Sicherheitsregeln für KI-Begleiter 2026: Checkliste

Vier Dinge prägen das Recht für KI-Begleiter im Oktober 2026. Kaliforniens SB 243 und New Yorks Gesetz für KI-Begleiter verlangen ein Protokoll für Selbstverletzung und einen KI-Hinweis. Die EU-KI-Verordnung verlangt seit dem 2. August 2026, dass Chatbots sagen, dass sie eine KI sind. Die FTC untersucht Begleiter-Chatbots. Die gemeinsamen Pflichten sind kurz: sagen, dass es eine KI ist, Selbstverletzung behandeln, Minderjährige schützen, Opt-outs beachten. Das ist keine Rechtsberatung.

Welche Regeln für KI-Begleiter gelten im Oktober 2026?

Vier Rechtstexte regulieren KI-Begleiter oder Chatbots, die mit Menschen sprechen, direkt. Jeder hat seinen eigenen Auslöser, prüfe also, wo deine Nutzer leben.

Die FTC-Studie ist keine Regel, deshalb hat sie unten einen eigenen Abschnitt. Auch andere Bundesstaaten und Länder bewegen sich; dieser Artikel behandelt die oben genannten Texte.

Keines dieser Gesetze unterscheidet nach dem Kanal. Ein Begleiter, der von einer WhatsApp-Nummer schreibt, fällt darunter wie einer in einer App.

Was verlangt Kaliforniens SB 243?

Kaliforniens SB 243 regelt Betreiber von Plattformen für Begleiter-Chatbots. Gouverneur Newsom unterzeichnete es am 13. Oktober 2025, und es wurde zu den Abschnitten 22601 bis 22605 des Business and Professions Code.

Ein Begleiter-Chatbot ist ein KI-System mit einer Schnittstelle in natürlicher Sprache, das adaptive, menschenähnliche Antworten gibt und soziale Bedürfnisse eines Nutzers erfüllen kann. Bots, die nur für Kundenservice, interne Abläufe, Produktivität oder technische Hilfe dienen, sind ausgenommen, ebenso Spielfiguren, die auf Spielthemen beschränkt sind, und einfache Sprachassistenten. Betreiber ist, wer einem Nutzer in Kalifornien eine Plattform für Begleiter-Chatbots bereitstellt.

Die Pflichten:

• KI-Hinweis. Kann eine vernünftige Person zu der Annahme verleitet werden, mit einem Menschen zu sprechen, zeige einen klaren und auffälligen Hinweis, dass der Chatbot künstlich erzeugt und kein Mensch ist.
• Protokoll für Selbstverletzung. Lass den Chatbot nur mit Nutzern interagieren, wenn du ein Protokoll zur Verhinderung von Inhalten zu Suizidgedanken, Suizid und Selbstverletzung führst. Es enthält einen Verweis auf Krisendienste, und seine Einzelheiten musst du auf deiner Website veröffentlichen.
• Bekannte Minderjährige. Sag ihnen, dass sie mit einer KI sprechen, zeige standardmäßig mindestens alle drei Stunden eine Pausenerinnerung und unternimm angemessene Schritte, damit der Chatbot keine sexuell expliziten Bilder erzeugt und den Minderjährigen nicht zu sexuellen Handlungen auffordert.
• Warnhinweis. Sag Nutzern, in beliebiger Form, dass Begleiter-Chatbots für manche Minderjährige ungeeignet sein können.
• Berichte. Ab dem 1. Juli 2027 berichtest du jährlich an das Office of Suicide Prevention: wie viele Benachrichtigungen mit Verweis auf Krisendienste du im Vorjahr gesendet hast und welche Protokolle du hast. Personenbezogene Daten gehören nicht in den Bericht.

Die Durchsetzung ist privat. Eine Person mit einem konkreten Schaden (injury in fact) kann auf Unterlassung klagen, auf den höheren Betrag aus tatsächlichem Schaden oder $1.000 pro Verstoß sowie auf Anwaltskosten.

Was verlangt New Yorks Gesetz für KI-Begleiter?

New Yorks Article 47 des General Business Law, „Artificial Intelligence Companion Models“, kam mit dem Landeshaushalt 2025, unterzeichnet am 9. Mai 2025. Es trat am 180. Tag danach in Kraft, am 5. November 2025.

