Der 2. August 2026 wird gern als der Tag bezeichnet, an dem der European AI Act „in Kraft tritt“. Das klingt griffig, ist aber nicht ganz richtig.
Der EU AI Act ist bereits am 1. August 2024 in Kraft getreten. Seitdem werden seine Regeln schrittweise anwendbar. Der nächste große Stichtag ist der 2. August 2026: Ab diesem Tag gelten unter anderem wichtige Transparenzpflichten für Chatbots, Deepfakes und bestimmte KI-generierte Inhalte. Gleichzeitig beginnt die breitere Aufsicht über bereits geltende Regeln.
Was bedeutet das für kleine Unternehmen, Selbstständige und Marketingteams, die ChatGPT, Canva, Adobe Firefly, Copilot, KI-Chatbots oder Avatar-Tools einsetzen?
Müssen künftig alle KI-Texte gekennzeichnet werden? Braucht jedes Unternehmen eine KI-Beauftragte? Und ist ein ChatGPT-Workshop jetzt gesetzlich verpflichtend?
Die kurze Antwort: Nein. Ganz ohne Vorbereitung sollte man das Thema trotzdem nicht lassen.
Rechtlicher Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick zum EU AI Act und ersetzt keine individuelle Rechtsberatung. Welche Pflichten für ein Unternehmen gelten, hängt insbesondere von seiner Rolle, dem eingesetzten KI-System und dem konkreten Anwendungsfall ab. Bei rechtlichen Einzelfragen sollte qualifizierter Rechtsrat eingeholt werden. Stand: 3. August 2026.
Der Zeitplan: Was gilt seit wann?
Der AI Act – offiziell die Verordnung (EU) 2024/1689 – verfolgt einen risikobasierten Ansatz. Je stärker ein KI-System Gesundheit, Sicherheit oder Grundrechte gefährden kann, desto strenger sind die Anforderungen.
| Zeitpunkt | Was gilt? | Praktische Bedeutung |
| 1. August 2024 | Der AI Act tritt formal in Kraft. | Der gesetzliche Rahmen steht, die Pflichten greifen aber gestaffelt. |
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken und Regeln zur KI-Kompetenz werden anwendbar. | Unternehmen müssen ihre Mitarbeitenden und beauftragten Personen angemessen auf den KI-Einsatz vorbereiten. |
| 2. August 2025 | Regeln für General-Purpose-AI-Modelle, Governance und Sanktionen greifen. | Vor allem Modellanbieter sind betroffen; für Anwender wird die Auswahl seriöser Tools wichtiger. |
| 2. August 2026 | Weitere zentrale Regeln gelten, insbesondere die Transparenzpflichten aus Artikel 50. | Relevant für Chatbots, Deepfakes sowie bestimmte KI-generierte Texte, Bilder, Videos und Audios. |
| 2. Dezember 2027 | Regeln für Hochrisiko-KI aus Anhang III werden anwendbar. | Dazu zählen bestimmte Systeme in Recruiting, Beschäftigung, Bildung oder Kreditwürdigkeitsprüfung. |
| 2. August 2028 | Regeln für Hochrisiko-KI, die in regulierte Produkte integriert ist, werden anwendbar. | Betroffen sind zum Beispiel bestimmte KI-Funktionen in Maschinen, Medizinprodukten oder Spielzeug. |
Die beiden letzten Termine wurden durch den AI Omnibus 2026 verlängert. Wer noch mit dem früheren Stichtag August 2026 für Recruiting- oder andere Hochrisiko-Systeme arbeitet, sollte seine Unterlagen daher aktualisieren.
Quellen: Europäische Kommission – Zeitplan und Überblick zum AI Act, Europäische Kommission – AI Omnibus vom 27. Juli 2026, Verordnung (EU) 2024/1689 im Volltext
Betrifft der AI Act auch kleine Unternehmen?
Ja. Der AI Act kennt keine allgemeine Ausnahme nach dem Motto: „Wir sind nur zu dritt und verwenden ChatGPT nur für Instagram.“
Entscheidend sind nicht allein Unternehmensgröße oder Umsatz, sondern vor allem:
- welche KI eingesetzt wird,
- zu welchem Zweck sie eingesetzt wird,
- ob Menschen davon betroffen sind und
- welche Rolle das Unternehmen in der KI-Wertschöpfungskette hat.
