Du bist Betreiber.
Drei Pflichten seit 2. August.
Der 2. August 2026 war Stichtag. Seit diesem Datum ist der EU AI Act vollständig durchsetzbar, Bußgelder inklusive. Wer ein KI-Tool im Kundenkontakt nutzt und noch keine Maßnahme umgesetzt hat, ist jetzt im Risiko.
Der 2. August 2026 war Stichtag. Seit diesem Datum ist der EU AI Act vollständig durchsetzbar, Bußgelder inklusive. Wer ein KI-Tool im Kundenkontakt nutzt und noch keine Maßnahme umgesetzt hat, ist jetzt im Risiko. Drei Pflichten betreffen fast jedes Maklerbüro und jede Kanzlei: Art. 4, Art. 50 und die GPAI-Dokumentation.
Du bist Betreiber. Auch wenn du nur ein ChatGPT-Abo hast.
Der EU AI Act unterscheidet vier Rollen: Anbieter, Betreiber, Importeure, Händler. Für Versicherungsmakler und Steuerkanzleien trifft fast immer eine zu: Betreiber (engl. Deployer).
Betreiber bist du, sobald du ein KI-System im eigenen beruflichen Kontext einsetzt, unabhängig davon, ob du es selbst gebaut hast. Das gilt für:
- ChatGPT zur Formulierung von Kundenanschreiben
- Claude für die Analyse von Versicherungsdokumenten
- Microsoft Copilot in Word oder Outlook
- Einen Chatbot auf deiner Makler-Website
Du hast kein Tool gebaut. Du nutzt eines. Das macht dich trotzdem zum Betreiber.
Das ist der zentrale Irrtum in vielen Kanzleien und Maklerbüros: „Wir haben keine KI entwickelt, also betrifft uns der AI Act nicht." Falsch. Art. 3 Nr. 4 der Verordnung (EU) 2024/1689 definiert Betreiber als jede natürliche oder juristische Person, die ein KI-System unter eigenem Namen und in eigener Verantwortung einsetzt.
Kleinunternehmer sind nicht ausgenommen. Es gibt eine Verhältnismäßigkeitsklausel für Kleinstunternehmen bei einigen Hochrisiko-Pflichten, aber nicht bei Art. 4 und nicht bei Art. 50.
Einordnung ist keine Rechtsberatung. Bitte bei Bedarf für deinen konkreten Fall juristisch prüfen.
Die drei Pflichten, die jetzt gelten
Pflicht 1: KI-Kompetenz dokumentieren (Art. 4)
Art. 4 der Verordnung ist seit dem 2. Februar 2025 in Kraft. Er verlangt: Alle Personen, die ein KI-System im Unternehmen einsetzen, müssen ausreichende KI-Kompetenz nachweisen können. Seit dem 2. August 2026 ist das durch das BSI und die KI-Marktüberwachungsbehörde (KI-MIG) durchsetzbar. Stichprobenprüfungen sind angekündigt.
Art. 3 Nr. 56 definiert KI-Kompetenz als: Kenntnisse, Fähigkeiten und Verständnis, die den verantwortungsvollen Einsatz von KI-Systemen ermöglichen, inklusive Bewusstsein für Chancen, Risiken und mögliche Schäden.
Das bedeutet nicht: Zertifizierung. Aber Nachweisbarkeit ist Pflicht.
Was konkret gefordert ist:
- Schulungsnachweis für jeden Mitarbeiter, der ChatGPT, Claude oder Copilot nutzt
- Rollenbezogen: Der Sachbearbeiter, der Anschreiben formuliert, braucht andere Kenntnisse als der Inhaber, der Policen analysiert
- Dokumentation: Teilnehmerlisten, Datum, Inhalte der Einweisung. Das reicht für die Art.-4-Compliance
Für den Solo-Makler oder die 2-Personen-Kanzlei: Ein strukturierter Eigennachweis, 1–2 Seiten, schriftlich, erfüllt die Mindestanforderung. Aufwand: ca. 30–60 Minuten.
Die Auslegung durch die Behörden ist noch nicht abschließend etabliert.
