KI-Verordnung (AI Act) für KMU: Was gilt, wenn Sie KI für Anfragen und Angebote nutzen?

Team BOTrento6. 10. 2026 · Aktualisiert 11. 10. 20268 Min. Lesezeit

Kleine und mittlere Unternehmen, die KI im Vertrieb lediglich einsetzen, sind nach dem AI Act in der Rolle des sogenannten Betreibers. Bei der üblichen Nutzung für Anfragen, Angebote und E-Mails ergeben sich daraus vor allem drei Aufgaben: dafür sorgen, dass Mitarbeitende mit KI umgehen können, gegenüber Kunden transparent sein und wichtige Entscheidungen sowie den Versand beim Menschen lassen.

Der AI Act ist eine EU-Verordnung, die den Einsatz von KI nach Risikostufen einteilt. Der Großteil der Vertriebsroutine eines KMU zählt nicht zu den Hochrisiko-Bereichen. Trotzdem lohnt sich eine klare, schriftliche Regel. Sie finden hier einen Überblick, eine praktische Checkliste und eine Vorlage für eine interne Regel. Das ist eine allgemeine Orientierung, keine Rechtsberatung. Besprechen Sie Ihren konkreten Fall mit einer Juristin oder einem Juristen.

Welche Rolle haben Sie im AI Act: Anbieter oder Betreiber?

Der AI Act unterscheidet mehrere Rollen. Für ein kleines Vertriebsunternehmen sind zwei wichtig:

Anbieter entwickelt ein KI-System und bringt es unter eigenem Namen auf den Markt. Er hat die meisten Pflichten (Dokumentation, Tests, Konformitätsbewertung bei Hochrisiko-Systemen).
Betreiber (Nutzer) setzt ein KI-System im Rahmen seiner Tätigkeit ein. Typisch ist ein Unternehmen, das KI zum Sortieren von Anfragen oder für Antwortentwürfe nutzt.

Wenn Sie kein KI-Werkzeug entwickeln und unter eigener Marke vertreiben, sind Sie mit hoher Wahrscheinlichkeit Betreiber. Das kann sich ändern, wenn Sie ein System grundlegend anpassen oder anderen Firmen anbieten. Dann ist eine rechtliche Beratung sinnvoll.

Zur Regulierung gehört auch die Wahl des Dienstleisters. Fragen Sie, wer das Modell bereitstellt, wo die Daten liegen und wer was freigibt. Hilfreich ist dazu unser Überblick, was ein KI-Assistent im Vertrieb leistet und was nicht.

In welche Risikokategorie fällt KI im Vertrieb?

Der AI Act ordnet KI-Einsatz nach Risiko in Stufen. Vereinfacht:

Stufe	Was typischerweise dazugehört	Bedeutung für den Vertrieb eines KMU
Verbotene Praktiken	Manipulation, die Schwächen von Menschen ausnutzt, Social Scoring	Im normalen Vertrieb kein Thema, aber setzen Sie KI nicht ein, um schutzbedürftige Kunden unter Druck zu setzen.
Hohes Risiko	Zum Beispiel Personalauswahl, Bonitätsbewertung, Zugang zu bestimmten grundlegenden Leistungen	Vorsicht, wenn Sie KI etwa zum Vorsortieren von Bewerbungen einsetzen. Für Anfragen und Angebote gilt das in der Regel nicht.
Transparenzpflichten	Chatbots, die mit Menschen kommunizieren, erzeugte oder bearbeitete Inhalte	Relevant, wenn der Kunde direkt mit einer KI spricht oder Sie KI-Inhalte veröffentlichen.
Minimales Risiko	Interne Helfer, Sortierung, Textentwürfe mit menschlicher Freigabe	Der Großteil der Vertriebsroutine. Keine besonderen Pflichten, aber gute Praxis wird empfohlen.

Die Einstufung hängt immer vom konkreten Einsatz ab, nicht vom Werkzeug. Dasselbe Sprachmodell kann in einem Unternehmen ein interner Helfer sein und in einem anderen Teil einer Hochrisiko-Entscheidung.

Was Sie als Betreiber von KI konkret im Blick behalten sollten

KI-Kompetenz der Mitarbeitenden

Der AI Act geht davon aus, dass Menschen, die mit KI arbeiten, über angemessene Kenntnisse verfügen. Für ein kleines Unternehmen bedeutet das keine Zertifikate, sondern eine kurze Einweisung: Was kann das Werkzeug, wo irrt es (erfundene Angaben, falsche Preise, unpassender Ton) und was darf nicht eingegeben werden. Halten Sie das schriftlich fest und wiederholen Sie es bei neuen Kolleginnen und Kollegen.

Transparenz gegenüber Kunden

Kommuniziert eine KI direkt mit dem Kunden, ohne Mensch dazwischen (Chatbot auf der Website, automatische Antwort aus einem Modell), sollte der Kunde wissen, dass er es mit einer KI zu tun hat. Anders ist es, wenn die KI einen Entwurf vorbereitet, ein Mensch ihn prüft, anpasst und unter eigenem Namen versendet. Dann verantwortet er den Inhalt. Dennoch lohnt sich ein allgemeiner Hinweis zum KI-Einsatz in der Datenschutzerklärung. Wo genau die Grenze in Ihrem Fall liegt, klären Sie mit einer Juristin oder einem Juristen.