Für die meisten kleinen Unternehmen ist vor allem die Unterscheidung zwischen Anbieter und Betreiber wichtig.
Ein Anbieter entwickelt ein KI-System selbst oder lässt es entwickeln und bringt es unter dem eigenen Namen oder der eigenen Marke auf den Markt beziehungsweise nimmt es unter eigenem Namen in Betrieb.
Ein Betreiber – in englischen Quellen „deployer“ – nutzt ein KI-System beruflich unter seiner Verantwortung. Wer ChatGPT für Werbetexte, ein KI-Tool für Bilder oder ein fremdes System für Kundenservice einsetzt, ist daher meistens Betreiber.
Quelle: Europäische Kommission – FAQ zu Anbieter und Betreiber
Die wichtigste Frage: Muss jetzt jeder KI-Inhalt gekennzeichnet werden?
Nein. Es gibt keine allgemeine Pflicht, jeden Text, jedes Bild oder jeden Social-Media-Post mit „KI-generiert“ zu versehen.
Das ist wahrscheinlich das größte Missverständnis rund um den Stichtag im August 2026. Artikel 50 unterscheidet sehr genau zwischen verschiedenen Rollen, Systemen und Inhalten:
1. Chatbots und andere direkte KI-Interaktionen
KI-Systeme, die direkt mit Menschen kommunizieren, müssen so gestaltet sein, dass die betroffene Person erkennt, dass sie mit KI interagiert. Außer das ist aus Sicht einer durchschnittlich aufmerksamen Person ohnehin offensichtlich.
Die Information soll spätestens zu Beginn der ersten Interaktion klar, unterscheidbar und barrierefrei erfolgen. Ein schlichter Hinweis wie „Du chattest hier mit unserem KI-Assistenten“ ist in der Praxis meist sinnvoller als ein kryptischer Absatz im Impressum.
Juristisch richtet sich diese Pflicht aus Artikel 50 Absatz 1 zunächst an den Anbieter des Systems. Betreibt ein Unternehmen jedoch einen eigenen oder unter seiner Marke angebotenen Chatbot, sollte es seine Rolle besonders sorgfältig prüfen. Auch beim Einsatz eines Drittanbieter-Tools ist es klug, sicherzustellen, dass der Hinweis tatsächlich sichtbar ist – nicht zuletzt aus Gründen des Vertrauens.
2. Technische Markierung KI-generierter Inhalte
Anbieter generativer KI-Systeme müssen Ausgaben wie Text, Bild, Audio oder Video grundsätzlich maschinenlesbar als künstlich erzeugt oder manipuliert markierbar machen. Dabei geht es etwa um Metadaten oder andere technische Erkennungsmöglichkeiten.
Diese technische Pflicht trifft in erster Linie den Anbieter des Generierungssystems, nicht automatisch jedes Unternehmen, das damit eine Caption erstellt. Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, sieht der neue Rechtsstand für diese technische Markierung eine begrenzte Übergangsfrist bis 2. Dezember 2026 vor.
3. Deepfakes
Wer KI-generierte oder manipulierte Bilder, Audios oder Videos beruflich veröffentlicht, die existierenden oder plausibel existierenden Personen, Orten, Objekten oder Ereignissen stark ähneln und fälschlich authentisch wirken können, muss ihren künstlichen Charakter offenlegen.
Das betrifft zum Beispiel:
- einen fotorealistischen KI-Avatar der Geschäftsführerin,
- eine geklonte Stimme, die Aussagen spricht, die die Person nie aufgenommen hat,
- ein täuschend echtes Video eines nie stattgefundenen Events oder
- ein manipuliertes Testimonial einer realen Kundin.
Die Kennzeichnung muss für Menschen wahrnehmbar sein. Eine unsichtbare technische Markierung allein reicht dafür nicht. Bei eindeutig künstlerischen, satirischen oder fiktionalen Werken darf die Offenlegung so erfolgen, dass sie das Werk nicht unnötig beeinträchtigt.
