„Müssen wir jetzt alle ChatGPT-Texte kennzeichnen?“ Diese Frage hören wir aktuell immer häufiger.
Seit der EU AI Act schrittweise in Kraft tritt, überschlagen sich die Schlagzeilen. Mal heißt es, KI-generierte Inhalte müssten künftig grundsätzlich gekennzeichnet werden. Mal ist von neuen Verboten oder drastischen Bußgeldern die Rede. Kein Wunder also, dass viele Teams verunsichert sind.
Die Realität ist deutlich differenzierter. Der AI Act verbietet Unternehmen nicht, KI einzusetzen. Er schafft vielmehr einen europaweiten Rahmen dafür, wie KI verantwortungsvoll, transparent und nachvollziehbar eingesetzt werden soll.
Für die meisten Unternehmen bedeutet das weder das Ende von ChatGPT noch von Midjourney. Viel wichtiger sind einige grundlegende Fragen:
- Müssen KI-generierte Texte künftig gekennzeichnet werden?
- Wann muss ein Chatbot offenlegen, dass er eine KI ist?
- Welche Rolle spielt die menschliche Kontrolle?
- Müssen Mitarbeitende im Umgang mit KI geschult werden?
- Und welche Maßnahmen sollten Unternehmen jetzt sinnvollerweise umsetzen?
Genau diese Fragen beantwortet dieser Artikel. Kein Juristendeutsch. Keine Panikmache. Sondern die wichtigsten Anforderungen des EU AI Acts verständlich erklärt, mit Fokus auf Marketing, E-Commerce und mittelständische Unternehmen.
Zuerst die gute Nachricht: Ihr Redaktionsprozess kann den entscheidenden Unterschied machen
Fangen wir mit dem Punkt an, der die meiste Panik auslöst. Nein: Nicht jeder Blogartikel, jede ChatGPT-gestützte Textstrecke, jede optimierte Produktbeschreibung und jede KI-generierte Meta-Description muss pauschal als KI-Inhalt ausgewiesen werden. Diese Annahme ist so verbreitet wie sie falsch ist.
Artikel 50 Absatz 4 sieht für bestimmte KI-generierte Texte eine Offenlegungspflicht vor. Sie betrifft insbesondere Inhalte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
Gleichzeitig gibt es eine wichtige Ausnahme: Wurde ein Inhalt tatsächlich von einem Menschen geprüft oder redaktionell kontrolliert und übernimmt eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung, entfällt diese spezielle Kennzeichnungspflicht.
Der entscheidende Punkt: Diese redaktionelle Kontrolle muss auch wirklich stattfinden. Eine reine Rechtschreib-, Grammatik- oder Formalprüfung reicht dafür nicht. Gemeint ist eine inhaltliche Prüfung durch jemanden, der über die nötige Sachkenntnis verfügt beziehungsweise den Inhalt tatsächlich ändern, freigeben oder ablehnen kann.
Kritischer wird es bei vollautomatisierten Systemen, die KI-Texte ohne echte menschliche Prüfung veröffentlichen, insbesondere dann, wenn es um Angelegenheiten von öffentlichem Interesse wie Politik, Gesundheit, Finanzen oder andere öffentlich relevante Entwicklungen geht.
Praktische To-do: Ein dokumentierter Redaktionsprozess, also wer erstellt, wer prüft und wer freigibt, hilft dabei, Verantwortlichkeiten klar zu machen. Eine bestimmte Dokumentationsform schreibt der AI Act dafür nicht vor. Ein nachvollziehbarer Ablauf ist aber eine pragmatische Lösung.
Was wirklich Pflicht wird: Die zentralen Transparenzpflichten im Unternehmensalltag
Artikel 50 der KI-Verordnung enthält mehrere Transparenzpflichten. Für den normalen Unternehmensalltag sind insbesondere die folgenden Situationen relevant.
1. Chatbots müssen sich zu erkennen geben
Bei KI-Systemen, die direkt mit Menschen interagieren, muss grundsätzlich sichergestellt sein, dass die betroffenen Personen darüber informiert werden, dass sie mit einem KI-System interagieren. Eine Ausnahme gibt es, wenn das aufgrund der Umstände und des Nutzungskontexts ohnehin offensichtlich ist. In der Praxis sollte man sich darauf aber nicht unnötig verlassen.
Ein einfacher Satz wie „Ich bin ein KI-Assistent von [Firma] und helfe Ihnen weiter.“ schafft von Anfang an Klarheit. Bei eingesetzten Drittanbieter-Chatbots lohnt es sich deshalb zu prüfen, ob eine solche Information bereits zuverlässig vorgesehen ist. Wichtig ist außerdem: Die Information muss klar, eindeutig und spätestens bei der ersten Interaktion erfolgen.
