EU AI Act und Kundenbefragungen: was seit August 2026 gilt

Seit dem 2. August 2026 ist die KI-Verordnung im Hauptteil anwendbar, und seitdem steht die Frage in Einkaufsfragebögen: „Erfüllt Ihr Werkzeug den AI Act?" Die Frage ist so gestellt nicht beantwortbar — die Verordnung reguliert nicht Werkzeuge, sondern Anwendungsfälle nach Risiko. Dasselbe Umfragewerkzeug kann in einem Fall unkritisch und im anderen verboten sein.

Dieser Beitrag beantwortet drei Dinge: welche Fristen heute gelten, in welche Risikoklasse eine Kundenbefragung mit KI-Auswertung fällt, und an welcher Stelle es ernst wird.

Welche Fristen gelten heute?

Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt gestaffelt. Die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026, hat die Hochrisiko-Pflichten nach hinten verschoben — den Rest jedoch nicht.

Die Verschiebung ist kein Freibrief. Verschoben wurden ausschließlich die Pflichten für Hochrisikosysteme nach Kapitel III. Verbote, KI-Kompetenz und Transparenzpflichten sind anwendbar. Und wer ein System baut, das ab Dezember 2027 als Hochrisikosystem gilt, gewinnt Zeit für die Konformitätsbewertung — nicht die Erlaubnis, bis dahin anders zu handeln.

Sind Sie Anbieter oder Betreiber?

Wer ein fertiges Umfragewerkzeug einkauft und damit die eigenen Kunden befragt, ist Betreiber („Deployer", Art. 3 Nr. 4). Anbieter ist, wer das KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Die Unterscheidung entscheidet über fast alles Weitere, weil die umfangreichen Pflichten — technische Dokumentation, Risikomanagement, Konformitätsbewertung — beim Anbieter liegen.

Als Betreiber bleiben Ihnen im Wesentlichen vier Dinge: die KI-Kompetenz Ihrer Leute (Art. 4), die Zweckbindung — das System nur für den vorgesehenen Zweck einsetzen —, die Transparenzpflichten aus Art. 50, soweit einschlägig, und die menschliche Aufsicht bei Hochrisikosystemen.

Ist die KI-Auswertung offener Antworten ein Hochrisikosystem?

In aller Regel nein. Hochrisikosysteme sind in Art. 6 abschließend bestimmt: entweder Sicherheitsbauteile regulierter Produkte (Anhang I) oder Systeme in den acht Bereichen des Anhangs III — darunter Beschäftigung, Bildung, Kreditwürdigkeit, Strafverfolgung. Das thematische Gruppieren von Freitextantworten aus einer Kundenbefragung fällt unter keinen dieser Punkte: Es bewertet keine Personen, trifft keine Entscheidung über sie und entfaltet keine Rechtswirkung.

Damit liegt der typische Fall — Kunden antworten freiwillig, ein Modell bildet Themen, ein Mensch liest und entscheidet — im unregulierten Bereich der Verordnung, für den außer der KI-Kompetenz keine besonderen Pflichten gelten.

Drei Konstellationen verlassen diesen Bereich:

1. Befragung von Beschäftigten mit Auswertung auf Personenebene. Anhang III Nr. 4 erfasst Systeme, die im Beschäftigungskontext Leistung und Verhalten bewerten. Wer Antworten zu einzelnen Mitarbeitenden verdichtet und daraus Beurteilungen ableitet, landet dort — ab Dezember 2027 mit vollem Pflichtenprogramm.
2. Emotionserkennung am Arbeitsplatz. Siehe nächster Abschnitt. Das ist kein Hochrisiko-, sondern ein Verbotstatbestand.
3. Automatisierte Einzelfallentscheidungen. Wenn aus der Auswertung ohne menschliche Prüfung eine Maßnahme gegen eine Person folgt, greift zusätzlich Art. 22 DSGVO.

Wo es ernst wird: Emotionen und Beschäftigte

Das Ableiten von Emotionen natürlicher Personen am Arbeitsplatz und in Bildungseinrichtungen ist nach Art. 5 Abs. 1 lit. f der KI-Verordnung verboten — seit dem 2. Februar 2025, ohne Übergangsfrist, mit Ausnahmen nur aus medizinischen oder Sicherheitsgründen. Der Bußgeldrahmen für verbotene Praktiken liegt bei bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes (Art. 99).

Das ist für Mitarbeitendenbefragungen hochrelevant, weil „Stimmungsanalyse" ein verbreitetes Feature ist. Die Grenze verläuft zwischen zwei Dingen, die oberflächlich ähnlich aussehen:

Die Einordnung der Grenzfälle ist fachlich umstritten, und die Erwägungsgründe nehmen leicht erkennbare Zustandsäußerungen ausdrücklich aus. Für die Praxis heißt das: Bei Befragungen von Beschäftigten keine Funktion einsetzen, die Gefühlszustände zuschreibt — und diese Frage vor dem Einkauf klären, nicht danach. Für Befragungen von Kunden greift das Verbot nicht; dort bleibt es eine Frage von Datenschutz und Augenmaß.