4. KI-Texte zu Themen von öffentlichem Interesse
Eine Kennzeichnungspflicht kann außerdem greifen, wenn KI-generierte oder wesentlich manipulierte Texte veröffentlicht werden, um die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren. Dazu gehören laut Kommission unter anderem Politik, öffentliche Gesundheit, Sicherheit, Umwelt, Verbraucherfragen sowie relevante wirtschaftliche, wissenschaftliche oder kulturelle Entwicklungen.
Es gibt jedoch eine entscheidende Ausnahme: Wurde der Inhalt fachlich durch einen Menschen geprüft oder redaktionell kontrolliert und übernimmt eine natürliche oder juristische Person die redaktionelle Verantwortung, ist keine KI-Kennzeichnung erforderlich.
Ein kurzes Gegenlesen auf Rechtschreibung genügt nicht. Gemeint ist eine inhaltliche Prüfung: Sind Aussagen korrekt? Sind Quellen verlässlich? Ist die Argumentation vertretbar? Würde ich diesen Text so unter meinem Namen veröffentlichen?
Quelle: Europäische Kommission – FAQ zu den Transparenzpflichten nach Artikel 50, Leitlinien der Europäischen Kommission zu Artikel 50
Genau deshalb ist „Human in the loop“ mehr als ein hübscher Begriff für Präsentationsfolien.
Was bedeutet das konkret fürs Marketing?
Eine pauschale Kennzeichnungsregel wäre einfach. Die Realität ist differenzierter – aber mit einer kurzen Prüfung gut handhabbar.
| Anwendungsfall | Pauschale KI-Kennzeichnung nach AI Act? | Was ist sinnvoll? |
| ChatGPT hilft bei einer Instagram-Caption, ein Mensch prüft und bearbeitet sie. | In der Regel nein. | Fakten, Tonalität, Rechte und Markenfit prüfen. |
| KI erstellt einen Produkttext für einen Onlineshop. | In der Regel nein. | Keine erfundenen Eigenschaften oder irreführenden Versprechen übernehmen. |
| Ein Website-Chatbot beantwortet Kundenfragen. | Interaktion mit KI muss erkennbar sein, sofern sie nicht offensichtlich ist; die genaue Pflicht hängt auch von der Anbieterrolle ab. | Direkt zu Beginn klar auf den KI-Assistenten hinweisen und einen menschlichen Kontaktweg anbieten. |
| Ein KI-Avatar sieht aus wie eine reale Mitarbeiterin und spricht synthetisch erzeugten Text. | Regelmäßig ja, wenn der Inhalt als authentisch erscheinen kann. | Sicht- oder hörbar als KI-generiert beziehungsweise manipuliert kennzeichnen. |
| Ein vollständig fiktives, offensichtlich illustriertes KI-Motiv wird für einen Post verwendet. | Nicht automatisch. | Kontext prüfen; freiwillige Transparenz kann trotzdem Vertrauen schaffen. |
| Ein fotorealistisches Bild zeigt das Hotel direkt am Meer, obwohl es tatsächlich zwei Kilometer entfernt liegt. | Der AI Act ist nur ein Teil der Prüfung. | Unabhängig von der KI-Kennzeichnung kann die Werbung irreführend sein. Nicht verwenden. |
| Ein KI-Entwurf zu einem gesellschaftlich relevanten Thema wird fachlich geprüft und redaktionell verantwortet. | Keine Kennzeichnung nach der Ausnahme für menschliche Prüfung erforderlich. | Prüfung und Freigabe intern nachvollziehbar dokumentieren. |
| Ein KI-generierter Text zu einem öffentlichen Thema wird ungeprüft automatisiert veröffentlicht. | Ja, grundsätzlich kennzeichnen. | Besser: automatische Veröffentlichung stoppen und einen echten Freigabeprozess einführen. |
Die Tabelle ist eine Orientierung, keine Einzelfallprüfung. Vor allem bei fotorealistischen Inhalten entscheidet der Kontext: Würde das Publikum vernünftigerweise glauben, dass die dargestellte Person, der Ort oder das Ereignis echt ist?
KI-Kompetenz gilt schon jetzt. Und nicht erst ab August 2026
Ein Punkt wird in der Debatte um Kennzeichnung gern übersehen: Die Verpflichtung zur KI-Kompetenz nach Artikel 4 gilt bereits seit dem 2. Februar 2025.
