EU AI Act & DSGVO: Chatbot-Compliance 2026

EU AI Act und DSGVO: Die neue Compliance-Realität für KI-Chatbots

Mit dem vollständigen Inkrafttreten des EU AI Acts im August 2025 stehen Unternehmen vor einer neuen regulatorischen Landschaft. Für Chatbot-Projekte bedeutet dies: Die bisherige DSGVO-Konformität reicht nicht mehr aus. Wer KI-gestützte Conversational Interfaces betreibt, muss nun zwei Regelwerke parallel erfüllen – und deren Zusammenspiel verstehen.

Dieser Leitfaden zeigt Ihnen, wie Sie Ihre Chatbot-Strategie compliant aufstellen, welche Risikoklassifizierung für Ihren Use Case gilt und welche konkreten Maßnahmen Sie jetzt ergreifen sollten.

AI Act Grundlagen: Was gilt für Chatbots?

Der EU AI Act klassifiziert KI-Systeme nach ihrem Risikopotenzial in vier Kategorien. Für Chatbots ist diese Einordnung entscheidend, da sie die Compliance-Anforderungen bestimmt:

Risikoklasse 1: Unannehmbares Risiko (verboten)

Chatbots, die subliminal manipulieren oder vulnerable Gruppen ausnutzen, sind verboten. Beispiel: Ein Bot, der psychologische Schwächen gezielt für Kaufentscheidungen ausnutzt.

Risikoklasse 2: Hohes Risiko

HR-Chatbots für Bewerbungsscreening, Chatbots in kritischer Infrastruktur oder Bots für Kreditwürdigkeitsprüfungen fallen hierunter. Diese erfordern:

• Umfassende technische Dokumentation
• Risikomanagement-System
• Qualitätsmanagement für Trainingsdaten
• Menschliche Aufsicht (Human Oversight)
• Logging und Nachvollziehbarkeit
• CE-Kennzeichnung

Risikoklasse 3: Begrenztes Risiko (Transparenzpflichten)

Die meisten Business-Chatbots fallen in diese Kategorie. Hier gelten Transparenzanforderungen:

• Nutzer müssen wissen, dass sie mit einer KI interagieren
• Synthetisch generierte Inhalte müssen gekennzeichnet werden
• Bei Emotionserkennung: explizite Information

Risikoklasse 4: Minimales Risiko

Einfache regelbasierte Bots ohne KI-Komponenten unterliegen keinen spezifischen AI-Act-Anforderungen.

DSGVO und AI Act: Die Schnittstellen verstehen

Die beiden Regelwerke ergänzen sich, aber ihre Anforderungen überlappen teilweise – und widersprechen sich gelegentlich in der praktischen Umsetzung.

Gemeinsame Anforderungen

Spannungsfelder in der Praxis

Datenminimierung vs. Modelltraining: Die DSGVO fordert Datenminimierung, KI-Modelle benötigen aber umfangreiche Trainingsdaten. Lösung: Anonymisierung, synthetische Daten oder Federated Learning.

Recht auf Löschung vs. Model Persistence: Personenbezogene Daten in trainierten Modellen lassen sich nicht einfach löschen. Machine Unlearning ist noch nicht ausgereift. Praktischer Ansatz: Keine PII in Fine-Tuning-Datensätzen verwenden.

Auskunftsrecht vs. Erklärbarkeit: Nutzer haben das Recht zu erfahren, wie Entscheidungen zustande kommen. Bei Black-Box-Modellen ist das schwierig. XAI-Methoden (Explainable AI) werden zur Pflicht.

