Der AI Act ist keine Frist in der Zukunft. Die EU-Verordnung über Künstliche Intelligenz (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft: Die Verbote für nicht akzeptable Praktiken gelten seit dem 2. Februar 2025, die Pflichten für General-Purpose-Modelle seit dem 2. August 2025 und seit dem 2. August 2026 die Transparenzpflichten, die alle betreffen, die mit Kunden kommunizieren.
Beim Thema AI Act und Kundenkommunikation ist der häufigste Fehler ein Timing-Fehler: Viele IT-, Risk- und Compliance-Teams haben jede Maßnahme auf 2027 verschoben, das Jahr der Fristen für hohes Risiko, und dabei die Transparenzpflicht übersehen, die zuerst die Kundenkommunikation getroffen hat. Diese Pflicht gilt bereits, und Verstöße gegen die Transparenzpflichten können mit Bußgeldern bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden.
AI Act seit dem 2. August 2026: was für die Kundenkommunikation bereits gilt
Im Juli 2026 hat der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) die Pflichten für Hochrisikosysteme verschoben. Die Systeme nach Anhang III, Hochrisikosysteme, die nach Verwendungszweck eingestuft werden, etwa Credit Scoring oder Personalauswahl, verschieben sich auf den 2. Dezember 2027. Für Systeme nach Anhang I, also KI, die als Sicherheitskomponente in bereits regulierte Produkte integriert ist (Medizinprodukte, Maschinen), gilt nun der 2. August 2028.
Das verschafft Luft, aber nicht denjenigen, die für die Kundenkommunikation zuständig sind. Der Omnibus hat die Transparenzpflichten aus Artikel 50 nicht verschoben: Sie gelten seit dem 2. August 2026. Wer mit dem Zeithorizont 2027 geplant hat, ist bereits im Verzug.
Transparenz bei Chatbots (Art. 50): was seit dem 2. August 2026 gilt
Wenn Kunden mit einem KI-System interagieren, einem Chatbot, einem virtuellen Assistenten, einer generierten Antwort, müssen sie darüber informiert werden, und von KI generierte oder veränderte Inhalte müssen offengelegt werden. Die Transparenzpflicht aus Artikel 50 ist damit die erste Anforderung des AI Act, die jeden Kundenkontaktpunkt betrifft. Für generative KI-Systeme, die bereits vor diesem Datum auf dem Markt waren, gilt die Pflicht zur maschinenlesbaren Kennzeichnung (Wasserzeichen) ab dem 2. Dezember 2026, die nächste Frist, die Sie einplanen sollten.
AI Act in regulierten Branchen: das risikobasierte Modell für die Kommunikation
Das risikobasierte Modell des AI Act stuft Systeme nach Risikograd ein. Dasselbe Prinzip sollte für die Kundenkommunikation gelten. Eine Rechnung, ein Versicherungsdokument oder eine Kreditmitteilung haben ein anderes rechtliches und finanzielles Risikoprofil als eine Onboarding-Kampagne oder ein Newsletter. Eine einheitliche Regel für alle Kommunikationen würde die unbedenklichen Abläufe ausbremsen und gleichzeitig die kritischen ungeschützt lassen.
Die operative Unterscheidung muss klar sein:
- Kommunikation mit hohem Risiko (Finanzinformationen, Policen, Investitionsentscheidungen, regulierte Rechnungsstellung, amtliche Mitteilungen): Die KI arbeitet innerhalb strukturierter Vorlagen, unterliegt menschlicher Aufsicht, Nachverfolgbarkeit und Prüfbarkeit. Sie optimiert, validiert und migriert Inhalte, verfasst sie aber nicht eigenständig.
- Kommunikation mit geringem Risiko (Onboarding, Informationsinhalte, Marketing, interaktive Journeys): Hier kann KI eingesetzt werden, um Kreativität, Echtzeit-Personalisierung und Orchestrierung zu stärken, bei gleichzeitiger Transparenz und Datenschutz.
