Der EU AI Act (KI-Verordnung) ist das weltweit erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz. Die EU-Verordnung teilt KI-Systeme nach ihrem Risiko in Stufen ein — von verbotenen Praktiken über Hochrisiko-Systeme mit strengen Auflagen bis zu Systemen mit bloßen Transparenzpflichten. Sie trat 2024 in Kraft, ihre Pflichten gelten gestaffelt und betreffen Anbieter wie auch Unternehmen, die KI beruflich einsetzen.
Was ist der EU AI Act?
Der EU AI Act, auf Deutsch KI-Verordnung, ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Es handelt sich um eine EU-Verordnung, die unmittelbar in allen Mitgliedstaaten gilt und KI-Systeme nach ihrem Risiko in Stufen einteilt. Der amtliche Text ist als Verordnung (EU) 2024/1689 bei EUR-Lex veröffentlicht.
Die Verordnung trat 2024 in Kraft, ihre Pflichten gelten jedoch gestaffelt über mehrere Jahre. Sie betrifft sowohl Anbieter, die KI-Systeme entwickeln, als auch Unternehmen, die solche Systeme beruflich einsetzen. Einen laufend aktualisierten Überblick zur Einordnung bietet der Artikel zur KI-Verordnung bei Wikipedia.
Wie funktioniert der risikobasierte Ansatz?
Der AI Act reguliert nicht die Technologie an sich, sondern ihren Einsatzzweck. Verboten sind bestimmte Praktiken wie das Social Scoring durch Behörden oder manipulative Systeme, die Menschen erheblich schaden können. Als Hochrisiko gelten KI-Systeme in sensiblen Bereichen, etwa bei der Bewerberauswahl, der Kreditvergabe, in kritischer Infrastruktur oder in der Rechtspflege; für sie gelten strenge Anforderungen an Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht.
Für die meisten Marketing-Anwendungen relevanter ist die Transparenzstufe. Wer mit einem KI-System interagiert, etwa einem Chatbot, muss darüber informiert werden. Bestimmte KI-generierte oder manipulierte Inhalte, insbesondere Deepfakes, sind zu kennzeichnen. Die Europäische Kommission fasst den Rahmen in ihrer Übersicht zum Regulierungsrahmen für KI zusammen.
Für Modelle mit allgemeinem Verwendungszweck, zu denen große Sprachmodelle gehören, gelten eigene Pflichten der Anbieter, etwa zu Dokumentation und Urheberrecht. Diese Modelle bilden die Basis vieler Werkzeuge der generativen KI, weshalb ihre Regulierung auch nachgelagerte Anwender betrifft.
Was bedeutet der AI Act für Unternehmen und Kanzleien?
Die meisten Unternehmen sind nicht Anbieter, sondern Betreiber von KI-Systemen: Sie nutzen fertige Werkzeuge wie ChatGPT, Bildgeneratoren oder KI-Funktionen in Marketing-Software. Für sie stehen Transparenz- und Sorgfaltspflichten im Vordergrund. KI-Chatbots müssen als solche erkennbar sein, kennzeichnungspflichtige Deepfake-Inhalte müssen markiert werden, und das Personal, das KI einsetzt, braucht ausreichende KI-Kompetenz.
Für Kanzleien kommt eine Besonderheit hinzu: KI-Einsatz in der Rechtspflege kann je nach Anwendung in höhere Risikoklassen fallen, und die berufsrechtliche Verantwortung bleibt ohnehin beim Berufsträger. Praktisch heißt das: dokumentieren, welche Werkzeuge im Einsatz sind, wofür sie genutzt werden, und Ergebnisse fachlich prüfen. Eine interne KI-Richtlinie im Unternehmen schafft dafür verbindliche Leitplanken, ebenso wie eine bewusste KI-Governance.
Der EU AI Act in der Marketing-Praxis
Im Marketing-Alltag sind vor allem drei Punkte relevant. Erstens Chatbots und KI-Assistenten auf der Website: Nutzer müssen erkennen können, dass sie mit einer Maschine kommunizieren, etwa bei einem KI-Chatbot für Websites. Zweitens KI-generierte Inhalte: Fotorealistische Darstellungen realer Personen oder Ereignisse sind kennzeichnungspflichtig, während für gewöhnliche KI-Texte und Illustrationen keine generelle Kennzeichnungspflicht besteht; die praktische Umsetzung berührt die KI-Kennzeichnungspflicht.
