EU AI Act für KMU: Was ab August 2026 für Marketing und Vertrieb gilt
Der EU AI Act ist da – aber was bedeutet er konkret für Firmen, die KI in Marketing, Vertrieb und Kundenservice einsetzen? Ein verständlicher Überblick über Fristen, Pflichten und To-dos.
Von Henrik & Borna · inventic, Wien
Der EU AI Act ist das erste umfassende KI-Gesetz der Welt. Für viele Geschäftsführer klingt das nach einer weiteren Welle Bürokratie. Die gute Nachricht vorweg: Für die meisten Anwendungen in Marketing und Vertrieb sind die Pflichten überschaubar. Aber es gibt sie – und einige gelten schon.
In diesem Artikel erklären wir, wie der AI Act aufgebaut ist, welche Fristen gelten und was ihr konkret tun solltet, wenn ihr Chatbots, KI-Agenten, KI-generierte Inhalte oder Lead-Scoring einsetzt. Wie immer gilt: Das ist ein Überblick, keine Rechtsberatung.
Die Grundidee: Regeln nach Risiko
Der AI Act regelt nicht „KI“ allgemein, sondern ordnet KI-Anwendungen nach ihrem Risiko ein:
| Stufe | Beispiele | Folge |
|---|---|---|
| Unannehmbares Risiko | Social Scoring durch Behörden, manipulative Techniken, die Schwächen ausnutzen, Emotionserkennung am Arbeitsplatz | Verboten |
| Hohes Risiko | KI bei Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung oder wichtigen Leistungen | Strenge Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht |
| Begrenztes Risiko | Chatbots, KI-generierte Inhalte, Deepfakes | Transparenzpflichten |
| Minimales Risiko | Spamfilter, Texthilfen, die meisten internen Automatisierungen | Keine besonderen Pflichten |
Die meisten KI-Anwendungen in Marketing und Vertrieb fallen in die Kategorien „begrenzt“ oder „minimal“. Hochrisiko wird es vor allem dann, wenn KI über Menschen entscheidet – etwa bei Bewerbungen oder Krediten.
Die wichtigsten Fristen
Der AI Act ist am 1. August 2024 in Kraft getreten, die Pflichten gelten aber gestaffelt:
- 2. Februar 2025: Verbotene Praktiken sind untersagt. Außerdem gilt die Pflicht zur KI-Kompetenz (Art. 4).
- 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (etwa die großen Sprachmodelle) und Regeln zu Aufsicht und Sanktionen.
- 2. August 2026: Der Großteil der übrigen Regeln, insbesondere die Transparenzpflichten nach Art. 50 und viele Pflichten für Hochrisiko-Systeme.
- 2. August 2027: Regeln für Hochrisiko-KI in bestimmten regulierten Produkten.
Achtung, Zeitplan in BewegungDie EU-Kommission hat im November 2025 mit dem sogenannten „Digital Omnibus“ vorgeschlagen, Teile der Hochrisiko-Pflichten zu verschieben und einige Vorgaben für kleinere Unternehmen zu vereinfachen. Solche Änderungen brauchen die Zustimmung von Parlament und Rat. Prüft vor Entscheidungen den aktuellen Stand – etwa bei der KI-Servicestelle der RTR in Österreich.
Was schon gilt: KI-Kompetenz
Artikel 4 verpflichtet Unternehmen, die KI-Systeme einsetzen, dafür zu sorgen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Das betrifft praktisch jede Firma, deren Team mit ChatGPT, Claude oder KI-Funktionen in anderen Tools arbeitet.
Was „ausreichend“ heißt, ist nicht genau definiert und hängt vom Einsatz ab. Eine vernünftige Umsetzung:
- Eine kurze Schulung: Wie funktionieren Sprachmodelle, wo machen sie Fehler, was darf man ihnen nicht anvertrauen?
- Eine interne Richtlinie: Welche Tools sind erlaubt, welche Daten dürfen hinein, wer prüft Ergebnisse?
- Eine Dokumentation, wer wann geschult wurde.