Anbieter und Betreiber müssen Maßnahmen setzen, um die KI-Kompetenz jener Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Seit der jüngsten Änderung durch den AI Omnibus ist ausdrücklich kein bestimmtes oder „ausreichendes“ Kompetenzniveau jeder einzelnen Person vorgeschrieben. Die Pflicht, angemessene Maßnahmen zu setzen, bleibt aber bestehen.
Was angemessen ist, hängt unter anderem ab von:
- dem Vorwissen der Mitarbeitenden,
- den eingesetzten Tools,
- dem konkreten Zweck,
- dem Risiko möglicher Fehler und
- den Personen, die von den Ergebnissen betroffen sind.
Ein Team, das ChatGPT für Social-Media-Ideen nutzt, braucht keine Ausbildung in Machine Learning. Es sollte aber wissen, dass KI halluzinieren kann, keine vertraulichen Kundendaten in ungeprüfte Tools gehören und generierte Inhalte nicht automatisch frei von Urheber-, Marken- oder Persönlichkeitsrechten sind.
Braucht es ein Zertifikat, eine Pflichtschulung oder eine KI-Beauftragte?
Nicht zwingend.
Die Kommission schreibt weder ein bestimmtes Zertifikat noch ein einheitliches Schulungsformat oder eine spezielle Governance-Struktur vor. Eine interne Einführung, eine verständliche KI-Richtlinie, anwendungsbezogene Lernmodule und dokumentierte Updates können für einen einfachen, risikoarmen Einsatz angemessen sein.
Wichtig ist weniger das glänzende Zertifikat an der Wand als die Frage: Können die Menschen im Alltag vernünftig mit den eingesetzten Systemen umgehen?
Sinnvoll dokumentiert werden sollten zumindest:
- wer welche KI-Systeme verwendet,
- welche Risiken für die jeweiligen Aufgaben relevant sind,
- welche Regeln intern gelten,
- wann welche Einweisung oder Schulung stattgefunden hat und
wer bei Unsicherheiten oder Vorfällen entscheidet.
Quellen: Europäische Kommission – Fragen und Antworten zu KI-Kompetenz, RTR KI-Servicestelle – FAQ für Österreich
Welche KI-Anwendungen sind verboten?
Bestimmte Praktiken gelten bereits seit Februar 2025 als unzulässig. Dazu zählen unter anderem KI-Systeme für schädliche Manipulation, Social Scoring und bestimmte biometrische Anwendungen. Für Unternehmen können insbesondere zwei Bereiche relevant sein:
Manipulation und das Ausnutzen von Schutzbedürftigkeit
Verboten sind nicht einfach „überzeugende Werbetexte“. Die Schwelle liegt deutlich höher. Problematisch wird es, wenn KI subliminale, absichtlich manipulative oder täuschende Techniken einsetzt, die das Verhalten wesentlich beeinflussen und dadurch erheblichen Schaden verursachen oder voraussichtlich verursachen. Ebenfalls erfasst ist unter bestimmten Voraussetzungen das Ausnutzen besonderer Schutzbedürftigkeit – etwa wegen Alter, Behinderung oder sozialer beziehungsweise wirtschaftlicher Situation.
Das bedeutet nicht, dass Personalisierung im Marketing automatisch verboten ist. Aber ein KI-System, das gezielt psychische oder wirtschaftliche Verwundbarkeit ausnutzt, ist etwas völlig anderes als eine relevante Produktempfehlung.
Emotionserkennung am Arbeitsplatz
Der Einsatz von KI zur Ableitung von Emotionen von Beschäftigten am Arbeitsplatz ist grundsätzlich verboten; eng begrenzte Ausnahmen bestehen etwa für medizinische oder sicherheitsbezogene Zwecke. Tools, die aus Stimme, Mimik oder Tastaturverhalten angeblich Motivation, Stress oder Loyalität von Mitarbeitenden „erkennen“, gehören daher nicht leichtfertig in HR- oder Führungsprozesse.
