EU AI Act: Art. 50 gilt seit 02.08.2026.

Was ist der EU AI Act und warum betrifft er KMU?

Der EU AI Act (offiziell: EU-Verordnung 2024/1689 über künstliche Intelligenz) ist seit 02. August 2024 in Kraft, wird aber stufenweise scharf. Er regelt den Einsatz von KI-Systemen in der EU mit einem risikobasierten Ansatz: hochriskante Systeme (z.B. KI in Medizin-Diagnose, Personalauswahl, Kreditvergabe) brauchen umfassende Konformitätsbewertungen. Niedrigeres Risiko (KI im Kundenkontakt, Chatbots, Voicebots, Marketing-Automatisierung) braucht 'lediglich' Transparenz-Pflichten, aber die sind ab 02. August 2026 streng. Was viele KMU-Eigentümerinnen und -Eigentümer nicht wissen: auch wenn du die KI nicht selbst entwickelst, sondern nur einsetzt (Stichwort 'Deployer' in der Verordnung), bist du verantwortlich für die Pflichten in deinem Unternehmen. Wer einen KI-Telefonassistenten, Chatbot oder Marketing-AI nutzt, muss die Endnutzenden informieren und den Einsatz für die eigenen Mitarbeitenden dokumentieren. Die Verordnung gilt EU-weit, auch für Anbieter aus Drittländern (USA, UK, Schweiz), wenn sie ihre KI-Systeme in der EU bereitstellen. Wer also ein US-Tool oder einen sonstigen Dritt-Anbieter nutzt, muss prüfen, ob der Anbieter die Pflichten überhaupt unterstützt.

Die 4 wichtigsten Pflichten für DACH-KMU 2026

Erstens, Art. 4 (AI-Literacy), bereits seit 02. Februar 2025 in Kraft. Wer KI im Unternehmen einsetzt, muss eine Mindest-Dokumentation der Einsatzgrenzen und der Eskalations-Logik vorweisen. Praktisch: ein PDF, das beschreibt wie deine KI eingesetzt wird, was sie nicht darf, wann sie an Menschen eskaliert. Zweitens, Art. 50 (Transparenz-Pflicht), ab 02. August 2026 scharf. Jede Person, die mit deinem KI-System interagiert (Anrufende, Chat-Besuchende, E-Mail-Kontakte), muss beim ersten Kontakt klar darüber informiert werden. Bei Voice-Agenten heißt das: Begrüßungs-Ansage muss die KI-Eigenschaft offenlegen. Bei Chat-Widgets: persistenter AI-Badge. Bei E-Mails: Header-Disclaimer. Drittens, DSGVO Art. 28 (Auftragsverarbeitung), bereits seit 2018 Pflicht. Beim Einsatz von Drittanbieter-KI muss ein Auftragsverarbeitungs-Vertrag (AVV) vorliegen, der die Datenverarbeitung regelt. Viertens, DSGVO Art. 22 (automatisierte Entscheidungen), bei rechtlich relevanten KI-Entscheidungen muss eine menschliche Eskalation möglich sein. Praktisch heißt das für Customer-Service-KI: bei Beschwerden, Reklamationen, Kündigungen muss der KI-Agent an einen Menschen eskalieren können.

• Art. 4 AI-Literacy: Doku der Einsatzgrenzen + Eskalations-Logik (seit 02.02.2025)
• Art. 50 Transparenz-Pflicht: Disclosure beim ersten KI-Kontakt (ab 02.08.2026)
• DSGVO Art. 28: Auftragsverarbeitungs-Vertrag mit jedem KI-Anbieter
• DSGVO Art. 22: Menschliche Eskalation bei rechtlich relevanten Entscheidungen

