Compliance · KI-VO · Aug 2026
EU AI Act für Makler. Was bis August 2026 zu tun ist.
89 % der deutschen Versicherungsmakler kennen die Inhalte der KI-Verordnung nicht. Art. 4 läuft seit 15 Monaten, Art. 50 trifft dich in 85 Tagen. Hier steht, was konkret zu tun ist.
89 % der deutschen Versicherungsmakler kennen die Inhalte der EU-KI-Verordnung nicht. Art. 4 verpflichtet dich bereits seit dem 2. Februar 2025 zum KI-Kompetenz-Nachweis. Das sind 15 Monate. Art. 50 trifft dich am 2. August 2026. 85 Tage. Hier steht, was konkret zu tun ist.
Du bist Betreiber, auch ohne eigene Softwareentwicklung
Die KI-VO unterscheidet drei Rollen: Anbieter (entwickelt KI-Systeme), Betreiber (setzt KI beruflich ein) und Endnutzer. Als Versicherungsmakler bist du fast immer Betreiber, auch wenn du nur Standardprodukte nutzt.
Konkrete Beispiele für Betreiber-Stellung:
- ChatGPT für Angebotsentwürfe oder Kundenmails
- Copilot in Microsoft 365
- Ein Chatbot-Widget auf der Website für Erstanfragen
- Makler-Software mit KI-gestützten Tarifvergleichs-Empfehlungen
Betreiber ist jede natürliche oder juristische Person, die ein KI-System unter eigener Verantwortung im Rahmen einer beruflichen Tätigkeit einsetzt.
Das Entscheidende: Betreiber-Pflichten sind zusätzlich zur DSGVO, nicht stattdessen. Dein AVV mit OpenAI oder Anthropic löst deine KI-VO-Compliance nicht ab. Das sind zwei separate Rechtsebenen: DSGVO regelt Datenschutz, KI-VO regelt sicheren und transparenten KI-Einsatz.
Für ein 1–5-Personen-Büro bedeutet das drei operative Aufgaben: KI-Inventar erstellen, Schulungsnachweis führen und bei Chatbot-Einsatz eine Kennzeichnung anbringen. Kein externer Berater zwingend nötig für die Basisumsetzung. Zeitaufwand: ein halber Tag.
Art. 4 KI-VO: Die Schulungspflicht, seit Februar 2025 in Kraft
Art. 4 KI-VO gilt seit dem 2. Februar 2025. Wer noch keine Maßnahmen ergriffen hat, ist 15 Monate im Rückstand.
Die Norm verpflichtet Betreiber sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt, gemessen an Einsatzkontext, Rolle und Risiken des jeweiligen Systems. Kein vorgeschriebenes Format, keine Mindeststundenzahl. Aber: Im Falle einer Prüfung durch die zuständige Marktaufsichtsbehörde (in Deutschland voraussichtlich die Bundesnetzagentur) muss der Nachweis vorgelegt werden können.
Was nicht ausreicht:
- „Wir nutzen ChatGPT intern" ohne Dokumentation
- Ein einmaliges Webinar ohne schriftlichen Nachweis
Was für ein KMU ausreicht:
- Schulungsregister, eine einfache Tabelle: Name, Datum, behandeltes KI-System, Dauer, Thema (Beispiel: „ChatGPT für Angebotstexte, Risiken bei Halluzinationen, 45 Min., M. Müster, 14.03.2025")
- Interne KI-Leitlinie, eine Seite reicht: Welche Tools sind erlaubt? Wofür? Was ist verboten? Wer ist verantwortlich?
„Kompetenz" bedeutet nicht Programmierkenntnis. Es bedeutet: Mitarbeiter wissen, was das Tool kann, was es nicht kann, und wie sie Fehler erkennen.
Zeitaufwand für ein 3-Personen-Büro: ~2 Stunden einmalig für Leitlinie + Schulungsregister. Danach: neuer Eintrag bei jedem neuen Tool oder neuem Mitarbeiter.
Art. 50 KI-VO: Was dein Chatbot dem Kunden ab August sagen muss
Art. 50 Abs. 1 KI-VO tritt am 2. August 2026 in Kraft. Die Norm verpflichtet Betreiber von KI-Dialogsystemen (Chatbots, Voicebots), Nutzer zu informieren, dass sie mit einem KI-System interagieren, sofern das nicht aus dem Kontext offensichtlich ist.