Was ab August 2026 für Marketing und Vertrieb wichtig wird
Chatbots und KI-Agenten müssen sich zu erkennen geben
Wenn Menschen direkt mit einem KI-System interagieren, müssen sie darüber informiert werden – es sei denn, es ist aus dem Zusammenhang offensichtlich. Das betrifft:
- Chat-Assistenten auf der Website
- Kundenservice-Agenten per E-Mail, WhatsApp oder Instagram
- Sprachassistenten am Telefon
- Automatische Erstantworten auf Anfragen, die sich wie ein Gespräch anfühlen
Praktisch heißt das: Ein kurzer Hinweis wie „Hier antwortet unser digitaler Assistent“ zu Beginn des Gesprächs. Das ist einfach umzusetzen und schafft Vertrauen.
KI-generierte Inhalte kennzeichnen
Anbieter von KI-Systemen, die Texte, Bilder, Audio oder Video erzeugen, müssen dafür sorgen, dass die Ergebnisse maschinenlesbar als KI-generiert erkennbar sind. Das betrifft vor allem die Tool-Hersteller.
Für Unternehmen, die solche Tools nutzen, gilt eine Kennzeichnungspflicht vor allem bei Deepfakes – also realistisch wirkenden Bildern, Videos oder Stimmen von echten Personen, Orten oder Ereignissen – und bei KI-Texten, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sofern kein Mensch redaktionell verantwortlich ist. Ein KI-unterstützter Produkttext oder Newsletter, den euer Team prüft und freigibt, ist nach herrschender Auffassung nicht kennzeichnungspflichtig. Ein KI-Video mit einem täuschend echten „Kunden“ schon.
Lead-Scoring und Personalisierung
Lead-Scoring über Firmen, Produktempfehlungen im Shop und personalisierte E-Mails fallen in der Regel nicht unter Hochrisiko. Vorsicht ist geboten, wenn KI über den Zugang von Privatpersonen zu wichtigen Leistungen entscheidet – etwa bei Finanzierungen oder Versicherungen. Dann können strenge Pflichten greifen, und zusätzlich gilt Art. 22 DSGVO zu automatisierten Einzelentscheidungen.
Anbieter oder Betreiber?
Der AI Act unterscheidet zwischen Anbietern, die ein KI-System entwickeln und in Verkehr bringen, und Betreibern, die es in eigener Verantwortung nutzen. Die meisten KMU sind Betreiber: Sie nutzen Claude, ChatGPT, Klaviyo oder Gorgias mit KI-Funktionen. Die schwersten Pflichten liegen bei den Anbietern.
Aufpassen solltet ihr, wenn ihr ein KI-System unter eigenem Namen anbietet oder es so stark verändert, dass es für einen neuen Zweck genutzt wird. Dann könnt ihr selbst zum Anbieter werden.
Was passiert bei Verstößen?
Die Bußgelder sind gestaffelt: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen oder 3 % bei Verstößen gegen andere Pflichten, bis zu 7,5 Millionen oder 1 % bei falschen Angaben gegenüber Behörden. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte. Realistisch betrachtet ist für die meisten Unternehmen weniger das Bußgeld das Risiko als der Vertrauensverlust bei Kunden.
Eure To-do-Liste
Das solltet ihr jetzt erledigen
- Bestandsaufnahme: Welche KI-Tools und KI-Funktionen nutzt ihr, wofür, mit welchen Daten?
- Einstufung: Fällt etwas unter Hochrisiko oder verbotene Praktiken? Für Marketing und Vertrieb meist nicht – aber prüft es.
- KI-Kompetenz: Kurze Schulung und interne Richtlinie, dokumentiert.
- Transparenz: Chatbots und Agenten mit klarem Hinweis versehen.
- Deepfakes: Keine täuschend echten Personen ohne Kennzeichnung.
- Menschliche Kontrolle: Freigaben bei allem, was nach außen geht, und bei Entscheidungen über Menschen.
- Verträge prüfen: Was sagen eure KI-Anbieter zu AI Act und Datenschutz?
Unser Fazit
Der AI Act verbietet nicht, KI im Marketing und Vertrieb einzusetzen. Er verlangt vor allem zwei Dinge: dass ihr wisst, was ihr tut, und dass ihr ehrlich damit umgeht. Beides sollte ohnehin selbstverständlich sein.
Bei allen KI-Agenten und Automatisierungen, die wir bauen, sind Transparenz, Freigaben und Protokolle von Anfang an eingebaut. Nicht weil es das Gesetz verlangt, sondern weil es die Systeme besser macht.