Drittens die Auswahl der Werkzeuge: Seriöse Anbieter dokumentieren ihre Konformität mit dem AI Act. Sinnvoll ist ein KI-Inventar analog zum Verzeichnis von Verarbeitungstätigkeiten aus der DSGVO: Welche Werkzeuge, welche Zwecke, welche Daten, welche Risikoklasse. Weitere Umsetzungshinweise veröffentlicht die Kommission fortlaufend auf ihrer Seite zum AI Act.
Wie bereitet man sich organisatorisch vor?
Eine sinnvolle Vorbereitung beginnt mit einer Bestandsaufnahme: Welche KI-Werkzeuge sind bereits im Einsatz, wer nutzt sie, und für welche Zwecke? Aus dieser Übersicht lässt sich ableiten, welche Anwendungen in eine höhere Risikoklasse fallen und wo Transparenzpflichten greifen. Diese Systematik überschneidet sich mit einer breiteren Compliance, die rechtliche Anforderungen in interne Abläufe übersetzt, und mit den Grundsätzen einer verantwortungsvollen KI-Ethik.
Neben der Dokumentation gehört die Schulung der Beschäftigten dazu, denn der AI Act verlangt ausreichende Kompetenz beim Personal, das KI einsetzt. Ein bewusster Umgang mit KI-Bias ist dabei zentral, weil verzerrte Trainingsdaten zu diskriminierenden Ergebnissen führen können, etwa in der Bewerberauswahl. Für Kanzleien fügt sich der AI Act in das ohnehin sensible Feld des KI im Kanzleimarketing ein, in dem die berufsrechtliche Verantwortung stets beim Berufsträger bleibt und auch Fragen des Urheberrechts an KI-Ausgaben zu klären sind.
Der AI Act neben DSGVO und weiteren Regeln
Der AI Act steht nicht für sich, sondern ergänzt bestehende Rechtsrahmen. Wo KI mit personenbezogenen Daten arbeitet, gilt parallel die Datenschutz-Grundverordnung mit ihren eigenen Pflichten. Beide Regelwerke sind gemeinsam zu beachten: Der AI Act regelt das KI-System, die DSGVO die Verarbeitung der Daten. Bei risikoreichen Anwendungen kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein.
Auch im Marketing entstehen Überschneidungen mit weiteren Vorgaben. Wird KI zur Erstellung werblicher Inhalte genutzt, bleiben die allgemeinen Regeln zur Werbekennzeichnung unberührt: Werbung muss als solche erkennbar sein, unabhängig davon, ob ein Mensch oder eine Maschine sie erstellt hat. Wer KI-Content einsetzt, sollte diese Pflichten zusammen denken, statt sie isoliert zu betrachten.
Für die Praxis heißt das: Der AI Act ist ein weiterer Baustein in einem ohnehin dichten Regelwerk, kein Ersatz für Datenschutz, Wettbewerbsrecht oder Urheberrecht. Ein Unternehmen, das seine KI-Nutzung dokumentiert und bestehende Prozesse einbezieht, erfüllt die neuen Anforderungen meist mit überschaubarem Zusatzaufwand, weil die Grundstruktur aus dem Datenschutz bereits vorhanden ist.
Grenzen, Zeitplan und offene Fragen
Der AI Act ist bewusst technologieoffen formuliert, was Auslegungsspielräume lässt. Viele Durchführungsdetails werden erst durch Leitlinien, Normen und delegierte Rechtsakte konkretisiert. Für Unternehmen bedeutet das, dass sich Anforderungen im Detail noch verändern können und eine laufende Beobachtung ratsam ist.
Auch die gestaffelte Geltung erfordert Aufmerksamkeit: Verbote, Transparenzpflichten und die Regeln für Hochrisiko-Systeme greifen zu unterschiedlichen Zeitpunkten. Wer KI im Marketing einsetzt, sollte interne Richtlinien regelmäßig anpassen und den Umgang mit Schatten-KI klären, also mit Werkzeugen, die ohne Freigabe genutzt werden. Der AI Act ergänzt bestehende Regeln zum Datenschutz bei KI-Tools, ersetzt sie aber nicht; beide Rechtsrahmen sind parallel zu beachten.