KI-Telefonassistenten im Unternehmen: Nutzen, Datenschutz und EU-AI-Act-Pflichten

Was ist ein KI-Telefonassistent im betrieblichen Prozess?

Ein KI-Telefonassistent – häufig auch Voice AI oder Voice Agent genannt – führt automatisierte Telefongespräche mit natürlicher Sprache. Im einfachsten Fall beantwortet er Öffnungszeiten. Im produktiven Unternehmensbetrieb nimmt er jedoch häufig ein Anliegen auf, gleicht Informationen mit einer Wissensquelle ab, erfasst Kontaktdaten, bucht einen Termin oder übergibt den Vorgang an ein Team.

Damit ist der Assistent kein isolierter Telefonkanal. Er ist eine Schnittstelle zwischen anrufender Person, Sprachverarbeitung, Unternehmenswissen und nachgelagerten Systemen. Aus der Antwort „Ich brauche einen Techniker“ kann ein Ticket entstehen. Aus einem Terminwunsch kann ein Kalendereintrag werden. Aus einer Reklamation kann eine Aufgabe mit Priorität und Rückruffrist folgen.

Diese Prozesssicht ist wichtig, weil Nutzen und Risiko an denselben Stellen entstehen. Strukturierte Übergaben sparen Arbeit; falsche Zuordnungen können dagegen Termine, Kundenbeziehungen oder sensible Daten betreffen. Eine gute Einführung bewertet deshalb nicht nur die Sprachqualität, sondern den vollständigen Ablauf vom Gesprächseingang bis zur letzten gespeicherten Information.

Wo entsteht der Nutzen von Voice AI konkret?

Der Nutzen lässt sich nicht seriös mit einer allgemeinen Prozentzahl beschreiben. Er hängt davon ab, welche Anrufarten häufig vorkommen und wie viel Nacharbeit heute verloren geht. Besonders greifbar ist der Effekt bei wiederkehrenden, klar begrenzten Abläufen:

• Erreichbarkeit: Anliegen werden auch bei besetzten Leitungen, außerhalb der Kernzeiten oder während Arbeitsspitzen angenommen.
• Struktur: Name, Rückrufnummer, Standort, Anliegen und Dringlichkeit landen in festgelegten Feldern statt in einer freien Telefonnotiz.
• Entlastung: Häufige Fragen und organisatorische Vorgänge blockieren weniger Fachzeit.
• Verbindlichkeit: Jeder Vorgang erhält einen Status, einen Verantwortlichen oder einen klaren nächsten Schritt.
• Messbarkeit: Unternehmen erkennen, welche Anliegen auftreten, wo Übergaben scheitern und welche Informationen in der Wissensbasis fehlen.

Ein geeigneter erster Use Case hat hohe Wiederholbarkeit, geringe Entscheidungswirkung und eine einfache Eskalation. Öffnungszeiten, Rückrufwünsche oder regelgebundene Terminaufnahme sind meist leichter beherrschbar als medizinische Triage, Bewerberbewertung oder eine Entscheidung über Kreditwürdigkeit.

Welche Daten fließen bei einem KI-Telefonassistenten?

Eine belastbare Prüfung beginnt mit einem Datenflussdiagramm. „Der Assistent verarbeitet Telefonnummern“ reicht nicht. Unternehmen sollten jeden Übergang betrachten: Telefonnetz, Spracherkennung, Dialogsystem, Wissensbasis, Protokollierung und Zielsystem.

Audioaufnahme, flüchtige Verarbeitung, Transkript und Ergebnisdaten sind getrennte Verarbeitungen. Ein Unternehmen kann beispielsweise ein strukturiertes Rückrufergebnis benötigen, ohne das vollständige Gespräch dauerhaft zu speichern. Für jede Stufe sollten Zweck, Rechtsgrundlage, Empfänger, Zugriff und Löschfrist einzeln festgelegt werden. Der Detailbeitrag zum Speichern von Gesprächen vertieft diese Trennung.

Wie greifen EU AI Act und DSGVO ineinander?

