KI-Transparenzpflichten: Antworten für Finanzunternehmen

KI im Kundenkontakt muss sich zu erkennen geben

Seit dem 2. August 2026 gelten die Transparenzpflichten der europäischen KI-Verordnung. Für Banken, Sparkassen, Versicherer und Vermittler betreffen sie vor allem zwei Felder: Chatbots und digitale Assistenten im Kundenkontakt sowie Inhalte, die mit KI erzeugt werden.

Die EU-Kommission hat am 20. Juli 2026 Leitlinien veröffentlicht, die die Pflichten auslegen, und nennt darin Finanzberatung, Versicherung und Beschwerdemanagement ausdrücklich als Bereiche mit erhöhtem Informationsbedarf. Für das Management stellt sich damit weniger die Frage, ob die Pflichten gelten, sondern wo im eigenen Unternehmen heute KI mit Kunden spricht und wer dafür verantwortlich ist. Die folgenden Antworten ordnen die häufigsten Fragen ein.

Welche KI-Transparenzpflichten gelten seit August 2026?

Es gelten Hinweispflichten für Systeme, die direkt mit Menschen interagieren, und Kennzeichnungspflichten für KI-erzeugte Inhalte. Anbieter interaktiver KI-Systeme müssen sicherstellen, dass Menschen erfahren, dass sie mit einer KI sprechen. Anbieter von Systemen, die Text, Bild, Ton oder Video erzeugen, müssen die Ergebnisse maschinenlesbar markieren, und Betreiber müssen Deepfakes sowie bestimmte veröffentlichte Texte als KI-generiert offenlegen.

Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, gilt bei der maschinenlesbaren Markierung eine Übergangsfrist bis 2. Dezember 2026. Diese Frist hat der Digital Omnibus zur KI-Verordnung eingeführt, der seit dem 27. Juli 2026 in Kraft ist. Für die Hinweispflicht bei Chatbots gibt es keine solche Frist.

Wann muss sich ein Chatbot als KI zu erkennen geben?

Grundsätzlich immer, es sei denn, es ist für eine verständige Person offensichtlich. Die Kommission legt diese Ausnahme nach ihren Leitlinien eng aus: Es darf praktisch kein Zweifel bleiben, und die Zielgruppe ist zu berücksichtigen, einschließlich schutzbedürftiger Personen und Menschen mit geringer Erfahrung mit KI. Chatbots in Kundenservice und Helpdesks gelten nach den Leitlinien ausdrücklich nicht als offensichtlich.

Für Finanzunternehmen heißt das: Wer sich darauf verlässt, dass Kunden einen Assistenten in App oder Website schon als KI erkennen, trägt das Risiko. Die Darlegungslast für die Offensichtlichkeit liegt beim Anbieter. Ein klarer Hinweis ist günstiger als eine spätere Auseinandersetzung mit der Aufsicht und stärkt zugleich das Vertrauen der Kunden, wie unser Beitrag zur Akzeptanz von KI im Kundenservice zeigt.

Ist ein Finanzunternehmen Anbieter oder Betreiber eines KI-Systems?

Das hängt vom Einsatz ab, und ein Unternehmen kann beide Rollen zugleich haben. Nach den Leitlinien der Kommission gilt als Anbieter, wer ein KI-System unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Wer ein bestehendes System wesentlich verändert, etwa mit eigenen Trainingsdaten, wird Anbieter des neuen Systems. Betreiber ist, wer ein System in eigener Verantwortung nutzt.

Die Rolle entscheidet, welche Pflicht greift: Die Hinweispflicht bei Chatbots richtet sich an den Anbieter, die Offenlegung von Deepfakes und bestimmten Texten an den Betreiber. Setzt eine Bank einen zugekauften Assistenten unter eigener Marke ein, sollte sie die Rolle nicht dem Dienstleister überlassen, sondern je Anwendung festhalten und vertraglich absichern. Die Leitlinien regeln diesen Fall nicht ausdrücklich, eine dokumentierte Einordnung ist deshalb die belastbarste Grundlage.

Reicht ein einmaliger KI-Hinweis zu Beginn des Kundengesprächs?

Im Normalfall ja, in Beratungsnähe oft nicht. Die Information muss spätestens bei der ersten Interaktion klar und eindeutig erfolgen und barrierefrei sein. Nach den Leitlinien genügt im Regelfall ein einzelner, gut sichtbarer Hinweis vor der ersten Interaktion.