2. Realistisch wirkende KI-generierte oder KI-manipulierte Inhalte
Hier lohnt sich ein genauerer Blick, denn dieser Punkt wird in der Praxis häufig unterschätzt. Der Begriff „Deepfake“ wird im AI Act relativ weit verstanden.
Entscheidend ist nicht nur, ob eine konkrete reale Person kopiert wurde. Auch vollständig synthetische Inhalte können darunterfallen, wenn sie Personen, Objekte, Orte oder Situationen realistisch darstellen und dadurch fälschlicherweise als authentisch oder wahrhaftig wahrgenommen werden könnten.
Das bedeutet für die Praxis: Auch fotorealistische KI-Models, künstlich erzeugte Personen oder synthetische Produktdarstellungen können kennzeichnungspflichtig sein. Entscheidend ist immer der konkrete Kontext: Wie realistisch wirkt der Inhalt? Könnte das Publikum davon ausgehen, dass die dargestellte Person, Situation oder Sache tatsächlich existiert? Und besteht dadurch ein relevantes Täuschungspotenzial?
- Typischerweise relevant: Realistisch wirkende KI-Inhalte mit erkennbarem Täuschungspotenzial, zum Beispiel fotorealistische KI-Models oder stark synthetisch erzeugte Bildwelten, die wie echte Aufnahmen wirken.
- In der Regel unkritischer: Klassische Bildbearbeitung wie Freistellen, Farbkorrektur, Belichtung oder kleinere Retuschen. Auch klar erkennbare Illustrationen, Icons oder abstrakte Grafiken sind regelmäßig weniger problematisch, weil niemand sie für eine echte Aufnahme hält.
Für die Kennzeichnung bieten sich einfache Hinweise wie „KI-generiert“ oder „KI-bearbeitet“ an. Wichtig ist vor allem, dass Menschen erkennen können, womit sie es zu tun haben.
Hinweis zur Technik: Für bestimmte Pflichten zur maschinenlesbaren Kennzeichnung gelten bei älteren Systemen Übergangsregeln. Das sollte aber nicht mit der sichtbaren Kennzeichnung von Inhalten verwechselt werden. Beide Themen hängen zusammen, sind rechtlich aber nicht dasselbe.
3. Emotionserkennung und biometrische Analyse
Auch bei Emotionserkennungs- und biometrischen Kategorisierungssystemen gelten besondere Transparenzregeln.
Wer zulässige Systeme einsetzt, die beispielsweise Emotionen von Personen erkennen oder Menschen anhand biometrischer Daten bestimmten Kategorien zuordnen, muss die betroffenen Personen grundsätzlich darüber informieren.
Wichtig für die Einordnung: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist grundsätzlich verboten. Es gibt gesetzlich vorgesehene Ausnahmen, etwa für bestimmte medizinische oder sicherheitsbezogene Zwecke. Für den normalen Unternehmensalltag spielen diese jedoch nur eine begrenzte Rolle.
4. Vollautomatisierte Texte ohne menschliche Kontrolle
Skripte oder Veröffentlichungstools, die KI-generierte oder KI-manipulierte Texte zu Angelegenheiten von öffentlichem Interesse vollautomatisch veröffentlichen, können unter die Offenlegungspflicht fallen.
Voraussetzung ist insbesondere, dass der Text veröffentlicht wird, die Öffentlichkeit informieren soll und eine Angelegenheit von öffentlichem Interesse betrifft.
Hat dagegen eine echte menschliche Überprüfung oder redaktionelle Kontrolle stattgefunden und übernimmt eine Person oder Organisation die redaktionelle Verantwortung, greift diese spezielle Offenlegungspflicht für den Text nicht.
Der technische Blindspot: Achten Sie auf Ihre Bild-Pipeline
Ein Punkt, der in der Debatte oft untergeht und für Unternehmen trotzdem relevant sein kann: die technische Herkunftskennzeichnung von KI-Bildern.
Viele KI-Bildgeneratoren arbeiten bereits heute mit sogenannten C2PA-Metadaten oder ähnlichen Herkunftsinformationen. Diese können Hinweise darauf enthalten, wie ein Bild entstanden oder bearbeitet worden ist.
Das Problem: CMS-Systeme, Bildoptimierungs-Plugins und CDNs komprimieren oder re-enkodieren Bilder häufig automatisch. Dabei können solche Informationen verloren gehen.
