EU AI Act: Art. 50 gilt seit 02.08.2026.

Was ist der EU AI Act und warum betrifft er KMU?

Der EU AI Act, amtlich Verordnung (EU) 2024/1689 über künstliche Intelligenz, ist am 01. August 2024 in Kraft getreten und gilt in Stufen. Er ordnet KI-Systeme nach Risiko: Bestimmte Praktiken sind verboten, Hochrisiko-Systeme etwa in Personalauswahl oder Kreditvergabe brauchen Konformitätsbewertungen, für KI im Kundenkontakt gelten Transparenzpflichten. Die Verordnung unterscheidet zwei Rollen. Der Anbieter entwickelt ein KI-System und bringt es auf den Markt. Der Betreiber, englisch Deployer, setzt es in seinem Unternehmen ein. Wer einen KI-Telefonassistenten oder einen Chat-Agenten nutzt, ist Betreiber. Den Hinweis, dass eine KI spricht oder schreibt, schuldet nach Art. 50 Abs. 1 der Anbieter. Der Betreiber sorgt nach Art. 4 für die KI-Kompetenz seiner Beschäftigten und hat eigene Pflichten in Sonderfällen, etwa bei Deepfakes oder bei KI-Texten, die er zu Themen von öffentlichem Interesse veröffentlicht (Art. 50 Abs. 4). Die Verordnung gilt auch für Anbieter aus Drittländern, die ihre KI-Systeme in der EU anbieten. Wer ein Tool eines US-Anbieters nutzt, sollte deshalb prüfen, ob der KI-Hinweis dort tatsächlich umgesetzt ist.

Die 4 wichtigsten Pflichten für DACH-KMU 2026

Erstens, Art. 4 (KI-Kompetenz), seit 02. Februar 2025. Wer KI im Unternehmen einsetzt, fördert die KI-Kompetenz der Beschäftigten, die damit arbeiten. Eine bestimmte Form oder ein Zertifikat schreibt die Verordnung nicht vor, eine kurze interne Beschreibung hilft aber: wie die KI eingesetzt wird, was sie nicht darf, wann sie an Menschen übergibt. Zweitens, Art. 50 (Transparenz), seit 02. August 2026. Wer mit einem KI-System spricht oder schreibt, muss das spätestens beim ersten Kontakt klar erfahren. Am Telefon heißt das: Die Begrüßung legt offen, dass eine KI spricht. Im Chat ein sichtbarer Hinweis, in E-Mails ein Hinweis im Text. Diese Pflicht trifft nach Art. 50 Abs. 1 den Anbieter. Drittens, Art. 28 DSGVO (Auftragsverarbeitung). Wer einen Dienstleister personenbezogene Daten verarbeiten lässt, braucht einen Auftragsverarbeitungs-Vertrag. Viertens, Art. 22 DSGVO (automatisierte Entscheidungen). Entscheidungen mit rechtlicher Wirkung dürfen nicht allein automatisiert fallen. Für einen KI-Agenten im Kundenservice heißt das: Bei Beschwerden, Reklamationen oder Kündigungen übergibt er an einen Menschen.

• Art. 4 KI-Kompetenz: Beschäftigte, die mit KI arbeiten, befähigen (seit 02.02.2025)
• Art. 50 Transparenz: KI-Hinweis spätestens beim ersten Kontakt (seit 02.08.2026)
• Art. 28 DSGVO: Auftragsverarbeitungs-Vertrag mit dem KI-Anbieter
• Art. 22 DSGVO: Übergabe an Menschen bei Entscheidungen mit rechtlicher Wirkung

Bußgelder im EU AI Act: die Höhe im Überblick

Art. 99 der KI-Verordnung sieht drei Stufen vor. Verstöße gegen verbotene Praktiken nach Art. 5 können mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, bei großen Unternehmen gilt der höhere Betrag. Verstöße gegen die meisten anderen Pflichten, darunter Art. 50, kosten bis zu 15 Mio. Euro oder 3 Prozent. Falsche oder irreführende Angaben gegenüber Behörden bis zu 7,5 Mio. Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge. Der Digital-Omnibus hat das mit Art. 99 Abs. 6a auf kleine Midcaps ausgeweitet, dort allerdings nicht für verbotene Praktiken. Außerdem sollen die Mitgliedstaaten die wirtschaftliche Lage von KMU berücksichtigen und können auch Verwarnungen statt Geldbußen aussprechen.

