KI-Telefonassistenten im Unternehmen: Transparenz, Datenschutz und sichere Prozesse

Das Wichtigste in Kürze

• Ein KI-Telefonassistent ist nicht nur ein Kommunikationswerkzeug, sondern Teil der betrieblichen IT- und Datenverarbeitung.
• Nach Art. 50 AI Act müssen Menschen grundsätzlich erkennen können, wenn sie direkt mit einem KI-System interagieren, sofern dies nicht offensichtlich ist.
• Transparenz sollte bereits zu Beginn des Gesprächs klar, verständlich und zugänglich hergestellt werden.
• Datenschutzfragen betreffen unter anderem Gesprächsinhalte, Kontaktdaten, Aufbewahrung, Zugriffe und angebundene Systeme.
• Unternehmen sollten klare Grenzen definieren: Was darf die KI selbst bearbeiten, wann muss ein Mensch übernehmen?
• Ein strukturierter Readiness-Check ist oft sinnvoller als eine rein technische Go-live-Entscheidung.

Warum KI-Telefonie ein Governance-Thema ist

Telefonie wird in vielen Unternehmen noch als rein operativer Kanal betrachtet: Jemand ruft an, jemand nimmt ab, das Anliegen wird bearbeitet. Sobald ein KI-System diesen Prozess übernimmt, kommen zusätzliche Fragen hinzu.

Diese Fragen liegen zwischen IT, Datenschutz, Fachbereich, Informationssicherheit und Prozessverantwortung. Genau deshalb sollte KI-Telefonie nicht nur als Tool-Einführung behandelt werden.

Ein konkretes Beispiel für die Praxis ist der KI-Telefonassistent von Telfo. Telfo wird in Mannheim entwickelt und übernimmt für Unternehmen wiederkehrende telefonische Erstkontakte — von der automatischen Anrufannahme über das Verstehen frei formulierter Anliegen bis zur Vorbereitung von Rückruf- und Terminprozessen. Gerade an diesem Beispiel lässt sich gut zeigen, welche Governance-Fragen vor dem produktiven Einsatz beantwortet werden sollten.

• Weiß der Anrufer, dass er mit KI spricht?
• Welche personenbezogenen Daten werden verarbeitet?
• Welche Gesprächsinhalte werden gespeichert oder weitergegeben?
• Welche Unterauftragnehmer oder technischen Dienste sind beteiligt?
• Welche internen Systeme dürfen angesprochen werden?
• Wer darf auf Gesprächsdaten zugreifen?
• Was passiert bei Fehlklassifikation oder Unsicherheit?
• Wann wird an einen Menschen übergeben?

Art. 50 AI Act: Transparenz beim direkten Kontakt mit KI

Art. 50 des EU AI Act enthält Transparenzpflichten für bestimmte KI-Systeme. Für Systeme, die direkt mit natürlichen Personen interagieren, ist besonders relevant, dass betroffene Personen grundsätzlich darüber informiert werden müssen, dass sie mit einem KI-System interagieren, sofern dies aus Sicht einer angemessen informierten, aufmerksamen Person nicht ohnehin offensichtlich ist. Die Transparenzinformation soll klar und unterscheidbar erfolgen und spätestens bei der ersten Interaktion bzw. Exposition bereitgestellt werden.

Für einen KI-Telefonassistenten bedeutet das praktisch: Die Information über den KI-Einsatz sollte nicht irgendwo versteckt in einer Datenschutzerklärung stehen, sondern in der tatsächlichen Interaktion sinnvoll berücksichtigt werden. Eine mögliche Formulierung könnte zum Beispiel lauten: „Sie sprechen mit unserem KI-gestützten Telefonassistenten.“

Welche Formulierung im konkreten Einsatz ausreichend und passend ist, hängt vom jeweiligen Setup und Kontext ab. Unternehmen sollten regulatorische Anforderungen deshalb mit ihrer konkreten Rolle und Nutzung abgleichen. Die vollständige Systematik der vier Pflichten — inklusive der Frage, welche davon den Anbieter und welche den Betreiber treffen — haben wir im Artikel zu den Art.-50-Transparenzpflichten im Detail aufgeschlüsselt.

Provider, Betreiber, Anwender: Rollen sauber bestimmen

Eine der wichtigsten Governance-Fragen lautet: Welche Rolle hat welches Unternehmen im konkreten KI-Setup? Der AI Act unterscheidet unter anderem zwischen Anbietern und Betreibern beziehungsweise Deployern. Welche Pflichten greifen, hängt davon ab, wer ein System entwickelt, unter eigenem Namen bereitstellt oder im eigenen Unternehmen einsetzt.

Für ein Unternehmen, das einen externen KI-Telefonassistenten nutzt, reicht es deshalb nicht, nur den Produktnamen zu kennen. Relevant ist auch:

• Wer stellt das KI-System bereit?
• Wer konfiguriert Gesprächslogik und Inhalte?
• Wer entscheidet über Zwecke und Einsatzbereich?
• Welche Komponenten stammen von Unterauftragnehmern?
• Welche Verpflichtungen übernimmt der Anbieter vertraglich?
• Welche Pflichten verbleiben beim einsetzenden Unternehmen?

