EU AI Act und Online-Marketing: Was sich 2026 für Werbetreibende in Österreich ändert

TL;DR: Der EU AI Act betrifft 90 % der KMU im Online-Marketing kaum — Standard-Werbeanzeigen, Bid-Optimierung und A/B-Testing fallen unter „Minimal Risk” und erfordern keine Meldepflicht. Was sich ändert: AI-generierte Inhalte müssen gekennzeichnet werden, Chatbots brauchen ein AI-Label, und automatisierte Profiling-Entscheidungen bei sensiblen Kategorien werden strenger reguliert (Quelle: Canem Errant, 2026).

Ein Wiener E-Commerce-Unternehmer rief uns letzte Woche an. Seine Frage: „Muss ich meine Meta Ads abschalten, weil der AI Act kommt?” Die kurze Antwort: Nein. Die längere Antwort: Der AI Act ist keine Apokalypse für Online-Marketing. Er ist eine Regulierung, die primär Big Tech trifft — nicht Ihren Shopify-Store.

Aber „keine Panik” bedeutet nicht „nichts tun.” Wenn Sie AI-generierte Produktbeschreibungen, einen Chatbot auf Ihrer Website oder automatisierte Targeting-Entscheidungen nutzen, gibt es konkrete Handlungsschritte. Nicht viele. Aber ignorieren sollten Sie sie nicht.

Hier ist der Praxisleitfaden — was sich wirklich ändert, was nicht, und was Sie diese Woche erledigen können.

Was ist der EU AI Act — und wann gilt er?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Er trat am 1. August 2024 in Kraft, die Anwendung erfolgt gestaffelt:

Februar 2025: Verbot von AI-Systemen mit „unannehmbarem Risiko” (Subliminal Manipulation, Social Scoring)
August 2025: Transparenzpflichten für General-Purpose AI (GPAI) wie GPT-4, Gemini, Claude
August 2026: Volle Anwendung aller Regeln, einschließlich High-Risk AI-Systeme
August 2027: Übergangsfristen für bestimmte eingebettete AI-Systeme laufen aus

Der AI Act verfolgt einen risikobasierten Ansatz — je höher das Risiko, desto strenger die Regeln. Für die meisten Online-Marketer bedeutet das: minimale Auswirkungen. Aber es gibt Grauzonen, die Sie kennen sollten.

Welche Risikokategorie betrifft Ihr Marketing?

Der AI Act teilt AI-Anwendungen in vier Risikostufen ein. Hier ist, wo typische Marketing-Tools landen:

Risikostufe	Beispiel	Marketing-Auswirkung	Handlung erforderlich
Unzulässig	Subliminal Manipulation, Social Scoring, Emotion Recognition am Arbeitsplatz	Verboten	Nicht einsetzen
Hohes Risiko	Credit Scoring für Targeting (potenziell), biometrische Identifikation	Schwere Regulierung	Juristische Prüfung erforderlich
Begrenztes Risiko	Chatbots, AI-generierte Werbeinhalte (Deepfakes, AI-Stimmen, AI-Bilder)	Kennzeichnungspflicht	AI-Content labeln
Minimales Risiko	A/B-Testing, Recommendation Engines, Bid-Optimierung, Google Ads Smart Bidding	Keine spezifischen Anforderungen	Business as usual

Quelle: EU AI Act, Verordnung (EU) 2024/1689, Artikel 6, 50, 52.

Die kritische Erkenntnis: Ihre normalen Meta Ads, Google Ads und E-Mail-Marketing-Kampagnen fallen unter „Minimales Risiko.” Kein Reporting, keine Zertifizierung, keine Meldepflicht. Der Algorithmus, der Ihre Gebote optimiert, ist nicht „High Risk” — er optimiert Auktionen, keine Lebenschancen.

Was ändert sich konkret für Werbetreibende?

Vier Bereiche, die Online-Marketer im DACH-Raum betreffen:

1. AI-generierte Werbeinhalte: Kennzeichnungspflicht. Wenn Sie AI nutzen, um Bilder, Videos oder Stimmen für Werbeanzeigen zu erstellen — insbesondere Deepfakes, synthetische Stimmen oder AI-generierte Personas — müssen diese als AI-generiert gekennzeichnet werden (Art. 50 AI Act). Das betrifft nicht AI-unterstützte Textgenerierung (z.B. ChatGPT für Ad Copy), sondern primär visuelle und auditive Inhalte, die menschliche Personen simulieren.

2. Chatbots auf der Website: AI-Label. Jeder Chatbot, der natürliche Sprache verarbeitet, muss dem Nutzer mitteilen, dass er mit einer KI interagiert — nicht mit einem Menschen (Art. 50 Abs. 1 AI Act). Ein einfacher Hinweis „Dieser Chat wird von einer KI betrieben” reicht. Was nicht betroffen ist: regelbasierte FAQ-Bots, die keine AI nutzen.

