EU-KI-Verordnung und Datenschutz: was Südtiroler KMU jetzt wissen müssen

Seit dem 2. August 2026 gilt die EU-KI-Verordnung (AI Act) im Wesentlichen. Wer in Südtirol einen KI-Telefonassistenten, einen KI-Agenten für Anfragen oder ChatGPT im Büro einsetzt, ist Betreiber eines KI-Systems und hat Pflichten. Für die meisten Betriebe sind es wenige. Dieser Beitrag ordnet die Fristen nach dem AI Omnibus vom Juli 2026, erklärt KI-Kompetenz und Kennzeichnung und zeigt, was die DSGVO beim Telefonassistenten verlangt. Er ersetzt keine Rechtsberatung, sondern fasst die offiziellen Quellen zusammen, die am Ende verlinkt sind.

Wo die KI-Verordnung im September 2026 steht

Die Verordnung ist seit 1. August 2024 in Kraft und gilt stufenweise. Im Juli 2026 hat die EU mit dem AI Omnibus Fristen verschoben und Pflichten vereinfacht. Der Stand heute:

• Seit 2. Februar 2025: Die verbotenen Praktiken nach Artikel 5 und die Pflicht zur KI-Kompetenz gelten.
• Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also für Unternehmen wie OpenAI oder Google. Nicht für Betriebe, die diese Modelle nur nutzen.
• Seit 27. Juli 2026: Der AI Omnibus ist in Kraft. Er verschiebt die Fristen für Hochrisiko-Systeme, dehnt die Erleichterungen für KMU auf kleine Unternehmen mittlerer Größe aus und streicht bei der KI-Kompetenz das vorgeschriebene Niveau.
• Seit 2. August 2026: Die Verordnung gilt allgemein. Die Transparenzpflichten nach Artikel 50 sind anwendbar, und die nationalen Behörden dürfen Verbote, Transparenz und KI-Kompetenz durchsetzen.
• Ab 2. Dezember 2026: Neues Verbot für KI-Systeme, die intime Bilder ohne Einwilligung oder Missbrauchsdarstellungen von Kindern erzeugen. Zugleich Frist für generative Systeme, die vor August 2026 am Markt waren, die Kennzeichnung nach Artikel 50 Absatz 2 umzusetzen.
• Ab 2. Dezember 2027: Regeln für Hochrisiko-Systeme nach Anhang III, unter anderem Beschäftigung, Bildung, Biometrie und kritische Infrastruktur. Ursprünglich war das der 2. August 2026.
• Ab 2. August 2028: Regeln für Hochrisiko-KI in regulierten Produkten nach Anhang I.

Für Handwerk, Praxis oder Hotel in Südtirol heißt das: Die Hochrisiko-Kapitel betreffen dich in der Regel nicht, solange der Assistent keine Notrufe bewertet und niemanden triagiert. Was dich betrifft, gilt bereits.

Betreiber oder Anbieter: welche Rolle dein Betrieb hat

Die Verordnung unterscheidet Anbieter, die ein KI-System entwickeln und unter eigenem Namen auf den Markt bringen, von Betreibern, die es in eigener Verantwortung beruflich nutzen. Ein Betrieb, der bei uns einen Telefonassistenten einführt, ist Betreiber. darwin's trägt als Anbieter die technischen Pflichten, etwa dass der Assistent sich als KI zu erkennen gibt. Beim Betreiber bleiben: KI-Kompetenz im Team, ehrlicher Umgang mit KI-Inhalten, Datenschutz.

KI-Kompetenz: die Pflicht, die fast jeden Betrieb betrifft

Artikel 4 verlangt von Anbietern und Betreibern Maßnahmen, damit die Mitarbeitenden, die mit KI-Systemen arbeiten, wissen, was sie tun. Berücksichtigt werden Vorwissen, Ausbildung und der Kontext, in dem das System eingesetzt wird. Die Pflicht gilt seit Februar 2025.

Die Kommission stellt in ihren FAQ klar:

• Kein Zertifikat, kein vorgeschriebener Kurs, kein Mindestniveau. Der AI Omnibus hat das Wort „ausreichend“ gestrichen. Kommission und Mitgliedstaaten sollen die Betriebe künftig stärker unterstützen.
• Die Pflicht gilt auch, wenn das Team nur ChatGPT oder ähnliche Werkzeuge nutzt. Die Mitarbeitenden sollen die konkreten Risiken kennen, zum Beispiel erfundene Antworten.
• Empfohlen wird eine interne Aufzeichnung, welche Schulung oder Einweisung wann stattgefunden hat.

