz | Wen er verpflichtet | Was er vorschreibt | Wann er einen Chatbot betrifft |
|---|---|---|---|
| (1) | den Anbieter | bei Systemen, die direkt mit Menschen interagieren, müssen die betroffenen Personen erfahren, dass sie mit einem KI-System interagieren, es sei denn, dies ist offensichtlich | fast immer: Das ist der Grundfall eines Chatbots |
| (2) | den Anbieter eines Systems, das synthetische Text-, Bild-, Audio- oder Videoinhalte erzeugt | die Ausgaben müssen in einem maschinenlesbaren Format gekennzeichnet werden, damit sie als künstlich erzeugt erkennbar sind | wenn das System Inhalte erzeugt; die Einzelheiten präzisieren die Leitlinien und der Praxisleitfaden der Kommission |
| (3) | den Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung | die betroffenen Personen müssen über den Betrieb des Systems informiert werden | wenn das System aus biometrischen Daten auf Emotionen oder Absichten schließt |
| (4), Unterabsatz 1 | den Betreiber eines Systems, das Deepfakes erzeugt | es muss offengelegt werden, dass die Bild-, Ton- oder Videoinhalte künstlich erzeugt wurden | wenn der Bot Bilder, Ton oder Videos erzeugt, die einer realen Person täuschend ähneln |
| (4), Unterabsatz 2 | den Betreiber eines Systems, das Text erzeugt, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren | es muss offengelegt werden, dass der Text künstlich erzeugt wurde, es sei denn, ein Mensch hat ihn überprüft und jemand trägt die redaktionelle Verantwortung dafür | selten: Eine einzelne Chatbot-Antwort ist in der Regel kein solcher veröffentlichter Text |
| (5) | beide | die Information erfolgt klar und eindeutig, spätestens bei der ersten Interaktion, und entspricht den Barrierefreiheitsanforderungen | immer, zusammen mit dem Hinweis nach Absatz 1 |

### Was bedeutet Absatz 1 in der Praxis?

Der Hinweis muss zu Beginn des Gesprächs erscheinen, an einer für den Benutzer sichtbaren Stelle, nicht tief in den allgemeinen Geschäftsbedingungen. Eine zweckmäßige Lösung ist, dass sowohl die Kopfzeile des Chatfensters als auch die erste Nachricht des Bots sagen: „Ein KI-Assistent antwortet.“ Hat der Bot einen eigenen Namen oder einen Avatar, ist das besonders wichtig, denn ein menschlicher Name legt leicht nahe, dass eine Mitarbeiterin oder ein Mitarbeiter schreibt.

Die Ausnahme „offensichtlich“ ist eng. Nach dem Wortlaut der Verordnung ist sie aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person zu beurteilen, unter Berücksichtigung der Umstände und des Kontexts der Nutzung. Nach den Fragen und Antworten der Europäischen Kommission ist die Ausnahme eng auszulegen, weil sie den Menschen die Transparenz vorenthält; Chatbots, KI-Agenten und Avatare nennt die Kommission ausdrücklich als Beispiele für Systeme, die direkt mit Menschen interagieren. In einem Kundenservice-Chat ist es deshalb zweckmäßig, immer darauf hinzuweisen, dass eine KI antwortet.

## Ab wann gelten die Regeln?

Der AI Act ist am 1. August 2024 in Kraft getreten, und seine Bestimmungen wurden schrittweise anwendbar (Artikel 113). Am 19. November 2025 schlug die Kommission eine Vereinfachung der Verordnung vor; daraus wurde die am 8. Juli 2026 angenommene [Verordnung (EU) 2026/1744](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32026R1744), deren deutscher Kurztitel „Digital-Omnibus-Verordnung zur KI“ lautet. Sie wurde am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Den Geltungsbeginn von Artikel 50 Absatz 1 hat sie nicht verschoben, mehrere andere Termine aber geändert (geprüft am 17. Oktober 2026):