Praktische Compliance-Checkliste für Chatbot-Projekte

Nutzen Sie diese Checkliste, um Ihre Chatbot-Implementierung systematisch auf Compliance zu prüfen:

Phase 1: Risikoklassifizierung

• ☐ Use Case dokumentiert und Risikoklasse bestimmt
• ☐ Bei Hochrisiko-Einordnung: Conformity Assessment geplant
• ☐ Rechtsgrundlage für Datenverarbeitung identifiziert (Art. 6 DSGVO)
• ☐ Besondere Kategorien personenbezogener Daten geprüft (Art. 9 DSGVO)

Phase 2: Technische Dokumentation

• ☐ Systembeschreibung inkl. Architektur erstellt
• ☐ Trainingsdaten dokumentiert (Quellen, Qualitätssicherung, Bias-Prüfung)
• ☐ Leistungsmetriken definiert und messbar
• ☐ Logging-Konzept für Nachvollziehbarkeit implementiert
• ☐ Versionsmanagement für Modell-Updates etabliert

Phase 3: Transparenz-Implementierung

• ☐ KI-Disclosure im Chat-Interface integriert
• ☐ Datenschutzerklärung aktualisiert (Chatbot-Abschnitt)
• ☐ Bei Emotionserkennung: Opt-in-Mechanismus
• ☐ Informationen zur automatisierten Entscheidungsfindung bereitgestellt

Phase 4: Governance & Oversight

• ☐ Verantwortlichkeiten definiert (AI Officer, DSB-Schnittstelle)
• ☐ Eskalationspfade für kritische Situationen
• ☐ Human-in-the-Loop für sensible Entscheidungen
• ☐ Regelmäßige Audits geplant
• ☐ Incident-Response-Prozess für KI-Fehlverhalten

Phase 5: Vendor Management

• ☐ AVV (Auftragsverarbeitungsvertrag) mit Chatbot-Provider
• ☐ Drittlandtransfers geprüft (SCCs, Angemessenheitsbeschlüsse)
• ☐ Subunternehmer-Kette dokumentiert
• ☐ AI-Act-Compliance des Anbieters vertraglich gesichert

Datenschutz-Folgenabschätzung für KI-Chatbots

Eine DSFA ist bei Chatbots in folgenden Fällen erforderlich:

• Systematische Bewertung persönlicher Aspekte (Profiling)
• Verarbeitung besonderer Datenkategorien in größerem Umfang
• Systematische Überwachung öffentlich zugänglicher Bereiche
• Einsatz neuer Technologien mit hohem Risiko

DSFA-Struktur für Chatbot-Projekte

1. Systematische Beschreibung: Welche Daten verarbeitet der Chatbot? Welche KI-Modelle kommen zum Einsatz? Wie lange werden Konversationen gespeichert?

2. Bewertung der Notwendigkeit: Ist der Chatbot für den verfolgten Zweck erforderlich? Gibt es datensparsamere Alternativen?

3. Risikobewertung: Welche Risiken bestehen für Betroffene? Identitätsdiebstahl, Diskriminierung, wirtschaftliche Nachteile?

4. Abhilfemaßnahmen: Technische und organisatorische Maßnahmen zur Risikominimierung. Verschlüsselung, Pseudonymisierung, Zugriffskontrollen.

Vendor-Auswahl unter Compliance-Gesichtspunkten

Die Wahl des Chatbot-Providers hat massive Compliance-Implikationen. Achten Sie bei der Plattformauswahl auf:

Hosting und Datenresidenz

• EU-Hosting: Bevorzugen Sie Anbieter mit Rechenzentren in der EU
• Sovereign Cloud: Für sensible Use Cases: deutsche Cloud-Anbieter oder On-Premise
• US-Anbieter: Nur mit gültigem Data Privacy Framework oder SCCs

Modell-Transparenz

• Welche Foundation Models werden verwendet?
• Wo findet das Training/Fine-Tuning statt?
• Werden Konversationsdaten für Modellverbesserungen genutzt?

Vertragliche Absicherung

Fordern Sie von Anbietern:

• Detaillierten AVV mit Anlage zu technisch-organisatorischen Maßnahmen
• Zusicherung zur AI-Act-Compliance
• Recht auf Audit
• Transparenz über Subunternehmer
• Garantien zur Datennutzung (kein Training mit Kundendaten)

Branchen-Spezifika: Besondere Anforderungen

Finanzdienstleistungen

Zusätzlich zu DSGVO und AI Act gelten BaFin-Anforderungen (MaRisk, BAIT). KI-Systeme müssen in das IT-Risikomanagement integriert werden. Besondere Dokumentationspflichten bei automatisierten Kreditentscheidungen.