EU AI Act vs. DSGVO, wo die Pflichten überlappen und wo nicht

Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden. Die KI-Verordnung regelt, unter welchen Bedingungen KI-Systeme eingesetzt werden, auch wenn keine personenbezogenen Daten im Spiel sind. Bei einem KI-Agenten im Kundenservice gelten beide gleichzeitig. Aus der DSGVO kommen Auftragsverarbeitung, Datenschutzhinweise nach Art. 13 und die Frage, wo die Daten verarbeitet werden. Aus der KI-Verordnung kommen der KI-Hinweis nach Art. 50 und die KI-Kompetenz nach Art. 4. Ein Anbieter, der die DSGVO sauber umsetzt, hat damit den KI-Hinweis noch nicht erledigt, und umgekehrt. Bei rinqo greift beides ineinander: Hosting bei Hetzner in Deutschland, Auftragsverarbeitungs-Vertrag, KI-Hinweis in jedem Kanal, Vorlagen für die Einsatzbeschreibung. Bei Anbietern mit Sitz oder Hosting in den USA kommt die Frage nach Datenübermittlungen in Drittländer hinzu, die seit dem Schrems-II-Urteil des EuGH besonders geprüft werden muss.

Wie rinqo den EU AI Act umsetzt, konkret und überprüfbar

Erstens, der KI-Hinweis nach Art. 50. Im Chat steht dauerhaft sichtbar, dass ein KI-Agent antwortet, zusätzlich vor der Begrüßung. In E-Mails steht ein Hinweis, dass die Nachricht mit einem automatischen Assistenten erstellt wurde; beides lässt sich nicht abschalten. Am Telefon enthält die Standard-Begrüßung den Hinweis auf die KI. Den Wortlaut passt du an, der Hinweis sollte dabei bleiben. Zweitens, Art. 4: Vorlagen für eine kurze Einsatzbeschreibung, die du an deine Konfiguration anpasst. Drittens, Art. 28 DSGVO: Der Auftragsverarbeitungs-Vertrag liegt beim Vertragsabschluss vor. Viertens, Art. 13 DSGVO: Die Standard-Begrüßung am Telefon enthält die Datenschutzhinweise. Fünftens, Hosting und Verarbeitung: Hetzner in Falkenstein und Nürnberg, Sprachmodelle mit vertraglich garantierter Verarbeitung in der EU, kein Training auf Kundendaten. Die vollständige Liste der Unterauftragsverarbeiter steht im Kundenkonto.

KI-Verordnung einfach erklärt

Die KI-Verordnung (EU) 2024/1689 ist das europäische KI-Gesetz. Wer nach „KI-Verordnung“, „EU-KI-Verordnung“, „KI-Gesetz“ oder „AI Act“ sucht, meint dasselbe Gesetz. Sie ordnet KI-Systeme nach Risiko: Verbotene Praktiken sind untersagt, Hochrisiko-Systeme brauchen umfassende Nachweise, KI im Kundenkontakt unterliegt Transparenzpflichten. Für die meisten KMU sind zwei Artikel relevant. Art. 4 verlangt seit dem 02.02.2025, dass Unternehmen die KI-Kompetenz der Beschäftigten fördern, die mit KI arbeiten. Hilfreich, aber nicht vorgeschrieben ist eine kurze Beschreibung: Wer setzt KI wofür ein, wo liegen die Grenzen, wann übernimmt ein Mensch. Art. 50 verlangt seit dem 02.08.2026, dass Menschen erfahren, wenn sie mit einer KI sprechen. Diese Pflicht liegt beim Anbieter des KI-Systems. Wer KI nur einsetzt, heißt in der Verordnung „Betreiber“ und ist vor allem für die KI-Kompetenz im eigenen Team zuständig. Ein KI-Telefonassistent, ein Chat-Widget oder ein E-Mail-Agent fallen darunter. Bei rinqo kennzeichnen sich Telefon-, Chat- und E-Mail-Agent standardmäßig als KI. Im Chat und in E-Mails lässt sich der Hinweis nicht abschalten, am Telefon steht er in der Begrüßung, deren Wortlaut du anpasst.

