EU AI Act 2026: Warum ab sofort jeder KI-Voice- und Chat-Anbieter abmahnfähig ist

Seit dem 2. August 2026 ist es scharf: Artikel 50 des EU AI Act ist anwendbar, ohne Übergangsfrist. Jedes Unternehmen, das einen KI-Voice-Agenten ans Telefon oder einen Chatbot auf die Website stellt, muss Anrufern und Chattern klar und unmissverständlich mitteilen, dass sie mit einer KI sprechen. Wer das nicht tut, verstößt nicht irgendwann, sondern ab sofort gegen geltendes EU-Recht - und riskiert nach Einschätzung mehrerer deutscher Kanzleien nicht nur ein Bußgeldverfahren, sondern eine ganz reale, kurzfristige Gefahr: die wettbewerbsrechtliche Abmahnung durch Mitbewerber oder Verbände, ganz ohne Behördenverfahren.

Das Problem: Die meisten Anbieter von KI-Telefonie- und Chat-Systemen haben das noch nicht umgesetzt. Wir haben den EU AI Act für Voice- und Chat-KI-Systeme im Detail durchleuchtet, verifiziert mit Primärquellen (eur-lex, EU-Kommission, Bundesnetzagentur) und mit deutschem Wettbewerbsrecht abgeglichen. Hier ist, was wirklich gilt - und was ihr diese Woche noch tun solltet.

Der EU AI Act in 60 Sekunden

Die Verordnung (EU) 2024/1689 ("AI Act") ist am 1. August 2024 in Kraft getreten, wird aber gestaffelt über mehrere Jahre anwendbar. Die wichtigsten Stichtage:

Wir befinden uns also mitten in der wichtigsten Umsetzungswelle der gesamten Verordnung: Transparenzpflichten und ein großer Teil der Hochrisiko-Regeln sind seit gestern in Kraft.

Die Kernpflicht: Art. 50 Abs. 1 - KI-Offenlegungspflicht

Kern der aktuellen Pflicht ist unmissverständlich formuliert: Anbieter von KI-Systemen, die zur direkten Interaktion mit natürlichen Personen bestimmt sind, müssen sicherstellen, dass diese Personen spätestens zu Beginn der ersten Interaktion, klar und verständlich informiert werden, dass sie mit einem KI-System kommunizieren.

Das gilt ausdrücklich auch für automatisierte Telefonsysteme - die EU-Kommission nennt "automated phone systems" explizit als Anwendungsbeispiel in ihrer offiziellen FAQ zu Art. 50. Für Chatbots gilt dieselbe Pflicht.

Es gibt eine Ausnahme: Wenn für eine "normal informierte, aufmerksame und verständige" Person ohnehin offensichtlich ist, dass sie mit KI interagiert, entfällt die explizite Hinweispflicht. In der Praxis ist diese Ausnahme bei einem echten Telefongespräch kaum tragfähig - ein Anruf, der wie ein menschliches Gespräch klingt, ist per Definition nicht "offensichtlich" KI. Wer sich auf diese Ausnahme verlässt, geht ein hohes Risiko ein.

Was noch zu Art. 50 gehört

Art. 50 regelt vier verschiedene Fälle, die häufig durcheinandergeworfen werden:

• Abs. 1 - die KI-Offenlegungspflicht gegenüber Endnutzern (siehe oben) - das ist die Pflicht, die seit gestern ohne jede Übergangsfrist gilt.
• Abs. 2 - maschinenlesbare Kennzeichnung von KI-generierten Inhalten (Text, Bild, Audio, Video) durch den Anbieter. Hierfür gibt es eine Übergangsfrist bis 2. Dezember 2026 für Systeme, die bereits vor dem 2.8.2026 im Markt waren, und einen im Juli 2026 von der EU-Kommission als adäquat bestätigten Code-of-Practice-Standard, an dem sich Unternehmen orientieren können.
• Abs. 3 - Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen müssen die betroffenen Personen informieren.
• Abs. 4 - Kennzeichnungspflicht für Deepfakes: KI-generierte Audio-, Bild- oder Videoinhalte, die eine reale Person, ein Ereignis oder einen Ort fälschlich als echt erscheinen lassen.