Menschliche Aufsicht

Der praktischste Schutz: Über Preis, Termin, Rabatt, Absage eines Auftrags und den Versand entscheidet ein Mensch. Die KI sortiert, fasst zusammen und schlägt vor. Menschliche Aufsicht ist zugleich eine geschäftliche Absicherung, denn ein Angebot mit falschem Preis ist unabhängig von jeder Regulierung ein Problem.

Protokolle und Nachvollziehbarkeit

Halten Sie fest, was die KI vorgeschlagen hat, wer es freigegeben hat und was versendet wurde. Das hilft bei Reklamationen, Streitfällen und der internen Qualitätskontrolle.

Die DSGVO gilt neben dem AI Act

Der AI Act ersetzt die DSGVO nicht. Anfragen enthalten personenbezogene Daten, also geht es weiter um Rechtsgrundlage, Auftragsverarbeiter und Datenminimierung. Mehr dazu in unserer Checkliste zu DSGVO und KI in der Geschäftskommunikation.

Checkliste: AI Act im kleinen Unternehmen Schritt für Schritt

Erfassen Sie, wo Sie KI nutzen. Jedes Werkzeug, wer es nutzt, wofür und mit welchen Daten. Vergessen Sie private Konten von Mitarbeitenden in frei zugänglichen Chats nicht.
Bestimmen Sie je Einsatz Rolle und Risiko. Sind Sie Betreiber? Berührt der Einsatz Personal, Kredite oder andere sensible Bereiche? Wenn ja, schauen Sie genauer hin und lassen Sie sich beraten.
Legen Sie fest, was der Mensch entscheidet. Preis, Termin, Rabatt, Absage, Versand. Halten Sie es als Regel fest.
Sorgen Sie für Transparenz. Wo der Kunde direkt mit KI kommuniziert, weisen Sie darauf hin. Ergänzen Sie einen Hinweis in der Datenschutzerklärung.
Schulen Sie das Team. Kurze interne Einweisung und eine einseitige Regel. Notieren Sie, wer wann geschult wurde.
Prüfen Sie Dienstleister und Daten. Wo liegen die Daten, wer stellt das Modell bereit, werden Daten zum Training genutzt, wie endet die Zusammenarbeit?
Sichern Sie Protokolle. Entwurf, Freigabe, Versand. Idealerweise automatisch, nicht per Handnotiz.
Überprüfen Sie die Regeln regelmäßig. Neue Werkzeuge, neue Einsatzzwecke, neue Auslegungen der Regulierung.

Vorlage: Interne Regel für den KI-Einsatz im Vertrieb

Passen Sie den folgenden Text an und geben Sie ihn dem gesamten Vertriebsteam. Es ist kein Rechtsdokument, sondern eine verständliche Regel für den Alltag.

Regel für den KI-Einsatz in der Geschäftskommunikation

1. Wir nutzen KI zum Sortieren von Anfragen, zum Zusammenfassen von Anforderungen und zum Vorbereiten von Antwortentwürfen und Angeboten.
2. Keine E-Mail und kein Angebot geht ohne Prüfung und Freigabe durch die zuständige Vertriebsperson raus.
3. Über Preis, Termin, Rabatt und Absage eines Auftrags entscheidet immer ein Mensch.
4. Wir geben keine Daten in die KI ein, die für die Aufgabe nicht nötig sind (Kontonummern, Gesundheitsdaten, interne Passwörter).
5. Wir nutzen nur vom Unternehmen freigegebene Werkzeuge, keine privaten Konten.
6. Kommuniziert ein Kunde direkt mit einem Automaten, wird er darüber informiert.
7. Fehler in KI-Entwürfen melden Sie an [Name der verantwortlichen Person].

Verantwortliche Person: [Name] · Gültig ab: [Datum] · Letzte Überprüfung: [Datum]

So löst es BOTrento

BOTrento Chief of Staff ist ein gesteuerter Prozess für Anfragen, Angebote und Follow-up. Die Prinzipien, die gute Praxis rund um den AI Act verlangt, sind von Anfang an eingebaut:

