Entspricht Ihr Chatbot dem AI Act? Die Regeln sind jetzt in Kraft (seit dem 2. August 2026).

Letzte Aktualisierung: 9. August 2026.

Wenn Ihr Unternehmen einen Kundenservice- oder Website-Chatbot einsetzt, ist die Einhaltung der Vorschriften bereits Pflicht. Seit dem 2. August 2026 – also seit gut einer Woche – gelten die Transparenzpflichten gemäß Artikel 50 des EU-KI-Gesetzes in der gesamten Europäischen Union. Diese Regeln regeln Chatbots direkt und sind nicht länger ein Thema für die Zukunft, das erst im nächsten Jahr in den Fahrplan aufgenommen werden muss. Sie sind ab sofort in Kraft.

Dies ist relevant für jedes niederländische Unternehmen, das einen Chatbot zur Kundenbetreuung, Lead-Qualifizierung, Beantwortung häufig gestellter Fragen oder Priorisierung von Support-Anfragen einsetzt. Die gute Nachricht: Für die meisten Organisationen ist die Kernaufgabe unkompliziert und kostengünstig zu erfüllen. Die schlechte Nachricht: Viele Chatbots auf niederländischen Webseiten weisen die Nutzer immer noch nicht klar darauf hin, dass sie mit einer Maschine kommunizieren – und das stellt nun eine rechtliche Lücke dar.

Dieser Leitfaden erklärt, was sich am 2. August 2026 geändert hat, wie Sie feststellen können, ob Ihr Chatbot ein geringes oder hohes Risiko birgt, und bietet Ihnen eine konkrete, umsetzbare Checkliste zur Einhaltung der Vorschriften – einschließlich der Überschneidungen zwischen dem AI Act und der DSGVO, die Sie nicht übersehen dürfen.

Was hat sich am 2. August 2026 geändert?

Der EU-KI-Gesetzentwurf gilt stufenweise. Mit der am 2. August 2026 in Kraft getretenen Phase wurden die Transparenzpflichten gemäß Artikel 50 wirksam. Für Chatbots ist das Prinzip einfach:

Sie müssen die Nutzer spätestens zum Zeitpunkt der ersten Interaktion klar darüber informieren, dass sie mit einem KI-System interagieren.

Die Offenlegung muss klar, deutlich und leicht zugänglich sein. Sie darf nicht in den Nutzungsbedingungen, einem Cookie-Banner oder der Fußzeile versteckt sein. Wenn ein durchschnittlicher Nutzer fälschlicherweise annehmen könnte, er chatte mit einem Menschen, verstoßen Sie gegen die Vorschriften. Die einzige Ausnahme besteht, wenn einem durchschnittlich informierten Nutzer bereits klar ist, dass er mit einer KI interagiert – diese Ausnahme sollten Sie jedoch nicht leichtfertig anwenden.

Es gibt eine zweite, damit zusammenhängende Frist. Anbieter von bereits auf dem Markt befindlichen generativen KI-Systemen haben bis zum 2. Dezember 2026 Zeit, KI-generierte oder manipulierte „synthetische“ Inhalte mit einer maschinenlesbaren Kennzeichnung (Wasserzeichen) zu versehen, damit diese als künstlich erzeugt erkannt werden können. Wenn Ihr Chatbot Texte, Bilder oder Audiodateien generiert, die als von Menschen erstellte Inhalte durchgehen könnten, ist diese Frist für Sie oder Ihren Anbieter relevant.

Zur Einordnung: Frühere Phasen sind ebenfalls bereits in Kraft: Die in Artikel 5 untersagten Praktiken gelten seit dem 2. Februar 2025, und die Verpflichtungen für allgemeine KI-Modelle (GPAI) seit dem 2. August 2025.

Ist Ihr Chatbot mit geringem oder hohem Risiko verbunden?

Das KI-Gesetz ist risikobasiert. Die für Ihren Chatbot geltenden Pflichten hängen von seiner Verwendung ab – nicht von der Intelligenz des zugrunde liegenden Modells.

