KI-Telefonassistenten fallen typisch in die EU-AI-Act-Klasse „begrenztes Risiko" (Art. 50) — Hauptpflicht: Anrufer müssen vor Gesprächsbeginn klar erfahren, dass sie mit einer KI sprechen. Hinzu kommen Anforderungen aus DSGVO, AI-Act-Transparenz, Logging-Pflichten und ggf. Hochrisiko-Erweiterungen (Bewerbung, Bonität, Behörden). Bußgelder bis 35 Mio. €. Unsere 12-Punkte-Checkliste deckt alle relevanten Anforderungen ab — anbieterneutral.
Dieser Leitfaden basiert auf Verordnung (EU) 2024/1689 (AI Act), DSGVO, EDSA-Leitlinien sowie öffentlichen Veröffentlichungen der EU-Kommission und nationaler Aufsichtsbehörden (Stand: Mai 2026). Er ersetzt keine juristische Einzelfallberatung — bei Hochrisiko-Anwendungen empfehlen wir die Abstimmung mit DSB und Justiziariat.
Was der EU AI Act ist — und was er nicht ist
Die Verordnung (EU) 2024/1689 — kurz EU AI Act — ist das weltweit erste umfassende KI-Gesetz. Sie regelt nicht KI an sich, sondern KI-Systeme nach ihrer Anwendung und ihrem Risikopotenzial. Vier Klassen: verboten (Art. 5), hohes Risiko (Anhang III), begrenztes Risiko (Art. 50), minimales Risiko (Standard-KI-Anwendungen).
Der Act ergänzt — und ersetzt nicht — bestehende Gesetze: DSGVO, BGB, ProdHaftG, BDSG, ePrivacy. Wer DSGVO-konform aufgestellt ist, hat 60–70 % der AI-Act-Pflichten bereits abgedeckt. Die restlichen 30 % sind die wirklich neuen Anforderungen, um die es im Folgenden geht.
In welche Risikoklasse fällt ein KI-Telefonassistent?
Die kurze Antwort: typisch begrenztes Risiko (Art. 50, Abs. 1). Die längere Antwort hängt vom konkreten Einsatzszenario ab. Drei Szenarien, drei Klassen:
Manipulative KI-Sprachausgaben, die Personen täuschen sollen (z. B. Deepfake-Stimme eines Familienmitglieds), Social-Scoring-Systeme oder verdeckte emotionale Manipulation am Arbeitsplatz sind absolut verboten. Bußgeld bis 35 Mio. € oder 7 % Welt-Jahresumsatz, je nachdem was höher ist.
Die Kernpflicht: Transparenz nach Art. 50
Für KI-Telefonassistenten ist Art. 50 Abs. 1 die Schlüsselnorm. Wörtlich: „Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so gestaltet und entwickelt werden, dass die betreffenden natürlichen Personen darüber informiert werden, dass sie mit einem KI-System interagieren."
Konkret heißt das in der Praxis: Der Anrufer muss vor dem ersten echten Austausch wissen, dass er mit einer KI spricht. „Hallo, ich bin der digitale Assistent der Praxis Dr. Müller. Wie kann ich helfen?" reicht — „Hallo, hier Anna von Praxis Müller…" reicht nicht. Eine Stimme, die suggeriert, eine echte Person zu sein, ist konformitätswidrig und kann auch als arglistige Täuschung gewertet werden.
„Schönen Tag, hier ist der digitale Assistent der Praxis Dr. Müller. Ich helfe gerne bei Termin-Anliegen, Sprechzeiten und Standard-Auskünften. Bei medizinischen Notfällen rufen Sie bitte umgehend den Notruf 112. Wie kann ich Sie unterstützen?" — enthält KI-Hinweis, Identifikation, Eskalations-Hinweis und offene Frage.
Die 12-Punkte-Compliance-Checkliste für KI-Telefon-Anbieter
Diese Punkte sollten Sie vor Vertragsabschluss schriftlich vom Anbieter bestätigt bekommen — sie sind das Minimum für eine prüffeste Compliance-Akte:
Senden Sie diese 12 Punkte als nummerierte Liste an Ihren Anbieter mit Bitte um Bestätigung pro Punkt — schriftlich, nicht im Telefonat. Wer Punkt 4, 6 oder 7 nicht klar beantworten kann, ist 2026 nicht mehr enterprise-ready. Anbieter, die alle 12 Punkte solide beantworten, signalisieren Compliance-Reife.
Zusammenspiel mit der DSGVO — was zusätzlich zu prüfen ist
Der AI Act sagt mehrfach: „unbeschadet der DSGVO". Wer also AI-Act-konform ist, ist nicht automatisch DSGVO-konform — und umgekehrt. Vier zusätzliche Punkte, die DSGVO verlangt:
Bußgelder, Haftung, Reputation
Der AI Act sieht ein gestuftes Bußgeldregime vor (Art. 99). Drei Klassen, jeweils der höhere Wert: bis 35 Mio. € / 7 % Welt-Jahresumsatz (verbotene Praktiken), bis 15 Mio. € / 3 % (Pflichtverletzungen), bis 7,5 Mio. € / 1,5 % (irreführende Angaben gegenüber Behörden). Für KMU sind diese Bußgelder schmerzhaft — die Reputation ist oft kostspieliger.
Beide. Der Anbieter (provider, Art. 16) muss die technische Konformität sicherstellen. Der Betreiber (deployer, Art. 26) muss das System bestimmungsgemäß einsetzen, Anweisungen befolgen, Beschäftigte informieren und schwere Vorfälle melden. Für die Praxis heißt das: Wer einen KI-Telefonassistenten einsetzt, ist mit verantwortlich — nicht nur „der Hersteller".
Roadmap bis 02. August 2026 — was jetzt zu tun ist
1) AI-Literacy-Pflicht (Art. 4) erfüllen — kostenlose Schulungen z. B. der bayerischen Datenschutzaufsicht, der KI-Strategie der Bundesregierung oder Stiftung Datenschutz nutzen. 2) Bestehenden KI-Telefon-Anbieter mit der 12-Punkte-Liste konfrontieren. 3) Anrufaufzeichnungen stichprobenartig prüfen: Wird der Transparenzhinweis tatsächlich gegeben?
Compliance-Pack anfordern
Wir senden Ihnen unsere AI-Act- & DSGVO-Compliance-Doku (12-Punkte-Antworten, AVV-Vorlage, Transparenzhinweis-Mustertexte in 30 Sprachen) — kostenlos und ohne Vertragsbindung.
Pack anfragen