EU AI Act im Marketing: Welche Frist wann greift

Mit dem 2. August 2026 ist die 24 monatige Übergangsphase für die zentralen Pflichten der KI Verordnung abgelaufen. Zwei Dinge haben sich an diesem Tag geändert. Erstens sind die Transparenzpflichten nach Artikel 50 Absatz 1 anwendbar geworden, also die Offenlegungspflichten bei Chatbots, Deepfakes und Emotionserkennung. Zweitens hat die nationale Marktüberwachung begonnen, womit der Sanktionsrahmen der Verordnung praktisch greifbar wird.

Was das nicht bedeutet: dass ab diesem Tag flächendeckend geprüft wird. Aufsichtsstrukturen werden in Deutschland gerade erst aufgebaut, und das nationale Durchführungsgesetz, das die Bundesnetzagentur förmlich benennt, war zum Redaktionsschluss dieses Guides noch nicht verabschiedet. Wer daraus ableitet, es passiere nichts, verwechselt den Zeitpunkt der ersten Prüfung mit dem Zeitpunkt der Pflichtentstehung. Die Pflicht besteht unabhängig davon, ob sie kontrolliert wird, und ein Verstoß bleibt ein Verstoß, auch wenn er später auffällt.

Für Marketing Teams ist die praktische Konsequenz überschaubar und konkret: Wer einen Chatbot mit KI Backend auf der Website betreibt, braucht einen erkennbaren Hinweis am Kontaktpunkt selbst. Ein Vermerk in der Datenschutzerklärung genügt nicht, weil er die datenschutzrechtliche Seite abdeckt und nicht die Transparenzpflicht des AI Act. Wer fotorealistische Darstellungen realer Personen erzeugt, braucht eine klare Kennzeichnung. Beides ist Handwerk, kein Rechtsgutachten.

In der öffentlichen Debatte ist der August 2026 der Termin, über den geschrieben wird. Für Marketing ist der Dezember 2026 der wichtigere, weil dort die Pflicht greift, die tatsächlich in jeden Bild und Video Workflow eingreift.

Die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2. Anbieter generativer Systeme müssen sicherstellen, dass ihre Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt oder bearbeitet markiert sind. Die Digital-Omnibus-Verordnung hat den Anwendungsrahmen dieser Pflicht nach dem Zeitpunkt differenziert, zu dem ein System auf den Markt gekommen ist. Für Betreiber bedeutet das vor allem eines: Metadaten, die euer Werkzeug mitliefert, dürfen in eurer Produktionskette nicht verloren gehen. Genau das passiert in der Praxis ständig, weil Bildbearbeitung, Komprimierung und Content Management Systeme Metadaten routinemäßig entfernen.

Zwei neue verbotene Praktiken nach Artikel 5. Die Digital-Omnibus-Verordnung ergänzt die Verbotsliste um KI Systeme zur Erzeugung nicht einvernehmlicher intimer Abbildungen und um Systeme zur Erzeugung von Missbrauchsdarstellungen von Kindern. Beide fallen in die höchste Sanktionsstufe mit bis zu 35 Millionen Euro. Für seriöses Marketing ist das keine Verhaltensänderung, aber es ist ein Signal dafür, wohin die Durchsetzung zielt: auf generative Bildverfahren.

Wer heute prüft, ob seine Bildpipeline Herkunftsmetadaten erhält, hat bis Dezember Zeit, das zu reparieren. Wer im November anfängt, prüft unter Zeitdruck. Der Aufwand für die Prüfung selbst liegt bei wenigen Stunden.

Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 verabschiedet, am 24. Juli im Amtsblatt der Europäischen Union verkündet und ist am 27. Juli 2026 in Kraft getreten. Sie ändert über 40 Artikel der KI Verordnung. Der Anlass war nüchtern: die harmonisierten technischen Normen, ohne die eine Konformitätsbewertung praktisch nicht durchführbar ist, lagen nicht rechtzeitig vor.

