EU AI Act ab Februar 2025: Was Marketing wissen muss

Ab dem 2. Februar 2025 gelten die ersten verbindlichen Regeln des EU AI Act. Für Marketingabteilungen sind zwei Punkte relevant: die Verbote bestimmter KI-Praktiken (Kapitel II) und die Pflicht, für ausreichende KI-Kompetenz der eigenen Mitarbeitenden zu sorgen (Artikel 4). Beides betrifft nicht nur Unternehmen, die KI entwickeln, sondern ausdrücklich auch solche, die KI-Systeme lediglich einsetzen – also praktisch jedes Marketingteam, das heute mit generativen Tools arbeitet.

Die Verordnung (EU) 2024/1689, kurz EU AI Act, ist am 1. August 2024 in Kraft getreten. Sie wird stufenweise anwendbar. Der 2. Februar 2025 ist die erste dieser Stufen – und die einzige, die 2025 bereits unmittelbar in den Arbeitsalltag von Marketing- und Vertriebsteams hineinreicht.

Was genau ab dem 2. Februar 2025 gilt

Zu diesem Datum werden Kapitel I (Allgemeine Bestimmungen, einschließlich Artikel 4 zur KI-Kompetenz) und Kapitel II (verbotene Praktiken, Artikel 5) anwendbar. Alles Weitere folgt später: Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck greifen ab dem 2. August 2025, die Transparenz- und Kennzeichnungspflichten nach Artikel 50 sowie die Regeln für Hochrisiko-Systeme erst ab dem 2. August 2026.

Wichtig für die Einordnung: Die Sanktionsvorschriften des AI Act werden nach Artikel 113 ebenfalls erst ab dem 2. August 2025 anwendbar. Das bedeutet nicht, dass die Verbote im Februar 2025 unverbindlich wären – sie gelten. Es bedeutet, dass die europaweit harmonisierten Bußgeldrahmen und die nationalen Marktüberwachungsbehörden erst ein halbes Jahr später vollständig einsatzbereit sein müssen. Wer die Übergangszeit nutzt, um sein eigenes Tool-Portfolio zu prüfen, handelt also nicht zu früh, sondern genau richtig.

Der Bußgeldrahmen für Verstöße gegen die verbotenen Praktiken nach Artikel 5 ist der schärfste der gesamten Verordnung: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für alle anderen Pflichtverstöße liegt der Rahmen niedriger.

Verbotene KI-Praktiken: Wo Marketing tatsächlich betroffen ist

Artikel 5 verbietet KI-Systeme, deren Risiko als unannehmbar eingestuft wird. Vieles davon – Social Scoring durch staatliche Stellen, biometrische Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken – hat mit Marketing nichts zu tun. Drei Verbote betreffen Werbung und Kundenkommunikation jedoch unmittelbar.

Manipulative und unterschwellige Techniken

Verboten sind KI-Systeme, die unterschwellige, manipulative oder täuschende Techniken einsetzen, um das Verhalten von Personen so zu beeinflussen, dass sie eine Entscheidung treffen, die sie sonst nicht getroffen hätten – und dadurch erheblichen Schaden erleiden. Die Schwelle liegt bei „erheblichem Schaden", nicht bei jedem Überzeugungsversuch. Klassische Werbung, A/B-Tests und Personalisierung sind damit nicht pauschal verboten. Kritisch wird es dort, wo Systeme gezielt darauf trainiert werden, rationale Entscheidungsprozesse zu umgehen.

Ausnutzen von Schwächen bestimmter Gruppen

Ebenfalls verboten ist die gezielte Ausnutzung von Vulnerabilitäten aufgrund von Alter, Behinderung oder einer besonderen sozialen oder wirtschaftlichen Situation. Für Marketing heißt das konkret: Zielgruppensegmente, die eine wirtschaftliche Notlage, eine Suchterkrankung oder kognitive Einschränkungen als Angriffspunkt nutzen, sind rechtlich nicht mehr haltbar – unabhängig davon, wie gut das Modell konvertiert.

Emotionserkennung am Arbeitsplatz

KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen sind – von eng gefassten medizinischen und Sicherheitsausnahmen abgesehen – verboten. Das ist für Marketingteams weniger im Kampagnengeschäft relevant, sehr wohl aber in der Personalentwicklung und bei Systemen, die Kundenservice-Mitarbeitende während Gesprächen bewerten.

Artikel 4: Die KI-Kompetenzpflicht betrifft jedes Team

Artikel 4 ist der Punkt, der 2025 in der Praxis den größten Aufwand verursacht – und der am häufigsten übersehen wird. Der Wortlaut verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherzustellen. Betreiber ist, wer ein KI-System unter eigener Verantwortung einsetzt. Ein Unternehmen, das ein generatives Texttool im Content-Marketing nutzt, ist damit Betreiber.

Die Vorschrift schreibt kein bestimmtes Format vor. Es gibt keine Zertifizierungspflicht, keine vorgeschriebene Stundenzahl und keinen amtlichen Lehrplan. Verlangt wird ein Maß an Kompetenz, das zum Kontext passt: zur Art der eingesetzten Systeme, zum Vorwissen der Mitarbeitenden und zu den Personen, auf die sich der Einsatz auswirkt. Ein Team, das KI ausschließlich zur Rechtschreibprüfung nutzt, braucht weniger als eines, das automatisiert Zielgruppen segmentiert.