Bußgelder im EU AI Act: die Höhe im Überblick

Der EU AI Act sieht abgestufte Bußgelder vor. Verstöße gegen die strengsten Pflichten (verbotene KI-Praktiken nach Art. 5, Social Scoring, Manipulation, biometrische Massenüberwachung) können mit bis zu 35 Mio. Euro oder 7 Prozent vom weltweiten Jahresumsatz geahndet werden, jeweils der höhere Wert. Verstöße gegen Pflichten für Hochrisiko-KI-Systeme: bis 15 Mio. Euro oder 3 Prozent. Verstöße gegen Transparenz-Pflichten (Art. 50) und gegen die meisten anderen Pflichten: bis 15 Mio. Euro oder 3 Prozent. Falsche oder irreführende Angaben gegenüber Behörden: bis 7,5 Mio. Euro oder 1 Prozent. Für KMU mit Jahresumsatz unter 500 Mio. Euro gelten die festen Geldwerte, nicht der Prozentsatz vom Umsatz. In der Praxis sind für die meisten KMU vor allem die Transparenz-Pflichten nach Art. 50 relevant, und genau die deckt rinqo standardmäßig ab.

EU AI Act vs. DSGVO, wo die Pflichten überlappen und wo nicht

Viele KMU verwechseln EU AI Act und DSGVO. Tatsächlich sind die beiden Verordnungen komplementär: DSGVO regelt die Verarbeitung personenbezogener Daten (alle Daten, die einer natürlichen Person zugeordnet werden können), EU AI Act regelt den Einsatz von KI-Systemen unabhängig davon ob personenbezogene Daten verarbeitet werden. Im Customer-Service-KI-Kontext gelten beide gleichzeitig: DSGVO regelt den Umgang mit Anrufer-Daten (Hetzner-Hosting, LLM-Verarbeitung in der EU, AVV, Datenschutz-Hinweise nach Art. 13 DSGVO). EU AI Act regelt zusätzlich die Transparenz-Pflicht (Art. 50, Anrufende müssen wissen, dass sie mit einer KI sprechen) und die AI-Literacy (Art. 4, wer die KI einsetzt, muss die Einsatz-Grenzen kennen). Praktisch heißt das für DACH-KMU: ein DSGVO-konformer KI-Anbieter ist nicht automatisch AI-Act-konform. Du brauchst beides, DSGVO + Art. 50 + Art. 4. rinqo erfüllt alle drei Pflichten in einer Plattform: Hetzner Deutschland (DSGVO), Default-Disclosure-Ansage (Art. 50), AI-Literacy-Vorlagen zur Anpassung (Art. 4). Bei US-Anbietern musst du die DSGVO-Konformität separat prüfen (Cloud-Act-Exposure, DPF-Volatilität bleibt) und die Art.-50-Disclosure selbst implementieren (was technisch oft gar nicht möglich ist).

Wie rinqo den EU AI Act erfüllt, konkret und überprüfbar

rinqo erfüllt alle EU-AI-Act-Pflichten für DACH-KMU ab Tag 1, ohne dass du eigene Compliance-Arbeit leisten musst. Erstens, Art. 50 Default-Disclosure: jeder rinqo-KI-Agent (Telefon, Chat, E-Mail) macht beim ersten Kontakt eine klare Ansage, dass es sich um eine KI handelt, Wortwahl ist an deine Brand-Voice editierbar, Disclosure selbst nicht abschaltbar. Bei Voice: 'Hallo, hier ist die KI-Assistenz von [Firma]. Sie sprechen mit einer KI, der Anruf wird zur Qualitätssicherung verarbeitet.' Bei Chat: persistenter AI-Badge im Header + Eingangs-Banner. Bei E-Mail: 'Diese Antwort wurde mit KI-Unterstützung erstellt'-Disclaimer im Footer. Zweitens, Art. 4 AI-Literacy: Vorlagen im rinqo-Dashboard, die du an deine spezifische Einsatz-Konfiguration anpassen kannst, welche KI-Modelle eingesetzt werden, welche Daten verarbeitet werden, welche Eskalations-Schwellen gelten. Du dokumentierst einmal, hältst die Doku bei Konfigurations-Änderungen aktuell. Drittens, DSGVO Art. 28: AVV-Vertrag wird automatisch beim Vertragsabschluss bereitgestellt, ohne separate Anforderung. Viertens, DSGVO Art. 13: Datenschutz-Hinweise werden im Voice-Agent automatisch zu Beginn des Gesprächs angesagt. Fünftens, EU-Hosting: Hetzner Falkenstein und Nürnberg als Hosting-Standort, KI-Modelle mit vertraglich garantierter EU-Datenverarbeitung (EU Data Boundary, kein Training auf Kundendaten; Sub-Prozessoren werden auf /security transparent ausgewiesen), EU-Datenresidenz für deine Kundendaten.

