EU AI Act: Wann B2B-Lead-Scoring als Hochrisiko gilt

Für Revenue-Verantwortliche und B2B-Gründer, die in der Europäischen Union tätig sind oder dorthin verkaufen, sorgt die KI-Regulierung häufig für Verwirrung zwischen allgemeinen Geltungsdaten und Durchsetzungsfristen für Hochrisikosysteme. Der Beginn der Anwendbarkeit des AI Act der Europäischen Union bedeutet nicht, dass jeder kommerzielle Algorithmus über Nacht aufwendigen Konformitätsbewertungen unterliegt. Herkömmliche Algorithmen für das Lead Scoring im Business-to-Business-Bereich (B2B) befinden sich in einer völlig anderen rechtlichen Ausgangslage als regulierte Profilingsysteme für Einzelpersonen. Dennoch hängt ihr regulatorisches Risikoprofil strikt von der tatsächlichen funktionalen Nutzung ab und nicht von den Marketingbegriffen der Softwareanbieter.

Um festzustellen, ob ein System zur Bewertung von Vertriebskontakten Hochrisikopflichten auslöst, müssen sowohl der gestaffelte Zeitplan der Europäischen Kommission als auch die Trennlinien zwischen kommerzieller Qualifizierung und reguliertem persönlichem Profiling betrachtet werden.

Der gestaffelte Zeitplan des AI Act von August 2026 bis Dezember 2027

Unter Vertriebs- und Marketingteams herrscht vielfach der Irrglaube, dass sämtliche Compliance-Anforderungen Mitte 2026 gleichzeitig voll wirksam wurden. Wie im Rechtsrahmen der Europäischen Kommission dokumentiert ist, trat der AI Act am 1. August 2024 in Kraft und wurde am 2. August 2026 allgemein anwendbar, wobei für frühere und spätere Zeitpunkte jeweils gesonderte Ausnahmen gelten.

Das Regelwerk trat in mehreren gestaffelten Schritten in Kraft:

• Verbotene Praktiken und Anforderungen an die KI-Kompetenz wurden laut der regulatorischen Übersicht der Europäischen Kommission am 2. Februar 2025 wirksam.
• Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025, wie im Politikportal der Europäischen Kommission dargelegt.
• Die allgemeine Anwendbarkeit begann am 2. August 2026 und schuf den grundlegenden Rahmen für KI-Betreiber und Anbieter, wie durch den Rechtsrahmen der Europäischen Kommission bestätigt.
• Strenge Vorgaben für Systeme in ausgewiesenen Hochrisikobereichen greifen ab dem 2. Dezember 2027 gemäß dem Zeitplan der Europäischen Kommission.
• Vorschriften für KI, die in regulierte Produkte wie Industriemaschinen und Robotik integriert ist, gelten laut dem Rechtsrahmen der Europäischen Kommission ab dem 2. August 2028.

Diese stufenweise Einführung bedeutet, dass selbst dann, wenn ein spezialisiertes Prognosesystem in eine Hochrisikokategorie fällt, die strengen Anforderungen an technische Dokumentation, fortlaufende Protokollierung und Konformität erst ab dem 2. Dezember 2027 zur Anwendung kommen, wie im Leitlinienentwurf der Europäischen Kommission ausgeführt wird.

Einordnung des Hochrisikobereichs: B2B-Lead-Scoring im Vergleich zu persönlichem Profiling

Ob ein Algorithmus den Pflichten für Hochrisikosysteme unterliegt, hängt vollständig vom konkreten Einsatzzweck des Systems ab. Gemäß den Leitlinien der Europäischen Kommission zu Hochrisiko-KI zielen Hochrisikoeinstufungen auf bestimmte kritische Sektoren ab, darunter Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung, Personalmanagement, Migration, Asyl und Grenzkontrollen.

In typischen B2B-Go-to-Market-Abläufen priorisieren Algorithmen zur Lead-Qualifizierung Unternehmensaccounts anhand von Kriterien wie Unternehmensumsatz, Technologieeinsatz, Website-Aktivität und Stellenanzeigen. Wenn ein Algorithmus die Eignung eines Unternehmens und dessen geschäftliche Relevanz bewertet, um Vertriebskapazitäten zuzuweisen, bewegt er sich außerhalb des Anwendungsbereichs sensibler persönlicher Bewertungen.

Die Grenze verschwimmt jedoch, wenn Anbieter von einer Analyse auf Unternehmensebene zu einer automatisierten Bewertung einzelner Personen übergehen. Ein Werkzeug läuft Gefahr, als Hochrisikosystem eingestuft zu werden, wenn es umgewidmet wird für:

1. Beschäftigung und Personalrekrutierung: Beurteilung der Eignung von Bewerbern, Ranking von Kandidaten oder automatisierte Leistungsüberwachung.
2. Kreditwürdigkeit und finanzielle Einstufung: Scoring von Einzelunternehmern oder Betrieben für Kreditzugänge, Versicherungsberechtigungen oder finanzielle Bonitätsprüfungen.
3. Zugang zu öffentlichen oder bildungsbezogenen Leistungen: Rangordnung bei der Vergabe von Plätzen für Berufsausbildungen oder wesentlichen staatlichen Leistungen.

Wenn ein B2B-Vertriebssystem seinen Anwendungsbereich auf Unternehmensdaten, Firmografien und öffentlich zugängliche organisatorische Aktivitäten beschränkt, fällt es im Regelfall nicht unter Hochrisikokategorien. Integriert eine Vertriebsplattform jedoch Vorhersagemodelle, um die Leistung einzelner Mitarbeiter zu bewerten oder verhaltensbasierte Hintergrundprüfungen vorzunehmen, müssen Betreiber prüfen, ob diese konkreten Funktionen die Schwellenwerte für Arbeits- oder Bonitätsbewertungen berühren.