Die Definition ist enger als die Kaliforniens. Ein KI-Begleiter simuliert eine dauerhafte menschliche oder menschenähnliche Beziehung, indem er drei Dinge tut: Er speichert Informationen über frühere Interaktionen, um das Gespräch zu personalisieren, er stellt unaufgefordert emotionsbezogene Fragen, und er führt einen Dialog über persönliche Angelegenheiten weiter. Kundenservice, Recherche, technische Hilfe und interne Werkzeuge sind ausgenommen. Eine Persona, die sich die Woche deines Nutzers merkt und fragt, wie es ihm geht, fällt darunter.

Es gelten zwei Pflichten:

• Protokoll (section 1701). Es ist rechtswidrig, einen KI-Begleiter zu betreiben oder bereitzustellen, ohne angemessene Anstrengungen, Suizidgedanken und Selbstverletzung zu erkennen und zu behandeln. Erkennt der Begleiter sie, muss er den Nutzer benachrichtigen und an einen Krisendienst verweisen, etwa die 988-Hotline, eine Krisen-Textlinie oder einen anderen geeigneten Dienst.
• Hinweis (section 1702). Zu Beginn jeder Interaktion und bei einer fortlaufenden mindestens alle drei Stunden muss der Begleiter mündlich oder schriftlich erklären, dass der Nutzer nicht mit einem Menschen kommuniziert. Der Hinweis zu Beginn muss nicht öfter als einmal pro Tag erfolgen.

Der Attorney General setzt es durch, mit zivilrechtlichen Strafen von bis zu $15.000 pro Tag.

Was verlangt die EU von einem KI-Begleiter?

Die EU-KI-Verordnung verpflichtet Anbieter, KI-Systeme, die mit Menschen sprechen, so zu gestalten, dass diese Menschen erfahren, dass sie es mit einer KI zu tun haben. Das ist Art. 50 Abs. 1 der Verordnung (EU) 2024/1689. Die Pflicht entfällt nur, wenn es für eine angemessen informierte, aufmerksame und verständige Person offensichtlich ist. Art. 50 Abs. 5 sagt, dass die Information klar sein und spätestens bei der ersten Interaktion gegeben werden muss.

Art. 50 gilt ab dem 2. August 2026. Der Digital Omnibus on AI, in Kraft seit dem 27. Juli 2026, gab Systemen, die schon auf dem Markt sind, bis zum 2. Dezember 2026 Zeit, aber nur für die maschinenlesbare Kennzeichnung erzeugter Inhalte nach Art. 50 Abs. 2. Art. 50 Abs. 1 ließ er unberührt. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt, die Marke eines Begleiters, die eine Modell-API aufruft, ist also sehr wahrscheinlich Anbieter ihres Produkts. Bußgelder für einen Transparenzverstoß reichen bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes, je nachdem, was höher ist, und für kleine Unternehmen gilt der niedrigere der beiden Beträge.

Eine Persona mit menschlichem Namen und Foto, die wie eine Freundin von einem Kontakt aus schreibt, ist ein schwacher Fall für die Ausnahme „offensichtlich“. Sag es offen.

Zwei weitere europäische Regeln greifen bei Begleitern schon heute:

• Datenschutz. Chats mit Begleitern verraten Gesundheit, Gefühle und Sexualleben, die nach Art. 9 DSGVO besondere Kategorien sind und eine Ausnahme wie die ausdrückliche Einwilligung brauchen. Am 19. Mai 2025 gab die italienische Datenschutzbehörde ein Bußgeld von 5 Millionen Euro gegen Luka Inc. bekannt, die Firma hinter Replika, wegen fehlender erkennbarer Rechtsgrundlage, unzureichender Datenschutzerklärung und fehlender Altersprüfung (Stand Februar 2023).
• Kinder in Italien. Das Gesetz 132/2025, in Kraft seit dem 10. Oktober 2025, verlangt die Einwilligung eines Elternteils, damit Kinder unter 14 auf KI-Technologien zugreifen. Von 14 bis 17 kann ein Minderjähriger selbst einwilligen, wenn die gegebenen Informationen leicht zu finden und zu verstehen sind.

Was prüft die FTC?