KI-Verordnung einfach erklärt

Die KI-Verordnung (EU) 2024/1689 ist das europäische KI-Gesetz. Sie regelt, unter welchen Bedingungen Unternehmen künstliche Intelligenz einsetzen dürfen. Wenn du nach „KI-Verordnung“, „EU-KI-Verordnung“, „KI-Gesetz“ oder „AI Act“ suchst, meinst du immer dasselbe Gesetz. Der englische Name lautet EU AI Act, der amtliche deutsche Titel ist Verordnung über künstliche Intelligenz. Die Verordnung ordnet KI-Systeme nach Risiko: Verbotene Praktiken sind untersagt, Hochrisiko-Systeme brauchen umfassende Nachweise, KI im Kundenkontakt unterliegt Transparenz-Pflichten. Für die meisten KMU sind zwei Artikel relevant. Art. 4 verlangt seit dem 02.02.2025 dokumentierte KI-Kompetenz im Unternehmen: Wer setzt KI wofür ein, wo liegen die Grenzen, wann übernimmt ein Mensch. Art. 50 verlangt ab dem 02.08.2026 die Kennzeichnung von KI im Endkundenkontakt. Wichtig: Die Pflichten treffen dich auch dann, wenn du KI nur einsetzt und nicht selbst entwickelst. Die Verordnung nennt diese Rolle „Betreiber“, englisch „Deployer“. Ein KI-Telefonassistent, ein Chat-Widget oder ein E-Mail-Agent fallen darunter. rinqo nimmt dir den technischen Teil ab. Telefon-, Chat- und E-Mail-Agent kennzeichnen sich im Kundenkontakt standardmäßig als KI. Den Wortlaut kannst du anpassen, abschalten kannst du die Kennzeichnung nicht. Das Setup dauert rund 10 Minuten, die Agenten arbeiten in 17 Sprachen.

Kennzeichnungspflicht für KI: Was Art. 50 konkret verlangt

Die Kennzeichnungspflicht bedeutet: Jede Person muss klar erfahren, wenn sie mit einer KI interagiert. Geregelt ist das in Art. 50 der KI-Verordnung 2024/1689, verbindlich ab dem 02.08.2026. Wer ist betroffen? Jedes Unternehmen, das KI im Kundenkontakt einsetzt, unabhängig von Größe und Branche. Es gibt keine KMU-Ausnahme und keine Mitarbeiter-Schwelle. Was verlangt die Pflicht konkret? Am Telefon eine Ansage zu Gesprächsbeginn, die die KI offenlegt. Im Chat einen sichtbaren Hinweis, dass ein KI-Agent antwortet. Bei E-Mails einen Hinweis, dass die Antwort mit KI-Unterstützung erstellt wurde. Die Information muss beim ersten Kontakt erfolgen, nicht irgendwo im Kleingedruckten. Was passiert bei Verstößen? Bußgelder bis 15 Mio. Euro oder 3 Prozent des Weltjahresumsatzes, je nachdem, welcher Wert höher ist. Wie löst rinqo das? In jedem Kundenkanal (Telefon, Chat, E-Mail) ist die Kennzeichnung standardmäßig aktiv. Du kannst den Wortlaut an deine Marke anpassen, etwa Begrüßung und Tonalität. Abschalten kannst du die Kennzeichnung nicht, das ist bewusst so gebaut. Damit ist die Kennzeichnungspflicht nach Art. 50 ab dem ersten Anruf technisch abgedeckt, ohne eigenes juristisches Setup. Ergänzend liegt der Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO beim Vertragsabschluss vor.

Hochrisiko-KI: Betrifft das mein Unternehmen?