Strenge Pflichten bei einer Einstufung als Hochrisiko-KI

Wird ein KI-System tatsächlich als Hochrisikosystem eingestuft, können sich Betreiber und Anbieter nicht auf unverbindliche Zusicherungen von Dienstleistern verlassen. Die regulatorische Übersicht der Europäischen Kommission benennt die genauen technischen Anforderungen, die Hochrisikosysteme ab dem 2. Dezember 2027 erfüllen müssen:

• Angemessene Systeme für das Risikomanagement und Gegenmaßnahmen, die Schwachstellen über den gesamten Lebenszyklus des Systems hinweg identifizieren.
• Qualitativ hochwertige Datensätze für das Training und den Betrieb des Systems, um das Risiko diskriminierender Ergebnisse und systematischer Verzerrungen zu minimieren.
• Automatische Protokollierung aller Vorgänge, um eine vollständige Rückverfolgbarkeit von Ergebnissen und Scoring-Werten zu gewährleisten.
• Umfassende technische Dokumentation, die den Aufsichtsbehörden alle erforderlichen Details zur Überprüfung der Konformität liefert.
• Klare und verständliche Informationen für die Betreiber, damit diese die Empfehlungen des Systems fachgerecht interpretieren können.
• Geeignete Maßnahmen zur menschlichen Aufsicht, um ein übermäßiges Vertrauen in Automatismen zu verhindern und sicherzustellen, dass menschliche Nutzer eingreifen oder Werte überschreiben können.
• Hohes Niveau bei Cybersicherheit, Ausfallsicherheit und operationeller Genauigkeit gegenüber Datenveränderungen.

Für Vertriebsteams, die an Machine-Learning-Scores aus intransparenten Modellen gewöhnt sind, bedeuten diese Vorgaben eine tiefgreifende strukturelle Veränderung. Sie verlangen eine nachprüfbare Herkunft der zugrunde liegenden Datenattribute und klare Begründungen, warum bestimmte Accounts oder Personen eine konkrete Priorisierung erhalten haben.

Verantwortlichkeiten von Anbietern und Betreibern in B2B-Tech-Stacks

Juristische Abteilungen in Unternehmen müssen unter der Verordnung zwei zentrale Rollen unterscheiden: den Anbieter, der das KI-Modell entwickelt oder wesentlich verändert, und den Betreiber, also das Unternehmenskunden, das das System in seinen operativen Prozessen einsetzt.

Lizenziert ein Unternehmen eine externe Vertriebsplattform, agiert der Softwarehersteller als Anbieter. Er trägt die Hauptverantwortung für die grundlegende technische Dokumentation, die Schutzmaßnahmen beim algorithmischen Training und die Systemgenauigkeit. Das Unternehmen, das die Software nutzt, gilt als Betreiber. Betreiber bleiben dafür verantwortlich, die Software innerhalb der dokumentierten Einsatzbereiche anzuwenden, die menschliche Aufsicht sicherzustellen und zu gewährleisten, dass bei der Nutzung die Rechte der Betroffenen gewahrt bleiben.

Nimmt ein Unternehmen ein standardmäßiges Allzweckmodell, passt es mit internen historischen Konversionsdaten an und verändert dessen primären Einsatzzweck, kann dieses Unternehmen rechtlich in die Rolle eines Anbieters nach der Verordnung hineinwachsen und dessen Pflichten übernehmen.

Handlungsschritte für GTM- und Revenue-Operations-Teams

Um einen verlässlichen Geschäftsbetrieb in den europäischen Märkten sicherzustellen, sollten Revenue-Verantwortliche eine strukturierte Überprüfung ihrer Vertriebsinfrastruktur vornehmen:

1. Operative Anwendungsfälle prüfen: Analysieren Sie jedes Tool für prädiktives Lead Scoring, Datenanreicherung und Outreach-Automatisierung. Stellen Sie sicher, dass diese Systeme die geschäftliche Eignung von Unternehmen bewerten und nicht der Mitarbeiterüberwachung oder persönlichen Bonitätsprüfung dienen.
2. Dokumentation der Softwarehersteller anfordern: Verlangen Sie von Ihren Softwareanbietern Klarheit über deren Compliance-Status und technische Entwicklungspläne, insbesondere bei Tools, die das Verhalten individueller Ansprechpartner verarbeiten.
3. Prozesse zur menschlichen Aufsicht einrichten: Sorgen Sie dafür, dass algorithmische Scores als Entscheidungshilfe dienen und keine vollautomatisierten Aktionen auslösen. Etablieren Sie Abläufe, bei denen Account Executives die Priorisierung überprüfen, bevor sensible Vertriebsaktivitäten oder Vertragsentscheidungen stattfinden.
4. Vorbereitung auf künftige Durchsetzungsfristen: Nutzen Sie die Zeitspanne vor dem 2. Dezember 2027, um die Datenqualität zu überprüfen, verzerrte demografische Merkmale aus Qualifizierungsmodellen zu entfernen und eine saubere Nachvollziehbarkeit sicherzustellen.

Gründer, die internationale Wachstumsstrukturen aufbauen, finden weiterführende operative Konzepte in den Knowledge-Leitfäden für Gründer, um ihre kommerziellen Tools an grenzüberschreitenden regulatorischen Standards auszurichten.

In der Vertriebsorchestrierung setzen Plattformen wie Ember auf kontextbezogene Intelligenz und transparente Arbeitsabläufe. Sie stellen menschliche Entscheidungsträger in den Mittelpunkt der Vertriebsanalyse und stützen Account-Erkenntnisse auf transparente, überprüfbare Unternehmensdaten.