Für Finanzberatung, Versicherung und Beschwerdebearbeitung halten die Leitlinien dagegen wiederkehrende und kontextbezogene Hinweise für wahrscheinlich erforderlich. Das betrifft genau die Gespräche, in denen es um Geld, Absicherung oder Ärger geht. Für das Kundenerlebnis ist das eine Gestaltungsaufgabe: Hinweise müssen so gesetzt werden, dass sie informieren, ohne das Gespräch zu stören, etwa beim Wechsel von allgemeiner Auskunft zu einer konkreten Empfehlung.

Müssen KI-generierte Texte, Bilder und Videos gekennzeichnet werden?

Bilder, Ton und Videos, die als Deepfake wirken, also realen Personen, Orten oder Ereignissen täuschend ähneln, müssen offengelegt werden. Das kann etwa realistisch wirkende Bilder oder Videos in Kampagnen betreffen. Für Texte gilt die Offenlegungspflicht nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.

Für Texte gibt es zudem eine wichtige Ausnahme: Wurden sie menschlich überprüft oder redaktionell kontrolliert und trägt jemand die redaktionelle Verantwortung, entfällt die Kennzeichnung. Beide Bedingungen müssen nach den Leitlinien zusammen vorliegen. Unternehmen, die Marktberichte, Newsletter oder Kundeninformationen mit KI vorbereiten, sollten deshalb einen klaren Freigabeprozess mit benannter Verantwortung haben. Auf die maschinenlesbare Markierung des Anbieters können sich Betreiber nach den Leitlinien nicht verlassen.

Müssen ältere KI-Inhalte nachträglich gekennzeichnet werden?

Bereits veröffentlichte Inhalte nicht, neu veröffentlichte schon. Nach den Antworten der Kommission auf häufige Fragen müssen Inhalte, die vor dem 2. August 2026 erzeugt wurden, nicht rückwirkend gekennzeichnet werden. Die Pflichten gelten für Interaktionen und Inhalte ab diesem Datum, mit der genannten Übergangsfrist für die maschinenlesbare Markierung bei Systemen, die schon vorher am Markt waren.

Für die Praxis ist das eine Entlastung, aber kein Freibrief. Nach den Leitlinien der Kommission fallen Texte, die vor dem Stichtag erzeugt, aber ab dem 2. August 2026 veröffentlicht werden, unter die neuen Regeln. Eine klare Regel im Content-Management verhindert, dass Altbestände unkontrolliert in neue Kanäle wandern.

Wie gelingt der KI-Hinweis, ohne das Kundenerlebnis zu stören?

Der Hinweis wirkt am besten, wenn er Teil des Gesprächs ist und nicht als Warnschild daherkommt. Ein kurzer Satz zu Beginn, der sagt, dass ein KI-Assistent antwortet und wie Kunden einen Menschen erreichen, informiert und schafft zugleich Orientierung. In Beratungs- und Beschwerdesituationen kann ein erneuter Hinweis an dem Punkt stehen, an dem der Assistent eine Empfehlung gibt oder eine Weiterleitung anbietet.

Die Gestaltung ist eine gemeinsame Aufgabe von Vertrieb, Kundenservice, Compliance und Digitalteams. Wer sie allein der Rechtsabteilung überlässt, erhält meist korrekte, aber sperrige Texte, die Kunden überlesen. Wer sie allein dem Produktteam überlässt, riskiert Lücken. Ein gemeinsamer Standard für alle Kanäle spart Abstimmung und sorgt für ein einheitliches Bild.

Welche Rolle spielt der Verhaltenskodex der Kommission zur KI-Kennzeichnung?

Der Verhaltenskodex zur Transparenz KI-generierter Inhalte ist freiwillig, gibt aber die praktische Richtung vor. Die Kommission hat ihn am 10. Juni 2026 in finaler Fassung veröffentlicht und als angemessen bewertet. Er enthält einen Teil zur Markierung und Erkennung für Anbieter und einen Teil zur Kennzeichnung von Deepfakes und Texten für Betreiber, einschließlich optionaler EU-Symbole.

Für Finanzunternehmen ist der Kodex vor allem eine Vorlage. Wer Kennzeichnung und Freigabe intern regelt, kann sich an ihm orientieren, statt eigene Formen zu erfinden. Bei der Auswahl von Dienstleistern für Text- und Bilderzeugung lohnt die Frage, ob der Anbieter den Kodex unterzeichnet hat.

Wer überwacht die KI-Transparenzpflichten, und was droht bei Verstößen?

