EU AI Act
Was ist der EU AI Act?
Der EU AI Act ist eine unmittelbar geltende Verordnung der Europäischen Union für künstliche Intelligenz. Er ordnet KI-Systeme nach ihrem Risiko und legt für Anbieter, Betreiber, Importeure und Händler abgestufte Pflichten fest. Dazu gehören Verbote, Transparenzvorgaben, Risikomanagement, Dokumentation, menschliche Aufsicht und Anforderungen an KI-Kompetenz.
Der EU AI Act schafft einen einheitlichen Rechtsrahmen für die Entwicklung, Bereitstellung und Nutzung künstlicher Intelligenz in der Europäischen Union. Seine offizielle Bezeichnung lautet Verordnung (EU) 2024/1689. Die Vorschriften gelten auch für Unternehmen außerhalb der EU, wenn ihre KI-Systeme oder deren Ergebnisse auf dem europäischen Markt eingesetzt werden.
Was regelt der EU AI Act?
Der EU AI Act verfolgt einen risikobasierten Ansatz: Je größer die möglichen Auswirkungen eines KI-Systems auf Sicherheit, Gesundheit oder Grundrechte sind, desto umfangreicher fallen die gesetzlichen Anforderungen aus. Ein einfacher Spamfilter unterliegt deshalb anderen Vorgaben als eine KI, die Bewerber bewertet oder über den Zugang zu wesentlichen Dienstleistungen mitentscheidet.
Die Verordnung unterscheidet mehrere Rollen. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt. Ein Betreiber setzt das System beruflich ein. Daneben kennt die Verordnung Importeure, Händler, Bevollmächtigte und Hersteller von Produkten, in die KI integriert ist. Ein Unternehmen kann abhängig vom jeweiligen Anwendungsfall mehrere Rollen übernehmen.
Risikoklassen des EU AI Act
Die Einordnung richtet sich nach dem vorgesehenen Verwendungszweck und dem konkreten Einsatzkontext. Entscheidend ist daher nicht allein, welches Modell verwendet wird. Dasselbe Sprachmodell kann in einem allgemeinen Textassistenten ein geringes Risiko haben und als Bestandteil eines sensiblen Entscheidungsprozesses strengeren Regeln unterliegen.
| Kategorie | Typische Beispiele | Rechtsfolge |
|---|---|---|
| Verbotene Praktiken | Bestimmte manipulative Anwendungen, unzulässiges Social Scoring oder bestimmte Formen biometrischer Kategorisierung | Bereitstellung und Nutzung sind grundsätzlich untersagt. |
| Hochrisiko-KI | Bestimmte Systeme in Beschäftigung, Bildung, kritischer Infrastruktur, Strafverfolgung oder bei wesentlichen Dienstleistungen | Umfangreiche Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Aufsicht und Überwachung |
| Transparenzpflichtige KI | Chatbots, Deepfakes und bestimmte KI-generierte oder manipulierte Inhalte | Nutzer müssen je nach Fall über den KI-Einsatz oder die künstliche Erzeugung informiert werden. |
| Geringes oder minimales Risiko | Viele Assistenzsysteme, Filter, Analysewerkzeuge und interne Produktivitätsanwendungen | In der Regel keine besonderen produktspezifischen Pflichten, allgemeine Vorschriften bleiben anwendbar. |
Welche Pflichten gelten ab wann?
Der EU AI Act trat am 1. August 2024 in Kraft und wird schrittweise anwendbar. Seit dem 2. Februar 2025 gelten unter anderem die Verbote bestimmter KI-Praktiken und die Pflicht, bei Mitarbeitern und anderen beteiligten Personen ein angemessenes Maß an KI-Kompetenz sicherzustellen. Seit dem 2. August 2025 greifen außerdem wesentliche Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck.
Der überwiegende Teil der Verordnung gilt ab dem 2. August 2026. Für bestimmte Hochrisiko-Systeme, die als Sicherheitskomponente eines regulierten Produkts eingesetzt werden oder selbst ein solches Produkt sind, beginnt die Anwendung grundsätzlich am 2. August 2027. Übergangsregeln können davon abhängen, wann ein System oder Modell auf den Markt gebracht und ob es später wesentlich verändert wurde.
EU AI Act Checkliste 2026
Unternehmen sollten zunächst sämtliche KI-Anwendungen erfassen, anstatt nur öffentlich sichtbare Werkzeuge zu prüfen. Zur Bestandsaufnahme gehören auch Funktionen in Werbeplattformen, Analyseprogrammen, CRM-Systemen, Bewerbermanagement, Kundenservice, Content-Produktion und internen Softwarelösungen.