Für ein normales Kundenservice-Setup (Voice-Agent am Telefon, Chatbot auf der Website) ist Abs. 1 die Pflicht, die jetzt sofort greift. Abs. 2 betrifft vor allem die technische Kennzeichnung generierter Audiodateien und hat noch Zeit bis Dezember. Abs. 4 wird erst relevant, wenn eine reale Person geklont wird (z. B. Voice-Cloning einer bestimmten Stimme).

Das unterschätzte Risiko: Nicht die Behörde, sondern die Abmahnung

Die meisten Diskussionen zum AI Act drehen sich um Bußgelder von Aufsichtsbehörden. Das ist wichtig, aber es unterschätzt das eigentlich akute Risiko in Deutschland: die wettbewerbsrechtliche Abmahnung.

Mehrere deutsche Kanzleien (u. a. tww.law, Kanzlei Heidicker, Prigge Recht) kommen unabhängig voneinander zu derselben Einschätzung: Art. 50 AI Act dürfte als Marktverhaltensregel im Sinne von § 3a UWG einzustufen sein - in direkter Analogie zur bereits gerichtlich anerkannten Einordnung der DSGVO. Das bedeutet konkret:

• Abmahnberechtigt sind nicht nur Behörden, sondern auch Mitbewerber und qualifizierte Wirtschafts- und Verbraucherverbände.
• Eine Abmahnung braucht kein Verwaltungsverfahren - sie kann innerhalb weniger Tage kommen.
• Die Wettbewerbszentrale hat bereits im Februar 2026 vorbereitende Guidance zu Kennzeichnungspflichten veröffentlicht - ein deutliches Signal, dass Verfahren vorbereitet werden.
• Kanzleien ziehen explizit die Parallele zur Influencer-Kennzeichnungs-Abmahnwelle der letzten Jahre - ein Massenphänomen, das viele Unternehmen kalt erwischt hat.

Für Unternehmen mit KI-Telefonie oder Chatbots heißt das: Ein einzelner Wettbewerber kann euch abmahnen, weil euer Voice-Agent sich nicht als KI zu erkennen gibt - unabhängig davon, ob die Bundesnetzagentur je aktiv wird.

Wer haftet? Anbieter vs. Betreiber - und die Falle für White-Label

Der AI Act unterscheidet strikt zwischen zwei Rollen:

• Anbieter (Provider): Wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt.
• Betreiber (Deployer): Wer ein KI-System unter eigener Verantwortung nutzt.

Ein SaaS-Unternehmen, das eine KI-Voice-/Chat-Plattform anbietet, ist in der Regel Anbieter des Basissystems. Der Kunde, der die Plattform für sein eigenes Geschäft konfiguriert, ist in der Regel Betreiber.

Zwei Details werden dabei oft übersehen:

1. Art. 25 Abs. 1 lit. a - die White-Label-Falle: Wer seine eigene Marke auf einem KI-System anbringt, das bereits in Verkehr gebracht wurde, kann dadurch selbst zum Anbieter werden - relevant vor allem bei Reseller- und White-Label-Modellen, wenn im Einzelfall ein Hochrisiko-System betroffen ist.
2. Art. 25 Abs. 1 lit. c - die Zweckänderungs-Falle: Wer eine generische KI-Plattform so konfiguriert, dass sie einem Hochrisiko-Zweck dient (siehe nächster Abschnitt), wird dadurch selbst zum Anbieter dieses neu entstandenen Systems - mit dem vollen Pflichtenkatalog.

Die Hochrisiko-Falle: Wann wird aus eurem Chatbot ein "Hochrisiko-KI-System"?

Anhang III des AI Act listet Kategorien, die automatisch als Hochrisiko gelten - darunter besonders relevant für Voice-/Chat-Systeme:

• Zugang zu wesentlichen öffentlichen Diensten und Behördenleistungen
• Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen
• Risikobewertung und Preisbildung bei Lebens- und Krankenversicherung

Ein KI-Voice-Agent, der bei einer Versicherung oder Bank eingesetzt wird, ist nicht automatisch Hochrisiko - es gibt eine wichtige Ausnahme (Art. 6 Abs. 3, der "Escape Valve"): Systeme, die nur eine enge, vorbereitende oder strukturierende Verfahrensaufgabe erfüllen und die eigentliche Entscheidung nicht ersetzen, gelten nicht als Hochrisiko. Sobald ein System aber Profiling natürlicher Personen betreibt, greift diese Ausnahme nicht mehr - dann ist es immer Hochrisiko.