Pflicht 2: Chatbot auf der Website kennzeichnen (Art. 50 Abs. 1)
Wer auf seiner Website einen KI-Chatbot betreibt, muss Nutzer vor der ersten Interaktion klar und zugänglich informieren, dass sie mit einer KI kommunizieren. Art. 50 Abs. 1 gilt seit dem 2. August 2026 verbindlich, für jeden Betreiber, nicht nur für Anbieter.
Eine konforme Formulierung im Chat-Interface:
„Dieser Assistent wird durch KI unterstützt. Du kommunizierst nicht mit einem Menschen."
Die Anforderungen:
- Anzeige vor der ersten Nutzerantwort, nicht erst nach Klick oder im Footer
- Klar lesbar, nicht in 9pt Grau unter dem Eingabefeld
- Persistent sichtbar oder zumindest beim Start der Session
Versteckt im Impressum erfüllt das nicht.
Wichtig: Wenn dein Chatbot-Anbieter die Kennzeichnung nicht standardmäßig anzeigt, bist du als Betreiber trotzdem in der Pflicht. Du kannst nicht auf den Anbieter verweisen. Prüfe dein aktuelles Chatbot-Setup, und zwar jetzt.
Verstöße gegen Art. 50: bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.
Pflicht 3: GPAI-Nutzung dokumentieren
Seit dem 2. August 2026 müssen Betreiber, die General-Purpose-AI-Modelle (GPAI) in produktiven Workflows einsetzen, also Claude, ChatGPT, Gemini oder Copilot, eine Grunddokumentation vorhalten. Diese kann von KI-MIG oder BSI angefordert werden.
Die Mindest-Dokumentation umfasst vier Punkte:
- Use-Case-Beschreibung: Wofür genau wird das Modell eingesetzt? (z. B. „Formulierung von Kundenanschreiben zur BU-Beratung")
- Datenkategorien: Welche Kundendaten fließen in Prompts? (z. B. „Name, Vertragsnummer, keine Gesundheitsdaten")
- Human Oversight: Wer prüft KI-Outputs vor Weiterverwendung? (z. B. „Sachbearbeiter liest jeden Entwurf vor Versand")
- Risikoklasse: Ist der Anwendungsfall minimal, begrenzt oder hochriskant?
Das ist kein ISO-Projekt. Eine Tabelle in Word oder Notion reicht für den Einstieg.
Aufwand für ein Maklerbüro mit 2–3 KI-Tools: 2–3 Stunden.
Wann wird es hochriskant, und was dann gilt
Nicht jeder KI-Einsatz ist gleich. Der EU AI Act klassifiziert nach Risikoklasse. Die meisten kleinen Makler und Kanzleien bewegen sich in den ersten zwei Klassen:
Minimales Risiko: ChatGPT für interne Textentwürfe, Übersetzungen, Recherche ohne direkten Kundenbezug. Pflicht: Art. 4 (KI-Kompetenz).
Begrenztes Risiko: Chatbot mit Kundenkontakt, KI-generierte E-Mails an Mandanten, KI-Zusammenfassungen von Beratungsgesprächen. Pflicht: Art. 4 + Art. 50 (Transparenz).
Hochrisiko: KI-gestützte Risikoklassifizierung von Versicherungsnehmern, automatische Tarifentscheidungen, KI-basierte Schadenbewertung, die direkt in Vertragsentscheidungen fließt. Anhang III der Verordnung listet u. a. KI-Systeme in der Lebens- und Krankenversicherung zur Risikoeinschätzung.
Trifft die KI eine Entscheidung, die Kundengeld oder Versicherungsschutz direkt berührt, ohne menschliche Prüfung dazwischen? Dann wahrscheinlich hochriskant.
Wer hochriskante KI einsetzt, braucht: vollständiges Risikomanagement-System, technische Dokumentation, Konformitätsbewertung, Logs und dokumentierte menschliche Aufsicht. Das sprengt diesen Post. Hol dir dort Fachberatung.
Die Hochrisiko-Einstufung bitte für deinen konkreten Anwendungsfall rechtlich prüfen.