Für beaufsichtigte Finanzunternehmen ist die BaFin zuständig. Mit dem deutschen Durchführungsgesetz zur KI-Verordnung, das am 29. Juli 2026 in Kraft trat, überwacht die BaFin KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen, einschließlich der Transparenzpflichten. In allen übrigen Bereichen ist die Bundesnetzagentur Marktüberwachungsbehörde, auch für KI im Personalmanagement von Finanzunternehmen. Wie sich die Zuständigkeiten verteilen, haben wir in unserem Beitrag zur Aufsicht über KI in Finanzunternehmen eingeordnet.

Verstöße gegen die Transparenzpflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der niedrigere Betrag. Schwerer als das Bußgeld wiegt im Kundengeschäft allerdings der Vertrauensschaden, wenn Kunden erst im Nachhinein erfahren, dass sie mit einer KI gesprochen haben.

Was gilt für Vermittler und Unternehmen ohne BaFin-Aufsicht?

Die Pflichten gelten unabhängig von der Aufsicht, nur die zuständige Behörde unterscheidet sich. Versicherungsmakler und Finanzanlagenvermittler, die nicht von der BaFin beaufsichtigt werden, fallen nach der Aufgabenverteilung voraussichtlich unter die Bundesnetzagentur; ausdrücklich genannt werden sie in den Veröffentlichungen von BaFin und Bundesnetzagentur nicht.

Für Maklerunternehmen, die KI-Assistenten auf der Website oder KI-generierte Texte in Kundenbriefen nutzen, ändert das an der Aufgabe nichts: Hinweis im Chat, Freigabeprozess für Texte, Klarheit über die Rolle gegenüber dem Softwareanbieter.

Wie hängen Transparenzpflichten und Hochrisiko-Regeln zusammen?

Die Transparenzpflichten sind der erste Schritt, die Hochrisiko-Regeln folgen. Für KI-Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen und zur Risikobewertung und Preisgestaltung in der Lebens- und Krankenversicherung gelten die Hochrisiko-Anforderungen nach der Änderung durch den Digital Omnibus ab dem 2. Dezember 2027.

Wer jetzt ein Verzeichnis der KI-Anwendungen mit Kundenbezug aufbaut, legt damit zugleich die Grundlage für diese nächste Stufe. Das spart doppelte Bestandsaufnahmen und macht sichtbar, welche Anwendungen künftig mehr Dokumentation und menschliche Aufsicht brauchen.

Welche Verantwortung trägt das Management für KI-Transparenz?

Die Transparenzpflichten sind kein Thema, das sich vollständig an Fachbereiche delegieren lässt. Das Management entscheidet, wie offen das Unternehmen mit KI im Kundenkontakt umgeht, welche Anwendungen Priorität haben und wer die Verantwortung für die Einhaltung trägt. Diese Festlegungen prägen das Vertrauen der Kunden stärker als jede einzelne Formulierung.

Hilfreich ist eine klare Zuständigkeit: eine Stelle, die das Verzeichnis der KI-Anwendungen führt, Rollen dokumentiert und Änderungen nachhält. Ohne sie verteilen sich Einzelentscheidungen über Abteilungen, und bei einer Anfrage der Aufsicht fehlt der Überblick.

Was Finanzunternehmen jetzt tun sollten

• KI-Anwendungen mit Kundenbezug erfassen: Chatbots, Assistenten, Text- und Bilderzeugung in Marketing und Kundenkommunikation, jeweils mit verantwortlicher Einheit.

• Rolle je Anwendung festlegen und dokumentieren: Anbieter, Betreiber oder beides, und mit dem Dienstleister vertraglich klären, wer welche Pflicht erfüllt.

• Hinweise im Kundendialog gestalten: einmaliger Hinweis als Standard, wiederkehrende Hinweise in Beratung, Versicherung und Beschwerden, barrierefrei umgesetzt.

• Freigabeprozess für KI-gestützte Texte und Bilder einrichten, mit benannter redaktioneller Verantwortung und klaren Regeln für Deepfake-nahe Inhalte.

• Priorität und Kapazität klären: Wer pflegt das Verzeichnis dauerhaft, und welche Anwendungen werden zuerst geprüft, weil sie die meisten Kundenkontakte haben?

Wie gut das eigene Unternehmen vorbereitet ist, zeigt sich an einer schlichten Frage: Weiß heute jemand, an wie vielen Stellen KI mit Kunden spricht? Ein Austausch zur Transparenz von KI im Kundenkontakt ist uns jederzeit willkommen.