Wer ist betroffen:
- Website-Chatbot für Erstanfragen, FAQ oder Terminbuchung
- KI-gestützter WhatsApp-Assistent
- Vollautomatische E-Mail-Antworten ohne menschliche Prüfung vor dem Versand
Was die Kennzeichnung leisten muss: Die KI-VO schreibt kein konkretes Format vor, aber die Information muss klar, verständlich und zu Beginn der Interaktion vorhanden sein.
Praxis-Formulierung:
„Du chattest mit einem KI-Assistenten. Für verbindliche Beratung wende dich an unser Team: +49 7251 …"
Was nicht ausreicht:
- Nur ein kleines KI-Symbol ohne Erläuterung
- Hinweis erst nach der ersten Nutzereingabe
- Name „Lea" oder „Max" ohne Hinweis auf KI-Natur: Ein menschlich klingender Name ist erlaubt, aber der KI-Charakter muss zu Beginn klar sein
Sanktionen bei Verstoß gegen Art. 50: Bis zu 7,5 Mio. Euro oder 1 % des weltweiten Jahresumsatzes. Für KMU gilt der niedrigere Betrag. Bei einem Büro mit 300.000 € Jahresumsatz wären das rechnerisch 3.000 €. Relevant bei Wiederholungsverstößen oder aktiver Behördenprüfung.
Auch bereits laufende Chatbot-Systeme müssen bis August 2026 nachgerüstet werden, kein Bestandsschutz für Alt-Deployments.
KI-Inventar: fünf Spalten, eine Tabelle
Bevor du schulst oder kennzeichnest, brauchst du den Überblick: Welche KI-Systeme setzt du tatsächlich ein?
Ein KI-Inventar für ein Makler-Büro ist keine 50-seitige Dokumentation. Es ist eine Tabelle:
| Tool | Einsatzzweck | Kundendaten? | Risikoklasse | Verantwortlich |
|---|---|---|---|---|
| ChatGPT (OpenAI) | Angebotstexte | Nein | Minimal | M. Müster |
| Chatbot (Website) | Erstanfragen | Ja (Name, E-Mail) | Begrenztes Risiko | M. Müster |
| Copilot (Microsoft) | E-Mail-Drafts | Ja | Begrenztes Risiko | A. Schneider |
Die Risikoklassifizierung folgt der KI-VO-Logik:
- Minimal: keine direkte Nutzerinteraktion, keine Entscheidungsunterstützung mit personenbezogenen Daten
- Begrenztes Risiko: direkter Kundenkontakt oder personenbezogene Daten → Art. 50 anwendbar
- Hoch: Systeme, die Risikoeinschätzungen oder Kreditwürdigkeitsanalysen automatisiert vornehmen → strengere Pflichten (aktuell bis Dezember 2027 aufgeschoben, s.u.)
Risikoklassifizierung mit aktuellem EU-Guidance-Dokument zur KI-VO abgleichen (ec.europa.eu/digital-strategy). Klassifizierung ändert sich potenziell mit Leitlinien-Updates.
Das Inventar ist keine einmalige Aufgabe. Jedes neue Tool (auch KI-Plugins in bestehender Software) gehört eingetragen, bevor es produktiv genutzt wird.
Digital Omnibus: Was verschoben wurde, und was nicht
Hier herrscht die meiste Verwirrung in Maklerkreisen.
Der Digital Omnibus (ein EU-Legislativpaket, vorgeschlagen November 2025, Trilog-Verhandlungen ab April 2026) verschiebt die Fristen für Hochrisiko-KI-Systeme nach Anhang III KI-VO auf Dezember 2027.
Finaler Omnibus-Text noch nicht verabschiedet; Trilog-Status und Plenarabstimmung bitte prüfen.
Was das für ein normales Makler-Büro bedeutet: Kaum etwas. Hochrisiko-KI nach Anhang III sind Systeme zur Kreditwürdigkeitsprüfung, biometrischen Einstufung oder automatisierten Personalentscheidung. Kein Makler-Büro betreibt solche Systeme eigenständig.