| Regel | Gilt | Wo festgelegt |
|---|---|---|
| Verbotene Praktiken im KI-Bereich und KI-Kompetenz (Kapitel I und II) | ab dem 2. Februar 2025; die zwei neuen Verbote der Änderung ab dem 2. Dezember 2026 | AI Act, Artikel 113 Buchstabe a |
| Der neue, mildere Wortlaut der KI-Kompetenz (Artikel 4) | ab dem 27. Juli 2026 | Inkrafttreten der Verordnung (EU) 2026/1744 |
| Transparenzpflichten, darunter Artikel 50 Absatz 1 | ab dem 2. August 2026 | AI Act, Artikel 113, allgemeiner Geltungsbeginn |
| Maschinenlesbare Kennzeichnung (Artikel 50 Absatz 2) bei generativen Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden | Einhaltung bis zum 2. Dezember 2026 | AI Act, Artikel 111 Absatz 4, durch die Änderung eingefügt |
| Hochrisiko-KI-Systeme nach Anhang III | ab dem 2. Dezember 2027 | AI Act, Artikel 113 Buchstabe c, geänderte Fassung |
| In Produkte eingebaute Hochrisiko-KI-Systeme (Anhang I) | ab dem 2. August 2028 | AI Act, Artikel 113 Buchstabe c, geänderte Fassung |

Die AI-Act-Seite der Kommission und ihre Fragen und Antworten zu Artikel 50 nennen dieselben wichtigsten Termine. Erscheint künftig eine weitere Änderung, lohnt es sich, sie auf EUR-Lex auf der Seite der Verordnung zu prüfen.

## KI-Kompetenz: Was muss das Team wissen?

Der ursprüngliche Wortlaut von Artikel 4 verpflichtete die Anbieter und Betreiber, nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Seit der Änderung durch die Verordnung 2026/1744 besteht die Pflicht darin, mit Maßnahmen die Entwicklung der KI-Kompetenz ihres Personals und der in ihrem Auftrag handelnden Personen zu fördern; der Text stellt klar, dass dies nicht dazu verpflichtet, ein bestimmtes Kompetenzniveau zu gewährleisten. Die Kommission und die Mitgliedstaaten haben die Aufgabe, dabei insbesondere kleine und mittlere Unternehmen zu unterstützen.

Für ein Unternehmen, das einen Chatbot betreibt, bedeutet das in der Praxis eine kurze, auf die jeweilige Rolle zugeschnittene Schulung: was der Bot kann und was nicht, wie man eine falsche Antwort erkennt, wann und wie man das Gespräch übernimmt und welche Daten nicht in ein KI-Werkzeug eingegeben werden dürfen. Es lohnt sich, das zu dokumentieren.

## Ist ein Kundenservice-Chatbot hochriskant?

Die Verordnung nennt diese Kategorie „Hochrisiko-KI-System“. Artikel 6 ordnet ein System auf zwei Wegen hier ein: wenn es ein Sicherheitsbauteil eines Produkts ist, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt (oder selbst ein solches Produkt ist), und das Produkt einer Konformitätsbewertung durch Dritte unterzogen werden muss; oder wenn seine Verwendung in einen der in Anhang III genannten Bereiche fällt. Die Bereiche des Anhangs III sind Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung, Zugang zu grundlegenden privaten und öffentlichen Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse.

Ein Chatbot, der Fragen zu Produkten, Lieferung, Öffnungszeiten oder Bestellstatus beantwortet, fällt in keinen dieser Bereiche und ist deshalb nicht hochriskant; für ihn gelten die Transparenzregeln des Artikels 50. Dieselbe Technologie kann je nach Zweckbestimmung jedoch hochriskant werden, zum Beispiel wenn sie:

- Bewerbungen filtert oder Bewerber bewertet (Anhang III Nummer 4 Buchstabe a);
- die Kreditwürdigkeit natürlicher Personen prüft oder ihre Kreditpunktzahl festlegt (Nummer 5 Buchstabe b);
- bei Lebens- oder Krankenversicherungen das Risiko natürlicher Personen bewertet oder die Preise festlegt (Nummer 5 Buchstabe c);
- im Namen einer Behörde den Anspruch auf öffentliche Unterstützungsleistungen oder Dienste beurteilt (Nummer 5 Buchstabe a).