Kennzeichnungspflicht für KI: Was Art. 50 konkret verlangt

Art. 50 Abs. 1 der KI-Verordnung verpflichtet Anbieter, KI-Systeme, die direkt mit Menschen interagieren, so zu gestalten, dass diese Menschen erfahren, dass sie mit einer KI zu tun haben, außer das ist offensichtlich. Nach Art. 50 Abs. 5 muss die Information klar und unterscheidbar sein, spätestens beim ersten Kontakt erfolgen und barrierefrei sein. Verbindlich ist das seit dem 02.08.2026. Eine KMU-Ausnahme gibt es nicht. Am Telefon heißt das eine Ansage zu Gesprächsbeginn, im Chat ein sichtbarer Hinweis, bei E-Mails ein Hinweis im Text. Betreiber haben nach Art. 50 Abs. 3 und 4 eigene Pflichten, etwa bei Systemen zur Emotionserkennung, bei Deepfakes oder bei KI-Texten zu Themen von öffentlichem Interesse. Verstöße gegen Art. 50 können mit bis zu 15 Mio. Euro oder 3 Prozent des Weltjahresumsatzes geahndet werden, bei KMU mit dem niedrigeren Betrag. Bei rinqo ist der Hinweis in jedem Kundenkanal standardmäßig aktiv. Im Chat und in E-Mails lässt er sich nicht abschalten, am Telefon steht er in der Begrüßung, deren Wortlaut du anpasst. Ergänzend liegt der Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO beim Vertragsabschluss vor.

Hochrisiko-KI: Betrifft das mein Unternehmen?

Kundenservice-Agenten sind in der Regel keine Hochrisiko-KI. Anhang III der KI-Verordnung listet die Hochrisiko-Bereiche, normaler Kundenkontakt gehört nicht dazu. Hochrisiko wäre zum Beispiel KI, die Bewerbende auswählt oder Beschäftigte bewertet, KI, die über Kreditwürdigkeit entscheidet, oder KI, die kritische Infrastruktur steuert. Solche Systeme brauchen Konformitätsbewertungen, Risikomanagement und dokumentierte menschliche Aufsicht, nach dem Digital-Omnibus ab 02. Dezember 2027. Ein KI-Agent, der Anrufe annimmt, Fragen beantwortet, Termine bucht und komplexe Fälle an Menschen weiterleitet, fällt nicht in diese Kategorien. Für ihn gelten die Transparenzpflichten aus Art. 50. Die rinqo-Agenten beantworten, sortieren und übergeben. Sie treffen keine Entscheidungen über Beschäftigung, Kredite oder andere Anhang-III-Bereiche. Zwei ehrliche Einschränkungen. Die Einstufung hängt vom konkreten Einsatz ab, nicht vom Produktnamen: Wer denselben Agenten für Personalauswahl nutzt, rutscht in den Hochrisiko-Bereich. Und diese Seite ist eine Orientierung, keine Rechtsberatung. Grenzfälle solltest du juristisch prüfen lassen.

KI-Verordnung Zusammenfassung: Zeitplan und Pflichten 2026

Für KMU zählen zwei Termine: Art. 4 gilt seit dem 02.02.2025, Art. 50 seit dem 02.08.2026. Seit Februar 2025 förderst du die KI-Kompetenz der Beschäftigten, die mit KI arbeiten. Eine feste Dokumentationspflicht gibt es nicht, eine kurze Beschreibung von Einsatzgrenzen und Übergaberegeln hilft trotzdem. Seit August 2026 muss KI im Kundenkontakt als KI erkennbar sein; die Pflicht liegt beim Anbieter, prüfen solltest du sie trotzdem für jedes Tool, das du einsetzt. Verstöße gegen Art. 50 kosten bis zu 15 Mio. Euro oder 3 Prozent des Weltjahresumsatzes, bei KMU der niedrigere Betrag. Was du jetzt tun solltest: Erstens, erfasse alle KI-Tools, die bei dir im Kundenkontakt laufen. Zweitens, sorge dafür, dass dein Team weiß, was die KI kann und was nicht. Drittens, prüfe pro Tool, ob der KI-Hinweis aktiv ist. Viertens, prüfe, ob ein Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO vorliegt. Bei rinqo sind der KI-Hinweis und der Auftragsverarbeitungs-Vertrag ab Tag 1 vorhanden. Gehostet wird bei Hetzner in Falkenstein und Nürnberg (ISO 27001:2022), die Sprachmodelle verarbeiten vertraglich garantiert in der EU, ohne Training auf deinen Kundendaten. Monatlich kündbar.

• 02.02.2025: Art. 4 KI-Kompetenz gilt für alle Unternehmen mit KI-Einsatz
• 02.08.2026: Art. 50 KI-Hinweis im Kundenkontakt
• Bußgeld-Rahmen bei Art. 50: bis 15 Mio. Euro oder 3 Prozent Weltjahresumsatz, bei KMU der niedrigere Betrag
• Jetzt tun: KI-Tools erfassen, Team befähigen, KI-Hinweis und Auftragsverarbeitungs-Vertrag prüfen