Die meisten Kundenservice- und Website-Chatbots sind Systeme mit begrenztem Risiko. Ihre wichtigste Verpflichtung ist die oben beschriebene Transparenzpflicht: Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Das ist die zentrale Anforderung, und für einen Standard-Support- oder FAQ-Bot ist das im Wesentlichen alles.

Ein Chatbot wird dann zu einem Hochrisiko-Boost, wenn er dazu verwendet wird, folgenreiche Entscheidungen über Personen zu treffen oder diese maßgeblich zu unterstützen, zum Beispiel:

• Personalentscheidungen (Einstellung, Vorauswahl, Beförderung, Kündigung);
• Beurteilung der Kreditwürdigkeit oder Festlegung von Kreditscores;
• Feststellung der Anspruchsberechtigung auf oder des Zugangs zu wesentlichen öffentlichen oder privaten Dienstleistungen (Sozialleistungen, Gesundheitsversorgung, Versicherungen);
• andere Anwendungsfälle von Anhang III, die Grundrechte betreffen.

Wenn Ihr Chatbot in eine dieser Kategorien fällt, gelten deutlich strengere Pflichten – darunter Risikomanagement, Datenverwaltung, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung. Beachten Sie, dass die Verpflichtungen für Hochrisikoanwendungen (Anhang III) im AI Digital Omnibus vorbehaltlich der endgültigen Verabschiedung bis zum 2. Dezember 2027 verschoben wurden. Sie sollten diese jedoch bereits jetzt in Ihre Planung einbeziehen, falls Ihr Anwendungsfall in diese Richtung geht.

Kurze Selbsteinschätzung

Stellen Sie sich drei Fragen:

• Informiert, leitet oder vermittelt mein Chatbot lediglich? (Beantwortet häufig gestellte Fragen, verfolgt Bestellungen, übergibt an einen Mitarbeiter.) → Sehr wahrscheinlich geringes Risiko. Fokus auf Transparenz.
• Dient es der Entscheidung über, Bewertung oder Zugangskontrolle für Einzelpersonen? (Genehmigung/Ablehnung, Rangfolge der Kandidaten, Risikobewertung.) → Wahrscheinlich hohes Risiko. Vor dem Einsatz Rechtsberatung einholen.
• Erzeugt es synthetische Inhalte (Texte/Bilder/Audios, die von Menschenhand geschaffen aussehen könnten)? → Beachten Sie den Stichtag 2. Dezember 2026.

Die Compliance-Checkliste für niederländische Unternehmen

Arbeiten Sie die folgenden Schritte durch. Selbst Chatbots mit begrenztem Risiko profitieren von den meisten dieser Kontrollen, und gemeinsam demonstrieren sie dem Regulierer gegenüber guten Willen (in den Niederlanden wird die Aufsicht über die AP und die RDI koordiniert).

1. Deutliche Offenlegung der KI-Nutzung bei der ersten Interaktion. Fügen Sie vor oder zu Beginn des Gesprächs einen eindeutigen Hinweis hinzu. Beispielformulierung:

• „Hallo, ich bin ein KI-Assistent von [Firma]. Ich kann Ihnen bei häufig gestellten Fragen helfen und Sie bei Bedarf mit einem Kollegen verbinden.“
• „Sie unterhalten sich mit einem virtuellen (KI-)Assistenten, nicht mit einem menschlichen Mitarbeiter.“

Platzieren Sie es im Chatfenster selbst – in der Eröffnungsnachricht und/oder im Header – nicht nur in einer verknüpften Richtlinie.

2. Menschliche Aufsicht und Eskalation. Bieten Sie einen klaren und einfachen Weg zu einem Mitarbeiter („Sprechen Sie mit einem Kollegen“). Stellen Sie sicher, dass Mitarbeiter Konversationen überprüfen, korrigieren und übernehmen können, insbesondere wenn der Bot Beschwerden, Verträge, Zahlungen oder schutzbedürftige Nutzer betrifft.

