Zwei Regelwerke, und nur zwei
Wenn eine KI Ihre Anrufe annimmt, gelten zwei europäische Regelwerke, die sich ergänzen, ohne sich zu überschneiden.
Die Verordnung über künstliche Intelligenz, der sogenannte AI Act, Verordnung (EU) 2024/1689, betrifft das KI-System selbst: was es tun darf und was Menschen wissen müssen, wenn sie damit zu tun haben. Sie ist am 1. August 2024 in Kraft getreten und gilt schrittweise. Die verbotenen Praktiken sind seit dem 2. Februar 2025 untersagt. Die Transparenzpflichten, also die, die Sie betreffen, gelten ab dem 2. August 2026.
Die DSGVO betrifft die Daten: den Namen, die Nummer, den Anlass des Anrufs, die etwaige Aufzeichnung der Stimme. Sie gilt seit 2018 für alle, mit oder ohne KI. Sie ändert sich nicht, weil die Sekretärin ein Programm ist; sie gilt schlicht für eine Verarbeitung mehr.
Keines dieser Regelwerke verbietet einem kleinen Unternehmen, sein Telefon einer KI anzuvertrauen. Sie legen Bedingungen fest, und diese sind vernünftig.
Der AI Act: sagen, dass es eine KI ist
Die Transparenzpflicht
Artikel 50 der Verordnung verlangt, dass KI-Systeme, die für die direkte Interaktion mit Menschen bestimmt sind, so gestaltet werden, dass diese Menschen informiert werden, dass sie mit einer KI interagieren, es sei denn, dies ist für eine normal aufmerksame Person aufgrund der Umstände offensichtlich. Am Telefon ist nichts offensichtlich: Eine heutige synthetische Stimme kann als menschliche Stimme durchgehen. Der Agent muss es also klar und zu Beginn des Anrufs sagen.
Diese Pflicht trifft zuerst den Anbieter des Systems, der es entsprechend gestalten muss. Sie betrifft aber auch Sie als Nutzer: Wählen Sie einen Agenten, der sich als KI vorstellt, und stellen Sie ihn nie so ein, dass er sich als Mensch ausgibt. Ein Satz genügt, zum Beispiel: „Kanzlei Martin, guten Tag, ich bin die Sprachassistentin der Kanzlei, ich kann Ihren Termin vereinbaren oder eine Nachricht aufnehmen.“
Was verboten ist
Artikel 5 verbietet bestimmte Praktiken, darunter die Manipulation durch unterschwellige oder täuschende Techniken und das Ausnutzen von Schwächen aufgrund von Alter oder Behinderung, um ein Verhalten zu beeinflussen. Für einen Agenten im Sekretariat ist die praktische Regel einfach: Der Agent informiert, schlägt vor, vereinbart Termine; er drängt nicht, er insistiert nicht, er spielt nicht mit Angst oder Dringlichkeit, um etwas zu erreichen. Der Ton, den Sie ihm geben, zählt.
Hochrisiko oder nicht?
Die Verordnung behält ihre strengsten Pflichten den „Hochrisiko“-Systemen vor, die in ihren Anhängen aufgeführt sind: unter anderem Personalauswahl, Kreditvergabe, Bildung, Betrieb kritischer Infrastrukturen, Justiz, Migration. Ein Agent, der Termine und Nachrichten für einen Handwerker, eine Praxis oder ein Geschäft aufnimmt, gehört nicht dazu. Sie müssen also weder eine Konformitätsbewertung noch eine Registrierung in einer EU-Datenbank vorsehen. Bleiben Sie aufmerksam, wenn Sie ihm etwas anderes übertragen, zum Beispiel eine telefonische Vorauswahl von Bewerbern: Dann wechselt man die Kategorie.
Die DSGVO: Ihre Daten, Ihre Pflichten
Wer ist wer
Sie, das Unternehmen, bei dem das Telefon klingelt, sind Verantwortlicher: Sie entscheiden, warum und wie die Anrufe verarbeitet werden. Der Anbieter des Sprachagenten ist Ihr Auftragsverarbeiter: Er verarbeitet die Daten in Ihrem Auftrag, nach Ihren Weisungen. Diese Aufteilung hat zwei Folgen: Sie müssen jede Verarbeitung begründen können, und Sie brauchen mit dem Anbieter einen Vertrag, der ihn verpflichtet, wie ihn Artikel 28 DSGVO vorsieht. Dieser Vertrag, der Auftragsverarbeitungsvertrag (AVV), muss vor dem ersten Anruf bestehen. Fordern Sie ihn an, lesen Sie ihn, bewahren Sie ihn auf.