Der praktische Maßstab lautet daher: Können die Mitarbeitenden erklären, was das eingesetzte System tut, wo seine Grenzen liegen, welche Fehler typisch sind und wann eine menschliche Prüfung zwingend ist? Wer diese vier Fragen für jedes im Einsatz befindliche Tool beantworten kann, erfüllt den Kern von Artikel 4.

Warum das gerade jetzt relevant wird

Der Zeitpunkt trifft auf eine Phase schneller Verbreitung. Nach Angaben des Statistischen Bundesamtes vom 25. November 2024 nutzte jedes fünfte Unternehmen (20 Prozent) in Deutschland mit mindestens zehn Beschäftigten KI-Technologien – nach 12 Prozent im Jahr zuvor. Bemerkenswert für unsere Branche: Der mit Abstand häufigste Einsatzbereich war Marketing und Vertrieb mit 33 Prozent der KI-nutzenden Unternehmen, gefolgt von Produktion und Dienstleistungserbringung mit 25 Prozent.

Anders gesagt: Marketing ist in deutschen Unternehmen der Ort, an dem KI zuerst ankommt. Damit ist Marketing auch der Ort, an dem die Compliance-Anforderungen des AI Act zuerst spürbar werden – nicht in der IT, nicht in der Rechtsabteilung.

Eine praktikable Vorgehensweise für das erste Quartal 2025

1. Tool-Inventar erstellen. Welche KI-gestützten Werkzeuge sind im Team tatsächlich im Einsatz – inklusive der Tools, die einzelne Mitarbeitende auf eigene Faust nutzen? Ohne diese Liste ist jede weitere Maßnahme Spekulation.
2. Einsatzzweck je Tool dokumentieren. Ein Satz genügt: Wofür wird es verwendet, welche Daten fließen hinein, wer prüft das Ergebnis?
3. Gegen Artikel 5 abgleichen. Gibt es Anwendungsfälle, die auf Manipulation oder auf das Ausnutzen von Schwächen abzielen? In den allermeisten Marketingorganisationen lautet die Antwort „nein" – dann ist das Ergebnis dieser Prüfung ein kurzer, dokumentierter Vermerk.
4. Kompetenzniveau bestimmen und Lücken schließen. Eine strukturierte interne Schulung mit Anwendungsbeispielen aus dem eigenen Alltag ist wirksamer als ein generisches Online-Zertifikat.
5. Freigabeprozesse festhalten. Welche KI-erzeugten Inhalte dürfen ohne menschliche Prüfung veröffentlicht werden? Für die ab August 2026 geltenden Transparenzpflichten ist eine dokumentierte redaktionelle Verantwortung ohnehin der entscheidende Baustein.

Der Zeitplan im Überblick

Häufige Fragen

Muss unser Marketingteam eine KI-Schulung mit Zertifikat absolvieren?

Nein. Artikel 4 verlangt ein angemessenes Kompetenzniveau, schreibt aber weder ein Format noch ein Zertifikat vor. Entscheidend ist, dass die Maßnahmen zum tatsächlichen Einsatz passen und nachvollziehbar dokumentiert sind. Eine interne Schulung mit eigenen Anwendungsfällen erfüllt den Zweck in der Regel besser als ein allgemeiner Kurs.

Ist personalisierte Werbung mit KI ab Februar 2025 verboten?

Nein. Personalisierung als solche fällt nicht unter Artikel 5. Verboten sind Systeme, die durch manipulative oder täuschende Techniken das Verhalten wesentlich verzerren und dadurch erheblichen Schaden verursachen, sowie das gezielte Ausnutzen von Schwächen aufgrund von Alter, Behinderung oder wirtschaftlicher Lage. Übliche Zielgruppensegmentierung und Empfehlungslogik bleiben zulässig – die datenschutzrechtlichen Anforderungen der DSGVO gelten davon unabhängig weiter.

Gilt der AI Act auch, wenn wir nur fremde Tools einsetzen?

Ja. Die Verordnung unterscheidet zwischen Anbietern und Betreibern. Wer ein KI-System unter eigener Verantwortung einsetzt, ist Betreiber und unterliegt den Betreiberpflichten – darunter Artikel 4. Die weitergehenden Anbieterpflichten treffen dagegen den Hersteller des Systems.

Fazit

Der 2. Februar 2025 ist für Marketingabteilungen kein Stichtag, an dem etwas abgeschaltet werden muss. Er ist der Zeitpunkt, ab dem sich das Thema nicht mehr delegieren lässt. Zwei Aufgaben stehen an: die eigenen Anwendungsfälle einmal ehrlich gegen die Verbotsliste prüfen und die eigene Mannschaft in die Lage versetzen, die eingesetzten Systeme zu verstehen. Beides ist in wenigen Wochen machbar – und beides zahlt unabhängig von der Regulierung auf bessere Ergebnisse ein.