Wichtig zur Einordnung: Der AI Act schreibt C2PA nicht als konkreten Pflichtstandard vor. Auch bedeutet ein Verlust solcher Metadaten nicht automatisch, dass das veröffentlichende Unternehmen gegen den AI Act verstößt.
Trotzdem sind Herkunftsinformationen eine sinnvolle technische Ergänzung zu sichtbaren Kennzeichnungen und können künftig weiter an Bedeutung gewinnen.
Praktische To-do: Wenn Sie mit KI-Bildern arbeiten, sollten Sie gemeinsam mit Ihrer IT oder Digitalagentur prüfen, welche Herkunftsinformationen die eingesetzten Tools mitliefern und ob diese beim Publizieren erhalten bleiben. Das ist vor allem gute technische Vorsorge, nicht automatisch eine eigenständige gesetzliche Pflicht.
Der unterschätzte Punkt: KI-Kompetenz ist selbst schon Pflicht
Während alle über Kennzeichnung reden, übersieht man leicht eine der praxisrelevantesten Vorgaben des gesamten AI Acts: Artikel 4 verlangt von Anbietern und Betreibern von KI-Systemen, Maßnahmen zu ergreifen, damit Mitarbeitende und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen.
Diese Pflicht gilt bereits seit dem 2. Februar 2025.
Wie umfangreich solche Maßnahmen sein müssen, schreibt das Gesetz nicht pauschal vor. Entscheidend ist unter anderem, welche Systeme eingesetzt werden, in welchem Kontext sie genutzt werden, welche Risiken damit verbunden sind und welche Kenntnisse die jeweiligen Mitarbeitenden bereits mitbringen.
Für Marketing- und E-Commerce-Teams, die regelmäßig mit ChatGPT, Copilot, Claude oder Firefly arbeiten, kann deshalb bereits ein kompaktes und praxisnahes Schulungsformat ein sinnvoller Baustein sein. Vorausgesetzt, es behandelt tatsächlich die eingesetzten Tools, ihre Möglichkeiten, ihre Grenzen und die wichtigsten Spielregeln.
Wichtig dabei: KI-Kompetenz ist keine einmalige Checkbox. Wissen und Maßnahmen sollten zum tatsächlichen Einsatz passen und bei Bedarf aktualisiert werden.
Praktische To-do: Ein internes Briefing kann für viele Teams ein guter Start sein. Je sensibler der Einsatz von KI ist, desto genauer sollten die Maßnahmen auf den jeweiligen Anwendungsfall zugeschnitten werden. Sinnvoll ist außerdem, kurz zu dokumentieren, welche Maßnahmen stattgefunden haben und wer daran teilgenommen hat.
Wer haftet, wenn die Agentur die KI nutzt?
Eine Frage, die in der Praxis fast nie gestellt, aber ständig relevant wird: Kaum ein Unternehmen produziert seinen Content heute noch komplett intern. Texte, Bilder und Kampagnen entstehen über Agenturen, Freelancer oder externe Dienstleister. Diese setzen selbstverständlich ebenfalls KI-Tools ein.
Dabei lohnt sich eine saubere Trennung der Rollen.
Nutzt eine Agentur KI vollständig eigenständig und liefert Ihrem Unternehmen anschließend nur das fertige Ergebnis, liegt die Verantwortung für den Betrieb des eingesetzten KI-Systems nicht automatisch bei Ihrem Unternehmen.
Anders kann es aussehen, wenn externe Partner in Ihrem Auftrag sowie unter Ihrer Verantwortung und Kontrolle mit bestimmten KI-Systemen arbeiten.
Unabhängig davon sollten Sie natürlich weiterhin genau prüfen, welche Inhalte am Ende auf Ihrer Website, in Ihrem Shop oder in Ihren Kampagnen erscheinen.
Praktische To-do: Klären Sie mit Agenturen und Freelancern, ob und wofür KI eingesetzt wird und wer sich gegebenenfalls um notwendige Kennzeichnungen, Prüfungen oder Freigaben kümmert. Eine klare Vertragsregelung schafft hier vor allem eines: weniger Missverständnisse.
Brauchen Sie jetzt eine interne KI-Richtlinie?
Nicht pauschal aufgrund des AI Acts vorgeschrieben, aber für viele Unternehmen sinnvoll. Eine kurze interne Richtlinie kann festhalten, welche Tools genutzt werden dürfen, welche Informationen nicht eingegeben werden sollen, wer Inhalte freigibt und wie mit externen Dienstleistern umgegangen wird. Damit lassen sich Redaktionsprozesse, KI-Kompetenz und Verantwortlichkeiten an einer Stelle greifbar machen. Für viele kleinere Unternehmen muss daraus kein umfangreiches Compliance-Handbuch werden.
