Zum Inhalt springen

Artikel · EU-KI-Verordnung · Lesezeit ca. 6 Minuten

EU AI Act im Hotel: Was wirklich gilt

Drei Fristen, acht Dokumente, drei Themen, bei denen Schluss mit lustig ist. Der Überblick für Häuser, die KI längst benutzen, meist ohne es entschieden zu haben.

Andreas Lerch · 28. August 2026 · aktualisiert am 5. Oktober 2026 · Rechtsstand: 5. Oktober 2026

Die kürzeste ehrliche Antwort auf die Frage, ob die europäische KI-Verordnung Ihr Hotel betrifft, lautet: ja, seit Februar 2025, und wahrscheinlich intensiver, als Sie denken. Die zweitkürzeste: Es ist deutlich weniger dramatisch, als die Beratungsbranche es darstellt. Beides stimmt gleichzeitig, und dieser Text erklärt, wie das zusammenpasst.

Die Unterscheidung, die alles einfacher macht

Die Verordnung kennt zwei Rollen: Anbieter entwickeln KI-Systeme, Betreiber benutzen sie. Ein Hotel, das fertige Werkzeuge einsetzt, also einen Chatbot vom Baukasten, ein Revenue-System mit KI-Funktionen, ChatGPT für Antwortentwürfe oder ein PMS mit eingebauter Automatik, ist Betreiber, nicht Anbieter.

Das ist die wichtigste Nachricht des ganzen Themas: Betreiber brauchen keine Zertifizierung, kein Siegel und keine Konformitätsbewertung. Sie sollten zeigen können, dass sie ihren KI-Einsatz im Griff haben. Wer weiß, welche Werkzeuge im Haus laufen, wer das Team im Umgang mit KI geschult hat und wer seine Kennzeichnung geregelt hat, hat den größten Teil der Pflichten bereits erfüllt.

Die drei Fristen

Gilt seit / abPflicht
02.02.2025Verbotene Praktiken (Art. 5), etwa Emotionserkennung bei Mitarbeitenden, und die KI-Kompetenz (Art. 4). Seit 27.07.2026 gilt Art. 4 in neuer Fassung: Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Teams zu unterstützen. Ein bestimmtes Niveau müssen sie nicht garantieren.
02.08.2026Transparenzpflichten (Art. 50): Chatbots geben sich als KI zu erkennen, für KI-Inhalte mit Öffentlichkeitswirkung ist eine kurze Notiz ratsam, ob und wie gekennzeichnet wird. Für Betreiber hat die Digital-Omnibus-Verordnung diesen Termin nicht verschoben.
02.12.2027Die Hochrisiko-Pflichten für Systeme nach Anhang III, etwa KI, die Bewerbungen sichtet oder Bewerber bewertet. Die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026, hat sie vom 02.08.2026 auf diesen Tag verschoben. Für KI in Produkten nach Anhang I gilt der 02.08.2028.

Lesen Sie die Tabelle von oben: Zwei der drei Fristen liegen in der Vergangenheit. Art. 4 gilt seit Februar 2025, die Kennzeichnungspflicht seit dem 2. August 2026. Wer heute anfängt, holt auf, er bereitet nicht vor.

Wo in Ihrem Haus vermutlich schon KI arbeitet

Die typische Liste eines Hotels, das von sich sagt, es nutze „eigentlich keine KI":

Jede Zeile dieser Liste gehört in ein KI-Register, dazu gleich mehr. Für die Frage, was davon gekennzeichnet werden muss, gilt eine einfache Faustregel: Entscheidend ist, wer antwortet. Prüft ein Mensch den KI-Entwurf und sendet ihn selbst, ist das menschliche Kommunikation mit Werkzeug. Antwortet die Maschine selbstständig, muss das erkennbar sein. Die Einzelheiten dazu stehen in der Kaffeepausen-Inventur, dem Schwestertext zu diesem Artikel.

Drei Themen, bei denen die Entwarnung endet

1. Emotionserkennung bei Mitarbeitenden ist verboten. Nicht meldepflichtig, nicht dokumentationspflichtig, sondern verboten, seit Februar 2025. Falls ein Anbieter so etwas als Feature anpreist: Finger weg.

2. KI, die über Menschen entscheidet, ist Hochrisiko. Systeme, die Bewerbungen vorsortieren oder die Leistung einzelner Mitarbeitender bewerten, gehören vor dem Einsatz in juristische Prüfung. Das ist die eine Stelle, an der dieser Text ausdrücklich zum Anwalt rät.