Die Rechtsgrundlage
Einen Anruf beantworten, Kontaktdaten notieren, einen Termin vereinbaren: Diese Verarbeitungen beruhen auf der Erfüllung des Vertrags mit dem Kunden oder auf Ihrem berechtigten Interesse, Ihr Geschäft zu führen. Sie müssen den Anrufer nicht um Einwilligung bitten, um ihm zu antworten. Eine Einwilligung wird wieder nötig für Zwecke, die über die Anfrage hinausgehen, zum Beispiel für das Versenden von Werbeangeboten.
Die Information der Anrufer
Das ist die sichtbarste Pflicht. Die Menschen müssen wissen, wer ihre Daten verarbeitet, warum, auf welcher Grundlage, wer sie erhält, wie lange sie gespeichert werden und welche Rechte sie haben. Am Telefon lässt die CNIL, die französische Datenschutzbehörde, eine Information in zwei Stufen zu: ein kurzer Hinweis während des Anrufs und die Details auf einem zugänglichen Medium, zum Beispiel Ihrer Website. Konkret:
- Der Agent gibt zu Beginn des Anrufs an, dass er eine KI ist, und gegebenenfalls, dass das Gespräch aufgezeichnet oder transkribiert wird;
- eine Seite Ihrer Website beschreibt die Verarbeitung: Zweck, Dienstleister, Hosting-Standort, Speicherdauer, Rechte und Kontakt;
- Ihre Anrufbeantworter-Ansage verweist, bei Anschlüssen, die noch eine haben, auf diese Seite.
Die Speicherdauer
Daten werden nicht „für alle Fälle“ aufbewahrt. Legen Sie für jede Datenart eine Dauer fest: die Zusammenfassung eines Anrufs, den Termin im Kalender, die Audioaufzeichnung, falls es sie gibt. Die richtige Dauer ist die, die dem Zweck dient: die Anfrage bearbeiten, den Termin wahrnehmen, eine Reklamation abwickeln. Die CNIL, die französische Datenschutzbehörde, veröffentlicht Orientierungswerte zu den Fristen, und Ihr Verzeichnis von Verarbeitungstätigkeiten muss die gewählte Dauer nennen. Ihr Dienstleister muss sie anwenden oder es Ihnen ermöglichen, sie anzuwenden.
Die Aufzeichnung von Gesprächen
Einen Anruf zu transkribieren, um daraus eine Zusammenfassung zu erstellen, und das Audio zu speichern, sind zwei verschiedene Dinge. Die Audioaufzeichnung ist nicht nötig, damit ein Agent funktioniert. Wenn Sie aufzeichnen, zum Beispiel um anfangs die Qualität der Antworten zu prüfen, verlangt in Frankreich die CNIL, die Betroffenen zu informieren, ihnen einen Widerspruch zu ermöglichen, die Speicherdauer zu begrenzen und den Zugriff auf die Aufzeichnungen einzuschränken; in anderen Ländern gelten die Vorgaben Ihrer Datenschutzbehörde. Wenn Sie die Aufzeichnung nicht brauchen, deaktivieren Sie sie: Das ist die am leichtesten zu verteidigende Einstellung.
Die Rechte der Betroffenen
Ein Anrufer kann verlangen, zu erfahren, was Sie über ihn gespeichert haben, kann die Berichtigung oder Löschung verlangen und bestimmten Verarbeitungen widersprechen. Legen Sie fest, wie Sie antworten: wo die Zusammenfassungen liegen, wer sie löschen kann, innerhalb welcher Frist. Ein Monat ist die Regelfrist für die Antwort.
