EU AI Act und Online-Marketing: Was Werbetreibende prüfen sollten

Ein Shop nutzt KI für Produkttexte und einen Support-Chat. Muss jede Zeile gekennzeichnet werden, und dürfen die Kampagnen weiterlaufen? Beginnen Sie bei der Aufgabe des Systems: Wer kommuniziert mit Menschen, was wird veröffentlicht und welche Daten werden verarbeitet?

TL;DR: Der AI Act verlangt nicht, gewöhnliche Werbekampagnen abzuschalten. Pflichten hängen von System, Unternehmensrolle und Anwendung ab. Unterscheiden Sie Bot-Hinweise, technische Kennzeichnung durch Generatoranbieter, Offenlegung von Deepfakes und Datenschutz. Eine einheitliche Regel „alles mit KI sichtbar beschriften“ gibt es nicht.

Diese praktische Übersicht ist auf dem Stand vom 28. September 2026. Sie unterstützt die Prüfung eines konkreten Prozesses; komplexe Anwendungen benötigen eine entsprechende rechtliche Qualifikation. Canem Errant prüft technische Integrationen und Datenwege, nicht die Rechtmäßigkeit sämtlicher KI-Anwendungen.

Was regelt der AI Act, und wann gelten die Regeln?

Die Verordnung (EU) 2024/1689 verteilt Pflichten zwischen Beteiligten. Anbieter entwickeln oder stellen ein System unter eigenem Namen bereit; Betreiber verwenden es beruflich. Bei eigener Entwicklung kann eine Firma beide Rollen übernehmen. Weder Unternehmensgröße noch Produktname entscheiden allein über die Pflichten.

Der aktuelle Zeitplan berücksichtigt bereits Digital Omnibus on AI:

• 1. August 2024: Inkrafttreten des AI Act.
• 2. Februar 2025: allgemeine Bestimmungen, KI-Kompetenz und Verbote.
• 2. August 2025: Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck sowie Governance.
• 2. August 2026: Transparenz nach Artikel 50 und die meisten übrigen Bestimmungen.
• 2. Dezember 2026: besondere Übergangsfrist nach Artikel 50(2) für bestimmte vor dem 2. August 2026 bereitgestellte Generatoren; außerdem einzelne neue Verbote.
• 2. Dezember 2027: Hochrisikoanforderungen für Anhang III.
• 2. August 2028: Hochrisikoanforderungen für regulierte Produkte nach Anhang I.

Eine Hochrisikofrist verschiebt nicht sämtliche Transparenzpflichten. Prüfen Sie die Übergangsregeln des konkreten Systems. Quellen: aktueller Zeitplan der Kommission, Bundesnetzagentur zu den Änderungen.

Einzelne Artikelseiten weisen darauf hin, dass ihr Wortlaut noch nicht an Digital Omnibus angepasst wurde. Leiten Sie neue Fristen deshalb nicht aus einem veralteten Text ab.

Wie beurteilen Sie das Risiko einer Marketinganwendung?

Vier Gruppen helfen bei der Einordnung. Eine Produktbeschreibung ersetzt die Prüfung des tatsächlichen Verwendungszwecks nicht.

Ein konkretes Verbot betrifft KI zur Emotionserkennung am Arbeitsplatz; medizinische oder sicherheitsbezogene Zwecke sind ausgenommen. Bei Versicherungen nennt Anhang III die Risikobewertung und Preisbildung für natürliche Personen in Lebens- und Krankenversicherungen. Nicht jedes Versicherungsmarketing ist dadurch automatisch hochriskant. Quellen: Artikel 5: Verbote, Anhang III: aufgeführte Zwecke.

Gewöhnliche B2B-Lead-Priorisierung ist nicht automatisch ein Hochrisikosystem. Profiling natürlicher Personen hat bei bereits von Anhang III erfassten Systemen eine besondere Bedeutung; daraus folgt keine Hochrisikoeinstufung jedes Marketing-Profilings. Artikel 6: Kriterien.

