Der AI Act ist im Marketingalltag angekommen. Seit dem 2. August 2026 gelten die Transparenzpflichten für Chatbots und KI-generierte Inhalte, im Juli hat die EU mit dem Digital-Omnibus mehrere Fristen verschoben, und in Deutschland ist die Bundesnetzagentur jetzt offiziell KI-Aufsicht. Für viele Teams ist unklar, was davon sie konkret betrifft.
Die gute Nachricht: Die meisten Marketinganwendungen gelten nicht als Hochrisiko-KI. Die schlechte: Kennzeichnung, KI-Kompetenz und saubere Dokumentation sind trotzdem Pflicht. Dieser Beitrag zeigt dir den Rechtsstand Ende Oktober 2026 und acht Nachweise, die du jetzt anlegen solltest. Er ersetzt keine Rechtsberatung.
Was ist der AI Act?
Der AI Act ist die europäische KI-Verordnung (EU) 2024/1689. Sie regelt Entwicklung, Vertrieb und Einsatz von KI-Systemen nach einem risikobasierten Ansatz: Bestimmte Praktiken sind verboten, Hochrisiko-Systeme unterliegen strengen Anforderungen, für andere gelten vor allem Transparenzpflichten. Die Verordnung gilt unmittelbar in allen EU-Staaten und wird schrittweise anwendbar.
Den vollständigen Text findest du im Amtsblatt auf EUR-Lex. Für Marketingabteilungen sind vor allem vier Bereiche relevant: die KI-Kompetenz nach Art. 4, die verbotenen Praktiken nach Art. 5, die Transparenzpflichten nach Art. 50 und – in Ausnahmefällen – die Hochrisiko-Regeln.
Der Zeitplan: Was seit wann gilt
Der AI Act ist am 1. August 2024 in Kraft getreten und wird gestaffelt wirksam. Die Verordnung (EU) 2026/1744, der sogenannte Digital-Omnibus zur KI, ist am 27. Juli 2026 in Kraft getreten und hat einen Teil dieser Fristen verändert.
| Datum | Was gilt | Relevanz fürs Marketing |
|---|---|---|
| 2. Februar 2025 | Verbote nach Art. 5, KI-Kompetenz nach Art. 4 | hoch |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Sanktionsregeln | gering, betrifft vor allem Modellanbieter |
| 27. Juli 2026 | Digital-Omnibus in Kraft, Art. 4 neu gefasst | mittel |
| 2. August 2026 | Transparenzpflichten nach Art. 50 | hoch |
| 2. Dezember 2026 | Ende der Übergangsfrist für die Markierungspflicht bestehender generativer Systeme, neue Verbote für Nacktbild- und Missbrauchsdarstellungen | mittel |
| 2. Dezember 2027 | Hochrisiko-Pflichten für Systeme nach Anhang III (statt August 2026) | gering, außer etwa bei KI im Recruiting |
| 2. August 2028 | Hochrisiko-Pflichten für Produkte nach Anhang I | sehr gering |
Was der Digital-Omnibus geändert hat
Der Omnibus verschiebt vor allem die Hochrisiko-Pflichten. Für Systeme nach Anhang III, etwa im Personalwesen oder bei Kreditwürdigkeitsprüfungen, gelten sie nun ab dem 2. Dezember 2027. Anbieter generativer Systeme, die vor dem 2. August 2026 auf den Markt kamen, erhalten für die maschinenlesbare Markierung ihrer Ausgaben eine Übergangsfrist von vier Monaten.
Für das Marketing besonders wichtig: Die Transparenzpflichten nach Art. 50 wurden nicht verschoben. Sie gelten seit dem 2. August 2026. Außerdem hat der Omnibus Art. 4 zur KI-Kompetenz neu gefasst – mehr dazu im nächsten Abschnitt.
KI-Kompetenz: die Pflicht hinter jedem Tool
Seit Februar 2025 verlangt der AI Act von Anbietern und Betreibern, sich um die KI-Kompetenz ihrer Beschäftigten zu kümmern. „Betreiber“ bist du, sobald dein Unternehmen ein KI-System in eigener Verantwortung beruflich nutzt – also auch beim Einsatz von Text- oder Bildgeneratoren im Marketing.
Der Digital-Omnibus hat den Wortlaut von Art. 4 präzisiert. Anbieter und Betreiber ergreifen nun Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen. Dabei sind Vorkenntnisse, Erfahrung, Ausbildung und der Einsatzkontext zu berücksichtigen. Ausdrücklich neu ist: Die Pflicht verlangt nicht, für jede Person ein bestimmtes Kompetenzniveau zu garantieren.