Was vom Omnibus unberührt bleibt:
- Art. 4 (KI-Kompetenz): gilt seit Februar 2025
- Art. 50 (Chatbot-Transparenz): tritt August 2026 in Kraft, kein Aufschub
- Art. 5 (Verbote): gilt seit Februar 2025 (Social Scoring, Echtzeit-Gesichtserkennung im öffentlichen Raum)
Kurzversion: Der Omnibus hat Großunternehmen mit Hochrisiko-KI entlastet. Dir als Einzelunternehmer oder Kleinstbüro hat er wenig gebracht. Deine Pflichten aus Art. 4 und Art. 50 laufen weiterhin nach Plan.
6 Schritte bis August 2026
Zeitaufwand gesamt: ca. 4–6 Stunden einmalig, danach laufende Pflege
- KI-Inventar erstellen (1–2 Std.)
Alle genutzten KI-Tools erfassen: ChatGPT, Copilot, Makler-Software mit KI-Funktionen, Website-Chatbots. Tabelle mit 5 Spalten anlegen (s.o.). - Risikoklasse prüfen (30 Min.)
Für jedes Tool: Verarbeitet es Kundendaten direkt? Interagiert es mit Kunden in Echtzeit? Wenn ja → Begrenztes Risiko → Art. 50 relevant. - KI-Leitlinie schreiben (1 Std.)
Eine Seite reicht: Erlaubte Tools, erlaubte Zwecke, Verbote (z.B. keine vollautomatischen Beratungsaussagen ohne menschliche Freigabe), Verantwortliche, Eskalationspfad bei KI-Fehlern. - Schulungsregister anlegen (30 Min.)
Für jeden Mitarbeiter, rückwirkend ab Februar 2025 erfassen soweit möglich: wann, welches System, Dauer, Themen. Für neue Mitarbeiter und neue Tools: Eintrag vor Produktiveinsatz. - Chatbot-Kennzeichnung prüfen und nachrüsten (30 Min.)
Wenn ein Chatbot auf der Website oder in WhatsApp läuft: Ist der KI-Charakter beim allerersten Kundenkontakt erkennbar? Wenn nein: Hinweistext ergänzen, vor dem 2. August 2026. - AVV-Status für KI-Anbieter prüfen (30 Min.)
Schritte 1–5 ersetzen keinen Auftragsverarbeitungsvertrag (DSGVO-Ebene). Prüfen, ob AVVs für ChatGPT, Copilot und weitere Dienste vorliegen. Details zur AVV-Anforderung und Anbieter-Vergleich (Claude vs. GPT-4o vs. Azure) → KI & DSGVO für Makler.
Art.-50-konform ab Tag 1.
Chatbot mit eingebauter KI-Kennzeichnung ab erstem Kundenkontakt, Eskalations-Logik für echte Beratungsanfragen, DSGVO-konformes Hosting auf deutschen Servern. In 14 Tagen live.
Dieser Artikel ersetzt keine Rechtsberatung. Bei spezifischen Fragen zu deinem Setup sprich mit deinem Datenschutzbeauftragten oder einem IT-Recht-Anwalt. Besonders wichtig bei Tools mit Gesundheitsdaten oder automatisiertem Pricing.
Fazit
Art. 4 läuft seit 15 Monaten. Art. 50 tritt in 85 Tagen in Kraft. Die Mehrheit der Makler-Büros ist für beides nicht compliant, nicht aus bösem Willen, sondern weil die Kommunikation über die neuen Regeln fast ausschließlich an Großversicherer adressiert war.
Der Aufwand für ein 1–5-Personen-Büro beträgt einen halben Arbeitstag: Inventar anlegen, Leitlinie schreiben, Schulungsregister starten, Chatbot-Hinweis prüfen.
Wenn du auf deiner Website einen Chatbot betreibst oder planst: Das technische Setup (DSGVO-konformes Hosting auf deutschen Servern (Hetzner), Art.-50-konforme Kennzeichnung ab dem ersten Kundenkontakt, Eskalations-Logik für echte Beratungsanfragen) lässt sich vorkonfiguriert deployen. → Chatbot-Modul bei Sehlmeyer Digital: 14-Tage-Sprint, Claude-API EU-Region.