Die nordamerikanische Checkliste für KI-Bereitschaft: SMS/10DLC, Wallet und Datenschutz in mehreren Bundesstaaten

„AI-ready“ ist kein Modell. Es handelt sich um eine Aktionsfläche.

Jeder Anbieter von Kundenbindungslösungen hat mittlerweile ein LLM-Modell im Angebot. Das ist aber noch der einfachste Teil. Ein leistungsfähiges Modell, das Nachrichten verfassen, Zielgruppen segmentieren oder Kohorten zusammenfassen kann, wird 2026 fast schon Standard sein. Was jedoch nicht Standard ist – und was letztendlich darüber entscheidet, ob ein autonomer Agent Ihnen auf dem nordamerikanischen Markt nützt oder schadet – ist alles, was unter der Oberfläche des Modells liegt: die Kanäle, über die er den Kunden rechtmäßig erreichen kann, die geltenden Einwilligungsbestimmungen des jeweiligen Bundesstaates und die regulatorischen Verpflichtungen, die je nach Bundesstaat, in dem Ihr Kunde lebt, variieren.

Der Fehlermodus ist spezifisch. Ein Agent ohne eine konforme, registrierte und identitätsaufgelöste Aktionsfläche ist entweder nutzlos oder gefährlich. Nutzlos, weil er eine perfekte SMS verfasst, die er nicht über Mobilfunkanbieter versenden kann, oder eine Sperrzielgruppe erstellt, die er nicht an die Werbeplattform übermitteln kann. Gefährlich, da es Aktionen ausführt – senden, gezielt ansprechen, erneut ansprechen –, ohne die Löschanfrage, den Widerspruch oder das Signal der globalen Datenschutzkontrolle eines Kunden zu berücksichtigen. Dadurch entsteht ein Compliance-Vorfall, dessen Verlauf sich direkt auf eine automatisierte Entscheidung zurückführen lässt.

Bei diesem Stück handelt es sich um eine Checkliste, nicht um einen Pitch. Das Ziel besteht darin, einem nordamerikanischen Einzelhandels-, QSR- oder D2C-Betriebsleiter konkrete Fragen zu geben, die er in eine Lieferantenbewertung einbeziehen kann, und dabei zu begründen, warum jede einzelne davon wichtig ist. Bei einigen davon handelt es sich um Tischeinsätze, die jede seriöse Plattform klären sollte; Einige sind für fast jeden noch reif. Der ehrliche Schritt bei der Beschaffung besteht darin, sich zu fragen, was welches ist – und jedem Anbieter zu misstrauen, der eine einheitliche, vollständige Abdeckung für alle behauptet.

1. SMS/MMS: TCPA-Einwilligung und 10DLC-/Kurzwahlnummern-Registrierung

SMS ist in Nordamerika der effektivste Kanal zur Kundenbindung und gleichzeitig der am strengsten regulierte. Jede SMS, die Sie versenden, unterliegt zwei Verpflichtungen. Erstens die Einwilligung gemäß dem Telephone Consumer Protection Act (TCPA): Für den Versand von Marketing-SMS benötigen Sie in der Regel eine vorherige ausdrückliche schriftliche Einwilligung. Die Einwilligung muss spezifisch und dokumentiert sein, und Sie müssen Abmelde- und Stornierungsanfragen umgehend bearbeiten. Zweitens die Registrierung beim Mobilfunkanbieter. Um in den USA SMS an Personen zu versenden, registrieren Sie Ihre Marke und Anwendungsfälle unter 10DLC (zehnstellige Langcodes) oder stellen einen Kurzcode bereit. In beiden Fällen befinden sich die Mobilfunkanbieter und The Campaign Registry zwischen Ihrer Plattform und dem Endgerät des Kunden.

Warum das für einen Agenten wichtig ist: Ein autonomes System, das vorschlägt, ehemaligen VIPs ein Rückgewinnungsangebot per SMS zu senden, schlägt eine Aktion vor, die nur dann ausgeführt wird, wenn die Marke registriert ist, der Kampagnen-Anwendungsfall genehmigt wurde, die Durchsatzgrenzen eingehalten werden und – ganz entscheidend – jeder Empfänger eine gültige TCPA-Einwilligung erteilt hat. Fragen Sie den Anbieter, wo die Einwilligung gespeichert wird, ob sie kanalweise erfasst wird, ob Abmeldungen in Echtzeit plattformweit weitergegeben werden und wie die Registrierung für 10DLC oder Kurzwahlnummern bereitgestellt und verwaltet wird. Ist die Antwort vage, wird der Agent letztendlich versuchen, etwas zu senden, das gefiltert, gedrosselt oder – schlimmer noch – an jemanden zugestellt wird, der dem Empfang nie zugestimmt hat.