Kundenservice-Agenten sind in der Regel keine Hochrisiko-KI. Anhang III der KI-Verordnung listet die Hochrisiko-Bereiche, und normaler Kundenkontakt gehört nicht dazu. Hochrisiko wäre zum Beispiel: KI, die Bewerbende auswählt oder Beschäftigte bewertet. KI, die über Kreditwürdigkeit entscheidet. KI, die kritische Infrastruktur wie Strom- oder Wassernetze steuert. Solche Systeme brauchen Konformitätsbewertungen, Risikomanagement und dokumentierte menschliche Aufsicht. Ein KI-Agent, der Anrufe annimmt, Fragen beantwortet, Termine bucht und komplexe Fälle an Menschen weiterleitet, fällt nicht in diese Kategorien. Für ihn gelten die Transparenz-Pflichten aus Art. 50, nicht die Hochrisiko-Auflagen. Genau so sind die rinqo-Agenten gebaut: Sie beantworten, sortieren und eskalieren. Sie treffen keine Entscheidungen über Beschäftigung, Kredite oder andere Anhang-III-Bereiche. Zwei ehrliche Einschränkungen. Erstens: Die Einstufung hängt vom konkreten Einsatz ab, nicht vom Produktnamen. Wer denselben Agenten für Personalauswahl oder Kreditentscheidungen nutzt, rutscht in den Hochrisiko-Bereich. Zweitens: Diese Seite ist eine Orientierung, keine Rechtsberatung. Bei Grenzfällen solltest du den Einsatz juristisch prüfen lassen. Für den typischen Einsatz, Kundenanfragen am Telefon, im Chat und per E-Mail, bleibt die Lage übersichtlich: Kennzeichnung nach Art. 50 genügt, und die ist bei rinqo standardmäßig aktiv.

KI-Verordnung Zusammenfassung: Zeitplan und Pflichten 2026

Für KMU zählen zwei Termine: Art. 4 gilt seit dem 02.02.2025, Art. 50 gilt ab dem 02.08.2026. Das ist die kürzeste ehrliche Zusammenfassung der KI-Verordnung 2024/1689. Seit dem 02.02.2025 musst du dokumentieren, wie KI in deinem Unternehmen eingesetzt wird: Einsatzgrenzen, verarbeitete Daten, Eskalations-Regeln (Art. 4, KI-Kompetenz). Ab dem 02.08.2026 muss jede KI im Kundenkontakt gekennzeichnet sein (Art. 50, Transparenz). Verstöße kosten bis 15 Mio. Euro oder 3 Prozent des Weltjahresumsatzes. Was du jetzt konkret tun solltest: Erstens, erfasse alle KI-Tools, die bei dir im Kundenkontakt laufen. Zweitens, erstelle die Art.-4-Dokumentation, rinqo stellt dafür Vorlagen bereit. Drittens, prüfe pro Tool, ob die Kennzeichnung nach Art. 50 aktiv ist. Viertens, prüfe, ob ein Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO vorliegt. Mit rinqo sind die Punkte drei und vier ab Tag 1 erledigt: Kennzeichnung standardmäßig aktiv in jedem Kundenkanal (Telefon, Chat, E-Mail), AVV beim Vertragsabschluss. Gehostet wird in Deutschland bei Hetzner (Falkenstein und Nürnberg, ISO 27001:2022). Die Sprachmodelle laufen mit vertraglich garantierter Verarbeitung innerhalb der EU Data Boundary, ohne Training auf deinen Kundendaten. Preislich startest du ab 99 Euro netto pro Monat, monatlich kündbar.

• 02.02.2025: Art. 4 KI-Kompetenz gilt, Doku-Pflicht für alle Unternehmen mit KI-Einsatz
• 02.08.2026: Art. 50 Kennzeichnungspflicht für KI im Kundenkontakt
• Bußgeld-Rahmen: bis 15 Mio. Euro oder 3 Prozent Weltjahresumsatz, der höhere Wert
• Jetzt tun: KI-Tools erfassen, Art.-4-Doku erstellen, Kennzeichnung und AVV prüfen