Der EU AI Act und die DSGVO beantworten unterschiedliche Fragen. Der AI Act betrachtet das KI-System, seinen vorgesehenen Zweck, seine Risikoklasse und Pflichten entlang der Wertschöpfungskette. Die DSGVO greift, sobald personenbezogene Daten verarbeitet werden. Die Einhaltung des einen Regelwerks ersetzt das andere nicht.

Transparenz nach Artikel 50

Seit dem 2. August 2026 gelten die Transparenzpflichten des Artikels 50. Bei einem System für die direkte Interaktion müssen natürliche Personen grundsätzlich erkennen, dass sie mit KI und nicht mit einem Menschen sprechen, sofern das im konkreten Kontext nicht ohnehin offensichtlich ist. Die Information muss klar und unterscheidbar spätestens bei der ersten Interaktion erfolgen.

Für Telefonie ist ein kurzer Hinweis in der Begrüßung der robuste Weg: „Guten Tag, ich bin der KI-Telefonassistent der Muster GmbH.“ Der Satz muss hörbar bleiben, auch wenn Anrufende sofort dazwischenreden. Formulierungen, Inbound- und Outbound-Sonderfälle behandelt der bestehende Leitfaden zur Kennzeichnungspflicht nach Artikel 50 ausführlich. Hier ist entscheidend: Der KI-Hinweis ist nur ein Baustein des Gesamtprozesses.

Datenschutz nach der DSGVO

Die DSGVO verlangt unter anderem Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung und angemessene Sicherheit. Das einsetzende Unternehmen muss daher klären, welche Rechtsgrundlage zum jeweiligen Vorgang passt, welche Dienstleister als Auftragsverarbeiter handeln, welche Unterauftragnehmer beteiligt sind und ob Daten in Drittländer gelangen.

Informationspflichten lassen sich mehrstufig erfüllen: Die Begrüßung enthält die wesentlichen Hinweise für den Kanal; weiterführende Informationen können über eine gut erreichbare Datenschutzerklärung oder auf Wunsch über einen alternativen Weg bereitstehen. Eine Gesprächsaufzeichnung benötigt eine eigene Prüfung. Eine Datenschutz-Folgenabschätzung ist nicht allein wegen des Begriffs Voice AI automatisch nötig, sondern wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten verursacht.

Besondere Kategorien wie Gesundheitsdaten erhöhen die Anforderungen. Gleiches gilt für umfangreiche Überwachung, Profiling oder automatisierte Entscheidungen mit erheblicher Wirkung. Für einen allgemeinen Überblick steht der DSGVO-Leitfaden für KI-Telefonassistenten bereit.

Ist ein KI-Telefonassistent automatisch Hochrisiko-KI?

Nein. Der Kommunikationskanal macht ein System nicht hochriskant. Entscheidend sind der vorgesehene Zweck und die Wirkung des Outputs. Ein Assistent, der Öffnungszeiten nennt oder einen Rückrufwunsch erfasst, ist anders einzuordnen als ein System, das Bewerber bewertet, die Kreditwürdigkeit natürlicher Personen bestimmt oder Notrufe klassifiziert.

Auch innerhalb derselben Abteilung kann die Grenze unterschiedlich verlaufen. Ein Recruiting-Assistent, der nur einen Gesprächstermin vereinbart, bewertet noch keine Eignung. Analysiert er dagegen Antworten und sortiert Kandidaten für die Auswahl vor, kann ein in Anhang III genannter Hochrisikobereich betroffen sein. Ein Assistent in einer Praxis ist nicht allein wegen der Branche hochriskant; diagnostische oder triagierende Funktionen können aber eine deutlich strengere Prüfung auslösen.

Die aktuelle EU-Kommissionsübersicht nennt für bestimmte Hochrisiko-Anwendungen nach Anhang III den 2. Dezember 2027 und für in regulierte Produkte eingebettete Systeme nach Anhang I den 2. August 2028 als Anwendungsdaten der einschlägigen Regeln. Das verschiebt Pflichten, nicht die Notwendigkeit einer heutigen Zweck- und Risikoklärung.

Vier Fragen für die Ersteinstufung

1. Organisiert der Assistent nur oder bewertet er eine natürliche Person?
2. Beeinflusst sein Ergebnis Zugang, Auswahl, Priorität oder eine rechtlich erhebliche Entscheidung?
3. Liegt der Use Case in einem sensiblen Bereich aus Anhang III oder in einem regulierten Produkt nach Anhang I?
4. Welche neuen Funktionen oder Integrationen könnten den ursprünglich freigegebenen Zweck verändern?