2. Push- und In-App-Benachrichtigungen: Ihre Reichweite aus erster Hand, die niemand abbestellen kann.

Push-Benachrichtigungen und In-App-Messaging sind die Kanäle, die Sie vollständig kontrollieren. Es gibt keine Registrierung beim Mobilfunkanbieter zwischen Ihnen und dem Gerät, keine Zustellbarkeitsgebühren pro Nachricht, und die Kommunikation findet innerhalb Ihrer eigenen App oder Wallet statt, nicht im Posteingang eines anderen. Diese Unabhängigkeit ist genau der Grund, warum sie auf einer Checkliste zur KI-Bereitschaft stehen sollten: Wenn ein Agent in Echtzeit reagieren muss – beispielsweise bei einer Preisbenachrichtigung, einem Hinweis auf einen abgebrochenen Warenkorb oder einer Erinnerung an verfallende Punkte –, ist die Reichweite von First-Party-Push-Benachrichtigungen am geringsten davon betroffen, da sie am wenigsten wahrscheinlich von einem Vermittler abgefangen, gefiltert oder gedrosselt werden.

Die Anforderungen sind geringer als bei SMS, aber nicht gleich null. Push-Benachrichtigungen setzen weiterhin voraus, dass der Kunde die App installiert und die Benachrichtigungsberechtigung erteilt hat. Eine ausgereifte Plattform behandelt diese Berechtigung als verbindliche Einwilligung und nicht als missbrauchbare Werbemöglichkeit. Fragen Sie, ob der Agent beurteilen kann, wer per Push-Benachrichtigung und wer per SMS oder E-Mail erreichbar ist, und ob Frequenz- und Ruhezeitregeln zentral durchgesetzt werden. Ein Agent, der den Unterschied zwischen eigenen und gemieteten Kanälen nicht versteht, optimiert für die falschen Ziele.

3. Paid-Media-Aktivierung: Kundenabgleich und Conversions API für Unterdrückung und Lookalike-Zielgruppen

Kundenbindung beschränkt sich nicht auf eigene Kanäle. Zwei der wichtigsten Maßnahmen für Vertriebsmitarbeiter sind Paid-Media-Strategien: Schließen Sie Ihre bestehenden, kürzlich gekauften oder abgemeldeten Kunden von den Akquise-Ausgaben aus, um nicht länger für die Ansprache bereits erreichter Kunden zu bezahlen. Erstellen Sie außerdem Lookalike Audiences aus Ihren besten Kundengruppen, um weitere Kunden zu gewinnen. Beide erfordern die Bereitstellung von First-Party-Zielgruppen für die Werbeplattformen – Google Customer Match und die serverseitigen Conversion-Integrationen API, die Meta, Google und TikTok mittlerweile für eine dauerhafte und datenschutzkonforme Synchronisierung von Zielgruppen und Conversions voraussetzen.

Unterdrückung ist die unterschätzte Hälfte davon. Hier treffen auch Compliance und Medieneffizienz aufeinander: Ein Kunde, der darum gebeten hat, nicht verkauft oder geteilt zu werden, oder der gelöscht wurde, muss aus den Zielgruppen entfernt werden, die Sie mit Werbeplattformen synchronisieren – und nicht nur aus Ihrer E-Mail-Liste. Fragen Sie den Anbieter, ob die Zielgruppenaktivierung bidirektional und in Echtzeit erfolgt, ob Unterdrückungszustände automatisch an die Werbeplattformen weitergeleitet werden und ob Datenschutzsignale (Löschen, Opt-out, Nicht-Teilen) auf der Ebene der Zielgruppensynchronisierung und nicht nur auf der Sendeebene berücksichtigt werden. Ein Agent, der eine Ähnlichkeit aufbauen, aber nicht zuverlässig unterdrücken kann, ist eine Belastung, die als Wachstum getarnt ist.

4. Datenschutz in mehreren Bundesstaaten: CCPA/CPRA, die zunehmende Uneinheitlichkeit der Datenschutzbestimmungen und die Einhaltung der GPC

Es gibt kein einheitliches US-Datenschutzgesetz und der Flickenteppich wird jedes Jahr größer. Kaliforniens CCPA in der durch CPRA geänderten Fassung gibt Verbrauchern das Recht, dem „Verkauf“ und der „Weitergabe“ personenbezogener Daten zu widersprechen und deren Löschung zu verlangen. Virginias VCDPA, Colorados CPA und eine wachsende Liste anderer staatlicher Gesetze basieren auf ihren eigenen Definitionen, Opt-out-Rechten und Pflichten – häufig mit sich überschneidenden, aber nicht identischen Anforderungen. Die Rechte eines Kunden hängen jetzt teilweise davon ab, in welchem ​​Staat er lebt, was bedeutet, dass Ihre Plattform Verpflichtungen pro Person und nicht pro Kampagne lösen muss.