Freigabe durch den Menschen. Nichts wird ohne Freigabe versendet. Die KI bereitet den Entwurf für E-Mail oder Angebot vor, die Vertriebsperson entscheidet und versendet.
Eigene API-Schlüssel. Sie wählen das Modell und hinterlegen Ihren eigenen Schlüssel (Anthropic Claude, OpenAI, Google Gemini, Groq, ElevenLabs). So wissen Sie genau, wer Ihre Texte verarbeitet. Die Schlüssel sind verschlüsselt, sichtbar sind nur die letzten 4 Zeichen, und Sie können sie jederzeit entfernen. Die Anleitung finden Sie in der Hilfe zu API-Schlüsseln, den größeren Zusammenhang im Artikel über BYOK im Unternehmen.
Daten und Verarbeitung. Wir speichern die Daten auf Servern in Deutschland (EU). Das Sprachmodell verarbeitet nur die für die Aufgabe nötigen Texte, über die API des Anbieters, den Sie wählen. Kommerzielle API-Anbieter nutzen Daten nicht zum Training. Ehrlicherweise: Ein Server in der EU mit Aufruf einer externen KI-API ist keine geschlossene Verarbeitung.
Testlauf an einem Prozess. Es beginnt mit 14 Tagen kostenlos testen, ohne Zahlungskarte und ohne eigenen API-Schlüssel. Die 14 Tage starten erst mit dem ersten erfolgreichen Hochladen Ihrer Daten (Import oder Postfachanbindung); für die Vorbereitung haben Sie 7 Tage. Der Umfang ist überschaubar und lässt sich so gut in Ihre interne Regel aufnehmen.
Ausstieg ohne Lock-in. Export von Daten und Ergebnissen, Beschreibung der Prozesse und ein vereinbarter Termin zur Entfernung von Zugängen und Kopien.

Wie die Freigabe in der Praxis aussieht, sehen Sie in der Prozess-Demo. Die Details zur Testphase finden Sie unter 14 Tage kostenlos testen.

Häufige Fragen

Betrifft der AI Act auch ein kleines Unternehmen, das nur ChatGPT oder ein ähnliches Werkzeug nutzt?

Ja. Als Betreiber haben Sie weniger Pflichten als ein Anbieter, sollten aber für Grundkenntnisse im Umgang mit KI sorgen und dort transparent sein, wo Kunden direkt mit KI kommunizieren. Wie sich ein frei zugänglicher Chat von einem gesteuerten Prozess unterscheidet, erklärt unser Beitrag zu ChatGPT im Unternehmen oder gesteuertem KI-Prozess.

Ist der Einsatz von KI für Angebote ein Hochrisiko-Einsatz?

Die übliche Vorbereitung von Angeboten und Antworten auf Anfragen zählt in der Regel nicht zu den Hochrisiko-Bereichen. Es kommt aber auf den konkreten Einsatz an. Wenn Sie unsicher sind, lassen Sie sich juristisch beraten.

Muss ich Kunden sagen, dass eine E-Mail von der KI vorbereitet wurde?

Die Informationspflicht betrifft vor allem Situationen, in denen ein Mensch direkt mit einem KI-System kommuniziert. Prüft und versendet eine Vertriebsperson den Entwurf unter eigenem Namen, ist die Lage anders. Ein allgemeiner Hinweis zum KI-Einsatz in der Datenschutzerklärung ist trotzdem empfehlenswert.

Ersetzt der AI Act die DSGVO?

Nein, beide gelten nebeneinander. Bei Anfragen mit personenbezogenen Daten geht es weiterhin um Rechtsgrundlage, Auftragsverarbeiter und Datenminimierung.

Was ist der einfachste erste Schritt?

Halten Sie fest, wo und wofür Sie KI im Unternehmen nutzen, und legen Sie fest, was immer ein Mensch entscheidet. Daraus entstehen die kurze interne Regel und die Einweisung des Teams.

Zusammenfassung

Ein KMU, das KI im Vertrieb einsetzt, ist nach dem AI Act typischerweise Betreiber.
Anfragen, Angebote und Follow-up zählen in der Regel nicht zu den Hochrisiko-Bereichen. Genauer hinsehen sollten Sie bei Personal, Krediten und anderen sensiblen Entscheidungen.
Die Hauptaufgaben sind KI-Kompetenz im Team, Transparenz gegenüber Kunden und menschliche Aufsicht über Preis, Termin und Versand.
Die DSGVO gilt weiter. Achten Sie auf Daten, Auftragsverarbeiter und Protokolle darüber, wer was freigegeben hat.
Verfassen Sie eine einseitige interne Regel und klären Sie konkrete Unklarheiten mit einer Juristin oder einem Juristen.

BOTrento 14 Tage kostenlos ausprobieren

Möchten Sie sehen, wie ein Prozess mit Freigabe an Ihren Anfragen funktionieren würde? Schreiben Sie an info@botrento.com. Wir melden uns werktags innerhalb von 24 Stunden und bereiten die Demo mit Ihren Daten innerhalb von 7 Tagen vor. Füllen Sie ein paar Angaben aus — der Zugang kommt sofort per E-Mail. Beim Verbinden Ihres Postfachs helfen wir gern.

14 Tage kostenlos, ohne Karte und ohne eigenen API-Schlüssel. Der Testzeitraum beginnt erst, wenn Ihre Daten zum ersten Mal geladen sind. Danach ab 79 € pro Monat zzgl. MwSt., KI inklusive.

Nichts wird ohne Ihre Freigabe versendet. Eine Karte hinterlegen Sie erst am Ende, wenn Sie weitermachen; ohne Zahlung wird der Zugang bis zur Zahlung gesperrt, Daten bleiben 30 Tage gespeichert und der Export ist verfügbar. Preise · Prozess-Demo ansehen