In der Praxis genügt für einen Betrieb mit zehn Leuten eine Stunde: Was macht der Assistent, was nicht, wie prüft man seine Vorschläge, wann übergibt man an einen Menschen. Datum und Teilnehmer notieren, fertig. Der Pilot mit darwin's, in dem dein Team den Agenten mit echten Fällen testet, zählt als solche Einweisung, wenn du ihn genauso festhältst.

Kennzeichnung: was Anrufer und Leser erfahren müssen

Artikel 50 regelt die Transparenz. Drei Punkte sind für KMU relevant:

1. Wer mit einem KI-System spricht, muss das erfahren, spätestens beim ersten Kontakt, klar und erkennbar. Ausnahme: Es ist ohnehin offensichtlich. Am Telefon ist es das nicht. Deshalb sagt Charles, unser KI-Telefonassistent, im ersten Satz: „Hier ist der KI-Assistent der Praxis.“
2. Anbieter generativer Systeme müssen erzeugte Texte, Bilder, Audio und Video maschinenlesbar kennzeichnen. Das ist Sache der Modellanbieter, nicht deines Betriebs.
3. Betreiber müssen Deepfakes als solche ausweisen. KI-generierte Texte zu Themen von öffentlichem Interesse müssen gekennzeichnet werden, außer ein Mensch hat sie redaktionell geprüft und verantwortet. Ein Newsletter oder Blogbeitrag deines Betriebs fällt meist gar nicht unter diese Pflicht, weil er nicht über Themen von öffentlichem Interesse informiert. Und wo er es doch tut, greift die Ausnahme, sobald ein Mensch ihn vor dem Versand liest und verantwortet. So arbeitet der Content-Agent bei Alpincenter und Dr. Ausserhofer Immobilien: Der Agent schreibt, ein Mensch liest gegen.

DSGVO: die Grundlagen bleiben

Die KI-Verordnung ersetzt den Datenschutz nicht, sie kommt dazu. Für einen Telefonassistenten oder einen Agenten, der Anfragen liest, gelten die bekannten Regeln der DSGVO:

• Auftragsverarbeitung (Artikel 28): Wer Daten für dich verarbeitet, braucht einen Vertrag mit Gegenstand, Dauer, Zweck, Datenarten und Weisungsbindung. Bei darwin's ist der Auftragsverarbeitungsvertrag inklusive. Das Sprachmodell von OpenAI läuft über die Schnittstelle, ebenfalls mit Auftragsverarbeitungsvertrag.
• Speicherort: Steuerung, Daten und Protokolle liegen auf einem eigenen Server in Deutschland.
• Datensparsamkeit: Keine Tonaufnahme. Gespeichert wird nur das Protokoll als Zusammenfassung. Was nicht aufgezeichnet wird, muss weder gesichert noch gelöscht noch beauskunftet werden.
• Datenschutz-Folgenabschätzung (Artikel 35): Sie ist Pflicht, wenn eine Verarbeitung, insbesondere mit neuer Technologie, voraussichtlich ein hohes Risiko birgt, etwa bei umfangreicher Verarbeitung von Gesundheitsdaten. Der italienische Garante führt dazu eine eigene Liste (Beschluss Nr. 467 vom 11. Oktober 2018). Für eine Praxis mit Telefonassistent ist sie meist angeraten. Wir helfen dabei.
• Informationspflicht: Anrufer und Kunden müssen erfahren, dass ein KI-System Daten verarbeitet, wofür und mit welchen Rechten.

Checkliste: KMU mit KI-Telefonassistent oder KI-Agent

Was du konkret brauchst:

1. KI-Hinweis im ersten Satz jedes Gesprächs. Beim KI-Telefonassistenten ist er fest eingebaut.
2. Auftragsverarbeitungsvertrag mit dem Dienstleister, Nachweis über den Modellanbieter dahinter.
3. Ergänzung der Datenschutzerklärung und der telefonischen Information: Was wird verarbeitet, wo, wie lange.
4. Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist. Bei Gesundheitsdaten in der Regel ja.
5. Einweisung des Teams, mit Datum und Teilnehmern dokumentiert.
6. Freigaben und Grenzen schriftlich: Welcher Agent sieht welche Daten, wer gibt frei. Bei darwin's steht das vor dem Start fest, Zugriffe sind protokolliert und jederzeit entziehbar.