Beschreiben Sie deshalb Entscheidung und Auswirkung. Anfragen nach Antwortfrist zu sortieren ist etwas anderes, als Kredit zu verweigern. Ein menschlicher Kontrollschritt muss inhaltlich wirksam sein, wenn er als Absicherung dienen soll. Automatisches Abnicken reduziert das Risiko nicht zuverlässig.

Vier Bereiche, die Werbetreibende betreffen

1. Synthetische Bilder, Videos, Stimmen und Texte

Artikel 50 unterscheidet Pflichten nach Rolle: Generatoranbieter müssen Ausgaben technisch erkennbar machen; Betreiber müssen Deepfakes offenlegen. Für veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse gibt es eine eigene Regel mit Ausnahme bei menschlicher Prüfung oder redaktioneller Kontrolle und Verantwortung. Nicht jeder Werbeentwurf braucht deshalb dieselbe sichtbare Kennzeichnung.

Deepfakes können Personen, Gegenstände, Orte oder Ereignisse als vermeintlich echt darstellen. Nicht jedes KI-Bild ist automatisch ein Deepfake. Prüfen Sie realistische Avatare, Stimmen und inszenierte Ereignisse anhand des konkreten Materials und seiner Präsentation. RTR: aktuelle Transparenzhinweise.

Bewahren Sie Herkunftsinformationen auf, prüfen Sie Rechte und Einwilligungen und planen Sie erforderliche Hinweise vor Veröffentlichung. Plattformregeln und das Verbot irreführender Werbung gelten zusätzlich. Eine KI-Kennzeichnung macht eine falsche Produktbehauptung nicht zulässig.

2. Ein Bot auf der Website

Die Pflicht zur Information über direkte KI-Interaktion richtet sich nach Artikel 50(1) an den Systemanbieter, sofern die KI-Natur nicht ohnehin offensichtlich ist. Der Website-Betreiber sollte prüfen, ob der Hinweis im konkreten Interface beim ersten Kontakt klar und zugänglich erscheint.

Ein möglicher Text lautet: „Sie sprechen mit einem KI-Assistenten. Wählen Sie den Kontakt zum Team, wenn Sie mit einer Person sprechen möchten.“ Das ist ein verständliches Beispiel, keine vorgeschriebene Universalform. Prüfen Sie mobile Darstellung, Zugänglichkeit, Übergabe an Mitarbeiter und fehlerhafte Antworten.

Ein gewöhnliches Menü mit festen Antworten ist nicht automatisch ein KI-System. Die Erfassung von Kontaktdaten muss trotzdem bewertet werden. Artikel 50.

3. Advantage+, Performance Max und Anzeigenentscheidungen

Die Nutzung eines Plattformalgorithmus macht nicht jede Kampagne zu einem Modell mit allgemeinem Verwendungszweck (GPAI). Unterscheiden Sie Modellanbieter, Systemanbieter und Werbekunden, der eine fertige Funktion verwendet. Plattformpflichten nehmen Ihnen nicht die Verantwortung für Anzeigen, Daten und das Angebot ab.

Dokumentieren Sie Funktion, Optimierungsziel, gesetzte Grenzen und Verantwortlichen. So lassen sich Ausgaben und unerwartete Änderungen prüfen. Zur Umsetzung: Performance Max für E-Commerce und B2B.

4. Profiling und personenbezogene Daten

Sensible Informationen sind kein gewöhnliches Rohmaterial für Personalisierung. Die DSGVO regelt personenbezogene Verarbeitung; der DSA verbietet Plattformen zusätzlich Werbung auf Grundlage von Profiling mit besonderen Datenkategorien. Diese Anforderungen bestehen eigenständig. Kommission: DSA und Werbung.

Bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ist Artikel 22 DSGVO gesondert zu prüfen. Eine vorgeschlagene Betreffzeile und die automatische Verweigerung einer wichtigen Leistung sind unterschiedliche Fälle. Kommission: automatisierte Entscheidungen.