Nach Artikel 6 Absatz 3 gilt ein in Anhang III genanntes System ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko birgt, etwa weil es eine eng gefasste Verfahrensaufgabe erfüllt oder eine menschliche Entscheidung nur vorbereitet. Nimmt es jedoch ein Profiling natürlicher Personen vor, gilt es immer als hochriskant. Wer sich auf diese Ausnahme beruft, muss seine Bewertung dokumentieren. Die ausführlichen Anforderungen an Hochrisiko-KI-Systeme gelten in den Fällen nach Anhang III ab dem 2. Dezember 2027. Rückt ein Chatbot in die Nähe solcher Entscheidungen, sollte die Einstufung noch vor der Entwicklung mit einem Juristen geklärt werden.

## Was verlangt die DSGVO von einem Chatbot?

Ein Chatbot-Gespräch enthält oft personenbezogene Daten: einen Namen, eine E-Mail-Adresse, eine Bestellnummer, die Beschreibung einer Beschwerde. Das Unternehmen, das den Chatbot im eigenen Kundenservice einsetzt, ist dann in der Regel Verantwortlicher, der Anbieter des Sprachmodells in der Regel Auftragsverarbeiter. Am 19. November 2025 schlug die Kommission auch eine Änderung der DSGVO vor ([COM(2025) 837](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52025PC0837)), bislang ist jedoch kein Rechtsakt zur Änderung der DSGVO im Amtsblatt erschienen (geprüft am 17. Oktober 2026): Die folgenden Ausführungen beruhen auf dem geltenden Text.

### Rechtsgrundlage (Artikel 6)

Jeder Verarbeitungszweck braucht eine Rechtsgrundlage aus Artikel 6 Absatz 1. Bei Chatbots sind die häufigsten die Erfüllung eines Vertrags (zum Beispiel eine Antwort zum Status einer Bestellung), das berechtigte Interesse (mit Interessenabwägung) und die Einwilligung (zum Beispiel bei der Anmeldung zu einem Newsletter). Sollen die Gespräche später auch für einen anderen Zweck genutzt werden, etwa für Analysen oder die Weiterentwicklung, muss das gesondert geprüft werden, denn für eine Weiterverarbeitung, die mit dem ursprünglichen Zweck nicht vereinbar ist, genügt die ursprüngliche Rechtsgrundlage nicht (Artikel 6 Absatz 4).

### Informationspflicht (Artikel 13)

Bei der Erhebung der Daten ist die betroffene Person unter anderem zu informieren über die Identität des Verantwortlichen, die Zwecke und die Rechtsgrundlage, die Empfänger, eine etwaige Übermittlung in ein Drittland, die Speicherdauer, ihre Rechte und darüber, dass sie sich bei einer Aufsichtsbehörde beschweren kann; in Ungarn ist das die Nationale Behörde für Datenschutz und Informationsfreiheit (NAIH). Der Hinweis „Eine KI antwortet“ nach dem AI Act ersetzt das nicht: Im Chatfenster müssen auch die Datenschutzhinweise erreichbar sein.

### Datenminimierung und Speicherbegrenzung (Artikel 5)

Nach Artikel 5 dürfen nur die für den Zweck erforderlichen Daten verarbeitet werden, und nur so lange, wie der Zweck es erfordert. Bei einem Chatbot bedeutet das drei konkrete Entscheidungen: Der Bot sollte nicht mehr Daten abfragen, als für die Antwort nötig sind; zum Modell sollten nur die für die Aufgabe nötigen Daten gelangen, wo möglich maskiert oder pseudonymisiert; und die Gesprächsprotokolle brauchen eine Speicherdauer und eine Löschregel. Auch die Sicherheit der Daten (Berechtigungsverwaltung, Verschlüsselung, Protokollierung) gehört zu diesem Artikel.