Datenschutz beginnt bei der Frage: Welche Daten braucht das Gespräch wirklich?

Ein Telefonat kann schnell personenbezogene Informationen enthalten. Name, Telefonnummer und Terminwunsch sind offensichtlich. Je nach Branche können aber auch Adressen, Kundennummern, Vertragsdaten oder besonders sensible Informationen genannt werden.

Ein sauberer Prozess beginnt deshalb mit Datenminimierung: Die KI sollte nur die Informationen abfragen, die für den jeweiligen Prozess tatsächlich benötigt werden. Für einen einfachen Rückruf reichen häufig Name, Rückrufnummer, Anliegen und gegebenenfalls ein bevorzugter Rückrufzeitpunkt.

Zusätzliche Daten sollten nicht nur deshalb abgefragt werden, weil die Technik dazu in der Lage ist.

Gesprächsdaten, Transkripte und Aufbewahrung

Unternehmen sollten vor dem Go-live genau klären, welche Gesprächsdaten technisch entstehen. Die Antwort ist produkt- und konfigurationsabhängig. Entscheidend ist, dass diese Fragen vor dem produktiven Einsatz beantwortet und dokumentiert werden.

• Werden Audioaufzeichnungen gespeichert?
• Werden Transkripte erstellt?
• Wie lange werden Gesprächsdaten aufbewahrt?
• Kann die Aufbewahrung reduziert oder deaktiviert werden?
• Wer hat Zugriff?
• Welche Daten landen in nachgelagerten Systemen?
• Werden Informationen für Modelltraining verwendet?

Unterauftragnehmer und technische Lieferkette

KI-Telefonie besteht technisch häufig nicht aus nur einem einzigen System. Je nach Architektur können Telefonie, Spracherkennung, Sprachsynthese, KI-Modell, Hosting, E-Mail, CRM oder Kalender unterschiedliche technische Komponenten nutzen. Unternehmen sollten daher nicht nur den direkten Anbieter bewerten, sondern die relevante technische Lieferkette verstehen.

Typische Fragen: Welche Subprozessoren sind beteiligt? In welchen Ländern werden Daten verarbeitet? Welche Verträge und Auftragsverarbeitungsregelungen bestehen? Gibt es internationale Datenübermittlungen? Welche Komponenten sehen Gesprächsinhalte? Welche Ausfallabhängigkeiten entstehen?

Zugriffe und Berechtigungen begrenzen

Nicht jeder Mitarbeitende benötigt Zugriff auf sämtliche Gesprächsinformationen. Die Berechtigungslogik sollte sich deshalb am tatsächlichen Arbeitsprozess orientieren. Ein Vertriebsteam benötigt beispielsweise andere Informationen als Support oder Administration. Besonders sensible Daten sollten nur dort sichtbar sein, wo sie für die Bearbeitung erforderlich sind.

• rollenbasierte Zugriffe,
• begrenzte Administrationsrechte,
• Protokollierung relevanter Änderungen,
• regelmäßige Rechteprüfung,
• klare Offboarding-Prozesse.

Welche Aufgaben ein KI-Telefonassistent übernehmen sollte

Ein sicherer Einsatz beginnt nicht mit „Was kann die KI alles?“, sondern mit „Welche Prozesse geben wir ihr bewusst frei?“. Je klarer der Prozess beschrieben werden kann, desto einfacher lassen sich Grenzen, Eskalationen und Qualitätskontrollen definieren.

• Rückrufwünsche,
• Terminwünsche,
• Öffnungszeiten,
• Standortinformationen,
• erste Anliegenklassifikation,
• Weiterleitung nach definierten Regeln,
• strukturierte Aufnahme wiederkehrender Anfragen.

Welche Aufgaben beim Menschen bleiben sollten

Nicht jede telefonische Interaktion eignet sich für vollständige Automatisierung. Besonders zurückhaltend sollten Unternehmen bei komplexen rechtlichen oder steuerlichen Beratungen, medizinischen oder anderen besonders sensiblen Fachentscheidungen, Vertrags- und Preisverhandlungen, Beschwerden und Eskalationen, Personalentscheidungen sowie Situationen mit hohem wirtschaftlichem oder persönlichem Risiko sein.

Hier kann die KI gegebenenfalls die Erstaufnahme übernehmen, sollte aber nicht automatisch die eigentliche Entscheidung treffen.

Human Handover: Eskalation muss Teil des Designs sein

Ein guter KI-Prozess braucht einen definierten Ausstieg. Wenn ein Anliegen nicht sicher verstanden wird, außerhalb des freigegebenen Bereichs liegt oder der Anrufer ausdrücklich einen Menschen verlangt, sollte es einen klaren Übergabepfad geben — je nach Unternehmen beispielsweise als direkte Weiterleitung, priorisierten Rückruf, Ticket an ein zuständiges Team, E-Mail mit strukturiertem Gesprächskontext oder Termin mit einem Mitarbeiter.