Praktisch bedeutet das: Nimmt der Agent nur Informationen auf und übergibt sie an einen Menschen zur Entscheidung, ist das in der Regel unkritisch. Trifft der Agent selbst algorithmisch eine Vorentscheidung über Kreditwürdigkeit oder Versicherungsrisiko, wird es Hochrisiko - mit Pflichten wie Risikomanagementsystem, Daten-Governance, technischer Dokumentation, Logging, menschlicher Aufsicht und EU-Registrierung.

Verbotene Praktiken (Art. 5) - was niemals erlaubt ist

Seit Februar 2025 bereits in Kraft, aber weiterhin relevant für jede Konfiguration von KI-Systemen:

• Subliminale oder manipulative Techniken, die die Entscheidungsfähigkeit einer Person wesentlich beeinträchtigen und erheblichen Schaden verursachen
• Gezielte Ausnutzung von Vulnerabilitäten (Alter, Behinderung, wirtschaftliche Notlage)
• Social Scoring - Bewertung von Personen nach Sozialverhalten mit sachfremden Nachteilen
• Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (absolutes Verbot, kaum Ausnahmen)
• Biometrische Kategorisierung zur Ableitung sensibler Merkmale wie Ethnie, politische Meinung oder sexuelle Orientierung

Für Outbound-Kampagnen mit KI-Voice-Agenten heißt das konkret: Skripte, die gezielt auf vulnerable Zielgruppen zugeschnitten sind (etwa aggressive Finanzprodukt-Verkäufe an Senioren), bewegen sich nicht nur in einer rechtlichen, sondern in einer verbotenen Grauzone.

Bußgelder im Überblick

Kleine und mittlere Unternehmen profitieren von einer Reduktion (50% für KMU, 75% für Kleinstunternehmen). In Deutschland ist die Bundesnetzagentur als zentrale Marktüberwachungs- und Beschwerdestelle für den AI Act zuständig, nachdem der Bundestag im Sommer 2026 das entsprechende Durchführungsgesetz (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG) verabschiedet hat.

Die 7-Punkte-Checkliste: Was jetzt zu tun ist

1. KI-Offenlegung technisch erzwingen, nicht nur dokumentieren - eine Ansage/Nachricht zu Gesprächs-/Chatbeginn, die nicht vom einzelnen Mitarbeiter vergessen oder deaktiviert werden kann.
2. Zweckbestimmung schriftlich festlegen: klarstellen, dass eure KI-Systeme nicht für automatisierte Letztentscheidungen in Kredit-, Versicherungs- oder Behördenkontexten ohne menschliche Aufsicht bestimmt sind - das schützt euch davor, ungewollt zum Hochrisiko-Anbieter zu werden.
3. Prüfen, ob eigene Kunden in Hochrisiko-Branchen (Finance, Insurance, Government, Healthcare) tatsächlich Anhang-III-Anwendungsfälle betreiben, und das dokumentieren.
4. AGB und Datenschutzerklärung aktualisieren: Rollenklärung (Anbieter/Betreiber), Zweckbestimmung, Hinweis auf die technische KI-Offenlegung.
5. Aufzeichnungs-Consent nicht vom Zufall abhängig machen - wenn Gespräche aufgezeichnet werden, muss die Einwilligung genauso automatisch eingeholt werden wie die KI-Offenlegung.
6. White-Label-/Reseller-Vereinbarungen prüfen: schriftlich regeln, wer bei Marken-Rebranding welche Informationspflichten trägt (Art. 25 Abs. 4).
7. Verbotene-Praktiken-Check für Outbound-Skripte: keine gezielte Ausnutzung vulnerabler Zielgruppen, keine emotionale Manipulation.