Prüfen Sie Datenfelder, Rechtsgrundlage, Speicherfristen, Vertrag und Zugriffe. Für Werbemessung ist auch der Auswahlweg wichtig: Cookie-Banner-Audit. Die gesamten Anforderungen aus DSGVO und TKG gehen über KI-Regeln hinaus.

Zuständigkeiten in Österreich, Deutschland und der Schweiz

Österreich: Die KI-Servicestelle RTR bietet Information. Ihr FAQ meldet am Prüfdatum, dass die nationale Umsetzung der AI-Act-Zuständigkeiten noch nicht erfolgt ist. Ernennen Sie deshalb nicht pauschal die DSB zum alleinigen KI-Regulator. Datenschutz und KI-Marktaufsicht sind zu unterscheiden. RTR: FAQ.

Deutschland: Die Bundesnetzagentur beschreibt eine zentrale Rolle sowie eine Aufsichtsstruktur mit sektoralen Bereichen. Prüfen Sie für die konkrete Anwendung die zuständige Stelle und den aktuellen Umsetzungsstand. Datenschutzbehörden ersetzen nicht automatisch die gesamte KI-Aufsicht. Bundesnetzagentur: Marktüberwachung.

Schweiz: Der Sitz außerhalb der EU schließt Anwendbarkeit nicht aus. Artikel 2 erfasst unter bestimmten Bedingungen Anbieter und Betreiber aus Drittstaaten, unter anderem wenn das Systemergebnis in der Union verwendet wird. Prüfen Sie Rolle und EU-Bezug des Einsatzes. Artikel 2: Geltungsbereich.

Geben Sie bei einer Anfrage Funktion, Rolle, Daten und Folgen an. Das ermöglicht eine konkrete Antwort. Nationale Zuständigkeiten sollten Sie vor einem tatsächlichen Verfahren erneut prüfen.

Sechs gewöhnliche Aufgaben: Was kann weiterlaufen?

Diese Tätigkeiten machen Marketing für sich nicht zu einem Hochrisikosystem:

1. Meta Ads: gewöhnliche Kampagnen innerhalb anwendbarer Regeln.
2. Smart Bidding: Gebotsoptimierung für eine definierte Werbeaufgabe.
3. E-Mail: Textentwürfe und zulässige Personalisierung.
4. A/B-Tests: Hypothesen, die ein Team bewertet und testet.
5. Produktempfehlungen: gewöhnliche Empfehlungen, nicht automatisch eine Kreditentscheidung.
6. Text- und SEO-Entwürfe: Verantwortung für Fakten, Rechte und veröffentlichte Aussagen bleibt bestehen.

Das ist keine Befreiung von allen Pflichten. Zweck, Daten und Ausführung bleiben relevant. Das Team braucht passende KI-Kompetenz und ein Verständnis der Grenzen. Für Prozesse: KI-Agenten im Marketing.

Zwei Lehrbeispiele

Shop in Wien: Produkttexte und Support-Chat

Die Redaktion prüft Eigenschaften, Preis, Lieferung und Sprache der KI-Produkttexte. Separat testet sie den Bot-Hinweis und die Übergabe an Mitarbeiter. Synthetische Bilder werden auf Deepfake-Eigenschaften und Verfälschung des Produkts geprüft.

Zum Review gehören Chatdaten, Anbieter und Aufbewahrung. Eine einzige Beschriftung deckt nicht das ganze System ab. Der Aufwand hängt von der Integration ab; das ist ein Lehrbeispiel, kein dokumentierter Kundenfall oder Versprechen einer Minutenlösung.

DACH-Agentur: Hypothesen und Anzeigenvarianten

Eine KI schlägt Texte und Testhypothesen vor. Ein Mitarbeiter prüft Fakten, Rechte und Angebotsgrenzen, bevor ein Test startet. Das System erhält nicht beliebigen Zugang zu CRM oder Werbebudget.

Entwürfe allein begründen gewöhnlich keine Hochrisikoeinstufung. Eigene Entwicklung oder veränderter Zweck können jedoch Rolle und Pflichten ändern. Prozesskontrolle bleibt sinnvoll, auch wenn keine spezielle Hochrisikodokumentation verlangt wird.