Was das praktisch bedeutet
Die Pflicht bleibt bestehen, sie ist aber als Bemühenspflicht formuliert. Du musst also nachweisen können, dass du sinnvolle Maßnahmen ergriffen hast – nicht, dass jede Person eine Prüfung bestanden hat. Sinnvoll sind diese Bausteine:
- kurze Grundschulung zu Funktionsweise, Grenzen und Risiken generativer KI
- werkzeugbezogene Einweisung für die tatsächlich genutzten Tools
- klare interne Regeln, etwa zu Datenschutz, Kennzeichnung und Freigabe
- regelmäßige Auffrischung, wenn sich Werkzeuge oder Regeln ändern
So dokumentierst du Schulungen
Halte für jede Maßnahme fest, wer teilgenommen hat, welche Inhalte vermittelt wurden und auf welche Werkzeuge sie sich beziehen. Eine einfache Tabelle mit Datum, Thema, Teilnehmenden und Unterlagen genügt. Wichtig ist, dass auch freie Mitarbeitende und Agenturen erfasst werden, wenn sie in deinem Auftrag mit KI-Systemen arbeiten – der AI Act nennt ausdrücklich „andere Personen“, die im Auftrag tätig sind.
Eine gepflegte Prompt-Bibliothek mit Prüfhinweisen ist dabei ein gutes Schulungsinstrument. Welche Weiterbildungen sich darüber hinaus lohnen, zeigt unser Beitrag zur Weiterbildung im Marketing.
Transparenzpflichten nach Art. 50
Art. 50 ist für Marketingteams der wichtigste Teil des AI Act. Er unterscheidet zwischen Pflichten der Anbieter, die ein KI-System entwickeln oder unter eigenem Namen anbieten, und Pflichten der Betreiber, die es nutzen.
Chatbots und KI-Assistenten
KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Betroffenen erfahren, dass sie mit einer KI sprechen – es sei denn, das ist offensichtlich. Diese Pflicht trifft den Anbieter. Baust du einen eigenen Chatbot auf Basis eines Sprachmodells und bietest ihn unter deinem Namen an, kannst du selbst in diese Rolle rutschen.
Praktisch heißt das: Ein klarer Hinweis zu Beginn des Chats, etwa „Du chattest mit unserem KI-Assistenten“, sollte Standard sein. Er muss spätestens bei der ersten Interaktion erscheinen und gut wahrnehmbar sein.
Markierung synthetischer Inhalte
Anbieter von Systemen, die synthetische Bilder, Videos, Audio oder Texte erzeugen, müssen die Ausgaben in maschinenlesbarer Form markieren. Diese Pflicht liegt bei den Tool-Herstellern, nicht bei dir. Für dich ist wichtig, dass du die Markierung nicht entfernst – etwa durch Bildbearbeitung oder das Löschen von Metadaten.
Deepfakes und Texte zu Themen von öffentlichem Interesse
Als Betreiber musst du offenlegen, wenn du mit KI Bild-, Ton- oder Videoinhalte erzeugst oder veränderst, die echten Personen, Orten oder Ereignissen ähneln und fälschlich als echt erscheinen würden. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein dezenter Hinweis, der den Genuss des Werks nicht stört.
Für KI-generierte Texte gilt eine Offenlegungspflicht, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Sie entfällt, wenn ein Mensch den Text redaktionell geprüft hat und jemand die redaktionelle Verantwortung trägt. Ein klassischer Produkttext fällt in der Regel nicht darunter.
Kennzeichnen oder nicht? Typische Fälle
Die folgende Übersicht zeigt, wie sich die Transparenzpflichten des AI Act auf typische Marketingsituationen übertragen lassen. Sie ersetzt keine Einzelfallprüfung, gibt aber eine erste Orientierung.
| Situation | Kennzeichnung nötig? |
|---|---|
| Chatbot im Kundenservice | ja, Hinweis auf KI zu Beginn |
| fotorealistisches KI-Bild einer scheinbar echten Person in einer Anzeige | ja, als Deepfake offenlegen |
| klar erkennbare KI-Illustration oder Fantasiewelt | in der Regel nein |
| KI-Stimme, die wie eine reale Sprecherin klingt | ja, wenn sie als echt erscheinen würde |
| redaktionell geprüfter Blogartikel mit KI-Unterstützung | in der Regel nein |
| KI-generierte Produktbeschreibung im Shop | in der Regel nein |
Du kannst auch freiwillig mehr kennzeichnen, als der AI Act verlangt. Das kann Vertrauen stärken, sollte aber einheitlich geregelt sein, damit Hinweise nicht beliebig wirken.