Sicherheit und Hosting
Sie müssen die Daten schützen und einen Auftragsverarbeiter wählen, der sie schützt. Fragen Sie, wo sie gehostet werden, von wem und wie sie verschlüsselt sind. Ein Hosting in Frankreich oder in der Europäischen Union erspart Fragen zur Übermittlung außerhalb der EU, die sonst besondere Garantien erfordern. Sitzen Unterauftragsverarbeiter Ihres Anbieters, zum Beispiel ein Anbieter eines Sprachmodells, außerhalb der EU, muss der Vertrag das nennen und regeln.
Der Sonderfall der Gesundheitsdaten
Eine Arzt-, Zahnarzt-, Physiotherapie- oder Logopädiepraxis erhebt schon bei der Terminvereinbarung Informationen, die die Gesundheit betreffen: den Anlass der Behandlung, manchmal den Namen eines Facharztes. Diese Daten sind im Sinne der DSGVO „sensibel“, und ihr Hosting im Auftrag eines Gesundheitsberufs ist in Frankreich HDS-zertifizierten Hostern vorbehalten. Prüfen Sie vor jedem anderen Kriterium, wo und wie Ihr Dienstleister diese Daten hostet (in Frankreich: bei einem HDS-zertifizierten Hoster), und lassen Sie es im Vertrag festhalten.
Drei Regeln des gesunden Menschenverstands ergänzen die Zertifizierung:
- Der Agent nimmt den Termin und die praktischen Angaben auf, gibt aber nie eine medizinische Einschätzung;
- er bestätigt einem Dritten weder, dass eine Person Patient der Praxis ist, noch den Anlass einer Behandlung;
- der Behandelnde hat das letzte Wort darüber, was notiert und weitergegeben wird.
Der Leitfaden „Arztsekretärin oder KI“ erläutert die Organisation einer Praxis mit einem Sprachagenten, und der vollständige Leitfaden zum KI-Telefonassistenten ordnet all das in die Einrichtung ein.
Die berufliche Schweigepflicht
Anwälte, Notare, Steuerberater, Gesundheitsberufe: Die berufliche Schweigepflicht endet nicht am Telefonempfang. Der Agent muss so eingestellt sein, dass er die Existenz eines Vorgangs, eines Mandanten oder eines Termins nie jemand anderem als der betroffenen Person bestätigt und im Zweifel lieber eine Nachricht aufnimmt, statt zu antworten. Diese Einstellung erfolgt im Betriebsprofil, und sie lässt sich testen: Rufen Sie an, geben Sie sich als Dritter aus und prüfen Sie, was der Agent antwortet.
Die Checkliste in zehn Punkten
- Der Agent gibt sich zu Beginn jedes Anrufs als KI zu erkennen.
- Er ist nie so eingestellt, dass er sich als Mensch ausgibt.
- Ihre Website enthält eine Informationsseite zur Verarbeitung der Anrufe, mit dem Namen des Dienstleisters.
- Mit dem Dienstleister ist ein Auftragsverarbeitungsvertrag nach Artikel 28 unterzeichnet.
- Sie wissen, wo die Daten gehostet werden, und von wem.
- Die Speicherfristen sind festgelegt, schriftlich festgehalten und werden angewendet.
- Die Audioaufzeichnung ist deaktiviert oder, wenn aktiviert, geregelt.
- Die Verarbeitung steht in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
- Sie wissen, wie Sie auf einen Antrag auf Auskunft oder Löschung antworten.
- Für Gesundheitsdaten: zertifiziertes Hosting (in Frankreich HDS), keine medizinische Einschätzung, keine Bestätigung gegenüber Dritten.
Was Sayelo macht
Wir haben den Agenten so gebaut, dass diese Regeln standardmäßig eingehalten werden: Die KI wird zu Beginn jedes Anrufs angekündigt, die Daten werden in Frankreich bei einem HDS-zertifizierten Hoster gehostet, und jeder Kunde erhält einen Auftragsverarbeitungsvertrag. Die Nummern und die Telefonie stellt ein Partnerbetreiber bereit, der bei der ARCEP (der französischen Regulierungsbehörde für Telekommunikation) gemeldet ist. Die Einstellungen zur Schweigepflicht, zu den Fristen und zur Aufzeichnung bleiben in Ihrer Hand, denn es ist Ihre Verarbeitung. Die Seite Sicherheit und DSGVO beschreibt die Details, und der technische Leitfaden erklärt, welchen Weg die Daten während eines Anrufs nehmen.