Die Pflicht zur KI-Kompetenz verlangt keine identische Schulung für alle Mitarbeiter. Umfang und Tiefe sollten sich an Rolle, Erfahrung, Einsatzgebiet und möglichen Auswirkungen orientieren. Ein Content-Manager benötigt andere Kenntnisse als ein Entwickler oder ein Mitarbeiter, der KI-Ergebnisse für Personalentscheidungen bewertet.
EU AI Act im Online-Marketing
Für SEO, SEA und Content-Marketing sind vor allem Transparenz, KI-Kompetenz, Datenverantwortung und dokumentierte Freigabeprozesse relevant. Die Nutzung generativer KI zum Erstellen von Textentwürfen, Anzeigenvarianten oder Keyword-Clustern ist nicht pauschal verboten. Unternehmen müssen jedoch prüfen, ob Kennzeichnungspflichten, Urheberrechte, Datenschutz, Branchenregeln oder vertragliche Vorgaben berührt werden.
Auswirkungen auf SEO und Content
Der EU AI Act bewertet KI-Inhalte aus rechtlicher Sicht, während Suchmaschinen Inhalte nach Qualität, Relevanz und Nutzen einordnen. Eine gesetzlich zulässige Veröffentlichung erhält daher nicht automatisch gute Rankings. Umgekehrt ist ein KI-unterstützter Text nicht allein wegen seiner Erstellungsmethode minderwertig. Für organische SEO-Sichtbarkeit zählen weiterhin überprüfbare Aussagen, redaktionelle Verantwortung und ein klarer Mehrwert, wie auch die Einordnung zu den Regeln für KI-Texte bei Google zeigt.
Bei Texten über Themen von öffentlichem Interesse können besondere Transparenzanforderungen relevant werden. Die Verordnung sieht Ausnahmen vor, wenn KI-generierte Inhalte einer menschlichen Prüfung oder redaktionellen Kontrolle unterliegen und eine Person oder Organisation die redaktionelle Verantwortung trägt. Unternehmen sollten diesen Prozess belegbar festhalten, statt sich allein auf eine allgemeine Freigabe zu verlassen.
Auswirkungen auf SEA und Werbung
Im SEA betrifft der EU AI Act unter anderem automatisch erzeugte Anzeigen, Bilder, Videos, Avatare und dialogbasierte Werbesysteme. Bei Deepfakes oder künstlich erzeugten Medien können Offenlegungspflichten greifen. Zusätzlich bleiben das Wettbewerbsrecht, Plattformregeln und Informationspflichten gegenüber Verbrauchern bestehen.
Automatische Gebotsstrategien oder Zielgruppenmodelle sind nicht allein deshalb Hochrisiko-KI, weil sie maschinelles Lernen verwenden. Eine strengere Bewertung kann erforderlich werden, wenn ein System sensible Merkmale verarbeitet, Menschen unzulässig kategorisiert oder außerhalb klassischer Werbung über wesentliche Zugänge und Chancen entscheidet.
Auswirkungen auf GEO
GEO bedeutet Generative Engine Optimization und beschreibt Maßnahmen für die Auffindbarkeit in generativen Suchsystemen. Der EU AI Act verändert diese Disziplin vor allem indirekt: Unternehmen benötigen nachvollziehbare Quellen, belastbare Aussagen und klare Verantwortlichkeiten, wenn KI-Systeme ihre Inhalte verarbeiten, zusammenfassen oder als Antwortquelle nutzen.
GEO-Monitoring sollte deshalb Empfehlungen und Erwähnungen getrennt von rechtlicher Compliance auswerten. Das Messen von Erwähnungen in KI-Antworten zeigt, ob eine Marke in generativen Systemen erscheint. Ob der eigene KI-Einsatz die regulatorischen Anforderungen erfüllt, muss dagegen über Inventar, Rollenprüfung, Dokumentation und Freigabeprozesse beurteilt werden.
Abgrenzung zu DSGVO und KI-Ethik
Der Unterschied zwischen EU AI Act und Datenschutz-Grundverordnung liegt im Regelungsgegenstand. Der EU AI Act reguliert KI-Systeme anhand ihrer Risiken und Marktrollen. Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. Bei einer KI-Anwendung können beide Vorschriften gleichzeitig gelten, etwa wenn ein Chatbot Kundendaten verarbeitet oder ein System Profile natürlicher Personen erstellt.
