EU AI Act: Fristen und Pflichten für Marketingteams

Der EU AI Act ist am 1. August 2024 in Kraft getreten, nachdem er am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht wurde. Für Marketingabteilungen ist das kein Grund zur Panik: Die meisten im Marketing eingesetzten KI-Anwendungen fallen in die niedrigen Risikoklassen. Wichtig sind vor allem drei Termine – der 2. Februar 2025, der 2. August 2025 und der 2. August 2026.

Der Fahrplan im Überblick

Die Verordnung (EU) 2024/1689 gilt nicht auf einen Schlag, sondern in Stufen. Die folgenden Daten stehen in der Verordnung selbst:

Der wichtigste Termin für Marketingteams ist damit der 2. Februar 2025 – und zwar wegen der Pflicht zur KI-Kompetenz, die häufig übersehen wird, weil sie im Text unscheinbar wirkt.

Die Risikoklassen und wo Marketing-KI landet

Der AI Act unterscheidet vier Stufen: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und Anwendungen mit minimalem Risiko. Die große Mehrheit typischer Marketinganwendungen – Textgenerierung, Bildgenerierung, Produktbeschreibungen, Kampagnenoptimierung, Segmentierung, Empfehlungssysteme im Shop – fällt in die unterste Kategorie oder in die Transparenzkategorie. Hochrisiko-Systeme betreffen Bereiche wie kritische Infrastruktur, Bildung, Beschäftigung, Kreditwürdigkeit oder Strafverfolgung.

Das ist die gute Nachricht. Die unbequeme lautet: Der Umstand, dass die eigene Anwendung nicht als Hochrisiko gilt, entbindet nicht von den allgemeinen Pflichten – und schon gar nicht von der DSGVO, die parallel weitergilt.

Was im Marketing tatsächlich verboten ist

Artikel 5 zählt Praktiken auf, die ab dem 2. Februar 2025 untersagt sind. Drei davon haben einen erkennbaren Marketingbezug:

• Manipulative oder unterschwellige Techniken, die das Verhalten erheblich verzerren, sodass Menschen Entscheidungen treffen, die sie sonst nicht getroffen hätten, und die dadurch erheblichen Schaden verursachen können.
• Das Ausnutzen von Schutzbedürftigkeit aufgrund von Alter, Behinderung oder einer besonderen sozialen oder wirtschaftlichen Lage.
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen – relevant etwa für Systeme, die Callcenter-Gespräche auf den Gemütszustand von Beschäftigten hin auswerten.

Gängige Personalisierung, Empfehlungssysteme und Preisoptimierung sind davon nicht erfasst, solange sie nicht gezielt Schutzbedürftigkeit ausnutzen. Wer allerdings mit KI systematisch Dringlichkeit vortäuscht oder besonders anfällige Gruppen identifiziert, um sie gezielt zu bearbeiten, sollte das jetzt prüfen lassen.

Transparenzpflichten nach Artikel 50

Ab dem 2. August 2026 gelten Transparenzanforderungen, die im Marketing besonders spürbar werden:

• Chatbots und Sprachassistenten müssen so gestaltet sein, dass Menschen erkennen, dass sie mit einem KI-System interagieren – es sei denn, das ist aus dem Zusammenhang für eine verständige Person offensichtlich.
• Synthetisch erzeugte Inhalte müssen von den Anbietern in maschinenlesbarer Form als künstlich erzeugt oder bearbeitet gekennzeichnet werden.
• Deepfakes – realistisch wirkende, künstlich erzeugte Abbildungen realer Personen, Orte oder Ereignisse – müssen von den Betreibern als solche offengelegt werden.
• KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen gekennzeichnet werden, sofern keine menschliche Prüfung und redaktionelle Verantwortung besteht.

Der letzte Punkt wird oft überinterpretiert. Er zielt nicht auf jeden Produkttext oder Newsletter, sondern auf Inhalte zu Themen von öffentlichem Interesse – und er greift nicht, wenn ein Mensch den Text geprüft hat und redaktionell verantwortet. Wer ohnehin mit Freigabeprozessen arbeitet, erfüllt die Anforderung im Regelfall.

Sanktionen: die Größenordnung

Artikel 99 der Verordnung (EU) 2024/1689 sieht gestaffelte Bußgelder vor. Für verbotene Praktiken nach Art. 5 sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich, je nachdem, welcher Betrag höher ist. Für Verstöße gegen die meisten anderen Pflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent, für falsche, unvollständige oder irreführende Auskünfte gegenüber Behörden bei bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Werte als Obergrenze.