Ein Fallback ist damit kein Zeichen schlechter Automatisierung. Er ist Teil einer kontrollierten Automatisierung.

Telfo als Praxisbeispiel für KI-gestützte Telefonannahme

Telfo entwickelt KI-Telefonassistenten für Unternehmen. Der Assistent kann eingehende Anrufe annehmen, frei formulierte Anliegen verstehen, passende Rückfragen stellen und definierte Folgeprozesse wie Rückruf oder Termin vorbereiten.

Für Governance-Verantwortliche ist dabei vor allem die Prozesssicht relevant: Welche Gesprächsarten werden automatisiert? Welche Informationen darf das System abfragen? Wohin werden sie weitergegeben? Was passiert bei Unsicherheit? Genau diese Fragen sollten nicht erst nach dem Go-live beantwortet werden — sie gehören in die Einführung des Systems.

Ein einfacher Governance-Rahmen für KI-Telefonie

Die acht Bereiche unten lassen sich als minimales Kontroll-Set verstehen, bevor ein strukturierteres Assessment lohnt: Bei einfachen Use Cases reicht oft eine kompakte interne Prüfung. Sobald jedoch mehrere Systeme, Fachbereiche, Datenklassen oder regulatorische Anforderungen zusammenkommen, lohnt sich ein strukturierteres Assessment — etwa das AI Readiness Assessment für den organisatorischen Rahmen oder das AI Use Case Assessment für das Anwendungsfall-Inventar.

Praxisbeispiel: Einführung eines KI-Telefonassistenten im Mittelstand

Ein mittelständischer Dienstleister möchte eingehende Rückruf- und Terminanfragen automatisieren. Statt die KI sofort für sämtliche Telefonate freizuschalten, wird der Einsatz schrittweise aufgebaut.

Dieser Ansatz reduziert nicht jedes Risiko. Er macht den Einsatz aber kontrollierbarer und überprüfbarer.

1. 1Geeignete Anrufarten werden definiert.
2. 2Transparenzhinweis für den Gesprächsbeginn wird festgelegt.
3. 3Notwendige Datenfelder werden auf das Minimum begrenzt.
4. 4Weiterleitungs- und Eskalationsregeln werden definiert.
5. 5Zugriffe und Aufbewahrung werden festgelegt.
6. 6Technische Dienstleister und Datenflüsse werden dokumentiert.
7. 7Der Prozess startet zunächst in einem begrenzten Umfang.
8. 8Fehler und Sonderfälle werden ausgewertet.
9. 9Erst danach wird der Anwendungsbereich erweitert.

Typische Fehler bei der Einführung

Checkliste vor dem Go-live

• Ist der Zweck des KI-Telefonassistenten klar definiert?
• Ist transparent, dass Anrufer mit KI interagieren?
• Sind die Rollen nach AI Act geprüft?
• Ist die datenschutzrechtliche Rollenverteilung geklärt?
• Werden nur notwendige Gesprächsdaten erhoben?
• Sind Aufbewahrungsfristen festgelegt?
• Sind Unterauftragnehmer und Datenflüsse dokumentiert?
• Sind Zugriffsrechte begrenzt?
• Gibt es einen klaren Human-Handover?
• Sind sensible und risikoreiche Anwendungsfälle ausgeschlossen oder besonders abgesichert?
• Gibt es Qualitätskontrollen und einen Prozess für Beschwerden?
• Wird der Einsatz regelmäßig überprüft?

Fazit: Gute Voice AI beginnt mit klaren Grenzen

KI-Telefonassistenten können Unternehmen im Alltag spürbar entlasten. Der produktive Einsatz sollte aber nicht allein daran gemessen werden, wie menschlich eine Stimme klingt oder wie viele Gespräche automatisiert werden. Ebenso wichtig sind Transparenz, Datenminimierung, kontrollierte Zugriffe, eine nachvollziehbare technische Lieferkette und ein klarer Übergang zum Menschen.

Art. 50 des AI Act macht Transparenz bei direkter KI-Interaktion zu einem zentralen Thema. Datenschutz und Informationssicherheit ergänzen diese Perspektive um die Frage, wie Gesprächsdaten verarbeitet und geschützt werden.

Ein KI-Telefonassistent wie Telfo kann damit Teil eines sicheren digitalen Kundenprozesses sein — wenn Unternehmen nicht nur die Automatisierung, sondern auch die Governance sauber gestalten.

Wer den eigenen Stand systematisch einordnen will, statt ihn an der Stimmenqualität zu messen, findet in unserem kostenlosen AI-Act-Readiness-Check einen strukturierten Einstieg: Rollen, Lücken und nächste Maßnahmen in wenigen Minuten sichtbar gemacht — solche Assessments ersetzen keine Rechtsberatung oder formale Compliance-Prüfung, sondern machen den Umsetzungsstand steuerbar.