EU AI Act für Hotels: Was seit August 2026 praktisch gilt

Ein KI-Telefonassistent nimmt nachts Reservierungsanfragen an. Ein Chatbot beantwortet Fragen zu Hund, Parkplatz und Late Check-out. Das kann den Betrieb entlasten. Seit dem 2. August 2026 kommt für Hotels aber eine klare Aufgabe hinzu: Gäste müssen bei bestimmten Systemen erkennen, dass sie mit KI interagieren, und der Betrieb muss Verantwortung, Datenflüsse und Kontrolle sauber organisieren.

Der EU AI Act für Hotels ist kein Grund, jede Automatisierung auszubremsen. Er ist ein Grund, KI nicht wie irgendeine neue App einzuführen. Wer ein System produktiv nutzt, sollte erklären können, was es tut, welche Daten es verarbeitet, wer Ergebnisse prüft und wie Fehler korrigiert werden.

Dieser Beitrag gibt eine betriebliche Orientierung auf dem Stand vom 3. September 2026. Er ersetzt keine Rechtsberatung für einen konkreten Anwendungsfall.

Was gilt seit August 2026 für Hotels?

Der AI Act ordnet KI-Systeme nach ihrem Risiko. Viele Anwendungen in Gästeservice, interner Wissenssuche oder Texterstellung sind nicht automatisch Hochrisiko-Systeme. Trotzdem können Transparenz-, Organisations- und Kontrollpflichten greifen.

Seit dem 2. August 2026 gelten die Transparenzvorgaben aus Artikel 50. Menschen müssen grundsätzlich darüber informiert werden, wenn sie direkt mit einem KI-System interagieren, sofern dies nicht bereits aus den Umständen offensichtlich ist. Für einen Hotel-Chatbot oder Telefonassistenten bedeutet das: Die Information gehört an den Beginn der Interaktion und nicht versteckt in das Impressum.

Die meisten Pflichten treffen nicht jede Hotelanwendung in gleicher Tiefe. Ein Assistent, der aus freigegebenen Informationen Frühstückszeiten nennt, ist anders zu bewerten als ein System, das Bewerbungen automatisch rankt. Entscheidend sind Zweck, Daten, Wirkung und die Frage, was bei einer falschen Entscheidung passiert.

Der AI Act ergänzt die DSGVO, ersetzt sie aber nicht. Ein System kann nach dem AI Act transparent sein und trotzdem datenschutzrechtlich falsch eingesetzt werden. Rechtsgrundlage, Datenminimierung, Auftragsverarbeitung, Speicherfristen und Betroffenenrechte müssen separat geklärt werden.

Welche Fristen sind jetzt relevant?

Die EU-Regeln gelten gestaffelt. Für Hotels sind vor allem diese Termine wichtig:

• Seit 2. Februar 2025: Bestimmte verbotene KI-Praktiken gelten. Die 2026 beschlossene Vereinfachung hat die ursprünglichen Vorgaben zur KI-Kompetenz verändert; eine arbeitsnahe Unterweisung bleibt für einen kontrollierten Betrieb dennoch sinnvoll.
• Seit 2. August 2025: Vorgaben für Anbieter von General-Purpose-AI-Modellen gelten. Für ein Hotel ist das vor allem bei der Auswahl und Prüfung von Dienstleistern relevant.
• Seit 2. August 2026: Transparenzpflichten für bestimmte KI-Systeme greifen. Chatbots und andere interaktive Systeme müssen Menschen grundsätzlich über die KI-Interaktion informieren.
• Ab 2. Dezember 2027: Die Hochrisiko-Regeln für Anwendungsfälle aus Anhang III sollen gelten. Dazu können bestimmte Systeme in Beschäftigung und Personalmanagement gehören.
• Ab 2. August 2028: Die Hochrisiko-Regeln für KI in regulierten Produkten aus Anhang I sollen gelten.

Die verschobenen Hochrisiko-Fristen sind kein Freifahrtschein. Datenschutz, Arbeitsrecht, Mitbestimmung, Vertragsrecht und bestehende Verbote können bereits vorher relevant sein. Bei Recruiting, biometrischen Daten, Beschwerden mit Gesundheitsbezug oder automatisierten Entscheidungen sollte ein Hotel die konkrete Einordnung fachkundig prüfen lassen.

