EU AI Act 2026: Was Websites, Chatbots und KI-Inhalte jetzt beachten müssen

Eine belastbare Prüfung beginnt nicht beim sichtbaren Chatfenster. Auch Textentwürfe, Bildgeneratoren, Produktempfehlungen, Lead-Bewertung, Übersetzungen und Support-Zusammenfassungen können KI verwenden. Für jedes System werden Anbieter, Zweck, Datenquellen, betroffene Personen und menschliche Kontrollen dokumentiert.

Die Inventarliste trennt interne Assistenz von Funktionen, mit denen Kunden direkt interagieren. Sie hält außerdem fest, ob ein Unternehmen ein fertiges System nur einsetzt, es wesentlich anpasst oder selbst anbietet. Diese Rollen können unterschiedliche Pflichten auslösen.

• ✓Name und Anbieter des Systems
• ✓Geschäftszweck und betroffener Prozess
• ✓Verarbeitete Daten und erlaubte Quellen
• ✓Direkter Kontakt mit Kunden oder Mitarbeitenden
• ✓Freigabe, Protokollierung und verantwortliche Person

Menschen sollten erkennen können, wenn sie direkt mit einem KI-System kommunizieren, sofern das nicht ohnehin offensichtlich ist. Der Hinweis gehört deshalb an den Beginn einer Chat- oder Sprachinteraktion und nicht versteckt in eine allgemeine Datenschutzerklärung.

Ein guter Hinweis erklärt knapp, dass ein automatisiertes System antwortet, welchen Aufgabenbereich es hat und wie ein Mensch erreicht wird. Er darf nicht suggerieren, dass jede Antwort geprüft wurde. Bei KI-generierten oder manipulierten Inhalten gelten je nach Art und Verwendung zusätzliche Anforderungen, die fachlich geprüft werden sollten.

Automatisch erzeugte Texte, Bilder und Antworten benötigen eine klare Freigabelogik. Fakten, Preise, Rechtsaussagen und Leistungsversprechen werden gegen verlässliche Quellen geprüft. Bei Produktbildern und Referenzen muss erkennbar bleiben, was das reale Angebot zeigt und was nur visualisiert wurde.

Maschinenlesbare Kennzeichnungen und sichtbare Hinweise erfüllen unterschiedliche Zwecke. Unternehmen sollten nicht allein auf Wasserzeichen vertrauen, sondern Erstellungsweg, verwendetes Modell, Bearbeitungen und Freigabe intern nachvollziehbar halten.

Der AI Act verlangt bereits seit 2025 Maßnahmen zur KI-Kompetenz. Eine Schulung sollte deshalb nicht nur allgemeine Chancen erklären, sondern auf die tatsächlich eingesetzten Werkzeuge, Daten und Fehlerrisiken eingehen. Marketing, Support und Technik benötigen unterschiedliche Beispiele.

Verantwortlichkeiten werden schriftlich festgelegt: Wer darf neue Werkzeuge einführen? Wer prüft Datenschutz und Vertragsbedingungen? Wer entscheidet bei falschen Antworten oder Beschwerden? Kurze, wiederkehrende Schulungen und dokumentierte Regeln sind wirksamer als eine einmalige Präsentation.

Vor dem Start werden typische Fehlfälle getestet: erfundene Informationen, sensible Eingaben, manipulative Prompts, diskriminierende Ergebnisse und fehlende Übergaben. Grenzfälle erhalten einen sicheren Standard, etwa keine Antwort oder die Weiterleitung an eine zuständige Person.

Rechtslage und Leitlinien entwickeln sich weiter. Deshalb gehören Versionsstand, Prüfdatum und nächste Überprüfung in die Dokumentation. Bei rechtlich oder geschäftlich kritischen Anwendungen ersetzt dieser technische Leitfaden keine individuelle juristische Beratung.

Ein kompakter Steckbrief verbindet technische und organisatorische Nachweise. Er enthält Zweck, Systemversion, Anbieter, Datenkategorien, bekannte Grenzen, Transparenzhinweis, menschliche Kontrolle und Eskalationsweg. Änderungen am Modell oder Einsatzbereich lösen eine erneute Prüfung aus.

Zusätzlich wird eine verantwortliche Person benannt, die Beschwerden, Fehlverhalten und neue Leitlinien bewertet. So bleibt die Dokumentation ein nutzbares Betriebsinstrument und wird nicht zu einem einmalig abgelegten PDF.

• ✓Letzte fachliche und technische Prüfung
• ✓Freigegebener Einsatzbereich und verbotene Nutzung
• ✓Verantwortliche Person mit Vertretung
• ✓Nächster Review und dokumentierte Änderungen