Am 11. September 2025 ordnete die Federal Trade Commission sieben Unternehmen an, über ihre KI-Begleiterprodukte zu berichten: Alphabet, Character Technologies, Instagram, Meta Platforms, OpenAI, Snap und xAI. Die Kommission stimmte 3 zu 0. Die Anordnungen nutzen Section 6(b), die umfassende Studien ohne konkreten Durchsetzungszweck erlaubt.

Die Fragen lesen sich wie die Liste dessen, was jede Behörde einen Entwickler von Begleitern fragen wird:

• wie du mit Engagement Geld verdienst
• wie du Figuren erstellst und freigibst
• wie du negative Wirkungen testest und überwachst, besonders bei Kindern
• wie du Nutzer und Eltern über Risiken und Datenpraktiken informierst
• wie du Altersgrenzen und deine eigenen Regeln durchsetzt
• wie du personenbezogene Informationen aus Chats nutzt oder weitergibst

Stand 19. Oktober 2026 zeigt die FTC-Seite zur Studie die Anordnungen und keine Ergebnisse. Beantworte diese Fragen zu deinem eigenen Produkt jetzt, schriftlich.

Wie sieht die Checkliste für Entwickler aus?

Sieben Gewohnheiten erfüllen den gemeinsamen Kern dieser Gesetze. Nimm jeweils die strengste Regel und wende sie auf jeden Nutzer an.

1. Sag an drei Stellen, dass es eine KI ist. In der Info-Zeile des Profils, in der ersten Nachricht und als Erinnerung mindestens alle drei Stunden in einem laufenden Chat. Bei whasp wird das Profil (Name bis zu 25 Zeichen, Info-Zeile bis zu 139) mit PATCH /v1/numbers/{number} gesetzt, und die Erinnerungen laufen in deinem Code.
2. Baue den Weg für Selbstverletzung vor dem Start. Erkenne in deiner Pipeline Äußerungen von Suizidgedanken oder Selbstverletzung, brich das Rollenspiel ab, verweise in den USA auf 988, anderswo auf einen lokalen Dienst, und teste es mit echten Formulierungen.
3. Zähle und protokolliere. Halte jeden Krisenverweis und jeden Hinweis mit Zeitpunkt fest. Kaliforniens Jahresbericht braucht die Zahl der Verweise ab dem 1. Juli 2027, und ein Protokoll ist dein Beweis, falls jemand klagt.
4. Prüfe das Alter, bevor der Chat beginnt. Frag bei der Anmeldung, bevor du den Link zeigst, der den Chat öffnet. Eine Messaging-Nummer kann das Alter nicht prüfen, deine Anmeldung schon. Wende die Schutzmaßnahmen für Minderjährige auf jeden an, von dem du weißt, dass er unter 18 ist, und hol die Einwilligung der Eltern ein, wo das Recht sie verlangt.
5. Zeige den Warnhinweis für Minderjährige, dass Begleiter-Chatbots für manche Minderjährige ungeeignet sein können, auf der Anmeldeseite.
6. Veröffentliche dein Protokoll auf deiner Website. Kalifornien verlangt es.
7. Beachte Opt-outs und Löschanträge. Opt-out und Einwilligung bei KI-Agenten behandelt STOP, Protokolle und Aufbewahrung.

Bei whasp trägt das Profil der Nummer den ersten Hinweis, und alles andere liegt in deinem Webhook, denn whasp leitet Nachrichten nur durch und speichert keine auf seinen Servern. Dein Speicher hält den Verlauf, Gesprächsgedächtnis ist also auch der Ort, an dem gelöscht wird. Schreib die Zeile „Ich bin eine KI“ auch in deinen System-Prompt, wie Prompts für WhatsApp schreiben erklärt.

Was solltest du als Nächstes tun?

Schreib auf, welche Regeln deine Nutzer auslösen: Kalifornien, New York, die EU, Kinder. Liefere die sieben Gewohnheiten vor deinem ersten Nutzer aus. WhatsApps eigene Regeln für KI auf der Business Platform sind eine eigene Frage: Ist dein KI-Bot auf der WhatsApp Business API erlaubt? Den ganzen Weg bis zum Start zeigt KI-Begleiter auf WhatsApp starten.

Dieser Artikel beschreibt die Texte der Gesetze, Stand 19. Oktober 2026. Er ist keine Rechtsberatung, und Gesetze ändern sich. Lass einen Anwalt dein Produkt prüfen, bevor du es für die Öffentlichkeit startest.