Nicht jede Hotel-KI ist gleich kritisch

Die sinnvollste Frage lautet nicht „Ist KI erlaubt?“, sondern „Welche Entscheidung trifft das System in unserem Betrieb und was passiert, wenn es falsch liegt?“.

Gästekommunikation und Telefonassistenten

Ein Chatbot auf der Website oder ein KI-Telefonassistent kann für Boutique-Hotels ein überschaubarer Einstieg sein. Gäste müssen erkennen, dass sie mit KI kommunizieren. Ein klarer Hinweis zu Beginn der Unterhaltung schafft die nötige Transparenz, die konkrete Formulierung sollte aber zum System und Einsatz passen.

Der Assistent darf nur Antworten geben, die aus gepflegten Hotelinformationen stammen. Er sollte keine Verfügbarkeit erfinden, verbindliche Upgrades versprechen oder bei Beschwerden improvisieren. Für Gruppenanfragen, Reklamationen, Zahlungsfragen und Sonderfälle braucht es eine klar definierte Übergabe an das Team.

Ein schlecht gebauter Bot erzeugt Rückfragen und Korrekturschleifen. Ein gut gebauter Assistent reduziert Anrufspitzen und beantwortet wiederkehrende Fragen auch dann, wenn die Rezeption gerade im Check-in gebunden ist.

KI im Recruiting

KI-Systeme, die Bewerbungen bewerten, Personen ranken oder Personalentscheidungen vorbereiten, können als Hochrisiko-KI eingestuft sein. Ein Hotel sollte Bewerber deshalb nicht automatisch aussortieren lassen, nur weil ein Anbieter eine „intelligente Vorauswahl“ verspricht.

Praktisch sinnvoll ist KI dort, wo sie administrative Arbeit reduziert: Stellenanzeigen entwerfen, Bewerbungen für einen Menschen strukturiert zusammenfassen, Interviewleitfäden vorbereiten oder Termine koordinieren. Bewertung und Entscheidung bleiben bei qualifizierten Personen. Kriterien, Datenzugriff und menschliche Kontrolle müssen dokumentiert sein.

Emotionen und biometrische Daten

Anwendungen, die Mitarbeitende oder Gäste per Kamera, Stimme oder Verhalten auf Emotionen einschätzen sollen, gehören nicht in ein gewöhnliches Hotelprojekt. Für Emotionserkennung am Arbeitsplatz gelten enge Grenzen und Verbote. Auch bei biometrischen Daten, Gesichtserkennung oder Profiling ist besondere Vorsicht nötig.

Ein vermeintlicher „Stimmungsmonitor“ an der Rezeption oder eine Kamera, die angeblich VIP-Gäste erkennt, schafft rechtliche und reputative Risiken. Hotels verkaufen Vertrauen. Dieses Vertrauen sollte nicht für eine attraktive Produktdemo aufs Spiel gesetzt werden.

Welche vier Fragen gehören vor jeden KI-Start?

Bevor ein neues Tool gebucht wird, sollte die Hotelleitung vier Punkte schriftlich beantworten:

1. Welche konkrete Aufgabe übernimmt die KI und welches messbare Problem löst sie?
2. Welche Gäste-, Mitarbeiter- oder Betriebsdaten verarbeitet das System?
3. Wer prüft Ergebnisse, korrigiert Fehler und übernimmt Sonderfälle?
4. Was sagt der Anbieter zu Datenstandort, Unterauftragnehmern, Sicherheit, Transparenz und AI-Act-Pflichten?

Diese Fragen verhindern typische Fehlstarts: Die Rezeption weiß nicht, wer den Bot pflegt. Marketing lädt Gästelisten in ein nicht freigegebenes Tool. Der Telefonassistent nennt alte Öffnungszeiten, weil niemand die Wissensbasis aktualisiert hat.

Wie sieht KI-Kompetenz im Hotelalltag aus?

Ein Hotel braucht kein Seminar, in dem jedes Teammitglied technische Modelle erklären kann. Es braucht eine arbeitsnahe Einweisung passend zur Rolle.

An der Rezeption geht es um die Grenzen des Telefon- oder Chatassistenten, die Übergabe von Fällen und den Umgang mit fehlerhaften Antworten. Im Sales-Team geht es um die Prüfung von Angebotsentwürfen und den Schutz vertraulicher Gruppeninformationen. Im Marketing geht es um Bildrechte, Markenstil und die Frage, welche Inhalte niemals ohne Freigabe veröffentlicht werden.