Zwei Anforderungen verdienen bei der Anbieterbewertung besondere Beachtung. Erstens: Globale Datenschutzkontrolle: Kalifornien und einige andere Bundesstaaten behandeln ein GPC-Signal auf Browserebene als gültigen Widerspruch gegen den Verkauf/die Weitergabe von Daten. Die Einhaltung dieses Signals ist daher obligatorisch und kann nicht manuell erfolgen. Zweitens: Weitergabe. Eine Löschungs- oder Widerspruchsanfrage muss alle nachgelagerten Schnittstellen erreichen – den SMS-Einwilligungsspeicher, die Push-Empfänger und die oben beschriebene Synchronisierung bezahlter Medien –, nicht nur die primäre Datenbank. Fragen Sie, wie die Plattform eine einzelne Verbraucheranfrage den gesamten bundesstaatsspezifischen Verpflichtungen zuordnet, wie GPC-Daten erfasst und berücksichtigt werden und wie schnell eine Unterdrückung oder Löschung überall dort weitergegeben wird, wo ein Agent aktiv werden könnte. Genau hier richtet ein unbeaufsichtigter Agent den größten Schaden an, wenn die Infrastruktur fehlerhaft ist.

5. Compliance-Status: SOC 2 Type II und PCI-DSS als Beschaffungsgrundlagen

Bevor die Mechanismen des Vertriebskanals relevant werden, stellen Ihre Sicherheits- und Beschaffungsteams eine grundlegendere Frage: Ist diese Plattform überhaupt vertrauenswürdig genug, um Kundendaten zu speichern? Im nordamerikanischen Einzelhandel dienen zwei Zertifizierungen als faktische Eintrittskarte. SOC 2 Type II belegt, dass die Sicherheits-, Verfügbarkeits- und Vertraulichkeitskontrollen des Anbieters nicht nur konzipiert wurden, sondern auch über einen längeren Zeitraum effektiv funktionieren. PCI-DSS gilt überall dort, wo Zahlungskartendaten verarbeitet werden, und ein Einzelhandels- oder Schnellrestaurantprogramm, das Transaktionen umfasst, betrifft diese Daten fast immer.

Dies sind Grundvoraussetzungen, und Sie sollten sie auch so behandeln – als wären sie Realität und aktuell, nicht als Wunschtraum. Die KI-spezifische Frage geht jedoch noch einen Schritt weiter: Gibt es für jede Aktion eines Agenten einen unveränderlichen, abfragbaren Datensatz darüber, was er getan hat, auf wessen Daten, unter welchem ​​Einwilligungsstatus und warum? Autonomie erhöht die Anforderungen an die Nachvollziehbarkeit, denn „Das System hat entschieden“ ist gegenüber Aufsichtsbehörden oder bei Sicherheitsüberprüfungen von Unternehmen keine akzeptable Antwort. Verlangen Sie den Audit-Trail für Agentenaktionen, nicht nur das Deckblatt des SOC-2-Berichts.

6. Wallet- und Mobilkonventionen: Apple- und Google-Mitgliedskarten

Kundenbindung ist immer wichtiger, und das bedeutet zunehmend: im Portemonnaie. Apple Wallet- und Google Wallet-Mitgliedskarten sind mittlerweile eine Standarderwartung an Komfort im Einzelhandel und in der Systemgastronomie: eine Karte, die der Kunde einmalig hinzufügt, deren Guthaben und Status dynamisch aktualisiert werden und die standort- oder zeitbezogene Benachrichtigungen auf dem Sperrbildschirm anzeigen kann. Für einen Agenten ist die Wallet-Karte sowohl eine direkte Kontaktmöglichkeit als auch eine Live-Statusanzeige – der Punktestand, den der Agent gerade aktualisiert hat, sollte der Punktestand sein, den der Kunde sieht, ohne eine App öffnen zu müssen.