Unabhängig vom Recht gilt der methodische Einwand: Eine Auswertung, die acht Antworten je Person zu einer Kennzahl verdichtet, misst Rauschen. Warum Segmente eine Mindestgröße brauchen, steht in Wie viele Teilnehmer braucht eine Umfrage?

Was Art. 50 verlangt — und wann

Art. 50 verpflichtet dazu, den Einsatz von KI offenzulegen, wo er nicht offensichtlich ist. Für Befragungen sind zwei Absätze einschlägig:

• Art. 50 Abs. 1 — Systeme, die direkt mit Menschen interagieren, müssen erkennbar machen, dass es sich um eine Maschine handelt. Ein klassischer Fragebogen tut das nicht; eine dialogische Befragung mit KI-Rückfragen sehr wohl.
• Art. 50 Abs. 2 — Anbieter, deren Systeme synthetische Texte, Bilder, Audio oder Video erzeugen, müssen diese maschinenlesbar kennzeichnen. Für Systeme, die vor dem 2. August 2026 bereits im Verkehr waren, läuft die Umsetzungsfrist bis zum 2. Dezember 2026.

Die nachträgliche Auswertung eingegangener Antworten ist keine direkte Interaktion und erzeugt keine synthetischen Inhalte für Dritte. Wo KI-generierte Formulierungsvorschläge in einen Fragebogen einfließen, ist der Hinweis trotzdem die billigere Lösung — Transparenz kostet nichts und erspart die Erklärung hinterher.

Art. 4: die Pflicht, die alle betrifft

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber dafür sorgen, dass die mit KI-Systemen befassten Personen über ausreichende KI-Kompetenz verfügen (Art. 4). Das ist die einzige Pflicht, die unabhängig von Risikoklasse und Unternehmensgröße jeden trifft, der KI einsetzt — und die in der Praxis am häufigsten übersehen wird.

Gemeint ist kein Zertifikat. Gemeint ist, dass die Menschen, die mit der Auswertung arbeiten, wissen, was das System tut, worauf es trainiert ist und wo es falsch liegen kann. Praktisch reichen für ein Produktteam drei Dinge:

1. Eine halbe Stunde Einweisung, was das eingesetzte System tut und was nicht — dokumentiert, mit Datum und Teilnehmenden.
2. Eine schriftliche Regel, welche Daten in die KI-Auswertung dürfen und welche nicht.
3. Ein benannter Mensch, der Ergebnisse gegenliest, bevor sie in eine Entscheidung eingehen.

Checkliste vor der nächsten Erhebung

Einordnung

• [ ] Rolle bestimmt: Betreiber oder Anbieter
• [ ] Anwendungsfall gegen Anhang III geprüft — werden Personen bewertet?
• [ ] Beschäftigte befragt? Dann: keine Funktion, die Emotionen zuschreibt
• [ ] Keine automatisierte Einzelfallentscheidung ohne menschliche Prüfung

Nachweise

• [ ] KI-Kompetenz nach Art. 4 organisiert und dokumentiert
• [ ] Vom Anbieter: Zweckbeschreibung des Systems und Angaben zu seinen Grenzen
• [ ] Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, inklusive der KI-Unterauftragnehmer
• [ ] Training mit Ihren Inhalten vertraglich ausgeschlossen
• [ ] Datenschutz-Folgenabschätzung geprüft (Art. 35 DSGVO), wenn umfangreich oder sensibel

Im Betrieb

• [ ] Einsatz von KI in der Einladung benannt
• [ ] Freitexte vor der Verarbeitung von Namen und Kennungen bereinigt
• [ ] Mindestgröße je Segment festgelegt, unter der nicht berichtet wird
• [ ] Ergebnisse werden von einem Menschen geprüft, bevor sie zur Entscheidung werden

Die datenschutzrechtliche Seite derselben Erhebung — anonym oder pseudonym, Rechtsgrundlage, Freitextproblem — steht in Kundenbefragungen DSGVO-konform durchführen.

Die kürzeste belastbare Antwort an den Einkauf

Wenn im Lieferantenfragebogen „AI-Act-Konformität" abgefragt wird, trägt diese Antwort:

Die Erhebung nutzt KI ausschließlich zur thematischen Gruppierung freiwillig abgegebener Antworten. Es werden keine Personen bewertet, keine Emotionen abgeleitet und keine automatisierten Entscheidungen getroffen. Das System ist damit kein Hochrisikosystem nach Art. 6 der Verordnung (EU) 2024/1689. Die Pflicht zur KI-Kompetenz nach Art. 4 ist durch eine dokumentierte Einweisung erfüllt; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor.

Vier Sätze, jeder überprüfbar. Das ist mehr, als die meisten Antworten auf diese Frage leisten — und es ist der Grund, die Einordnung einmal sauber zu machen, statt sie in jedem Ausschreibungsverfahren neu zu erfinden.