Der Vorteil ist konkret: Das Unternehmen beschleunigt dort, wo die Risikoexposition gering ist, und behält dort die Kontrolle, wo sie hoch ist, ohne die gesamte Roadmap aufzuhalten, bis eine einzige Policy für alles gilt.
AI Act für Banken und Versicherungen: gleiche Abläufe, unterschiedliche Risiken
In den Branchen Finance und Insurance bestehen Dutzende Dokumentenabläufe mit sehr unterschiedlichen Profilen nebeneinander: Ein Versicherungsangebot, ein Kontoauszug und eine Werbemitteilung erfordern jeweils ein anderes Kontrollniveau. Mit der risikobasierten Klassifizierung setzt ein Unternehmen KI ein, ohne den Betrieb zu blockieren: Es aktiviert sie bei Journeys mit geringem Risiko und behält sie bei Rechnungsstellung und regulierten Dokumenten unter strenger Kontrolle.
Shadow AI: die Risiken für Unternehmen in regulierten Branchen
Das am meisten unterschätzte Risiko betrifft nicht die offiziell vom Unternehmen eingeführten KI-Plattformen. Es geht von nicht genehmigten GenAI-Tools aus, die Mitarbeitende nutzen, um schneller voranzukommen. Wenn ein Mitarbeiter Kundendaten in einen öffentlichen Chatbot einfügt, um eine Mitteilung umzuschreiben, gelangen sensible Informationen außerhalb des Unternehmensperimeters, ohne Rechtsgrundlage und ohne Nachverfolgbarkeit.
In einer regulierten Branche entstehen durch den Einsatz eines nicht genehmigten Tools drei Risiken gleichzeitig: ein möglicher DSGVO-Verstoß bei den verarbeiteten Daten, der Kontrollverlust über grenzüberschreitende Datenübermittlungen und das vollständige Fehlen eines Audit-Trails. Je langsamer die offiziellen Prozesse sind, desto stärker wächst zudem die Shadow AI.
Dennoch lässt sich nicht bestreiten: Ein Verbot ohne Alternative fördert die „inoffizielle“ Nutzung. Die Lösung besteht darin, ein genehmigtes Tool anzubieten, das schneller und praktischer ist als das inoffizielle.
Human-in-the-Loop und Compliance: eine Anforderung, keine Bremse
Bei Kommunikation mit hohem Risiko ist menschliche Aufsicht kein Hindernis, das den Prozess verlangsamt: Sie ist die Voraussetzung dafür, dass von KI erzeugte Inhalte „verteidigungsfähig“ sind. Der AI Act verlangt sie ausdrücklich für Hochrisikosysteme. Wenn eine Mitteilung rechtliche oder finanzielle Auswirkungen hat, unterscheidet die menschliche Prüfung einen im Nachhinein überprüfbaren Prozess von einem, der sich gegenüber einer Behörde oder einem Kunden nicht rechtfertigen lässt.
Konkret bedeutet das, Validierungspunkte in den Workflow einzubauen, während die Mitteilung entsteht, statt am Ende eine formale Kontrolle durchzuführen. Wer diesen Inhalt erstellt hat, wann, mit welchem Modell und wer ihn freigegeben hat: Bleiben diese Fragen unbeantwortet, gibt es keine Compliance, ganz gleich, wie gut die Mitteilung selbst ist.
AI Act und Unternehmenspflichten: Governance ist Architektur
Die Botschaft an CIOs, CISOs und Compliance-Verantwortliche ist einfach: KI-Governance ist Teil der digitalen Architektur eines Unternehmens, genau wie Sicherheit und Betriebskontinuität. Unternehmen, die Kommunikation nach Risiko klassifizieren, Kontrollen in den Prozess integrieren und KI selektiv einsetzen, können ihre Compliance schon heute nachweisen und sind für die nächsten Fristen gerüstet (2. Dezember 2026 für die Kennzeichnung, 2. Dezember 2027 für Hochrisikosysteme).