Quelle: Europäische Kommission – Leitlinien zu verbotenen KI-Praktiken
Achtung bei Recruiting und Personalentscheidungen
KI-Systeme, die Bewerbungen filtern, Kandidatinnen bewerten, Entscheidungen über Einstellung oder Beförderung unterstützen oder Beschäftigte überwachen, können als Hochrisiko-KI eingestuft werden.
Die umfassenden Hochrisiko-Regeln für diese Anwendungsfälle gelten nach der jüngsten Verschiebung grundsätzlich ab 2. Dezember 2027 – nicht mehr ab August 2026. Das ist allerdings kein Freifahrtschein bis dahin.
Datenschutz, Gleichbehandlungsrecht, Arbeitsrecht und bestehende Informations- beziehungsweise Mitbestimmungspflichten gelten weiterhin. Zudem ist nicht jedes Tool gleich einzuordnen: Entscheidend sind Zweck, Funktionsweise und Einfluss auf die Entscheidung.
Wer heute ein KI-Recruiting-Tool einkauft, sollte deshalb nicht nur fragen, was es kostet, sondern auch:
- Nach welchen Kriterien bewertet das System Menschen?
- Welche Daten verarbeitet es?
- Kann ein Mensch die Empfehlung nachvollziehen und überstimmen?
- Welche Dokumentation stellt der Anbieter bereit?
- Ist das Tool auf die kommenden Hochrisiko-Pflichten vorbereitet?
Quelle: Europäische Kommission – Leitlinien und neuer Zeitplan für Hochrisiko-KI, RTR – FAQ zum Einsatz von KI bei Bewerbungsunterlagen
Der AI Act ersetzt weder DSGVO noch Urheberrecht
Ein häufiger Denkfehler lautet: „Wenn unser KI-Einsatz nach dem AI Act erlaubt ist, passt rechtlich alles.“ Leider nein.
Der AI Act ergänzt bestehendes Recht. Je nach Anwendung können weiterhin relevant sein:
- DSGVO und Datenschutzrecht, sobald personenbezogene Daten verarbeitet werden,
- Urheber- und Markenrecht bei Trainingsmaterial, Eingaben und Ausgaben,
- Persönlichkeitsrechte bei Stimmen, Bildern und Avataren realer Menschen,
- Lauterkeits- und Verbraucherrecht bei irreführender Werbung sowie
- Arbeits- und Gleichbehandlungsrecht bei Entscheidungen über Beschäftigte oder Bewerbende.
Ein künstlich erzeugtes Hotelbild kann zum Beispiel kein kennzeichnungspflichtiger Deepfake im engeren Sinn sein und trotzdem irreführende Werbung darstellen.
Quelle: Datenschutz-Grundverordnung im Volltext, RTR KI-Servicestelle – Hinweise zu KI-generierten Bildern und Videos
Der praktische 8-Punkte-Check für kleine Unternehmen
Wer KI bereits nutzt, muss jetzt nicht in Panik eine 80-seitige Richtlinie produzieren. Ein sauberer, nachvollziehbarer Prozess ist wertvoller als Papier um des Papiers willen.
1. KI-Inventar anlegen
Listet alle Tools und Anwendungsfälle auf. Auch jene, die einzelne Mitarbeitende „nur schnell“ im Browser verwenden. Notiert Zweck, verantwortliche Person und verarbeitete Daten.
2. Eigene Rolle klären
Seid ihr Betreiber eines fremden Tools oder bietet ihr ein System unter eigener Marke an? Bei individuellen Entwicklungen, White-Label-Lösungen und wesentlichen Anpassungen sollte die Rolle rechtlich geprüft werden.
3. Risiken je Anwendung bewerten
Eine Ideenliste für Instagram ist anders zu behandeln als ein System, das Bewerbungen aussortiert oder Kunden nach finanzieller Bonität bewertet.
4. KI-Kompetenz aufbauen und dokumentieren
Schult die Menschen nicht allgemein „in KI“, sondern passend zu ihren Aufgaben: Halluzinationen, Datenschutz, Rechte an Inhalten, Bias, sichere Eingaben und menschliche Freigabe.
5. Klare Spielregeln festhalten
Definiert, welche Tools freigegeben sind, welche Daten nicht eingegeben werden dürfen und welche Inhalte vor Veröffentlichung geprüft werden müssen.