### Auftragsverarbeitungsvertrag mit dem KI-Anbieter (Artikel 28)

Verarbeitet der Anbieter des Sprachmodells personenbezogene Daten im Auftrag des Unternehmens, ist mit ihm ein schriftlicher Auftragsverarbeitungsvertrag nötig. Nach Artikel 28 Absatz 3 muss darin unter anderem festgelegt sein, dass der Auftragsverarbeiter die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet, für Vertraulichkeit und Sicherheit sorgt, weitere Auftragsverarbeiter nur mit Genehmigung in Anspruch nimmt, bei der Bearbeitung der Anträge betroffener Personen hilft, die Daten nach dem Ende der Leistung löscht oder zurückgibt und Überprüfungen ermöglicht. In der Praxis muss man deshalb die geschäftlichen (API-)Bedingungen des Anbieters und seinen Zusatz zur Auftragsverarbeitung prüfen, nicht die Bedingungen der Chat-App für Verbraucher: wo die Daten gespeichert werden, wie lange und ob sie für das Training von Modellen verwendet werden.

### Übermittlung in Länder außerhalb der EU (Kapitel V)

Werden die Daten in einem Land außerhalb der EU, einem sogenannten Drittland, verarbeitet, braucht es dafür eine Grundlage nach Kapitel V der DSGVO: einen Angemessenheitsbeschluss (Artikel 45) oder geeignete Garantien, etwa Standarddatenschutzklauseln (Artikel 46). Für die Vereinigten Staaten ist der [Durchführungsbeschluss (EU) 2023/1795](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795) der Kommission zum Datenschutzrahmen EU-USA ein Angemessenheitsbeschluss, allerdings nur für die US-Organisationen, die in der Datenschutzrahmen-Liste eingetragen sind. Der Beschluss ist in Kraft; die Klage auf seine Nichtigerklärung hat das [Gericht der EU am 3. September 2025 abgewiesen](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62023TJ0553), und gegen das Urteil ist ein [Rechtsmittel beim Gerichtshof anhängig (C-703/25 P)](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62025CN0703) (geprüft am 17. Oktober 2026). Deshalb lohnt es sich auch zu prüfen, ob der Anbieter eine Speicherung oder Verarbeitung in der EU anbietet.

### Datenschutz-Folgenabschätzung (Artikel 35)

Eine Folgenabschätzung ist nötig, wenn die Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte der betroffenen Personen zur Folge hat. Artikel 35 Absatz 3 schreibt sie in einigen Fällen ausdrücklich vor, und die NAIH hat ihre eigene [Liste zur Folgenabschätzung](https://naih.hu/hatasvizsgalati-lista) veröffentlicht, auf der unter anderem das Profiling, automatisierte Entscheidungen mit Rechtswirkung, die Verwendung von Daten von Kindern für Profiling oder Marketing und die Zusammenführung von Daten aus verschiedenen Quellen stehen. Bei einem einfachen Bot, der Produktfragen beantwortet, ist sie selten nötig; führt der Bot dagegen Kundendaten aus dem CRM zusammen, erstellt er Profile oder verarbeitet er Gesundheitsdaten in großem Umfang, ist sie wahrscheinlich nötig. Die Abwägung sollte auch dann schriftlich festgehalten werden, wenn ihr Ergebnis „nicht nötig“ lautet.

### Automatisierte Entscheidung (Artikel 22)

Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Würde ein Chatbot zum Beispiel selbst eine Reklamation, eine Rückerstattung oder einen Antrag ablehnen, spielt auch diese Regel eine Rolle: Ist eine solche Entscheidung für die Erfüllung eines Vertrags erforderlich oder beruht sie auf einer ausdrücklichen Einwilligung, müssen dennoch mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gewährleistet sein. Am einfachsten ist es, wenn der Bot eine solche Entscheidung nur vorbereitet und eine Mitarbeiterin oder ein Mitarbeiter sie trifft.