Was du nicht tun musst

• Keine Registrierung, keine technische Dokumentation, kein Qualitätsmanagement nach der KI-Verordnung. Das gehört zu den Hochrisiko-Systemen nach Anhang I und III, nicht zu einem Telefonassistenten oder Content-Agenten.
• Keine Prüfung des Modellanbieters nach der KI-Verordnung: Die Pflichten für Modelle mit allgemeinem Verwendungszweck liegen bei OpenAI, Google und Co. Den Auftragsverarbeitungsvertrag mit ihm brauchst du nach der DSGVO trotzdem, siehe Checkliste.
• Keine Kennzeichnung deiner Website-Texte, wenn ein Mensch sie geprüft hat und dafür verantwortlich ist.

Ein „AI-Act-Zertifikat“ oder eine „Hochrisiko-Registrierung“ für einen Telefonassistenten sieht die Verordnung nicht vor.

Was das italienische KI-Gesetz ergänzt

Italien hat mit dem Gesetz Nr. 132 vom 23. September 2025, in Kraft seit 10. Oktober 2025, ein eigenes KI-Gesetz. Laut Artikel 3 Absatz 5 schafft es keine neuen Pflichten für KI-Systeme über die EU-Verordnung hinaus, setzt aber drei Akzente: Informationen zur Datenverarbeitung mit KI müssen klar und einfach formuliert sein, Kinder unter 14 Jahren brauchen für KI-Dienste die Einwilligung der Eltern, und freie Berufe müssen laut Artikel 13 ihre Kunden verständlich informieren, welche KI-Systeme sie einsetzen. Für Steuerberater, Architekten und Ärzte in Südtirol ist der letzte Punkt der wichtigste: KI darf unterstützen, die geistige Leistung bleibt beim Menschen.

Bußgelder

Die Verordnung sieht Geldbußen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken vor, bis 15 Millionen oder 3 Prozent für Verstöße gegen die übrigen Pflichten von Anbietern und Betreibern, für KMU jeweils der niedrigere Betrag.

Fazit

Für ein Südtiroler KMU ist die KI-Verordnung im September 2026 kein Hindernis, sondern eine kurze Liste: Team einweisen, KI kennzeichnen, DSGVO sauber halten. Wer das erledigt hat, kann einen Telefonassistenten oder einen Agenten für Anfragen ruhig einführen. Wie wir Agenten mit begrenztem Zugriff und Freigabe durch Menschen bauen, steht auf der Seite unserer KI-Agentur in Brixen. Was für deinen Betrieb konkret gilt, klären wir im Erstgespräch: welche Daten, welche Rolle, welche Pflichten, und was davon wir übernehmen.

Quellen

• Europäische Kommission, AI Act, Überblick und Anwendung: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• Europäische Kommission, AI Omnibus in Kraft (27. Juli 2026): https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
• Europäische Kommission, Zeitplan der Anwendung: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
• Europäische Kommission, Fragen und Antworten zur KI-Kompetenz (Artikel 4): https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
• AI Act Service Desk, Artikel 3: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-3
• AI Act Service Desk, Artikel 4: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4
• AI Act Service Desk, Artikel 50: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50
• Artikel 4 in der Fassung nach dem AI Omnibus: https://artificialintelligenceact.eu/article/4/
• Verordnung (EU) 2024/1689 im Amtsblatt: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• Artikel 99, geänderte Fassung: https://artificialintelligenceact.eu/article/99/
• Artikel 111, geänderte Fassung: https://artificialintelligenceact.eu/article/111/
• Artikel 113, geänderte Fassung: https://artificialintelligenceact.eu/article/113/
• Übersicht zum Digital Omnibus: https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/
• DSGVO, Artikel 28: https://gdpr-info.eu/art-28-gdpr/
• DSGVO, Artikel 35: https://gdpr-info.eu/art-35-gdpr/
• Garante per la protezione dei dati personali, Datenschutz-Folgenabschätzung: https://www.garanteprivacy.it/regolamentoue/dpia
• Garante, Provvedimento n. 467 vom 11. Oktober 2018 mit Liste der DSFA-pflichtigen Verarbeitungen: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9058979
• Legge 23 settembre 2025, n. 132, Artikel 3, 4 und 13: https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132