Was gilt wann? Der Zeitplan nach dem Digital-Omnibus
Die KI-Verordnung (Verordnung (EU) 2024/1689, oft „AI Act“ genannt) greift nicht auf einen Schlag, sondern in Stufen. Im Juli 2026 hat die EU den Zeitplan mit der sogenannten Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744 vom 8. Juli 2026) noch einmal geändert. Viele Übersichten im Netz sind deshalb veraltet. So sieht der Fahrplan laut Art. 113 in der konsolidierten Fassung aus (Stand: Oktober 2026):
| Seit / ab | Was gilt | Relevant für deinen Website-Chatbot? |
|---|---|---|
| 2. Februar 2025 | Kapitel I und II: Begriffe, KI-Kompetenz (Art. 4), verbotene Praktiken (Art. 5) | Ja, Art. 4 betrifft fast jedes Unternehmen, das KI einsetzt |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen | Indirekt: trifft die Hersteller großer Sprachmodelle |
| 2. August 2026 | Allgemeine Geltung, darunter die Transparenzpflichten aus Art. 50 | Ja, der KI-Hinweis im Chat |
| 2. Dezember 2026 | Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung (Art. 50 Abs. 2) bei generativen Systemen, die schon vor dem 2. August 2026 am Markt waren | Kaum: richtet sich an Anbieter generativer Systeme |
| 2. Dezember 2027 | Hochrisiko-Pflichten für Systeme nach Anhang III (vorher: 2. August 2026) | Nur, wenn dein Bot für einen Anhang-III-Zweck eingesetzt wird |
| 2. August 2028 | Hochrisiko-Pflichten für Systeme nach Anhang I (Produktsicherheit) | In der Regel nein |
Wichtig: Der Omnibus hat die Hochrisiko-Fristen verschoben, den KI-Hinweis für Chatbots aber nicht. Art. 50 Abs. 1 und 5 gelten unverändert seit dem 2. August 2026.
In welche Risikoklasse fällt dein Chatbot?
Die KI-Verordnung sortiert KI-Systeme nach Risiko. Ein typischer Website-Chatbot, der Fragen zu Öffnungszeiten, Produkten, Preisen oder Terminen beantwortet, ist kein Hochrisiko-System. Er fällt unter die Transparenzpflichten: Menschen müssen wissen, dass sie mit einer KI schreiben.
Anders sieht es aus, wenn der Bot über Menschen entscheidet oder sie bewertet. Anhang III nennt unter anderem KI-Systeme, die Bewerbungen analysieren und filtern oder Kandidaten bewerten, die die Kreditwürdigkeit natürlicher Personen prüfen oder die bei Lebens- und Krankenversicherungen Risiken bewerten und Preise festlegen. Für solche Systeme gelten ab dem 2. Dezember 2027 deutlich strengere Regeln.
Faustregel: Solange dein Bot informiert, Leads aufnimmt und an dein Team übergibt, bleibst du bei Art. 4 und Art. 50. Stuft er Menschen ein, hol dir rechtlichen Rat.
Anbieter oder Betreiber: Wer muss was tun?
Die Verordnung unterscheidet zwei Rollen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung nutzt.
Die Pflicht aus Art. 50 Abs. 1, über die KI-Interaktion zu informieren, richtet sich an den Anbieter. Er muss den Chatbot so gestalten, dass Nutzer den Hinweis bekommen. Wenn du einen fertigen Chatbot-Dienst auf deiner Website einbindest, bist du in der Regel Betreiber. Die Leitlinien der EU-Kommission zu Art. 50 (C(2026) 5054 vom 20. Juli 2026) halten aber fest: Wer ein bestehendes System verändert, etwa mit eigenen Trainingsdaten, und es unter eigenem Namen in Betrieb nimmt, kann selbst zum Anbieter des neuen Systems werden.
Für die Praxis heißt das: Selbst wenn dein Dienstleister formal in der Pflicht ist, siehst du als Website-Betreiber, was Besucher tatsächlich zu lesen bekommen. Löschst du beim Anpassen der Begrüßung den KI-Hinweis, hilft dir die Rollenverteilung wenig.
Pflicht 1: Der KI-Hinweis im Chat (Art. 50)
Nach Art. 50 Abs. 1 müssen Menschen, die direkt mit einem KI-System interagieren, darüber informiert werden, es sei denn, das ist für eine angemessen informierte, aufmerksame Person offensichtlich. Abs. 5 verlangt, dass die Information klar und eindeutig ist, spätestens bei der ersten Interaktion kommt und die Anforderungen an Barrierefreiheit erfüllt.
Die Kommissions-Leitlinien machen das greifbarer. Sie sind rechtlich nicht verbindlich, zeigen aber, wie die Kommission die Regel versteht:
- Die Ausnahme „offensichtlich“ ist eng. Sie soll nur greifen, wenn kaum Zweifel bleiben. Als Beispiel, wo sie nicht greift, nennen die Leitlinien ausdrücklich KI-Chatbots in Online-Plattformen und Helpdesks. Ein Kundenservice-Bot auf deiner Website braucht also den Hinweis.
- Gute Formen: ein Chatbot, der das Gespräch mit dem Hinweis beginnt, dass er auf KI basiert, ein Banner wie „Du chattest mit einem KI-System“, ein dauerhaftes Label im Chatfenster.
- Zu wenig: ein Hinweis nur in AGB oder Datenschutzerklärung, ein allgemeiner Satz wie „Diese Website nutzt KI“, das bloße Wort „Assistent“ oder technische Formulierungen wie „dieses System nutzt LLMs“. Auch menschlich wirkende Darstellungen, die in die Irre führen, sehen die Leitlinien kritisch.