3. Protokollierung und Überwachung. Protokollieren Sie Gespräche und das Systemverhalten, um die Leistung zu überprüfen, Beschwerden nachzugehen und Abweichungen oder Missbrauch zu erkennen. Achten Sie auf Fehlfunktionen und unangemessene Ausgaben und legen Sie Schwellenwerte für die manuelle Überprüfung fest.

4. Sorgfältige Anbieterprüfung. Die meisten niederländischen Unternehmen kaufen ihren Chatbot, anstatt ihn selbst zu entwickeln. Lassen Sie sich von Ihrem Anbieter schriftlich bestätigen, dass das System die Transparenz des KI-Gesetzes und – falls relevant – die Kennzeichnung synthetischer Inhalte bis zum 2. Dezember 2026 unterstützt. Legen Sie im Vertrag fest, wer gemäß dem Gesetz als Anbieter und wer als Betreiber gilt, und regeln Sie Verantwortlichkeiten, Gewährleistungen und Haftungsfreistellungen entsprechend.

5. KI-Kompetenz der Mitarbeiter. Das KI-Gesetz verpflichtet Organisationen, ein ausreichendes Maß an KI-Kompetenz bei denjenigen sicherzustellen, die KI-Systeme bedienen. Schulen Sie die Teams, die den Chatbot verwalten, beaufsichtigen oder nutzen, damit sie dessen Grenzen, Eskalationsregeln und den Umgang mit Daten verstehen.

6. Dokumentation. Führen Sie eine kurze interne Dokumentation: Funktion des Chatbots, Risikoklassifizierung, verwendete Offenlegungspflichten, Kontrollmaßnahmen, Anbieter und verarbeitete Daten. Dies dient als Nachweis der Einhaltung der Vorschriften.

Die Schnittstelle zur DSGVO – nicht beim KI-Gesetz aufhören

Ein Chatbot kann zwar vollständig den Bestimmungen des AI Act entsprechen, aber dennoch gegen die DSGVO verstoßen. Die beiden Regelungen gelten parallel, und niederländische Unternehmen müssen beide erfüllen.

• Rechtsgrundlage: Eine gültige Grundlage (in der Regel berechtigtes Interesse oder Einwilligung) für die Verarbeitung der personenbezogenen Daten, die Benutzer in den Chat eingeben, ermitteln.
• Transparenzhinweise: In Ihrer Datenschutzerklärung muss erläutert werden, dass ein Chatbot personenbezogene Daten verarbeitet, zu welchem ​​Zweck, wie lange diese gespeichert werden und ob die Daten in das KI-Training einfließen.
• Datenminimierung: Erheben Sie nicht mehr Daten als nötig; vermeiden Sie es, Benutzer zur Weitergabe von Daten besonderer Kategorien aufzufordern.
• Rechte der betroffenen Personen und internationale Datenübermittlung: Stellen Sie sicher, dass Zugriffs-/Löschanfragen berücksichtigt werden können, und prüfen Sie, wo Ihr Anbieter die Daten hostet und verarbeitet.

In der Praxis handelt es sich bei dem Transparenzhinweis des AI Act („Sie sprechen mit einer KI“) und dem Transparenzhinweis der DSGVO („So verwenden wir Ihre Daten“) um unterschiedliche Verpflichtungen – Sie benötigen beide.

Strafen

Die Durchsetzung ist nicht theoretisch. Die im KI-Gesetz festgelegten Höchststrafen sind streng:

• Bei schwerwiegendsten Verstößen (z. B. verbotenen Geschäftspraktiken) drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
• bis zu 15 Millionen Euro oder 3 % bei Verstößen gegen Hochrisikoverpflichtungen und die meisten anderen Verpflichtungen;
• bis zu 7.5 Millionen Euro oder 1 % für die Bereitstellung unrichtiger, unvollständiger oder irreführender Informationen an die Behörden.