3. Performance Max / Advantage+: Transparenz. Automatisierte Entscheidungssysteme in der Werbung — wie Metas Advantage+ oder Googles PMax — werden als GPAI-Anwender eingestuft. Die Transparenzanforderung liegt hier primär bei Meta und Google, nicht bei Ihnen als Werbetreibendem. Aber: Sie sollten dokumentieren können, welche AI-Tools Sie einsetzen und wie automatisierte Entscheidungen getroffen werden. Für die praktischen Auswirkungen auf PMax-Kampagnen lesen Sie unseren Performance Max Leitfaden.

4. Profiling für Targeting: Sensible Kategorien. Der AI Act verschärft Regeln für AI-basiertes Profiling bei sensiblen Kategorien — Religion, Gesundheit, sexuelle Orientierung, politische Meinung. Standard-Targeting nach Interessen, Demografien oder Kaufverhalten ist nicht betroffen. Aber: Wer AI für Kreditwürdigkeitsbewertung oder Versicherungs-Scoring nutzt, um Targeting-Entscheidungen zu treffen, bewegt sich potenziell im High-Risk-Bereich.

Für die bestehenden Datenschutzregeln im Kontext von Online-Werbung — DSGVO, TKG 2021, Consent-Anforderungen — lesen Sie unseren DSGVO-Leitfaden.

Wer überwacht das in Österreich und Deutschland?

Österreich: Die Datenschutzbehörde (DSB) wird voraussichtlich als nationale Aufsichtsbehörde fungieren, ergänzt durch eine noch zu benennende AI-spezifische Stelle. Die Zuständigkeiten werden derzeit auf nationaler Ebene definiert.

Deutschland: BfDI (Bundesbeauftragte für den Datenschutz) auf Bundesebene, ergänzt durch Landesbehörden. Die Bundesnetzagentur (BNetzA) wurde als koordinierende Stelle für den AI Act benannt. Zusätzliche Durchsetzungskompetenz liegt bei den Landesdatenschutzbeauftragten — was in der Praxis zu fragmentierter Aufsicht führen kann.

Schweiz: Kein EU-Mitglied, aber der AI Act beeinflusst Unternehmen, die Produkte oder Dienste im EU-Raum anbieten (extraterritoriale Wirkung ähnlich der DSGVO).

Key Takeaway: Die Aufsichtsstrukturen für den AI Act sind in DACH noch im Aufbau. Warten Sie nicht auf die finale Zuständigkeitsklärung — implementieren Sie die Kennzeichnungspflichten jetzt. Die Regeln gelten bereits, auch wenn die Durchsetzung noch anlaufen muss (Quelle: Canem Errant, 2026).

Was müssen Sie NICHT befürchten?

Klartext — diese Standard-Marketing-Aktivitäten sind unter dem AI Act kein Problem:

Facebook/Meta Ads schalten: Minimales Risiko. Der Algorithmus von Meta ist deren Verantwortung.
Google Ads Smart Bidding: Minimales Risiko. Bid-Optimierung ist keine High-Risk-AI.
E-Mail-Marketing mit Personalisierung: Minimales Risiko. Auch wenn AI die Betreffzeile generiert.
A/B-Testing mit AI-generierten Hypothesen: Minimales Risiko. Keine Meldepflicht.
Produktempfehlungen im Shop: Minimales Risiko. Recommendation Engines sind explizit ausgenommen.
AI-unterstützte Textgenerierung: Begrenztes Risiko bei Disclosure, aber kein High-Risk.

Die AI-Revolution in Ihrem Marketing geht weiter. Der AI Act reguliert nicht Innovation — er reguliert Missbrauch. Mehr zum Einsatz von KI im Marketing erfahren Sie in unserem KI-Marketing-Automatisierung Leitfaden.

Wie sieht das in der Praxis aus — zwei Szenarien?

Szenario 1: Wiener E-Commerce mit AI-Produktbeschreibungen + Chatbot. Ein Wiener Online-Shop nutzt GPT-4 für Produktbeschreibungen und einen AI-Chatbot für Kundenservice. AI Act-Konsequenz: Der Chatbot muss als KI gekennzeichnet werden (Art. 50) — ein einmaliger Aufwand von 30 Minuten. Die Produktbeschreibungen fallen unter minimales Risiko, solange keine synthetischen Bilder menschliche Personen simulieren. Kein High-Risk, keine Zertifizierung, keine Meldepflicht. Umsetzungsaufwand: minimal.