Bei den Verpflichtungen geht es hier eher um Korrektheit und Konvention als um das Recht. Ein Wallet-Pass, der ein veraltetes Guthaben, ein abgelaufenes Angebot oder eine Stufe anzeigt, die der Kunde nicht mehr besitzt, untergräbt das Vertrauen schneller als gar kein Pass. Fragen Sie, ob die Plattform Apple- und Google-Wallet-Pässe nativ ausgibt und aktualisiert, ob Aktualisierungen in Echtzeit erfolgen und ob die Aktionen des Agenten (ein gewährter Bonus, ein eingelöster Coupon, ein Stufenwechsel) ohne manuelle Synchronisierung auf der Karte angezeigt werden. Mobile Conventions machen den Unterschied zwischen einem Treueprogramm, das der Kunde betreibt, und einem Treueprogramm aus, das er vergisst.

7. Echtzeit-Identitätsauflösung: Die Grundlage, die es jedem ermöglicht, im Moment zu handeln

Alles oben Genannte setzt voraus, dass die Plattform weiß, für wen sie Aktionen durchführt – und zwar sofort, nicht erst morgen. Die Echtzeit-Identitätsauflösung ist die Grundlage, die E-Mail-Adresse, Telefonnummer (number), Geräte-Push-Token, Kundenbindungs-ID, Wallet-Pass und Paid-Media-Kennung mit einer einzigen Person verknüpft. Ohne diese Verknüpfung fragmentieren die Kanäle: Kunden, die sich per SMS abgemeldet haben, werden weiterhin erneut angesprochen, weil die Werbeplattform-Kennung nie verknüpft wurde, oder der Mitarbeiter vergibt Punkte an ein Profil, das bereits drei Duplikate enthält.

Für einen autonomen Agenten ist dies keine bloße Funktion, sondern die Voraussetzung für ein adäquates Handeln im jeweiligen Moment. Einwilligung, Löschung, Unterdrückung und Erreichbarkeit gelten pro Person über alle Kanäle hinweg – und keine dieser Verpflichtungen kann erfüllt werden, wenn die Identität erst Stunden später oder gar nicht geklärt wird. Fragen Sie sich, wie schnell ein neues Signal (ein Kauf, eine Abmeldung, ein GPC-Flag, eine Wallet-Ergänzung) dem einheitlichen Profil zugeordnet wird und ob der Agent zum Zeitpunkt der Entscheidung auf dieses Profil zurückgreift. Eine Demo kann einen langsamen oder ungenauen Identitätsgraphen verbergen. Die Produktionsumgebung nicht.

Der LLM ist der einfache Teil. Die nachgiebige Aktionsfläche ist der Wassergraben.

Gehen Sie die Liste noch einmal durch und achten Sie darauf, worum es nicht geht: Es geht nicht darum, wie ausgeklügelt das Modell ist. Es geht darum, ob die Entscheidungen des Modells in einem spezifischen, regulierten und mobil geprägten Markt zu legitimen Handlungen werden können. SMS, die die Registrierung beim Mobilfunkanbieter und die TCPA-Einwilligung umgehen. Direkte Veröffentlichung Ihrer eigenen Inhalte. Paid-Media-Synchronisierung, die ebenso zuverlässig unterdrückt wie erweitert. Datenschutzverpflichtungen, die pro Person in einem immer größer werdenden Flickenteppich von Bundesstaaten erfüllt werden, wobei GPC automatisch berücksichtigt wird. Sicherheitsbestätigungen, die Ihr Beschaffungsteam bereits benötigt. Wallet-Karten, die stets korrekt sind. Und darunter ein Identitätsgraph, der schnell genug ist, um jede dieser Verpflichtungen true im Moment zu erfüllen.

Aus diesem Grund sollte eine KI-Bereitschaftsbewertung die meiste Zeit unterhalb des Modells verbringen. Der Anbieter mit dem besten LLM und einer dünnen Aktionsoberfläche liefert beeindruckende Demos und riskante Produktionen. Der Anbieter mit einer lokalisierten, konformen, identitätsbasierten Aktionsoberfläche kann ein gewöhnliches Modell sicher zum Laufen bringen – und diese Kombination ist es, was die Kundenbindung tatsächlich erhöht. Seien Sie skeptisch gegenüber allen, die hier eine vollständige, einheitliche Abdeckung aller Artikel behaupten. Die ausgereifte Antwort erkennt an, was auf dem Spiel steht, was noch ausgereift ist und wo genau sich der Prüfpfad befindet.

Wenn Sie Ihre KI-Bereitschaftslücken in Nordamerika analysieren und eine Plattform anhand dieser Checkliste auf Herz und Nieren prüfen möchten, begleiten wir Sie gerne – Kanal für Kanal, Anforderung für Anforderung. Sprechen Sie uns an oder vereinbaren Sie eine Demo und bringen Sie Ihre wichtigsten Fragen zur Compliance mit.