Bei einem Chatbot mit begrenztem Risiko besteht das unmittelbare Risiko eher in einem Reputationsverlust und einer Anordnung zur Einhaltung der Vorschriften – aber eine fehlende Offenlegung von KI-Kenntnissen ist ein einfacher, sichtbarer Mangel, der für eine Aufsichtsbehörde oder einen Beschwerdeführer leicht zu erkennen ist.

Bewährte Verfahren, die über das Minimum hinausgehen.

• Reduzieren Sie Halluzinationen mit RAG. Die generische Antwortgenerierung basiert auf Ihren eigenen verifizierten Inhalten (Produktdokumente, Richtlinien, FAQs), wodurch die Genauigkeit verbessert und das Risiko verringert wird, dass der Bot rechtliche, medizinische oder finanzielle Behauptungen erfindet.
• Beachten Sie die Norm ISO/IEC 42001. Dieser Standard für KI-Managementsysteme bietet einen anerkannten Rahmen für die verantwortungsvolle Steuerung von KI und hilft, die Rechenschaftspflicht gegenüber Kunden und Aufsichtsbehörden nachzuweisen.
• Leitplanken anbringen. Der Bot darf keine verbindlichen Rechts-, Steuer- oder medizinischen Ratschläge erteilen. Es sollten Ausweichmechanismen implementiert werden, die sensible Anfragen an menschliche Mitarbeiter weiterleiten.
• Überprüfen Sie regelmäßig. Überprüfen Sie Ihre Klassifizierung erneut, wenn Sie die Rolle des Chatbots erweitern – ein Support-Bot, der mit der Vorauswahl von Bewerbern beginnt, ist plötzlich zu einem Hochrisiko-Bot geworden.

Häufig gestellte Fragen

Gelten die Chatbot-Regeln jetzt wirklich noch?

Ja. Die Transparenzpflichten gemäß Artikel 50 gelten seit dem 2. August 2026.

Muss ich den Nutzern mitteilen, dass mein Chatbot eine KI ist?

Ja – ganz klar, und spätestens bei der ersten Interaktion, es sei denn, es ist für einen durchschnittlich informierten Nutzer offensichtlich. Verstecken Sie es nicht in Ihren Nutzungsbedingungen.

Ist mein Kundenservice-Chatbot ein risikoreiches Thema?

Normalerweise nicht. Ein hohes Risiko besteht nur dann, wenn es für weitreichende Entscheidungen wie Beschäftigung, Kreditwürdigkeit oder Zugang zu lebenswichtigen Dienstleistungen verwendet wird.

Wir nutzen einen Chatbot eines Drittanbieters – tragen wir trotzdem die Verantwortung?

Ja. Als Anwender tragen Sie Verpflichtungen, unabhängig davon, wer das Tool entwickelt hat. Stellen Sie die Einhaltung der vertraglichen Bestimmungen mit Ihrem Anbieter sicher.

Bedeutet die Einhaltung des AI Act auch die Einhaltung der DSGVO?

Nein. Es handelt sich um getrennte Systeme. Sie müssen beide Anforderungen erfüllen.

Sorgen Sie dafür, dass Ihr Chatbot den gesetzlichen Bestimmungen entspricht – sprechen Sie mit Law & More

Die Transparenzregeln sind bereits in Kraft, und die Frist für die Kennzeichnung synthetischer Inhalte endet am 2. Dezember 2026. Wenn Sie sich nicht sicher sind, ob Ihr Chatbot ein geringes oder hohes Risiko birgt, ob Ihre Offenlegungserklärung den Anforderungen entspricht oder wie das KI-Gesetz und die DSGVO in Ihrem Fall zusammenwirken, stehen Ihnen die Technologie- und Datenschutzanwälte von [Name der Organisation] gerne zur Verfügung. Law & More Wir können Ihren Chatbot prüfen, ihn klassifizieren, konforme Hinweise erstellen und die passenden Lieferantenverträge sowie interne Dokumentationen bereitstellen. Kontaktieren Sie uns für eine praxisorientierte Compliance-Prüfung.