Der Unterschied zwischen dem EU AI Act und internen KI-Richtlinien liegt in ihrer Verbindlichkeit. Die Verordnung enthält gesetzliche Anforderungen und mögliche Sanktionen. Eine interne Richtlinie übersetzt diese Vorgaben in konkrete Abläufe, etwa erlaubte Werkzeuge, Freigabegrenzen, Dokumentationspflichten und Zuständigkeiten. Sie kann zudem Qualitäts- oder Ethikregeln enthalten, die über das gesetzliche Minimum hinausgehen.
Praxis: KI-Einsatz sauber organisieren
Ein belastbarer Prozess beginnt mit einem zentralen KI-Inventar. Marketing, IT, Einkauf, Personalabteilung und Rechtsberatung sollten dabei zusammenarbeiten, weil KI-Funktionen häufig bereits in vorhandener Software aktiviert sind. Im Agenturalltag zeigt sich besonders oft, dass Unternehmen bekannte Textwerkzeuge erfassen, eingebettete KI-Funktionen ihrer Plattformen jedoch zunächst übersehen.
Für Marketing-Abteilungen eignet sich ein Freigabemodell nach Anwendungsfall. Ein interner Themenentwurf benötigt meist weniger Kontrolle als ein Gesundheitsratgeber, eine personalisierte Werbeaussage oder ein synthetisches Video mit einer real wirkenden Person. Der Prüfaufwand sollte mit dem möglichen Schaden und der Reichweite des Inhalts steigen.
Technische Messung kann die Governance ergänzen, ersetzt sie aber nicht. Das KI-Analyse-Tool für ChatGPT, Perplexity, Gemini und Grok erfasst beispielsweise KI-Sichtbarkeit und genutzte Quellen. Für die rechtliche Bewertung braucht ein Unternehmen zusätzlich dokumentierte Zwecke, Rollen, Anbieterinformationen und menschliche Kontrollschritte.
Wenn du KI-Prozesse für SEO, SEA und GEO strukturiert prüfen und priorisieren möchtest, kann ein Potenzialcheck den aktuellen Stand von Daten, Abläufen und Messung einordnen.
Häufige Fragen zum EU AI Act
Für welche Unternehmen gilt der EU AI Act?
Der EU AI Act gilt für Anbieter und Betreiber von KI-Systemen in der EU. Auch Unternehmen außerhalb der EU können erfasst sein, wenn sie KI-Systeme in der Union anbieten oder deren Ergebnisse dort verwendet werden. Die Unternehmensgröße allein entscheidet nicht über die Anwendbarkeit.
Sind KI-generierte Texte durch den EU AI Act verboten?
Nein, KI-generierte Texte sind nicht pauschal verboten. Je nach Inhalt, Zweck und Veröffentlichung können jedoch Transparenzpflichten sowie weitere Anforderungen aus Urheberrecht, Datenschutz, Wettbewerbsrecht oder Branchenvorschriften gelten.
Müssen Unternehmen jeden KI-Inhalt kennzeichnen?
Nein, es besteht keine allgemeine Kennzeichnungspflicht für jeden KI-unterstützten Inhalt. Besondere Vorgaben gelten unter anderem für bestimmte synthetische Inhalte, Deepfakes und Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse. Der konkrete Einsatz muss einzeln geprüft werden.
Wer ist im Unternehmen für den EU AI Act verantwortlich?
Die Verantwortung sollte klar zwischen Geschäftsleitung, Fachabteilungen, IT, Einkauf, Datenschutz und Rechtsberatung verteilt werden. Fachabteilungen dokumentieren den Zweck, während technische und rechtliche Stellen Risiken, Datenverarbeitung und Anbieterinformationen prüfen.
Welche Strafen sieht der EU AI Act vor?
Bei besonders schweren Verstößen können Geldbußen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen. Für andere Verstöße gelten niedrigere Höchstgrenzen. Die konkrete Sanktion hängt unter anderem von Art, Schwere und Dauer des Verstoßes ab.
Brauchen Mitarbeiter eine Schulung zum EU AI Act?
Unternehmen müssen ein ausreichendes Maß an KI-Kompetenz bei Mitarbeitern und weiteren Personen sicherstellen, die KI-Systeme in ihrem Auftrag betreiben oder nutzen. Inhalt und Umfang richten sich nach Kenntnissen, Aufgaben, Einsatzkontext und möglichen Auswirkungen des Systems.
Sie haben noch Fragen?