Drei Schritte für diese Woche

Inventarisieren Sie die Systeme. Notieren Sie Eigentümer, Zweck, Rolle, Daten, Anbieter, Nutzer und Fehlerfolgen. Markieren Sie Bots, synthetische Medien und autonome Entscheidungen. Prüfen Sie die Kompetenz des Teams für seine Aufgaben.

Testen Sie Hinweise in Interface und Werbung. Öffnen Sie den Bot am Telefon und prüfen Sie den ersten Kontakt. Sichten Sie realistische KI-Medien und Texte zu öffentlichem Interesse. Ordnen Sie jede Pflicht der passenden Rolle zu.

Halten Sie Regeln für Inhalt und Daten fest. Wer prüft und veröffentlicht, welche Felder darf die KI erhalten, wer kann stoppen? Prüfen Sie erneut bei Werkzeug- oder Zweckänderung. Eine jährliche Erinnerung ersetzt keinen Anlasscheck.

Ein geeigneter Einstieg ist eine kurze technische Inventarisierung mit Weitergabe strittiger Anwendungen an einen Juristen. Schneller: zuerst den öffentlichen Bot und fertige Medien prüfen. Vorsichtiger: autonome Aktionen bis zur Qualifikation begrenzen; das benötigt mehr Handarbeit. Aufwand und Preis hängen von den Systemen ab, nicht von einer universellen „15-Minuten-Compliance“.

Weiterführende Quellen: Artikel 99, RTR: Sanktionen.

Häufig gestellte Fragen

Muss ich gewöhnliche Facebook Ads abschalten?

Nein. Der AI Act verlangt nicht, Standardkampagnen abzuschalten. Prüfen Sie Anzeigen, Daten und aktivierte KI-Funktionen. Die Verantwortung der Plattform hebt Ihre eigenen Pflichten nicht auf.

Muss jeder KI-Text sichtbar gekennzeichnet werden?

Artikel 50 verlangt keine identische sichtbare Kennzeichnung jedes Werbeentwurfs. Unterscheiden Sie Generatorpflichten und Veröffentlichungen zu öffentlichem Interesse mit den vorgesehenen Ausnahmen. Plattformregeln und weitere Gesetze müssen ebenfalls berücksichtigt werden.

Welche Sanktionen sind möglich?

Artikel 99 nennt Höchstgrenzen: €35 Mio. oder 7% weltweiter Jahresumsatz für verbotene Praktiken, €15 Mio. oder 3% für bestimmte Pflichtverstöße einschließlich Transparenz und €7,5 Mio. oder 1% für unrichtige Auskünfte an Behörden. Für Unternehmen gilt grundsätzlich die höhere Grenze; bei KMU einschließlich Startups ist die geringere Grenze vorgesehen. Die konkrete Sanktion hängt von den Umständen ab; eine vorherige Verwarnung ist nicht garantiert. Artikel 99, RTR: Sanktionen.

Was unterscheidet AI Act und DSGVO?

Der AI Act regelt KI-Systeme und Beteiligtenrollen, die DSGVO personenbezogene Daten. Beide können auf denselben Bot zutreffen. Eine Anwendung ohne Hochrisikoeinstufung darf deshalb nicht automatisch Kundendaten an ein Modell übermitteln.

Gilt der AI Act auch für eine Schweizer Firma?

In den von Artikel 2 erfassten Fällen ja. Prüfen Sie Marktbereitstellung, Unternehmensrolle und Verwendung des Ergebnisses in der Union. Werbung im DACH-Raum allein beantwortet diese Prüfung nicht.

Welche Daten übertragen Ihre Werbeintegrationen? Besprechen Sie eine technische Prüfung mit Canem Errant. Diagnose und Umsetzung werden separat vereinbart; die rechtliche Qualifikation einer KI-Anwendung erfordert einen entsprechenden Spezialisten.