Was Kanzleien zusätzlich beachten müssen
Steuerkanzleien, die DATEV-interne KI-Funktionen plus externe Tools wie Claude oder ChatGPT parallel nutzen, stehen vor einem zusätzlichen Spannungsfeld.
DATEV-interne KI (Beleg-OCR, Mandantenbrief-Generator, Recherche-Copilot): Der Auftragsverarbeitungsvertrag mit DATEV liegt standardmäßig vor. Der Art.-4-Kompetenznachweis bleibt trotzdem Betreiber-Pflicht.
Externe GPAI-Tools (Claude, ChatGPT) mit Mandantendaten in Prompts: Hier greift neben dem AI Act auch Art. 9 DSGVO, wenn steuerliche Daten in ein Modell fließen, das außerhalb der EU verarbeitet wird. Lösung: EU-Datenzentrum wählen (z. B. Claude API über EU-Region) und AVV abschließen.
Kein Mandantenname, keine Steuernummer, keine IBAN im Prompt eines externen Tools ohne AVV und EU-Hosting.
Die Minimum-Compliance-Checkliste für August 2026
Wenn du nichts anderes tust, tu das hier. Aufwand: 2–4 Stunden.
- Inventar erstellen: Liste aller KI-Tools, die du oder dein Team beruflich nutzen (ChatGPT, Claude, Copilot, DATEV-Assistenten, Website-Chatbot). Datum der Erstnutzung und Zweck notieren.
- Risikoklasse je Use-Case bestimmen: Gibt es direkten Kundenkontakt? Fließt der Output direkt in Vertragsentscheidungen? Daraus folgt: minimal, begrenzt oder hochriskant.
- Art.-4-Nachweis erstellen: Für jeden Nutzer im Team eine schriftliche Kurzeinweisung zum genutzten Tool. Datum und Unterschrift. Eine Seite pro Person reicht.
- Chatbot prüfen: Falls ein Chatbot auf der Website läuft: Ist die KI-Kennzeichnung vor der ersten Nutzer-Nachricht sichtbar? Falls nein: heute anpassen.
- GPAI-Dokumentation anlegen: Tabelle mit Use-Case, Datenkategorien, Human-Oversight-Prozess und Risikoklasse. 4 Spalten, ein Eintrag pro Tool.
SRD Rechtsanwälte: Dokumentationspflichten im EU AI Act, Plotdesk: Art. 50 Transparenzpflichten 2026, IT-Dock: Art. 4 KI-Kompetenzpflicht, MyBusinessFuture: GPAI-Dokumentation für den Mittelstand.
Art.-50-Kennzeichnung ab Werk.
KI-Chatbot mit Transparenzhinweis vor der ersten Nachricht, DSGVO-konformes Hosting auf deutschen Hetzner-Servern, Claude-API EU-Region. 14-Tage-Sprint, Festpreis ab 1.990 €.
Fazit
Der EU AI Act ist seit August 2026 kein Papier mehr. Drei Pflichten sind jetzt durchsetzbar: KI-Kompetenz (Art. 4), Chatbot-Kennzeichnung (Art. 50 Abs. 1) und GPAI-Grunddokumentation. Für die meisten Solo-Makler und kleinen Kanzleien ist das kein Compliance-Monster, sondern ein Projekt von 2–4 Stunden diese Woche.
Wer noch keinen DSGVO- und AI-Act-konformen Chatbot hat und jetzt beides lösen will, also die Art.-50-Pflicht erfüllen und gleichzeitig Leads generieren: Das Chatbot-Modul von Sehlmeyer Digital enthält die Art.-50-Transparenzkennzeichnung standardmäßig, läuft auf deutschen Hetzner-Servern und nutzt die Claude API über die EU-Region. Festpreis, 14-Tage-Sprint.
Rechtlicher Hinweis: Dieser Post gibt einen praxisorientierten Überblick, keine Rechtsberatung. Für Hochrisiko-KI-Systeme oder komplexe Sachverhalte bitte juristischen Fachrat einholen. Stand: August 2026.