- Wiederholte Gespräche: Meist reicht ein deutlicher Hinweis vor der ersten Interaktion. In sensiblen Bereichen wie Finanz- und Versicherungsfragen, Rechts- oder Gesundheitsthemen und Beschwerden erwartet die Kommission zusätzliche Erinnerungen.
- Ehrlich bleiben, wenn gefragt: Fragt jemand den Bot, ob er ein Mensch ist, muss die Antwort klarstellen, dass es eine KI ist.
- Mensch im Spiel: Dass ein Mitarbeiter theoretisch eingreifen könnte, ersetzt den Hinweis nicht. Bei gemischten Gesprächen geht es darum, welche Antworten von der KI stammen.
Wie du den Hinweis konkret formulierst und wo er stehen sollte, haben wir im Artikel KI-Kennzeichnungspflicht für Website-Chatbots mit Beispielen ausgearbeitet.
Pflicht 2: KI-Kompetenz im Team (Art. 4)
Art. 4 gilt seit dem 2. Februar 2025 für Anbieter und Betreiber, also auch für dich, wenn dein Unternehmen einen Chatbot einsetzt. Der Digital-Omnibus hat die Pflicht abgeschwächt. Früher hieß es, Unternehmen müssten „nach besten Kräften“ für ausreichende KI-Kompetenz sorgen. Jetzt müssen sie Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, zu unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen wird ausdrücklich nicht verlangt (Stand: Oktober 2026).
Was das für ein kleines Team praktisch bedeuten kann:
- Festlegen, wer den Chatbot betreut: Wissen pflegen, Antworten prüfen, Übergaben annehmen.
- Eine kurze interne Anleitung: was der Bot darf, was nicht, wann ein Mensch übernimmt, welche Daten nicht in den Chat gehören.
- Eine Einweisung für alle, die Gespräche übernehmen oder das Wissen des Bots bearbeiten.
- Das Ganze kurz dokumentieren, mit Datum. Das hilft, falls jemand nachfragt.
Aufsicht und Bußgelder in Deutschland
Seit dem 29. Juli 2026 ist das deutsche Durchführungsgesetz in Kraft, das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG). Die Bundesnetzagentur ist damit Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung, soweit keine andere Fachbehörde zuständig ist. Sie überwacht unter anderem die Einhaltung der Transparenzpflichten. Für kleine Unternehmen bietet sie einen KI-Service Desk mit Informationen und einem Online-Tool zur ersten Einschätzung der Risikoklasse.
Zu den Bußgeldern: Art. 99 Abs. 4 der KI-Verordnung sieht für Verstöße gegen die Transparenzpflichten aus Art. 50 Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für KMU und Start-ups gilt nach Abs. 6 der jeweils niedrigere Betrag. Art. 4 taucht in der Aufzählung von Art. 99 Abs. 4 nicht auf. Das ist kein Freibrief, aber beim KI-Hinweis ist das Risiko greifbarer.
Checkliste: KI-Verordnung für deinen Website-Chatbot
| Prüfpunkt | Worauf du achtest |
|---|---|
| Zweck klären | Informiert der Bot nur, oder bewertet er Menschen (Bewerbung, Kredit, Versicherung)? Im zweiten Fall Hochrisiko prüfen lassen. |
| Rolle klären | Nutzt du einen fertigen Dienst (Betreiber) oder baust bzw. veränderst du ein System unter eigenem Namen (Anbieter)? |
| KI-Hinweis in der ersten Nachricht | Die Begrüßung sagt klar, dass eine KI antwortet. Nicht nur „Assistent“. |
| Dauerhaftes Label | Ein sichtbares KI-Label im Chatfenster, als Text lesbar für Screenreader. |
| Keine menschliche Täuschung | Kein echtes Personenfoto für den Bot, kein Name ohne KI-Bezug. |
| Ehrliche Antwort auf „Bist du ein Mensch?“ | Selbst testen. Die Antwort muss klar sein. |
| Sensible Themen | Bei Finanz-, Versicherungs-, Rechts-, Gesundheitsfragen oder Beschwerden den Hinweis im Gespräch wiederholen. |
| Übergabe an Menschen | Sichtbar machen, wann ein Mitarbeiter schreibt und wann wieder der Bot. |
| KI-Kompetenz | Verantwortliche Person benannt, kurze Anleitung, Einweisung, Datum notiert. |
| Nachweis | Screenshot von Begrüßung und Label mit Datum ablegen. |
Und die DSGVO?
Die KI-Verordnung ersetzt den Datenschutz nicht, sie kommt dazu. Für einen Website-Chatbot bleiben die bekannten Fragen: Lädt das Widget erst nach Einwilligung, wo werden Gesprächsdaten verarbeitet, gibt es einen Vertrag zur Auftragsverarbeitung, und steht der Anbieter in deiner Datenschutzerklärung? Die Grundlagen findest du im DSGVO-Leitfaden für Chatbots, die Schritt-für-Schritt-Prüfung eines bestehenden Bots in Website-Chatbot auf DSGVO prüfen.
Bei Webweezl AI werden die Daten laut unserer Startseite in der Region Westeuropa gespeichert, die KI-Verarbeitung erfolgt in der EU, ein AVV nach Art. 28 DSGVO ist inklusive und Gesprächsdaten werden nicht zum Training von KI-Modellen genutzt. Wenn du in einer Branche mit sensiblen Anfragen arbeitest, schau dir an, wie ein Chatbot für Finanzdienstleister und Versicherungen aufgebaut sein kann. Die Preise der Pläne findest du unter Preise.