Diese Ersteinstufung ersetzt bei komplexen oder sensiblen Fällen keine rechtliche Prüfung. Sie verhindert aber, dass ein System pauschal als harmlos oder pauschal als hochriskant etikettiert wird.

Warum braucht Telefon-KI AI Governance?

AI Governance bedeutet, dass ein Unternehmen Zweck, Verantwortung, Regeln und Nachweise für den gesamten Lebenszyklus eines KI-Systems organisiert. Das beginnt vor dem ersten Anruf und endet nicht mit dem Go-live. Wissensquellen ändern sich, Gesprächsleitfäden werden angepasst, Berechtigungen wachsen und neue Integrationen verschieben den Datenfluss.

Ein KI-Telefonassistent sollte deshalb nicht isoliert betrachtet werden. Sobald Sprach-KI auf Wissensquellen zugreift, Daten erfasst oder Informationen an CRM, Kalender oder Ticketsysteme weitergibt, entsteht ein Governance-Prozess. Unternehmen müssen nachvollziehen können, welchen Zweck das System erfüllt, wer verantwortlich ist, welche Daten fließen und wie die Risikoeinstufung begründet wurde.

Ein KI-Inventar ist dafür ein sinnvolles Arbeitsmittel, aber nicht als erfundene Pauschalpflicht zu beschreiben. Der AI Act enthält je nach Rolle und Risikoklasse konkrete Dokumentations- und Registrierungspflichten; er verlangt nicht von jedem Unternehmen für jeden gewöhnlichen Assistenten unterschiedslos dasselbe Register. Unabhängig davon hilft ein internes Inventar, Zweckänderungen, Verantwortliche und Prüfstände sichtbar zu halten.

SimpleAct als Beispiel für strukturierte AI Governance

Wer diese Arbeit nicht in einzelnen Tabellen pflegen möchte, kann spezialisierte Software einsetzen. Die AI-Governance-Plattform SimpleAct nennt auf ihrer offiziellen Seite unter anderem ein zentrales KI-Inventar, geführte Risikoklassifizierung, Compliance-Checklisten, Governance-Workflows, Audit-Protokolle und Reporting. Außerdem werden Incident Management, Runtime Monitoring sowie Integrationen etwa in Jira, Teams oder ServiceNow beschrieben. Das ist ein konkretes Beispiel dafür, wie Erfassung, Bewertung und laufende Dokumentation organisatorisch gebündelt werden können; welche Funktionen und Prüfungen ein Unternehmen tatsächlich benötigt, hängt vom eigenen Einsatz ab.

Wer übernimmt welche Verantwortung?

Das einsetzende Unternehmen kann die Verantwortung für seinen Prozess nicht vollständig an den Anbieter delegieren. Umgekehrt hebt die Betreiberverantwortung die eigenständigen Anbieterpflichten nicht auf. AI-Act-Rollen und DSGVO-Rollen sollten separat dokumentiert werden, weil sie nicht deckungsgleich sind.

Was bedeutet Human Oversight bei Telefon-KI?

Human Oversight ist bei Hochrisiko-KI ein ausdrücklich geregeltes Konzept. Artikel 14 verlangt dort wirksame menschliche Aufsicht, die zum Risiko, Autonomiegrad und Nutzungskontext passt. Für einen gewöhnlichen, nicht hochriskanten Telefonassistenten sollte man diese Detailpflicht nicht pauschal behaupten. Menschliche Eingriffs- und Eskalationsmöglichkeiten sind dennoch eine sehr sinnvolle Betriebspraxis.

Praktisch wirksam ist Aufsicht erst, wenn Beschäftigte die Grenzen des Systems kennen und tatsächlich handeln können. Dazu gehören eine Weiterleitung an einen Menschen, ein verlässlicher Rückrufweg, die Möglichkeit, fehlerhafte Ergebnisse zu korrigieren, sowie eine Notabschaltung bei wiederholten Fehlfunktionen. Ein Mensch, der jede Zusammenfassung ungeprüft übernimmt, bildet keine belastbare Kontrollschicht.