Zur Einordnung gehört allerdings auch: Diese Höchstbeträge zielen erkennbar auf Anbieter von KI-Systemen und auf schwerwiegende Verstöße gegen die Verbotsliste. Ein Marketingteam, das ein zugekauftes Textwerkzeug einsetzt, bewegt sich in einem völlig anderen Risikobereich. Die Zahlen sind deshalb kein Argument für Panik, sondern für Nachweisfähigkeit: Wer dokumentieren kann, welche Systeme im Einsatz sind, wer sie freigibt und wie geschult wird, hat den weit überwiegenden Teil des Themas erledigt.

Wer ist Anbieter, wer Betreiber?

Diese Unterscheidung entscheidet über fast alle konkreten Pflichten und wird in der Praxis regelmäßig falsch beantwortet. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt.

Eine Marketingabteilung, die ein eingekauftes Werkzeug für Produkttexte nutzt, ist Betreiber – mit deutlich schlankeren Pflichten. Wechseln kann diese Rolle jedoch schneller als gedacht: etwa, wenn ein Unternehmen einen Chatbot unter eigenem Namen für Kundinnen und Kunden anbietet und ihn wesentlich verändert hat, oder wenn ein KI-gestützter Dienst als eigenes Produkt vermarktet wird. Wer solche Fälle im Haus hat, sollte sie früh identifizieren, weil die Anbieterpflichten Vorlauf brauchen.

Der Prüfweg ist überschaubar: Für jedes eingesetzte System notieren, unter welchem Namen es Nutzerinnen und Nutzern gegenübertritt, ob es angepasst oder lediglich konfiguriert wurde und ob es intern oder extern verwendet wird. Aus diesen drei Angaben ergibt sich die Rolle in fast allen Fällen eindeutig, und das Ergebnis gehört in dieselbe Übersicht wie das KI-Inventar.

Was Marketingteams bis Februar 2025 tun sollten

1. KI-Inventar anlegen: Welche Werkzeuge mit KI-Funktionen sind im Einsatz – auch die, die niemand offiziell eingeführt hat? Wer nutzt sie wofür? Welche Daten fließen hinein?
2. Rolle bestimmen: Sind Sie Anbieter oder Betreiber? Die meisten Marketingabteilungen sind Betreiber, weil sie Systeme Dritter einsetzen. Wer aber ein System unter eigenem Namen anbietet oder wesentlich verändert, kann in die Anbieterrolle rutschen.
3. KI-Kompetenz aufbauen: Art. 4 verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz beim eigenen Personal zu sorgen – angemessen zu Vorwissen, Aufgabe und Einsatzkontext. Diese Pflicht gilt ab dem 2. Februar 2025 und braucht Vorlauf.
4. Freigabeprozesse dokumentieren: Wer prüft KI-generierte Inhalte vor Veröffentlichung? Diese menschliche Prüfung ist an mehreren Stellen der Verordnung entlastend.
5. Verträge prüfen: Welche Zusagen machen Ihre Anbieter zu Kennzeichnung, Trainingsdaten und Konformität? Diese Informationen brauchen Sie, um Ihre eigenen Pflichten zu erfüllen.

Häufige Fragen

Gilt der AI Act auch für Unternehmen außerhalb der EU?

Ja, wenn deren KI-Systeme in der EU in Verkehr gebracht oder in Betrieb genommen werden oder deren Ergebnisse in der EU verwendet werden. Der räumliche Anwendungsbereich ist ähnlich weit gefasst wie bei der DSGVO.

Muss ich KI-generierte Werbetexte kennzeichnen?

Eine allgemeine Kennzeichnungspflicht für Werbetexte enthält der AI Act nicht. Die Kennzeichnungspflicht für Texte bezieht sich auf Information der Öffentlichkeit zu Angelegenheiten von öffentlichem Interesse und entfällt bei menschlicher Prüfung mit redaktioneller Verantwortung. Unabhängig davon können lauterkeitsrechtliche Anforderungen an Transparenz greifen.

Ersetzt der AI Act die DSGVO?

Nein. Beide gelten nebeneinander. Der AI Act regelt das Inverkehrbringen und den Einsatz von KI-Systemen, die DSGVO die Verarbeitung personenbezogener Daten. Ein KI-Einsatz kann nach dem AI Act zulässig und nach der DSGVO trotzdem unzulässig sein.

Fazit

Für die meisten Marketingabteilungen bedeutet der AI Act keine Umstellung des Werkzeugkastens, sondern eine Formalisierung dessen, was gute Praxis ohnehin verlangt: wissen, welche Systeme im Einsatz sind, Menschen für Ergebnisse verantwortlich machen, Transparenz herstellen, Mitarbeitende schulen. Der nächste harte Termin ist der 2. Februar 2025 – und die dann geltende Pflicht zur KI-Kompetenz lässt sich nicht in der letzten Woche erledigen.