Hilfe durch den Verhaltenskodex
Die EU-Kommission hat am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte veröffentlicht. Er beschreibt praktische Schritte, wie Anbieter und Betreiber die Transparenzpflichten erfüllen können, und ist eine gute Orientierung für deine eigene Kennzeichnungsrichtlinie.
Verbote und Hochrisiko im Blick behalten
Art. 5 AI Act verbietet seit Februar 2025 unter anderem KI-Systeme, die mit unterschwelligen, absichtlich manipulativen oder täuschenden Techniken das Verhalten von Menschen wesentlich verzerren und dadurch erheblichen Schaden verursachen. Ebenso verboten ist das gezielte Ausnutzen von Schwächen aufgrund von Alter, Behinderung oder sozialer und wirtschaftlicher Lage.
Normale Werbung und Personalisierung fallen nicht darunter. Kritisch wird es bei Systemen, die gezielt Verletzlichkeit ausnutzen. Wo genau die Grenze verläuft, beschreibt unser Beitrag zur KI-Personalisierung. Seit dem Omnibus kommen ab dem 2. Dezember 2026 Verbote für Systeme hinzu, die nicht einvernehmliche intime Darstellungen oder Missbrauchsdarstellungen von Kindern erzeugen.
Wann Marketing doch Hochrisiko berührt
Hochrisiko-KI ist im Marketing die Ausnahme. Grenzfälle entstehen dort, wo Marketing in andere Bereiche hineinreicht: etwa bei KI-gestützter Vorauswahl von Bewerbungen im Employer Branding oder bei Bonitätsbewertungen für Ratenkauf-Angebote. Beide Bereiche stehen in Anhang III. Die zugehörigen Pflichten gelten nach dem Omnibus ab dem 2. Dezember 2027. Prüfe solche Anwendungen frühzeitig gemeinsam mit HR, Recht und dem Anbieter.
Wer kontrolliert – und was droht
In Deutschland ist am 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz in Kraft getreten. Laut Bundesnetzagentur ist sie damit zentrale Marktüberwachungsbehörde und prüft in ihrem Zuständigkeitsbereich auch Transparenzpflichten und verbotene Praktiken. In bestimmten Bereichen bleiben etablierte Aufsichten zuständig, etwa die BaFin im Finanzsektor oder die Landesmedienanstalten im Medienbereich.
Der KI-Service-Desk der Bundesnetzagentur bietet zudem ein Online-Tool zur ersten Einschätzung der Risikoklasse und Hinweise zum Aufbau von KI-Kompetenz. Bei Verstößen sieht der AI Act empfindliche Bußgelder vor: bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen Transparenzpflichten bis zu 15 Millionen Euro oder 3 Prozent.
Für Marketingteams ist weniger die Höhe der Bußgelder entscheidend als das Risiko für die Reputation. Ein nicht gekennzeichneter Deepfake in einer Kampagne oder ein Chatbot, der sich als Mensch ausgibt, kann schneller zum öffentlichen Thema werden als jedes Verfahren. Wer die Pflichten aus dem AI Act sauber umsetzt, schützt deshalb auch die Marke.
8 Nachweise, die du jetzt anlegen solltest
Dokumentation klingt nach Bürokratie. In der Praxis schützt sie dich: Sie zeigt der Aufsicht, dass du den AI Act ernst nimmst, und sie hilft deinem Team, im Alltag sicher zu entscheiden. Diese acht Nachweise decken die wichtigsten Pflichten ab.
- KI-Inventar: Liste aller KI-Werkzeuge mit Zweck, Anbieter, Nutzergruppe, verarbeiteten Daten und deiner Rolle als Anbieter oder Betreiber.
- Risikoeinstufung: kurze Begründung je Werkzeug, warum es nicht verboten und nicht hochriskant ist – oder welche Pflichten greifen.
- Schulungsnachweise: Wer wurde wann zu welchem Thema geschult, mit Unterlagen und Teilnehmerliste.
- Nutzungsrichtlinie: verbindliche Regeln zu erlaubten Tools, verbotenen Eingaben, Prüfschritten und Verantwortlichkeiten.
- Kennzeichnungsrichtlinie: Wann und wie das Team KI-Inhalte kennzeichnet, mit Mustertexten für Bild, Video, Audio und Chat.