Für den Telefonprozess helfen klare Stop-Regeln: keine verbindliche medizinische Diagnose, keine Zusage außerhalb hinterlegter Regeln, keine eigenständige Vertragsänderung und keine Bewertung einer Person, wenn nur organisatorische Aufnahme freigegeben wurde. Unsicherheit muss zu Rückfrage, Übergabe oder einem sicheren Abschluss führen.

Wie lassen sich CRM, Kalender und Ticketsysteme kontrolliert anbinden?

Integrationen erhöhen den Nutzen, aber auch die Wirkung eines Fehlers. Ein falsch verstandener Name in einer unverbindlichen Notiz ist etwas anderes als ein überschriebener Kundendatensatz oder ein automatisch stornierter Termin. Deshalb sollten Schreibrechte enger sein als Leserechte und kritische Aktionen zusätzliche Regeln erhalten.

• Nur die Felder freigeben, die der konkrete Ablauf benötigt.
• Neue Datensätze und Änderungen an bestehenden Datensätzen technisch unterscheiden.
• Dubletten, Identitätsunsicherheit und widersprüchliche Angaben als eigene Fehlerzustände behandeln.
• Keine sensiblen Wissensbereiche über eine zu breite Suche zugänglich machen.
• Jede Aktion mit Quelle, Zeitpunkt, Systemversion und Ergebnis nachvollziehbar machen.
• Bei Ausfall einen definierten Rückfallweg nutzen, statt Daten still zu verwerfen.

Eine Integration ist zugleich eine mögliche Zweckänderung. Wenn ein FAQ-Assistent später CRM-Daten abruft, Verträge ändert oder Vorgänge priorisiert, müssen Datenschutz, Berechtigungen und Risikoeinstufung erneut geprüft werden.

10 Punkte für die praktische Einführung

1. Use Case begrenzen: Den erlaubten Zweck und ausdrücklich ausgeschlossene Entscheidungen in je einem Satz festhalten.
2. Prozess zeichnen: Vom Anruf bis zu CRM, Kalender, Ticket und Löschung alle Datenübergänge sichtbar machen.
3. Rollen zuordnen: AI-Act-Anbieter und -Betreiber getrennt von DSGVO-Verantwortlichem und Auftragsverarbeitern bestimmen.
4. Risiko einstufen: Funktion, betroffene Personen, Entscheidungswirkung sowie Anhang I und III prüfen.
5. Transparenz testen: KI-Hinweis im ersten Kontakt hörbar machen und gegen Unterbrechung, Rückruf und Weiterleitung testen.
6. Daten minimieren: Audio, Transkript, Ergebnis und technische Logs getrennt behandeln und Löschfristen festlegen.
7. Rechte beschränken: Integrationen nach dem Minimalprinzip konfigurieren und kritische Schreibaktionen absichern.
8. Menschliche Wege bauen: Übergabe, Rückruf, Korrektur, Vorfallmeldung und Abschaltung praktisch erproben.
9. Personal befähigen: Rollenbezogene KI-Kompetenz zu Grenzen, Fehlern, Datenschutz und Eskalation vermitteln.
10. Änderungen steuern: Versionen, Wissensquellen, neue Funktionen, Freigaben und regelmäßige Reviews dokumentieren.

Fazit: Der Telefonassistent ist ein Prozess, kein Einzeltool

Ein KI-Telefonassistent schafft Wert, wenn er wiederkehrende Gespräche in verlässliche Folgeschritte übersetzt. Genau diese Verbindung zu Wissen, Daten und Systemen macht eine gemeinsame Betrachtung von Betrieb, EU AI Act und DSGVO erforderlich.

Unternehmen brauchen dafür kein pauschales Hochrisiko-Etikett und kein erfundenes Universalregister. Sie brauchen einen klaren Zweck, einen vollständigen Datenfluss, eine begründete Risikoeinstufung, transparente Gespräche, verantwortliche Personen und eine Änderungskontrolle. So bleibt Voice AI auch dann beherrschbar, wenn aus einer einfachen Anrufannahme später ein integrierter Kundenprozess wird.