Eine kurze dokumentierte Schulung mit realen Hotelbeispielen ist wirksamer als ein allgemeines KI-Webinar. Ergänzend braucht es eine verständliche interne Regel: Welche Tools sind freigegeben? Welche Daten dürfen eingegeben werden? Wann ist eine Freigabe durch Führungskraft oder Datenschutzverantwortliche nötig?

Welche Dokumentation braucht ein Hotel?

Für jedes produktiv eingesetzte KI-System sollte eine kompakte Übersicht vorhanden sein:

• Name des Systems und verantwortlicher Anbieter
• betrieblicher Zweck und betroffene Abteilungen
• verarbeitete Daten und berechtigte Rollen
• Hinweis- und Transparenztext für Gäste oder Mitarbeitende
• menschliche Freigabe und Eskalation bei Fehlern
• Kontrollrhythmus für Antworten, Wissen und Zugriffe
• Auftragsverarbeitung, Speicherort und Löschregeln
• dokumentierte Entscheidung, warum der Einsatz angemessen ist

Diese Übersicht muss kein umfangreiches Handbuch sein. Sie muss im Alltag auffindbar und aktuell sein. Ein KI-Audit für Hotels hilft, vorhandene Anwendungen, Risiken und wirtschaftliche Hebel zu ordnen, bevor weitere Tools hinzukommen.

Wie gelingt der Einstieg ohne Compliance-Theater?

Viele Häuser starten mit einem Tool, weil eine einzelne Funktion gut klingt. Später folgt ein zweites für Social Media, dann eines für Gästemails und noch eines für Recruiting. Am Ende entstehen neue Insellösungen, während die Rezeption Informationen zwischen PMS, E-Mail, Telefon und Messenger zusammensucht.

Besser ist eine klare Reihenfolge. Zuerst werden wiederkehrende Reibungsverluste und wirtschaftliche Hebel erfasst: verpasste Anrufe, langsame Reaktionszeiten, manuelle Angebotsarbeit, fehlende Nachfassprozesse oder Wissen, das nur in einzelnen Köpfen steckt. Danach werden Datenbasis und Schnittstellen geklärt. Erst dann folgt die Umsetzung.

Für ein kleines Stadthotel kann der Telefonassistent Priorität haben. Für ein Resort mit vielen wiederkehrenden Fragen kann eine zentrale Wissensdatenbank den größeren Effekt bringen. Ein Haus mit hoher Fluktuation profitiert womöglich zuerst von klaren internen Prozessen. Der Engpass entscheidet, nicht der lauteste KI-Trend.

Wer KI im Hotel einführt, muss nicht mit einem perfekten Regelwerk beginnen. Der Betrieb sollte aber jederzeit sagen können: Das ist unser Anwendungsfall, das sind unsere Daten, dort bleibt die menschliche Verantwortung und so korrigieren wir Fehler.

Häufige Fragen zum EU AI Act für Hotels

Muss sich ein KI-Chatbot im Hotel als KI zu erkennen geben?

Ja. Seit dem 2. August 2026 müssen Menschen grundsätzlich darüber informiert werden, wenn sie direkt mit einem KI-System interagieren, sofern dies nicht ohnehin offensichtlich ist.

Ist ein Telefonassistent im Hotel ein Hochrisiko-System?

Ein Assistent für allgemeine Gästefragen ist nicht allein deshalb Hochrisiko-KI. Entscheidend sind Zweck, Daten und Entscheidungen; Recruiting-Systeme können deutlich strengeren Regeln unterliegen.

Gilt neben dem AI Act weiterhin die DSGVO?

Ja. Der AI Act ersetzt Datenschutzrecht nicht, deshalb müssen Rechtsgrundlage, Datenminimierung, Auftragsverarbeitung, Speicherfristen und Betroffenenrechte separat geprüft werden.

Wann gelten die Hochrisiko-Pflichten?

Nach der 2026 beschlossenen Anpassung gelten sie für Anwendungsfälle aus Anhang III ab dem 2. Dezember 2027 und für KI in regulierten Produkten aus Anhang I ab dem 2. August 2028.

Was sollte ein Hotel zu jedem KI-System dokumentieren?

Mindestens Zweck, Anbieter, verarbeitete Daten, Zugriffe, menschliche Freigabe, Eskalation und Kontrollrhythmus. Bei sensiblen Anwendungen sollte die rechtliche Einordnung fachkundig geprüft werden.