Fristen für Hochrisiko-KI verschoben. Eigenständige Systeme nach Anhang III greifen erst ab dem 2. Dezember 2027, produktintegrierte Systeme nach Anhang I ab dem 2. August 2028. Beides betrifft Marketing selten direkt, wohl aber angrenzende Bereiche wie KI gestützte Personalauswahl oder Kreditbewertung.

Der Hochrisikobegriff wurde enger gefasst. Systeme, die Anwender unterstützen, Abläufe automatisieren oder der Qualitätskontrolle dienen, gelten nur noch dann als hochriskant, wenn ihr Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann. Eine Reihe zuvor erfasster Anwendungen fällt damit heraus.

Artikel 4 wurde neu gefasst, nicht gestrichen. Die ursprüngliche Formulierung verlangte, ein ausreichendes Maß an KI Kompetenz sicherzustellen. Das ist eine Ergebnispflicht. Die neue Fassung verlangt, die Entwicklung dieser Kompetenz zu fördern, ohne dass für jede einzelne Person ein bestimmtes Niveau garantiert werden muss. Die Pflicht besteht seit dem 2. Februar 2025 fort, der Nachweisdruck auf das Ergebnis einzelner Schulungen hat abgenommen. Der praktische Rat ändert sich dadurch kaum: Ein dokumentiertes, rollengerechtes Schulungskonzept bleibt der einfachste Weg, im Prüfungsfall auskunftsfähig zu sein, und es hat einen betrieblichen Wert unabhängig von der Rechtslage.

Das EU AI Office hat eigene Befugnisse bekommen. Ermittlung, Inspektion und Sanktionierung liegen nun auch dort, womit es faktisch selbst zur Marktüberwachungsbehörde wird. Für den DACH Mittelstand bleibt die nationale Behörde der erste Ansprechpartner, aber die frühere Faustregel, das AI Office sei ausschließlich für die großen Modellanbieter zuständig, gilt so nicht mehr.

Erleichterungen für Small Mid-Caps. Die bisher auf KMU beschränkten Privilegien, darunter vereinfachte technische Dokumentation und die angepassten Bußgeldobergrenzen nach Artikel 99 Absatz 6, wurden auf Unternehmen mit weniger als 750 Beschäftigten und weniger als 150 Millionen Euro Jahresumsatz oder weniger als 129 Millionen Euro Bilanzsumme ausgedehnt.

Was der Digital Omnibus nicht verschoben hat, sind die Transparenzpflichten nach Artikel 50 Absatz 1. Aus der Schlagzeile, die EU habe die KI Regeln verschoben, folgt für Marketing und Kundenkommunikation kein Aufschub.

Der EU AI Act unterscheidet mehrere Rollen, von denen für mittelständische Marketing Teams in der Praxis zwei relevant sind: Anbieter (Provider) und Betreiber (Deployer). Die korrekte Einordnung entscheidet darüber, welche Pflichten euch treffen und wie umfangreich euer Setup sein muss.

Anbieter ist, wer ein KI System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke auf den Markt bringt. Das sind OpenAI, Anthropic, Google und Microsoft, aber auch europäische Anbieter wie Aleph Alpha oder DeepL. Die Anbieterpflichten sind umfangreich: technische Dokumentation, Konformitätsbewertung, Kennzeichnung bei Hochrisiko Systemen, Risikomanagement, Datenqualitätsanforderungen.

Betreiber ist, wer ein KI System unter eigener Verantwortung einsetzt. Das sind die meisten mittelständischen Unternehmen, die ChatGPT, Claude, Midjourney oder branchenspezifische Werkzeuge nutzen. Die Betreiberpflichten sind im Vergleich deutlich reduziert, aber nicht null. Was euch trifft: KI Kompetenz im Team nach Artikel 4, gültig seit Februar 2025, Transparenzpflichten gegenüber Nutzern nach Artikel 50, gültig seit August 2026, sowie bei Hochrisiko Anwendungen zusätzlich menschliche Aufsicht, Protokollaufbewahrung und Risikomanagement.