Szenario 2: DACH-Agentur nutzt AI für A/B-Testing-Hypothesen. Eine Performance-Marketing-Agentur nutzt Claude zur Generierung von A/B-Testing-Hypothesen und Ad-Copy-Varianten. AI Act-Klassifizierung: Minimales Risiko. Keine Meldepflicht, keine Kennzeichnung erforderlich, keine Dokumentationspflicht. Die Hypothesen werden von Menschen geprüft und implementiert — es gibt keinen autonomen Entscheidungsprozess. Business as usual.

Was können Sie diese Woche konkret tun?

Inventur Ihrer AI-Tools: Listen Sie alle AI-Anwendungen auf, die Sie im Marketing nutzen — Chatbots, Content-Generierung, Bildgenerierung, automatisierte Entscheidungssysteme. Prüfen Sie, welche in „Begrenztes Risiko” fallen und Kennzeichnung brauchen.
Chatbot-Label hinzufügen: Wenn Sie einen AI-Chatbot auf Ihrer Website haben, fügen Sie einen Hinweis hinzu: „Dieser Chat wird von einer KI unterstützt.” Aufwand: 15 Minuten.
AI-Content-Policy dokumentieren: Erstellen Sie ein internes Dokument (1 Seite reicht), das festhält: welche AI-Tools Sie nutzen, für welche Zwecke, und wie Sie Qualitätskontrolle durchführen. Das ist keine gesetzliche Pflicht für Minimal-Risk, aber es positioniert Sie gut für zukünftige Audits.

Bottom Line: Der AI Act ist für 90 % der KMU im Online-Marketing kein Grund zur Panik. Kennzeichnen Sie AI-Content, labeln Sie Ihren Chatbot, dokumentieren Sie Ihre Prozesse — und machen Sie weiter. Die echten Compliance-Herausforderungen treffen Big Tech, nicht Ihren E-Commerce-Shop. Aber Unwissenheit schützt vor Strafe nicht: Informieren Sie sich jetzt, setzen Sie die Basics um, und überprüfen Sie Ihre Prozesse einmal jährlich.

Häufig gestellte Fragen

Betrifft der AI Act meine normalen Facebook Ads?

Nein. Standard-Werbeanzeigen auf Meta, Google und anderen Plattformen fallen unter „Minimales Risiko.” Der Algorithmus, der Ihre Anzeigen ausspielt, ist Verantwortung der Plattform — nicht Ihre. Solange Sie keine AI-generierten Deepfakes oder synthetische Stimmen in Ihren Ads verwenden, ändert sich für Sie operativ nichts.

Muss ich AI-generierte Ad Copy kennzeichnen?

Textbasierte AI-Generierung (z.B. ChatGPT für Anzeigentexte) fällt unter minimales Risiko und erfordert aktuell keine Kennzeichnung. Die Kennzeichnungspflicht nach Art. 50 AI Act bezieht sich primär auf Inhalte, die menschliche Personen simulieren — synthetische Bilder, Videos, Stimmen (Deepfakes). Reine Textgenerierung ist nicht explizit eingeschlossen.

Was passiert, wenn ich den AI Act ignoriere?

Die Sanktionen staffeln sich nach Risikostufe. Für unzulässige AI-Praktiken: bis zu €35 Mio. oder 7 % des weltweiten Jahresumsatzes. Für Verstöße gegen spezifische Pflichten (z.B. fehlende Kennzeichnung): bis zu €15 Mio. oder 3 % des Umsatzes. Für die meisten KMU sind die realen Risiken deutlich niedriger — die DSB und BNetzA werden voraussichtlich mit Verwarnungen beginnen, nicht mit Maximalstrafen.

Wie unterscheidet sich der AI Act von der DSGVO?

Die DSGVO regelt den Umgang mit personenbezogenen Daten. Der AI Act regelt den Einsatz von AI-Systemen — unabhängig davon, ob personenbezogene Daten verarbeitet werden. Beide gelten parallel. In der Praxis bedeutet das: Wenn Ihr AI-System personenbezogene Daten verarbeitet (z.B. ein Chatbot, der Kundendaten sammelt), müssen Sie beide Regularien einhalten.

Gilt der AI Act auch für Schweizer Unternehmen?

Direkt nicht — die Schweiz ist kein EU-Mitglied. Aber der AI Act hat extraterritoriale Wirkung: Wenn ein Schweizer Unternehmen AI-Systeme anbietet oder einsetzt, die Personen in der EU betreffen, gelten die Regeln. Das ist dasselbe Prinzip wie bei der DSGVO. Schweizer Marken, die im DACH-Raum werben, sollten den AI Act wie eine EU-Pflicht behandeln.

Unsicher, ob Ihre Marketing-AI den neuen Regeln entspricht? Unser Tracking- und Compliance-Team prüft Ihre AI-Integrationen und sorgt dafür, dass Kennzeichnung und Dokumentation stimmen. Jetzt Beratung anfragen →