## Praktische Checkliste

| Aufgabe | Warum | Rechtsquelle |
|---|---|---|
| In der ersten Nachricht und im Chatfenster angeben, dass eine KI antwortet | Transparenz | AI Act, Art. 50 Abs. 1 und 5 |
| Klären, wer Anbieter, Betreiber, Verantwortlicher und Auftragsverarbeiter ist | Aufteilung der Verantwortung | AI Act, Art. 3; DSGVO, Art. 28 |
| Die Zweckbestimmung des Bots und seine Risikoeinstufung festhalten | Ausschluss oder Beherrschung des hohen Risikos | AI Act, Art. 6, Anhang III |
| Die Rechtsgrundlage für jeden Zweck festlegen | rechtmäßige Verarbeitung | DSGVO, Art. 6 |
| Die Datenschutzhinweise im Chatfenster zugänglich machen | Informationspflicht | DSGVO, Art. 13 |
| Nur die nötigen Daten abfragen und an das Modell weitergeben | Datenminimierung | DSGVO, Art. 5 Abs. 1 Buchst. c |
| Eine Speicherdauer für die Gesprächsprotokolle festlegen | Speicherbegrenzung | DSGVO, Art. 5 Abs. 1 Buchst. e |
| Einen Auftragsverarbeitungsvertrag mit dem KI-Anbieter schließen | Einsatz eines Auftragsverarbeiters | DSGVO, Art. 28 |
| Die Grundlage für Übermittlungen außerhalb der EU prüfen | Übermittlung in Drittländer | DSGVO, Kapitel V |
| Die Notwendigkeit einer Folgenabschätzung abwägen und dokumentieren | Verarbeitung mit hohem Risiko | DSGVO, Art. 35; NAIH-Liste |
| Bei Entscheidungen mit erheblicher Wirkung einen Menschen einbeziehen, auf Wunsch an Mitarbeitende übergeben | automatisierte Entscheidung | DSGVO, Art. 22 |
| Die Mitarbeitenden schulen, die den Bot betreuen | KI-Kompetenz | AI Act, Art. 4 |

## Häufige Fehler

- **Versteckter Hinweis:** „Eine KI antwortet“ steht nur in den Nutzungsbedingungen, nicht im Gespräch.
- **Menschliche Persona ohne Hinweis:** Der Bot erhält einen menschlichen Namen und ein Foto, und nichts deutet darauf hin, dass er eine Maschine ist.
- **Vollständige Kundenakte im Prompt:** Das Modell erhält den gesamten Kundendatensatz aus dem CRM, obwohl für die Antwort zwei Felder genügen würden.
- **Verbraucher-Tool mit Firmendaten:** Mitarbeitende kopieren Kundendaten in eine kostenlose Chat-App, ohne Auftragsverarbeitungsvertrag.
- **Für immer aufbewahrte Protokolle:** Die Gespräche sammeln sich ohne Löschregel an.
- **Maschinelle Entscheidung ohne menschliche Kontrolle:** Der Bot lehnt erhebliche Anliegen selbst ab, und niemand überprüft das.

## Häufige Fragen

### Müssen wir angeben, dass eine KI antwortet?

In der Regel ja. Nach Artikel 50 Absatz 1 des AI Act muss ein KI-System, das direkt mit Menschen interagiert, so konzipiert sein, dass die betroffenen Personen wissen, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten Person offensichtlich. Nach Absatz 5 muss dies spätestens bei der ersten Interaktion klar und eindeutig mitgeteilt werden. In einem Kundenservice-Chat ist es deshalb am sichersten, schon in der ersten Nachricht darauf hinzuweisen.

### Ab wann ist das Pflicht?

Artikel 50 gilt seit dem 2. August 2026; daran hat die Änderungsverordnung (EU) 2026/1744 nichts geändert. Für die maschinenlesbare Kennzeichnung der Ausgaben generativer Systeme (Artikel 50 Absatz 2) müssen sich die Anbieter von Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, bis zum 2. Dezember 2026 vorbereiten. Artikel 4 über die KI-Kompetenz gilt seit dem 2. Februar 2025, seit dem 27. Juli 2026 in milderer Fassung.

### Gilt ein Kundenservice-Chatbot als hochriskant?

In der Regel nicht. Ein Chatbot, der über Produkte, Bestellungen oder Dienstleistungen informiert, fällt nicht in die Bereiche des Anhangs III des AI Act; für ihn gelten deshalb die Transparenzregeln. Hochriskant kann er aber sein, wenn er zum Beispiel Bewerber vorauswählt, die Kreditwürdigkeit prüft oder Risiken in der Lebens- und Krankenversicherung bepreist.

