EU AI Act & DSGVO in der Praxis

So betreiben Unternehmen KI-Automatisierung rechtssicher und compliance-konform.

Die technologische Entwicklung von KI-gestützter Prozessautomatisierung und autonomen Telefonagenten verläuft in rasendem Tempo. Gleichzeitig wächst jedoch bei vielen Unternehmensentscheidern die Unsicherheit: Was ist rechtlich überhaupt erlaubt?

Mit dem schrittweisen Inkrafttreten des EU AI Acts (dem europäischen Gesetz über Künstliche Intelligenz) sowie den strengen Vorgaben der DSGVO und des Wettbewerbsrechts (UWG) stehen Unternehmen vor klaren regulatorischen Leitplanken. Wer diese Regeln kennt und von Anfang an in seine IT-Architektur integriert, verwandelt rechtliche Vorgaben von einer Bremse in einen echten Wettbewerbsvorteil.

1. Das KI-Gesetz der EU (EU AI Act): Die Kennzeichnungspflicht im Kundenkontakt

Der EU AI Act teilt KI-Systeme in verschiedene Risikoklassen ein. Für die meisten Unternehmen, die KI-Agenten im Kundenservice, Vertrieb oder Inbound-Marketing einsetzen, gilt eine zentrale Grundregel: Transparenz.

Die Kernanforderung

Nutzer müssen sofort wissen, wenn sie mit einer künstlichen Intelligenz interagieren.

• Inbound-Telefonie & Voice Bots: Wenn ein Kunde bei Ihrem Unternehmen anruft und ein KI-Telefonagent den Anruf entgegennimmt, muss sich die KI direkt im ersten Satz als solche zu erkennen geben (z. B. „Guten Tag, ich bin der digitale Sprachassistent von Firma X...“).
• Web-Chatbots & Widget-Systeme: Auch textbasierte Assistenten auf Websites müssen eindeutig als automatisierte KI-Systeme gekennzeichnet sein.

2. DSGVO-Compliance: Personenbezogene Daten schützen

Sobald KI-Systeme E-Mails verarbeiten, Anrufe transkribieren oder Kundendaten in Datenbanken wie Supabase oder ein CRM schreiben, greift die Datenschutz-Grundverordnung (DSGVO).

Die wichtigsten Säulen für den sicheren Betrieb:

1. Auftragsverarbeitungsverträge (AVV / DPA): Mit jedem externen API-Anbieter (z. B. Anbietern für LLMs, Speech-to-Text oder Text-to-Speech) muss ein AV-Vertrag abgeschlossen werden.
2. Deaktivierung des Modell-Trainings (Zero Data Retention / Opt-Out): Unternehmens- und Kundendaten dürfen nicht dazu verwendet werden, die öffentlichen Modelle der KI-Anbieter weiterzutrainieren. Über Enterprise-APIs lässt sich diese Datenverwendung vertraglich und technisch ausschließen.
3. Aufzeichnung von Telefongesprächen (§ 201 StGB & DSGVO): Das Mitschneiden oder Speichern von Sprachdaten (Audio-Recordings) erfordert immer die vorherige, explizite Zustimmung des Anrufers. Werden Gespräche lediglich in Echtzeit verarbeitet und nicht gespeichert, vereinfacht dies die datenschutzrechtliche Umsetzung erheblich.

3. Kaltakquise (Cold Outreach): Klare Grenzen bei E-Mail und Telefonie

Ein häufiger Irrglaube ist, dass KI-Agenten grenzenlos für die Neukundengewinnung eingesetzt werden können. Hier zieht das Gesetz gegen den unlauteren Wettbewerb (UWG) klare Grenzen:

• B2C & B2B Cold Calls: Unaufgeforderte automatisierte Anrufe durch KI-Agenten ohne vorherige, nachweisbare Einwilligung (Opt-In) sind rechtswidrig.
• Gekaufte E-Mail-Listen: Das Kaufen von B2B-E-Mail-Listen für automatisierte Kaltakquise-Kampagnen hält datenschutzrechtlichen Prüfungen in der Regel nicht stand, da Einwilligungen nicht einfach an Dritte übertragbar sind.

Der legale und profitable Weg: Inbound & Warm Leads

Der höchste ROI und die beste Rechtssicherheit liegen in der Inbound-Automatisierung:

• Sofortige Reaktionszeit (Speed-to-Lead): Wenn ein Interessent selbst ein Kontaktformular ausfüllt oder Ihre Hotline anruft, darf die KI sofort reagieren, Anfragen qualifizieren und Termine direkt im Kalender einbuchen.

Fazit: Datenschutz als Qualitätsmerkmal

Rechtssichere KI-Automatisierung ist kein Hexenwerk, sondern eine Frage der richtigen Architektur. Wer auf eine DSGVO-konforme Infrastruktur setzt (z. B. Self-Hosted-Komponenten in der EU, verschlüsselte Datenbanken und transparente Transkriptionen), schützt nicht nur sein Unternehmen vor Bußgeldern und Abmahnungen, sondern baut vor allem ein entscheidendes Gut auf: Vertrauen bei den eigenen Kunden.