Der erste Schritt ist die Bestandsaufnahme: festzulegen, in welchen Kommunikationen bereits KI eingesetzt wird oder eingesetzt werden soll, mit welchem Risikoprofil und welche Kontrollen bereits vorhanden sind. Wer das noch nicht getan hat, sollte jetzt beginnen: Die Transparenzpflicht gilt bereits.
Möchten Sie wissen, welche Kommunikationen schon heute in den Anwendungsbereich des AI Act fallen?
Der Ausgangspunkt ist eine risikobasierte Bestandsaufnahme Ihrer Kommunikationsabläufe. Lesen Sie unseren Executive Brief Die Kundenkommunikation im Zeitalter der KI-Verordnung: von der Compliance zum Wettbewerbsvorteil und vereinbaren Sie einen Termin mit dem Doxee-Team für eine konkrete Bewertung Ihrer Anwendungsfälle.
FAQ
Seit wann gilt der AI Act?
Die EU-Verordnung 2024/1689 ist seit dem 1. August 2024 in Kraft. Die Verbote gelten seit dem 2. Februar 2025, die Pflichten für General-Purpose-Modelle seit dem 2. August 2025 und die Transparenzpflichten seit dem 2. August 2026. Nach dem Digital Omnibus (Verordnung (EU) 2026/1744) gilt die Kennzeichnungspflicht für bereits auf dem Markt befindliche Systeme ab dem 2. Dezember 2026, die Regeln für hohes Risiko ab dem 2. Dezember 2027 (Anhang III) und ab dem 2. August 2028 (Anhang I).
Was hat sich seit dem 2. August 2026 für Unternehmen geändert?
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50, und die Kommission kann Anbieter von General-Purpose-KI-Modellen sanktionieren. Unternehmen müssen Nutzer informieren, wenn sie mit einem KI-System interagieren, und KI-generierte Inhalte offenlegen, wo die Verordnung es verlangt. Es ist die erste Schwelle, die direkt die Kundenkommunikation betrifft.
Gilt der AI Act für die Kommunikation mit Kunden?
Ja. Jede Kommunikation, die mit KI erstellt, personalisiert oder verwaltet wird, fällt in den Anwendungsbereich des AI Act: von den Transparenzpflichten für KI-generierte Inhalte, einschließlich Hochrisikoinhalten wie regulierter Rechnungsstellung oder Finanzdokumenten, bis hin zu den Anforderungen an menschliche Aufsicht, Nachverfolgbarkeit und Prüfbarkeit des eingesetzten Systems.
Was ist Shadow AI, und warum ist sie ein Risiko?
Damit ist die Nutzung generativer KI-Tools durch Mitarbeitende gemeint, die vom Unternehmen nicht genehmigt wurden. In regulierten Kontexten kann Shadow AI sensible Daten ohne Rechtsgrundlage und ohne Audit-Trail offenlegen, mit Risiken für DSGVO und grenzüberschreitende Datenübermittlung. Je langsamer die offiziellen Prozesse sind, desto stärker verbreitet sie sich.
Was bedeutet Human-in-the-Loop im Rahmen des AI Act?
Damit ist eine wirksame menschliche Kontrolle über die Ausgaben von KI-Systemen gemeint. Für hohes Risiko schreibt der AI Act sie als Anforderung vor. Bei Kommunikation mit rechtlichen oder finanziellen Auswirkungen machen in den Workflow integrierte Validierungspunkte den Prozess nachvollziehbar und verteidigungsfähig, statt einer bloßen formalen Kontrolle im Nachhinein.
Welche Sanktionen sieht der AI Act vor?
Die schwersten Verstöße im Zusammenhang mit verbotenen Praktiken werden mit Bußgeldern bis zu 35 Millionen Euro oder bis zu 7 % des weltweiten Jahresumsatzes geahndet. Für die meisten anderen Pflichten sinkt die Obergrenze auf 15 Millionen Euro oder 3 % des Umsatzes. Es gilt jeweils der höhere Betrag.