Wichtige Sonderregelung: Wenn ihr ein KI System wesentlich verändert, unter eigener Marke vertreibt oder einem anderen Verwendungszweck zuführt als vom Anbieter vorgesehen, werdet ihr selbst zum Anbieter. Ein Beispiel aus der Praxis: Ihr nehmt eine Modell API, baut daraus einen eigenen Kundenservice Bot mit eurem Logo und verkauft ihn als eigenes Produkt weiter. Damit wechselt ihr die Rolle, und es gelten die deutlich strengeren Anbieterpflichten.

Konkret heißt das: Die meisten mittelständischen Unternehmen sind ausschließlich Betreiber. Ihre Compliance besteht aus drei Bausteinen, nämlich KI Inventur, Risikoklassifizierung der eingesetzten Systeme und Umsetzung der Transparenzpflichten an den Touchpoints. Genau diese drei Bausteine bilden die Grundlage für das Setup, das wir im nächsten Kapitel beschreiben.

Seit Anfang 2026 tauchen verstärkt Angebote für AI Act Compliance zu niedrigen dreistelligen Preisen auf. Standardisierte Vorlagen, automatisierte Checklisten, generierte Bewertungen. Solche Angebote sind nicht per se unseriös, sie lösen nur ein anderes Problem als das, das ihr habt.

Was Vorlagen nicht leisten können, ist die Einstufung. Ein Mittelständler mit zwei Chatbots hat andere Pflichten als einer mit zwölf KI Werkzeugen im Vertrieb. Die Risikoklassifizierung ist der Kern der Dokumentation, und sie hängt am konkreten Einsatzzweck, nicht an der Werkzeugkategorie. Eine Vorlage kann diese Unterscheidung nicht treffen, weil sie euren Einsatzzweck nicht kennt.

Was Vorlagen ebenfalls nicht leisten, ist die Metadaten Prüfung. Ob eure Bildpipeline Herkunftsinformationen erhält oder beim Export verwirft, lässt sich nicht aus einem Fragebogen ableiten. Das muss jemand an eurem tatsächlichen Workflow nachvollziehen.

Der ehrliche Vergleich ist also nicht 499 Euro gegen 2.500 Euro. Es ist eine Vorlage gegen eine Bestandsaufnahme. Für Unternehmen mit einem einzigen Chatbot und ohne generative Bildproduktion kann die Vorlage tatsächlich ausreichen. Wer das für sich zutreffend findet, sollte kein Audit kaufen.

Wenn euer Unternehmen Hochrisiko KI Systeme nach Anhang III entwickelt oder in Verkehr bringt, etwa im Recruiting, in der Kreditbewertung oder in kritischen Infrastrukturen, und ihr selbst Anbieter dieser Systeme seid, braucht ihr eine spezialisierte Compliance Beratung mit eigenen technischen Auditoren und Zugang zu benannten Stellen. Das ist nicht unser Kerngeschäft, und der Termin 2. Dezember 2027 ist für euch der relevante, nicht der Dezember 2026.

Wenn ihr eine rechtsverbindliche Auskunft braucht, etwa weil bereits ein Verfahren läuft oder eine Abmahnung vorliegt, gehört das zu einer Kanzlei. Wir bewerten Setups und setzen um, wir erteilen keine Rechtsberatung.

Wenn ihr eine Dokumentation wollt, die im Prüfungsfall gut aussieht, ohne dass sich an eurer Praxis etwas ändert, sind wir die falsche Adresse. Eine Einstufung, die den tatsächlichen Einsatz nicht abbildet, ist im Prüfungsfall schlechter als gar keine, weil sie belegt, dass die Frage gestellt und falsch beantwortet wurde.

Was wir gut können: Marketing Anwendungen bei Mittelstandskunden mit begrenztem oder minimalem Risiko. Chatbots, generative Bild und Textwerkzeuge, Personalisierung, KI gestützte Newsletter. Also den Bereich, in dem sich der Großteil der Marketing KI Nutzung tatsächlich abspielt.