- Freigabeprotokolle: Dokumentation der menschlichen Prüfung bei veröffentlichten KI-Inhalten, besonders bei Texten mit öffentlichem Interesse.
- Anbieterunterlagen: Verträge, Datenschutzvereinbarungen und Herstellerangaben zur Markierung synthetischer Inhalte.
- Chatbot-Nachweis: Screenshots oder Konfigurationsbelege, die zeigen, wie und wann Nutzer auf die KI hingewiesen werden.
Schnittstelle zum Datenschutz
Viele dieser Unterlagen überschneiden sich mit der DSGVO. Das KI-Inventar lässt sich mit dem Verzeichnis der Verarbeitungstätigkeiten verknüpfen, und Datenschutz-Folgenabschätzungen decken oft auch KI-Risiken ab. Stimme dich deshalb früh mit deinem Datenschutzbeauftragten ab, statt zwei parallele Systeme aufzubauen.
Sonderfall Agenten und Automatisierung
Arbeiten bei dir KI-Agenten, die selbstständig Inhalte erstellen oder mit Kunden kommunizieren, gelten dieselben Regeln. Dokumentiere zusätzlich Zugriffsrechte, Freigabestufen und Protokolle. Spricht ein Agent direkt mit Menschen, ist der Hinweis auf die KI Pflicht.
Deine nächsten Schritte
Die Transparenzpflichten des AI Act gelten bereits. Wer jetzt noch keinen Überblick hat, sollte zügig, aber ohne Panik handeln.
- Diese Woche: Erstelle das KI-Inventar und prüfe alle Chatbots und Assistenten mit Kundenkontakt auf einen klaren KI-Hinweis.
- Bis Ende November: Verabschiede eine Kennzeichnungs- und Nutzungsrichtlinie und schule das Team dazu.
- Bis Ende 2026: Lege Schulungsnachweise, Anbieterunterlagen und Freigabeprotokolle zentral ab.
- Laufend: Prüfe neue Tools vor dem Einsatz, beobachte Leitlinien der EU-Kommission und Hinweise der Bundesnetzagentur und lass Grenzfälle rechtlich bewerten.
Wer heute sauber dokumentiert, ist auch auf künftige Änderungen gut vorbereitet – egal, wie sich einzelne Fristen weiter entwickeln.
Häufige Fragen zum AI Act
Gilt der AI Act auch für kleine Marketingteams?
Ja. Der AI Act gilt für alle Unternehmen, die KI-Systeme beruflich einsetzen, unabhängig von ihrer Größe. Kleine und mittlere Unternehmen erhalten zwar Erleichterungen, etwa bei Dokumentation und Zugang zu Reallaboren. Die Pflicht zur Förderung von KI-Kompetenz, die Verbote und die Transparenzpflichten gelten aber auch für sie.
Muss ich KI-generierte Bilder in der Werbung kennzeichnen?
Ja, wenn ein Bild echten Personen, Orten oder Ereignissen ähnelt und fälschlich als echt erscheinen könnte. Dann gilt es als Deepfake im Sinne des AI Act, und du musst die künstliche Erzeugung offenlegen. Bei klar erkennbarer Illustration oder Fantasiewelt ist das nicht nötig. Im Zweifel ist eine Kennzeichnung die sicherere Wahl.
Hat der Digital-Omnibus die Kennzeichnungspflicht verschoben?
Nein. Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026. Der Omnibus gewährt nur Anbietern generativer Systeme, die bereits vor diesem Datum auf dem Markt waren, bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Markierung. Verschoben wurden vor allem die Pflichten für Hochrisiko-KI.
Was passiert bei Verstößen gegen den AI Act?
Die Verordnung sieht gestaffelte Bußgelder vor. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen Transparenzpflichten bis zu 15 Millionen Euro oder 3 Prozent. In Deutschland ist die Bundesnetzagentur seit Juli 2026 die zentrale Marktüberwachungsbehörde.
Welche Dokumente brauche ich für den AI Act im Marketing?
Sinnvoll sind ein KI-Inventar, eine kurze Risikoeinstufung je Werkzeug, Schulungsnachweise, eine Nutzungs- und eine Kennzeichnungsrichtlinie, Freigabeprotokolle, Anbieterunterlagen und Nachweise zum KI-Hinweis bei Chatbots. Viele dieser Unterlagen lassen sich mit der Datenschutzdokumentation verknüpfen, etwa mit dem Verzeichnis der Verarbeitungstätigkeiten.