3. Private KI-Konten mit Gäste- oder Personaldaten sind der häufigste unbemerkte Verstoß, weniger wegen der KI-Verordnung als wegen der DSGVO. Namen, Buchungen, Gesundheitsangaben aus der Spa-Anamnese: nichts davon gehört in ein Werkzeug, das dafür nicht freigegeben ist.

Was im Prüfungs- oder Streitfall hilft: ein Ordner, acht Dokumente

Die gute Nachricht zum Nachweis: Er ist Papierarbeit, keine Technik, und für die KI-Kompetenz schreibt die Verordnung keine Form vor (ein Zertifikat ist laut EU-Kommission nicht nötig). Ein Ordner mit acht Dokumenten ist die einfachste Beweisvorsorge:

Der Nachweis-Ordner

  1. Benannte Verantwortung: ein unterschriebenes Blatt, wer im Haus KI-Einsatz verantwortet und neue Werkzeuge freigibt.
  2. Das KI-Register, das Herzstück: eine Zeile je System, auch die inoffiziellen, mit Risikoklasse und Begründung.
  3. Die Maßnahmen zur KI-Kompetenz nach Art. 4: wer wann von wem geschult wurde (empfohlen, nicht vorgeschrieben).
  4. Die KI-Leitlinie auf einer Seite: erlaubte Werkzeuge, rote Linien bei Eingaben, Freigabeweg, Meldeweg. Von allen unterschrieben, Teil des Onboardings.
  5. Die Kennzeichnungs-Entscheidung je Kanal, dokumentiert im Register.
  6. Die Lieferantenliste: jeder Anbieter mit KI im Produkt, dazu drei schriftliche Fragen: Welche KI-Funktionen sind aktiv? Wie unterstützt ihr unsere Kennzeichnungspflichten? Liegt ein Auftragsverarbeitungsvertrag vor?
  7. Teilnahmebestätigungen für jede geschulte Person. Aussteller ist Ihr Haus, kein Dienstleister.
  8. Das Vorfalls-Log: Falschauskünfte, Datenpannen, merkwürdige Ergebnisse. Auch ein leeres Log beweist etwas, nämlich dass der Meldeweg existiert.

Der Aufwand für ein Haus mit üblichem Werkzeugbestand: ein Nachmittag für den Aufbau, danach Pflege nur bei neuen Werkzeugen. Wer Ihnen dafür ein Projekt über Monate verkauft, verkauft das Projekt, nicht die Pflicht.

KI-Kompetenz nach Art. 4, konkret

Artikel 4 verlangt seit dem 27.07.2026 in neuer Fassung, dass Betreiber Maßnahmen ergreifen, um die KI-Kompetenz der Menschen zu unterstützen, die mit KI arbeiten. Das Wort „ausreichend“ ist gestrichen, ein bestimmtes Niveau müssen Sie nicht garantieren, und eine Stundenzahl nennt die Verordnung nicht. Mein Vorschlag: rund 90 Minuten pro Person für den Kern, nach Rollen unterschieden. Wer KI-Ergebnisse nur nutzt, braucht anderes als die Rezeption, die den Chatbot täglich pflegt, und die wiederum anderes als die Person, die Werkzeuge freigibt.

Zwei Ergänzungen machen die Maßnahmen rund: ein 30-Minuten-Baustein im Onboarding für neue Mitarbeitende, und eine Auffrischung, wenn neue Werkzeuge ins Haus kommen. Das Datum, die Inhalte und die Teilnehmerliste gehören in den Ordner. Vorgeschrieben ist diese Dokumentation nicht, aber sie ist die einfachste Antwort, wenn jemand fragt.

Wenn Sie die Schulung nicht selbst aufsetzen wollen, übernehme ich das gern: als halbtägige Team-Schulung oder als Paket mit Doku-Set für den Ordner, jeweils zum Festpreis. Schulung, Audit und Preise im Überblick

Und die Bußgelder?

Art. 4 steht nicht im Bußgeldkatalog des Artikels 99. Sanktionen dafür könnte nur nationales Recht vorsehen, und das deutsche Durchführungsgesetz (KI-MIG, in Kraft seit 29.07.2026) sieht für Art. 4 keine Geldbuße vor. Die Geldbußen des Artikels 99, der seit dem 2. August 2025 gilt, betreffen etwa verbotene Praktiken, Pflichten bei Hochrisiko-Systemen und die Transparenzpflichten; für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Wer seine Pflichten mit einem Ordner und zwei Kaffeepausen erfüllen kann, braucht keine Angstkulisse. Das realistische Risiko für ein Hotel ist nicht das Millionen-Bußgeld, sondern die unangenehme Frage im Prüfungs- oder Streitfall, auf die es keine dokumentierte Antwort gibt.