### Dürfen wir personenbezogene Daten an einen KI-Anbieter weitergeben?

Ja, wenn es für die Verarbeitung eine Rechtsgrundlage gibt, die betroffenen Personen darüber informiert werden, mit dem Anbieter ein Auftragsverarbeitungsvertrag besteht (Artikel 28 DSGVO) und, falls die Daten die EU verlassen, auch die Übermittlung eine Grundlage hat (Kapitel V). Es lohnt sich, nur so viele Daten weiterzugeben, wie die Aufgabe erfordert, und zu prüfen, ob der Anbieter die Daten für das Training von Modellen verwendet.

### Brauchen wir eine Datenschutz-Folgenabschätzung?

Dann, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der betroffenen Personen zur Folge hat (Artikel 35 DSGVO). Bei einem einfachen Informations-Bot selten; wahrscheinlich bei Profiling, bei automatisierten Entscheidungen mit Rechtswirkung, beim Profiling von Daten von Kindern, bei der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder bei der Zusammenführung von Daten aus mehreren Quellen. Diese Fälle nennt auch die Liste der NAIH zur Folgenabschätzung. Die Entscheidung sollte in beiden Fällen schriftlich festgehalten werden.

## Wie können wir helfen?

Wir entwickeln [KI-Chatbots und KI-Agenten](https://www.mestersegesintelligenciakozpont.hu/de/leistungen/ki-chatbots-und-agenten), und ein von uns entwickelter Chatbot weist schon in seiner ersten Nachricht darauf hin, dass ein KI-Assistent antwortet. Bei der Anbindung von Sprachmodellen, über die wir auf der Seite [KI-Integration](https://www.mestersegesintelligenciakozpont.hu/de/leistungen/ki-integration) schreiben, achten wir darauf, dass nur die für die Aufgabe nötigen Daten zum Modell gelangen, prüfen die Datenverarbeitungsbedingungen des Anbieters und sorgen dafür, dass das Modell nur sieht, was auch der fragende Benutzer sehen darf, und dass sich die Gespräche nachverfolgen lassen. Über die technischen Einzelheiten lesen Sie in den Artikeln [Chatbot oder KI-Agent?](https://www.mestersegesintelligenciakozpont.hu/de/wissensdatenbank/chatbot-oder-ki-agent) und [KI mit den eigenen Dokumenten des Unternehmens (RAG)](https://www.mestersegesintelligenciakozpont.hu/de/wissensdatenbank/ki-mit-eigenen-firmendokumenten-rag).

Dieser Artikel ist eine Information, keine Rechtsberatung: Ob eine konkrete Datenverarbeitung rechtskonform ist, sollte man auch einen Juristen oder einen Datenschutzbeauftragten fragen. Das Erstgespräch ist kostenlos; wenn Sie einen Chatbot planen, schreiben Sie uns über die Kontaktdaten auf der Seite [Kontakt](https://www.mestersegesintelligenciakozpont.hu/de/kontakt).

## Quellen

- [EUR-Lex: Verordnung (EU) 2024/1689 (Verordnung über künstliche Intelligenz, AI Act)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)
- [EUR-Lex: Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32026R1744)
- [EUR-Lex: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679)
- [EUR-Lex: COM(2025) 837, der Vorschlag zum Digital-Omnibus](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52025PC0837)
- [EUR-Lex: Durchführungsbeschluss (EU) 2023/1795 der Kommission (Datenschutzrahmen EU-USA)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795)
- [EUR-Lex: Urteil des Gerichts in der Rechtssache T-553/23 (Latombe/Kommission)](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62023TJ0553)
- [EUR-Lex: Rechtsmittel in der Rechtssache C-703/25 P](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62025CN0703)
- [Europäische Kommission: AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)
- [Europäische Kommission: Transparency obligations under Article 50 of the AI Act (questions and answers)](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act)
- [NAIH: Liste zur Datenschutz-Folgenabschätzung (auf Ungarisch)](https://naih.hu/hatasvizsgalati-lista)