6. Transparenz-Workflow einrichten
Prüft vor Veröffentlichung:
- Interagiert hier ein Mensch direkt mit KI?
- Könnte Bild, Audio oder Video fälschlich echt wirken?
- Informiert ein KI-Text ungeprüft über ein Thema von öffentlichem Interesse?
- Ist die Kennzeichnung klar, wahrnehmbar und rechtzeitig?
7. Menschliche Kontrolle ernst nehmen
Legt fest, wer Fakten, Quellen, Markenfit und mögliche Diskriminierung prüft. „Jemand hat kurz drübergesehen“ ist kein belastbarer Freigabeprozess.
8. Anbieter und Rechtslage regelmäßig prüfen
Fordert Dokumentation, Datenschutzinformationen und Angaben zu technischen Markierungen ein. Der AI Act wird durch Leitlinien, Standards und nationale Zuständigkeiten weiter konkretisiert. Ein jährlicher Blick reicht in dieser Phase eher nicht.
Und wie ist die Situation in Österreich?
Die KI-Servicestelle der RTR ist der zentrale österreichische Informationshub zum AI Act und bietet laufend aktualisierte Übersichten, FAQs und einen eigenen AI-Act-Chatbot.
Nach dem Informationsstand der RTR vom 31. Juli 2026 ist die nationale Umsetzung der konkreten Zuständigkeiten für Marktüberwachung und notifizierende Behörde in Österreich noch nicht abgeschlossen. Gerade deshalb sollten österreichische Unternehmen Änderungen auf der RTR-Seite und bei den EU-Stellen eng verfolgen.
Quelle: RTR – KI-Servicestelle, RTR – FAQ zu Behörden und Zuständigkeiten
Fazit: Der AI Act ist kein Grund, KI nicht zu nutzen
Der EU AI Act will KI nicht aus Unternehmen verbannen. Er verlangt vor allem, Risiken ernst zu nehmen, Verantwortung nicht an ein Tool auszulagern und Menschen nicht darüber im Unklaren zu lassen, wann sie mit bestimmten Formen künstlicher Intelligenz konfrontiert sind.
Für die meisten kleinen Unternehmen sind aktuell drei Dinge entscheidend:
- KI-Kompetenz ist bereits Pflicht. Wer KI beruflich nutzt, sollte die relevanten Risiken verstehen und interne Regeln kennen.
- Ab 2. August 2026 gelten konkrete Transparenzpflichten. Besonders wichtig sind Chatbots, Deepfakes und ungeprüfte KI-Texte zu Themen von öffentlichem Interesse.
- Nicht jeder KI-Inhalt braucht ein Label. Entscheidend sind Rolle, Inhalt, Kontext und menschliche Kontrolle.
Gute KI-Governance muss dabei nicht kompliziert sein. Sie beginnt mit einer überraschend analogen Frage: Wer übernimmt hier eigentlich Verantwortung?
Wenn die Antwort klar ist, werden auch Prozesse, Freigaben und Kennzeichnungen deutlich einfacher.
Du möchtest KI sinnvoll und verantwortungsvoll in deinem Marketing einsetzen?
Hi, ich bin Stephanie!
Als zertifizierte KI-Managerin im Tourismus (TÜV Austria, 2025) unterstütze ich Solo-Selbständige und kleine Unternehmen dabei, Anwendungsfälle, interne Regeln und transparente Kommunikationsprozesse so zu strukturieren, dass sie zu deinem Unternehmen passen.
KI-Einsatz im Marketing gemeinsam strukturierenQuellen und weiterführende Informationen
Verordnung (EU) 2024/1689 – Artificial Intelligence Act
Verordnung (EU) 2026/1744 – AI Omnibus
Europäische Kommission – AI Act: Überblick und Zeitplan
Europäische Kommission – AI Omnibus tritt in Kraft
Europäische Kommission – FAQ zu Artikel 50
Europäische Kommission – Leitlinien zu Transparenzpflichten
Europäische Kommission – FAQ zu KI-Kompetenz
Europäische Kommission – Leitlinien zu verbotenen KI-Praktiken
Europäische Kommission – Hochrisiko-KI und aktueller Zeitplan
RTR – österreichische KI-Servicestelle
RTR – FAQ zum AI Act