Zum Mitnehmen: Ihr Hotel ist Betreiber, nicht Anbieter. Zwei von drei Fristen laufen bereits. Die Pflichten passen in einen Ordner mit acht Dokumenten, der Aufbau in einen Nachmittag. Ernst wird es nur bei dreierlei: Emotionserkennung, KI-Entscheidungen über Menschen, und Gästedaten in privaten KI-Konten.

Häufige Fragen

Gilt der EU AI Act auch für kleine Hotels und Pensionen?

Ja. Die Verordnung kennt keine Untergrenze nach Betriebsgröße. Ein Haus mit acht Zimmern, dessen Website-Chat eine KI beantwortet, hat dieselben Betreiberpflichten wie ein Resort. Der Umfang der Pflichten hängt an den eingesetzten Werkzeugen, nicht an der Zimmerzahl.

Braucht mein Hotel ein Zertifikat oder eine Zertifizierung?

Nein. Zertifizierungspflichten treffen Anbieter von Hochrisiko-Systemen, nicht Hotels als Betreiber fertiger Werkzeuge. Auch für die KI-Kompetenz nach Art. 4 ist laut EU-Kommission kein Zertifikat nötig. Sinnvoll sind Belege: ein KI-Register, dokumentierte Maßnahmen zur KI-Kompetenz, eine Kennzeichnungs-Entscheidung und eine unterschriebene Leitlinie.

Was muss seit dem 2. August 2026 konkret anders sein?

Chatbots und Sprachsysteme müssen sich als KI zu erkennen geben, und für KI-erzeugte Inhalte mit Öffentlichkeitswirkung ist eine kurze, dokumentierte Entscheidung ratsam, ob und wie gekennzeichnet wird. Vorgeschrieben ist diese Notiz nicht, sie beantwortet aber spätere Fragen. Für Betreiber hat die Digital-Omnibus-Verordnung diesen Termin nicht verschoben.

Reicht es, wenn mein Chatbot-Anbieter sich um die Kennzeichnung kümmert?

Formal trifft die Erkennbarkeits-Pflicht beim eingekauften System zuerst den Anbieter. Praktisch steht der Hinweis auf Ihrer Website und der Prüfer steht in Ihrer Lobby. Klären Sie die Zuständigkeit schriftlich im Vertrag und halten Sie die Antwort in Ihrer Lieferantenliste fest.

Ist ChatGPT im Hotel erlaubt?

Ja, als freigegebenes Werkzeug mit klaren Regeln. Problematisch sind private Konten, in die Gästenamen, Buchungsdaten oder Gesundheitsangaben wandern. Die Lösung ist keine Verbotskultur, sondern ein Team-Konto, eine Leitlinie mit roten Linien bei Eingaben und eine kurze Schulung.

Quellen und Einordnung

Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 4 (KI-Kompetenz), Art. 5 (verbotene Praktiken), Art. 50 (Transparenzpflichten), Art. 99 (Sanktionen), Art. 113 (Geltungsbeginn). Volltext: eur-lex.europa.eu. Neufassung von Art. 4 und Verschiebung der Hochrisiko-Fristen: Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026, Volltext: eur-lex.europa.eu. Deutschland: KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22.07.2026, § 15, Volltext: gesetze-im-internet.de. Zum Zertifikat: EU-Kommission, AI Literacy, Questions & Answers, Stand 27.07.2026. Rechtsstand dieses Textes: 5. Oktober 2026.

Dieser Text ordnet aus der Betriebspraxis ein, er ist kein Rechtsrat. Verbindliche Einordnungen einzelner Systeme, insbesondere Hochrisiko-Fragen, gehören in juristische Hände.

Andreas Lerch: seit 30 Jahren in Hospitality, Dienstleistung und Luxushotellerie, Führungskraft seit über 20 Jahren, davon 12 Jahre Hotelmanager und General Manager. Mit 3Perspectives baut er Beratung und Software-Werkzeuge für Hotels und alle anderen Betriebe, wo Menschen für Menschen arbeiten.

P.S. Wo Ihr Haus steht, zeigt der kostenlose Audit-Kurzcheck mit Fristen-Ampel, ohne Anmeldung im Browser. Wer den Ordner nicht allein aufbauen will: Die halbtägige AI-Act-Team-Schulung kostet 1.200 € remote oder 1.500 € vor Ort, das Schulungspaket mit Doku-Set und zwölf Monaten Selbsttest (ohne Bestehensgrenze) 1.900 €, das AI-Act-Audit mit Lückenliste und Maßnahmenkatalog 2.500 €. Alle Angebote im Überblick. Analyse und Schulung, keine Rechtsberatung.