Was kostet ein Verstoß?
Verstöße gegen die Transparenzpflichten des Artikels 50 können mit erheblichen Bußgeldern geahndet werden.
Der AI Act sieht dafür Höchstbeträge von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 3 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Für KMU einschließlich Start-ups gilt bei diesen Geldbußen jeweils der niedrigere der beiden Höchstbeträge.
Wichtig: Das sind Maximalbeträge, keine pauschalen Strafen. Ob überhaupt ein Bußgeld verhängt wird und wie hoch es ausfällt, hängt von den Umständen des jeweiligen Falls ab.
In Deutschland übernimmt die Bundesnetzagentur eine zentrale Rolle bei der Umsetzung und Marktüberwachung des AI Acts. Sie ist insbesondere dort Marktüberwachungsbehörde, wo diese Aufgabe nicht einer anderen Fachbehörde zugewiesen ist, und übernimmt außerdem zentrale Koordinierungs- und Anlaufstellenfunktionen.
Daneben können je nach Anwendungsgebiet andere Fach- und Aufsichtsbehörden zuständig sein.
Wichtige Einordnung: Wer KI in besonders sensiblen Bereichen wie Kreditwürdigkeitsprüfung, Personalauswahl oder bestimmten biometrischen Anwendungen einsetzt, kann zusätzlich deutlich umfangreichere Vorgaben beachten müssen. Für typische Marketing- und E-Commerce-Anwendungen ist das häufig nicht der Fall.
Der pragmatische 6-Punkte-Plan
Kein Compliance-Handbuch. Kein Bürokratieberg. Nur das, was tatsächlich Aufwand versus Nutzen bringt:
- KI-Inventar erstellen: Welche Tools sind aktuell im Einsatz (Textgeneratoren, Bildtools, Chatbots, Empfehlungssysteme)? Eine einfache Liste reicht als Start.
- Redaktionsprozess dokumentieren: Wer liest KI-generierte Texte gegen, wer darf Änderungen vornehmen und wer gibt sie am Ende frei?
- Chatbots prüfen: Ist für Nutzerinnen und Nutzer von Anfang an klar, dass sie mit einem KI-System interagieren?
- Bild-Pipeline checken: Welche Kennzeichnungen oder Herkunftsinformationen liefern eure KI-Bildtools und bleiben sie beim Publizieren erhalten?
- Team briefen: Mitarbeitende sollten die eingesetzten KI-Tools, ihre Grenzen und die wichtigsten Regeln kennen. Wie umfangreich die Schulung sein muss, hängt vom jeweiligen Einsatz ab.
- Agenturen und Freelancer einbinden: Klärt, wer KI einsetzt, wer Inhalte freigibt und wer sich um notwendige Kennzeichnungen kümmert.
Compliance als Vertrauenskapital
Der AI Act beendet nicht den Einsatz von KI im Marketing. Er sorgt vielmehr dafür, dass Unternehmen genauer hinschauen müssen, wie und wo KI eingesetzt wird.
Für viele Unternehmen bedeutet das vor allem: mehr Transparenz, klarere Verantwortlichkeiten und einen bewussteren Umgang mit KI.
Ein sauberer Redaktionsprozess, transparente KI-Chatbots, ausreichend KI-kompetente Mitarbeitende und klare interne Spielregeln schaffen dafür eine gute Grundlage.
Der AI Act könnte damit eine ähnliche Entwicklung nehmen wie die DSGVO: Anfangs sorgt er für Unsicherheit. Mit der Zeit werden viele Anforderungen zum selbstverständlichen Bestandteil professioneller Unternehmensprozesse.
Unternehmen, die sich heute mit dem Thema beschäftigen, schaffen deshalb nicht nur bessere Voraussetzungen für Compliance. Sie schaffen auch Vertrauen bei Kunden, Mitarbeitenden und Geschäftspartnern.
Denn am Ende wird nicht entscheidend sein, ob ein Unternehmen KI nutzt. Sondern wie verantwortungsvoll und transparent es diese Technologie einsetzt.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Anforderungen des AI Acts können je nach eingesetztem KI-System, Anwendungsfall und Rolle des Unternehmens unterschiedlich ausfallen. Bei konkreten rechtlichen Fragen sollten Sie sich individuell beraten lassen.
