KI-Chat nach den neuen EU-Regeln: 9 Prüfungen für Transparenz und Datenschutz
Seit August 2026 gelten neue EU-Transparenzpflichten für KI. Diese praktische Checkliste hilft Unternehmen und Kommunen, Chats verständlich, datensparsam und mit sicherer Übergabe an Menschen zu betreiben.
Ein KI-Chat auf einer Website muss heute mehr leisten als eine gute Antwort. Besucher müssen erkennen, dass sie mit KI sprechen, verstehen, was mit ihren Daten geschieht, und einen sicheren Weg zu einem Menschen haben. Seit dem 2. August 2026 gelten die Transparenzanforderungen aus Artikel 50 des europäischen AI Acts. Die DSGVO-Grundsätze — Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung und Sicherheit — gelten unabhängig davon weiter.
Dieser Beitrag ist eine praktische Betriebscheckliste, keine Rechtsberatung. Rollen und Pflichten hängen von Lösung, Zweck und Daten ab. Prüfen Sie sensible Einsätze mit Datenschutzbeauftragten oder Rechtsberatung.
Ein guter KI-Chat gibt sich nicht als Mensch aus, sammelt keine Daten „auf Vorrat“ und lässt Besucher nicht ohne menschliche Hilfe feststecken.
Was sich seit August 2026 geändert hat
Die Europäische Kommission erläutert, dass Systeme für echte wechselseitige Interaktion — etwa Chatbots und KI-Agenten — Menschen darüber informieren sollen, dass sie mit KI interagieren, sofern dies nicht offensichtlich ist. Der AI Act richtet diese Pflicht vor allem an Anbieter. Ein einsetzendes Unternehmen oder eine Kommune sollte dennoch prüfen, dass der Hinweis nach der Einbettung auf der eigenen Website sichtbar bleibt.
Der AI Act ersetzt die DSGVO nicht. Nimmt der Chat Namen, E-Mail, Bestellnummern, Falldetails oder andere personenbezogene Informationen entgegen, müssen Zweck, Rechtsgrundlage, Information, Zugriff, Aufbewahrung und Sicherheit separat geregelt werden. Ein externes KI-Modell macht Daten nicht automatisch anonym; der EDPB verlangt eine Einzelfallprüfung.
Neun Prüfungen vor dem Start
1. Klar sagen, dass KI antwortet
Zeigen Sie den Hinweis vor der ersten Nachricht oder zu Beginn, nicht nur in Bedingungen. Ein einfacher Satz wie „Sie chatten mit einem KI-Assistenten“ genügt. Unterscheiden Sie automatische Antworten sichtbar von Operator-Nachrichten.
2. Den Zweck benennen
Website-Navigation, Produktberatung und Bestellstatus sind verschiedene Zwecke. Beschreiben Sie den Zweck konkret und verwenden Sie Gespräche nicht ohne Prüfung für unvereinbare neue Zwecke. Für jedes Feld muss die Notwendigkeit erklärbar sein.
3. Nur das Minimum erheben
Für Öffnungszeiten braucht es weder Namen noch E-Mail. Kontaktdaten sollten erst bei menschlicher Nachbearbeitung verlangt werden. Bei Bestellungen sind nur Daten zur sicheren Zuordnung nötig. Passwörter, vollständige Kartendaten oder Ausweiskopien gehören nicht in einen normalen Chat.
4. Vor sensiblen Daten warnen
Ein kurzer Hinweis am Eingabefeld kann Gesundheitsunterlagen, nationale Kennnummern oder Zugangsdaten verhindern. Sind sensible Daten unvermeidbar, ist ein allgemeiner Webchat meist der falsche Kanal; nutzen Sie einen getrennten geschützten Prozess.
5. Kurze Datenschutzinformationen verlinken
Erklären Sie Verantwortlichen, Zwecke, Rechtsgrundlagen, Datenkategorien, Empfänger, Drittlandtransfers, Fristen und Rechte verständlich. Der Text muss den tatsächlichen Datenfluss beschreiben und nicht nur allgemein auf „KI-Nutzung“ hinweisen.
6. Aufbewahrung und Zugriff regeln
Bewahren Sie Gespräche nicht unbegrenzt auf, nur weil Speicher günstig ist. Definieren Sie Fristen für normale Chats, offene Fälle und Auditdaten; danach löschen oder anonymisieren Sie sicher. Zugriff erhalten nur Personen, die ihn für Support, Qualität oder Sicherheit benötigen.
7. Anbieter und Transfers abbilden
Dokumentieren Sie Widget, Anwendung, Datenbank, Analyse und KI-Modell. Prüfen Sie Vertragsrollen, Unterauftragsverarbeiter, Regionen und Transferregeln. „Keine Nutzung fürs Training“ ist hilfreich, ersetzt aber kein vollständiges Verarbeitungsverzeichnis.
8. Einen Menschen und sicheren Ausstieg anbieten
Bei Beschwerden, unklarer Identität, sensiblen Fällen oder wiederholtem Scheitern sollte ein Operator oder anderer Kontakt verfügbar sein. Zeigen Sie die Übernahme durch einen Menschen klar an und übernehmen Sie nur nötigen Kontext.
9. Fehler- und Missbrauchsfälle testen
Testen Sie personenbezogene Daten, Löschanfragen, schädliche Anweisungen, fremde Bestellnummern und die Übergabe. Prüfen Sie Logs, Rechte, Limits, Fehlermeldungen und Modellausfälle. Wiederholen Sie dies nach wichtigen Änderungen.
Praxisbeispiel: Bestellfrage
Ein Kunde fragt: „Wo ist Bestellung 1248?“ Ein schlechter Ablauf zeigt den Status allein aufgrund der Nummer. Ein besserer Ablauf kennzeichnet die KI, verlangt nur den für eine sichere Prüfung nötigen Wert, begrenzt Details und verrät bei fehlender Übereinstimmung nicht, ob die Bestellung existiert. Scheitert die Prüfung, bietet er einen Menschen an, ohne Passwort oder Zahlungsdaten zu verlangen.
Dasselbe gilt für Kommunen. Für ein Formular oder einen Abholtermin ist keine Identität nötig. Ein individuelles Verfahren gehört in einen autorisierten Kanal und nicht als vollständige Akte in ein anonymes Chatfenster.
Prüfung in 15 Minuten
- Ist vor der ersten Nachricht klar, dass es KI ist?
- Sind Zweck und unerwünschte Eingaben verständlich?
- Sind Pflichtfelder wirklich erforderlich?
- Ist die Datenschutzinformation schnell erreichbar?
- Hat jede Gesprächskategorie eine Frist?
- Kennen Sie alle Verarbeiter und Regionen?
- Funktioniert die Übergabe auch bei KI-Ausfall?
- Können Sie Auskunft, Berichtigung und Löschung bearbeiten?
- Ist der letzte Sicherheits- und Inhaltstest dokumentiert?
Informio baut KI-Assistenten auf kontrollierten Quellen auf, beschränkt erlaubte Domains, begrenzt Missbrauch und übergibt Gespräche im selben Widget an einen Operator. Diese Technik muss mit Ihrem Zweck, Aufbewahrungsregeln und Verarbeitungsinformationen verbunden werden.
Quellen
Möchten Sie Informio mit Ihren eigenen Inhalten testen?
Gerne bereiten wir eine Demo mit Ihren Daten vor und erklären Ihnen, wie Sie sichere Antworten für Ihren konkreten Anwendungsfall konfigurieren.
Demo mit Ihren eigenen Daten buchen