Ab 2. August 2026: Ihr Chatbot muss sagen, dass er eine KI ist

Am 2. August 2026 wird die KI-Verordnung der EU (Verordnung (EU) 2024/1689) allgemein anwendbar. Darunter fällt Artikel 50, der Transparenzpflichten für bestimmte KI-Systeme regelt. Für Chatbots auf Websites bedeutet das: Wer mit dem System spricht, muss wissen, dass es kein Mensch ist.

Was Artikel 50 verlangt

Artikel 50 Absatz 1 richtet sich an Anbieter von KI-Systemen, die dafür bestimmt sind, unmittelbar mit natürlichen Personen zu interagieren. Diese Systeme müssen so gestaltet sein, dass die betroffene Person erfährt, dass sie mit einem KI-System interagiert — es sei denn, das ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person ohnehin offensichtlich.

Zum Zeitpunkt schreibt Artikel 50 Absatz 5 vor: spätestens bei der ersten Interaktion, klar und unterscheidbar, und barrierefrei. Eine bestimmte Formulierung verlangt die Verordnung nicht. Ein Hinweis im Chatfenster genügt, wenn er vor der ersten Antwort sichtbar ist — nicht erst im Impressum und nicht erst nach drei Nachrichten.

Trifft das Sie oder Ihren Anbieter?

Absatz 1 nennt ausdrücklich den Anbieter, nicht den Betreiber. Anbieter ist nach Artikel 3 Nummer 3, wer ein KI-System entwickelt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Wer einen fremden Chatbot als erkennbar fremdes Produkt einbindet, ist in aller Regel Betreiber, nicht Anbieter — die Gestaltungspflicht liegt dann beim Hersteller.

Unabhängig von der Zuordnung gilt praktisch: Sichtbar ist der Hinweis auf Ihrer Website, und Ihre Besucher fragen Sie, nicht Ihren Anbieter. Es lohnt sich also nicht, die Zuständigkeit auszureizen.

Wann ist es „offensichtlich“?

Die Ausnahme ist enger, als sie klingt. Maßstab ist nicht Ihre Einschätzung, sondern die einer angemessen informierten, aufmerksamen und verständigen Person im konkreten Nutzungszusammenhang. Ein Fenster mit dem Namen einer Person und einem Porträtfoto spricht gegen Offensichtlichkeit. Ein Bot, der sich „KI-Assistent“ nennt und wie ein Werkzeug aussieht, spricht dafür.

Wer sich auf die Ausnahme stützen möchte, trägt das Risiko der Fehleinschätzung. Ein Satz im Chatfenster kostet nichts und beendet die Frage.

Die DSGVO bleibt daneben bestehen

Die KI-Verordnung ersetzt nichts, sie kommt hinzu. Für einen Chatbot, der Besucheranfragen verarbeitet, bleiben vier Punkte offen, die mit Artikel 50 nichts zu tun haben:

• Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit dem Anbieter, sobald personenbezogene Daten in Ihrem Auftrag verarbeitet werden. Chatverläufe sind das regelmäßig.
• Rechtsgrundlage nach Artikel 6 DSGVO — je nach Zweck Vertragsanbahnung oder berechtigtes Interesse. Das gehört bestimmt, nicht offengelassen.
• Information nach Artikel 13 DSGVO zum Zeitpunkt der Erhebung — also im Chat, nicht nur in der Datenschutzerklärung.
• Drittlandübermittlung, wenn das Sprachmodell außerhalb der EU läuft: Artikel 44 ff. DSGVO, in der Praxis Standardvertragsklauseln nach Artikel 46. Wer das vermeiden will, wählt ein in der EU betriebenes Modell.

Ein häufiger Irrtum: Der Speicherzugriff auf dem Endgerät — Cookies, localStorage — richtet sich nicht nach der DSGVO, sondern nach § 25 TDDDG (Deutschland) bzw. § 165 Abs. 3 TKG (Österreich). Was für den Betrieb unbedingt erforderlich ist, braucht keine Einwilligung; alles darüber schon. Ob Ihr Widget etwas speichert, sollten Sie nachsehen statt annehmen.

Bußgelder — ehrlich eingeordnet

Für Verstöße gegen die Transparenzpflichten sieht Artikel 99 Absatz 4 der KI-Verordnung Geldbußen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor. Diese Zahl steht in jedem Beitrag zum Thema, und sie ist für einen Betrieb mit fünf Mitarbeitenden irreführend.

Denn Artikel 99 Absatz 6 bestimmt, dass bei kleinen und mittleren Unternehmen einschließlich Start-ups der jeweils niedrigere der beiden Werte gilt. Und Artikel 99 Absatz 7 nennt Kriterien für die Bemessung, darunter Größe und Marktanteil. Der realistische Grund, den Hinweis zu setzen, ist also nicht die Millionenzahl, sondern dass es ein Satz Arbeit ist.

Was bis morgen zu tun ist

1. 1Chatfenster öffnen und nachsehen, ob vor der ersten Antwort erkennbar ist, dass hier eine KI antwortet. Wenn nicht: einen Satz ergänzen.
2. 2Prüfen, ob der Bot einen menschlich klingenden Namen mit Porträtfoto trägt. Das ist der Fall, in dem die Ausnahme „offensichtlich“ am ehesten scheitert.
3. 3Klären, ob Sie das System unter eigenem Namen anbieten. Wenn ja, sind Sie möglicherweise Anbieter im Sinne von Artikel 3 Nummer 3 — und nicht nur Betreiber.
4. 4Bei der Gelegenheit den AVV nach Artikel 28 DSGVO heraussuchen. Wenn Sie keinen haben, ist das der größere offene Punkt.

Wie strada.chat das handhabt

Im Kopf des Chatfensters sitzt eine sichtbare KI-Kennzeichnung — ab dem Moment, in dem das Fenster aufgeht, nicht erst nach der ersten Antwort. Der AVV nach Artikel 28 DSGVO lässt sich im Dashboard unterzeichnen, ohne Vertriebsgespräch. Die Server stehen in Nürnberg bei der Hetzner Online GmbH. Für die Antworten ist ein in der EU betriebenes Modell wählbar; bei US-Anbietern erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln nach Artikel 46 DSGVO — welche Anbieter das sind, steht namentlich in unserer AVV-Seite.

Was wir nicht behaupten: dass damit jede Frage erledigt ist. Rechtsgrundlage und Zweckbestimmung für Ihre konkrete Verarbeitung können wir Ihnen nicht abnehmen — die hängen davon ab, wofür Sie den Bot einsetzen.