Gesundheitswesen

Patientendaten unterliegen erhöhtem Schutz. Chatbots im Gesundheitskontext können als Medizinprodukt eingestuft werden (MDR). Besondere Sorgfalt bei Symptom-Checkern oder Behandlungsempfehlungen.

HR und Recruiting

HR-Chatbots für Bewerber-Screening sind Hochrisiko-KI nach AI Act. Umfassende Dokumentation, Bias-Audits und menschliche Letztentscheidung sind Pflicht. Betriebsrat-Beteiligung nach BetrVG beachten.

Öffentlicher Sektor

Behörden unterliegen zusätzlichen Transparenzanforderungen. Barrierefreiheit (BITV) muss auch für Chatbots gewährleistet sein. Besondere Anforderungen an Nachvollziehbarkeit bei Verwaltungsentscheidungen.

Praktische Umsetzung: Technische Maßnahmen

Privacy by Design im Conversation Flow

Integrieren Sie Datenschutz von Anfang an in Ihr Conversation Design:

• Datenminimierung im Dialog: Fragen Sie nur Daten ab, die für den aktuellen Prozess notwendig sind
• Progressive Disclosure: Sammeln Sie sensible Daten erst, wenn sie wirklich benötigt werden
• Consent im Flow: Holen Sie Einwilligungen kontextbezogen ein, nicht als Wall-of-Text
• Opt-out-Möglichkeiten: Nutzer sollten jederzeit zur menschlichen Betreuung wechseln können

Technische Absicherung

• Ende-zu-Ende-Verschlüsselung: Für Konversationsdaten in Transit und at Rest
• Pseudonymisierung: Session-IDs statt Klarnamen in Logs
• Retention Policies: Automatische Löschung nach definierten Zeiträumen
• Access Controls: Rollenbasierter Zugriff auf Konversationshistorien
• Audit Trails: Lückenlose Protokollierung von Datenzugriffen

Monitoring und kontinuierliche Compliance

Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess:

Regelmäßige Audits

• Quartalsweise Review der Risikoklassifizierung
• Jährliches Bias-Audit für Hochrisiko-Chatbots
• Halbjährliche Überprüfung der technischen Dokumentation
• Kontinuierliches Monitoring der Konversationsqualität

KPI-Tracking für Compliance

• Rate der KI-Disclosures (werden Nutzer informiert?)
• Opt-out-Rate bei Datenerhebung
• Eskalationen an menschliche Mitarbeiter
• Beschwerden mit Datenschutzbezug
• Response-Zeiten bei Auskunftsersuchen

Incident Management

Definieren Sie klare Prozesse für:

• Datenschutzverletzungen durch Chatbot-Fehlfunktionen
• Diskriminierende oder unangemessene Bot-Antworten
• Unberechtigte Datenweitergabe durch Halluzinationen
• Systemausfälle mit Datenverlust

Fazit: Compliance als Wettbewerbsvorteil

Die Doppelbelastung durch DSGVO und AI Act mag zunächst wie ein Hindernis erscheinen. Doch Unternehmen, die Compliance von Anfang an in ihre Chatbot-Strategie integrieren, profitieren mehrfach:

• Vertrauen: Compliant Chatbots stärken das Kundenvertrauen
• Risikominimierung: Bußgelder von bis zu 35 Mio. Euro oder 7% des Jahresumsatzes werden vermieden
• Qualität: Dokumentationspflichten führen zu besser durchdachten Systemen
• Zukunftssicherheit: Frühzeitige Compliance macht spätere Anpassungen überflüssig

Beginnen Sie jetzt mit der systematischen Compliance-Prüfung Ihrer Chatbot-Projekte. Die Übergangsfristen des AI Acts enden – und die Aufsichtsbehörden bereiten sich auf Prüfungen vor.

Benötigen Sie Unterstützung bei der Compliance-Bewertung Ihres Chatbot-Projekts? Unsere Berater kombinieren technische KI-Expertise mit fundiertem Datenschutz-Know-how. Kontaktieren Sie uns für eine unverbindliche Ersteinschätzung.