Wie EchoCall das konkret umgesetzt hat

Wir haben diese Checkliste nicht nur geschrieben, sondern am selben Tag umgesetzt, an dem Art. 50 anwendbar wurde. Jeder EchoCall Voice- und Chat-Agent eröffnet das Gespräch jetzt automatisch mit einer klaren KI-Offenlegung - fest im System verankert, nicht vom Kunden deaktivierbar, automatisch in der jeweiligen Gesprächssprache. Wird eine Aufzeichnung genutzt, wird das im selben Zug mit angesagt. Unsere Nutzungsbedingungen und Datenschutzerklärung wurden entsprechend um die Rollenklärung nach dem AI Act und eine klare Zweckbestimmung erweitert, die Hochrisiko-Einsätze ohne menschliche Aufsicht explizit ausschließt. Details zu unserem gesamten Compliance-Ansatz - inklusive Zero-PII-Modus, ISO-27001-Rechenzentren und DSGVO-Konformität - findet ihr auf unserer Security-Seite und DSGVO-Seite.

FAQ: EU AI Act für KI-Voice- und Chat-Systeme

Muss ich als kleines Unternehmen den AI Act auch einhalten?

Ja. Der AI Act unterscheidet nicht nach Unternehmensgröße bei der Frage, ob eine Pflicht gilt - nur bei der Höhe möglicher Bußgelder gibt es eine KMU-Reduktion (50% bzw. 75%). Wer als kleines Unternehmen einen KI-Voice-Agenten oder Chatbot betreibt, muss die Offenlegungspflicht aus Art. 50 Abs. 1 genauso erfüllen wie ein Großkonzern.

Reicht es, die KI-Offenlegung in den AGB zu erwähnen?

Nein. Art. 50 Abs. 1 verlangt eine Information gegenüber der konkreten Person, mit der interagiert wird, spätestens zu Beginn der Interaktion - also im Gespräch selbst oder im Chat-Fenster, nicht nur in einem Rechtstext, den kaum jemand vor dem Anruf liest.

Was passiert, wenn mein KI-Anbieter die Offenlegung nicht automatisch einbaut?

Dann liegt die Verantwortung bei euch als Betreiber (Deployer), das selbst sicherzustellen - und ihr tragt das volle Abmahn- und Bußgeldrisiko, auch wenn die zugrunde liegende Technologie von einem Drittanbieter stammt. Bei der Auswahl eines KI-Anbieters lohnt sich deshalb die direkte Nachfrage, ob die Offenlegung technisch erzwungen oder nur dokumentiert wird.

Betrifft mich der AI Act auch, wenn mein Unternehmen nicht in der EU sitzt?

Ja, wenn eure KI-Systeme zur Interaktion mit Personen in der EU eingesetzt werden. Der räumliche Anwendungsbereich des AI Act orientiert sich am Ort der Auswirkung, nicht am Sitz des Anbieters.

Ist eine kurze Ansage wie "Sie sprechen mit einer KI" ausreichend?

Für Art. 50 Abs. 1 in einem einfachen Kundenservice-Kontext ja, solange die Information klar, verständlich und zu Beginn der Interaktion erfolgt. Bei Emotionserkennung, biometrischer Kategorisierung oder Hochrisiko-Einsätzen kommen zusätzliche, weitergehende Informationspflichten hinzu.

Gilt die Kennzeichnungspflicht auch für Sprachbeispiele auf Websites?

Grundsätzlich ja - synthetisch erzeugte Audioinhalte, die öffentlich zugänglich gemacht werden, fallen unter die Kennzeichnungspflicht für KI-generierte Inhalte (Art. 50 Abs. 2), wenn auch mit Übergangsfrist bis Dezember 2026 für Bestandsinhalte. Wer jetzt schon Sprachbeispiele veröffentlicht, sollte diese als KI-generiert kenntlich machen.

Dieser Beitrag ersetzt keine Rechtsberatung. Er wurde auf Basis öffentlich zugänglicher Primärquellen (Verordnung (EU) 2024/1689, Leitlinien der EU-Kommission, Bundesnetzagentur) sowie Einschätzungen deutscher Fachkanzleien erstellt und spiegelt den Stand vom 3. August 2026. Für eine rechtsverbindliche Einschätzung eures konkreten Anwendungsfalls wendet euch an eine spezialisierte Kanzlei.