EU AI Act ab August 2026: Was B2B-Mittelständler jetzt wissen und tun müssen
- Stefan Bach
- 6. Mai
- 4 Min. Lesezeit
Aktualisiert: vor 4 Tagen
TL;DR: Am 2. August 2026 treten die Pflichten für Hochrisiko-KI-Systeme aus dem EU AI Act in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik wird die Marktüberwachung übernehmen und kann Bußgelder verhängen — bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Mittelständler greifen reduzierte Obergrenzen. Welche KI-Anwendungen Marketing-Abteilungen wirklich betreffen, was Hochrisiko von minimal unterscheidet, und was bis zum Stichtag dokumentiert sein muss.
Vier Risikoklassen, eine Frage
Der EU AI Act unterscheidet vier Risikoklassen: unakzeptabel, hoch, begrenzt und minimal. Eine offizielle Übersicht der EU-Kommission listet die jeweiligen Pflichten — und macht zugleich deutlich, dass die meisten Marketing-Anwendungen in den unteren Klassen liegen. Eine ChatGPT-gestützte Newsletter-Erstellung gilt als minimal-risikoreich, ein Bildgenerator für Social-Media-Posts ebenfalls. Diese Anwendungen brauchen weder Konformitätsbewertung noch externe Prüfung.
Das ist die gute Nachricht. Die nicht ganz so gute: Sobald KI-Systeme zur Bewertung von Bewerbungen, zur Kreditwürdigkeitsprüfung, zur biometrischen Erkennung oder zur automatisierten Entscheidung über Versicherungs- oder Vertragsangelegenheiten eingesetzt werden, verschiebt sich die Klassifizierung in den Hochrisiko-Bereich. Der Artificial Intelligence Act Service Desk listet die exakten Anwendungen in einer offiziellen Hochlevel-Zusammenfassung auf — und im Marketing-Kontext betrifft das vor allem Lead-Scoring auf Basis personenbezogener Daten, vollautomatische Customer-Support-Chatbots und KI-gestützte Targeting-Systeme, die mit sensiblen Attributen arbeiten.
Was am 2. August 2026 wirklich passiert
Der Stichtag wird gelegentlich als pauschaler EU-AI-Act-Tag dargestellt, ist aber präziser. An diesem Datum werden die Pflichten für Hochrisiko-KI-Systeme nach Annex III des Gesetzes vollständig durchsetzbar. Das BSI übernimmt in Deutschland die nationale Marktüberwachung und kann ab diesem Tag aktiv prüfen, Bußgelder verhängen, den Betrieb eines KI-Systems untersagen oder Rückrufe anordnen. Eine Übersicht der Anwaltskanzlei Sage hat die Anforderungen für den Mittelstand kompakt zusammengefasst.
Parallel dazu treten die Sanktionen in Kraft. Artikel 99 des Gesetzes regelt die Bußgelder. Wer gegen verbotene KI-Praktiken verstößt, riskiert bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Wer Hochrisiko-Pflichten missachtet, riskiert bis zu 15 Millionen oder 3 Prozent. Wer falsche oder unvollständige Informationen an Aufsichtsbehörden liefert, bis zu 7,5 Millionen oder 1 Prozent. Mittelständler profitieren von einer Sonderregel: Es gilt jeweils der niedrigere der beiden Beträge.
GPAI: Was die Modelle selbst betrifft
Eine zweite Kategorie wirkt indirekt auf jeden, der KI-Tools einsetzt: die Pflichten für General Purpose AI Models. Artikel 51 bis 55 des EU AI Act regeln, was Anbieter von Modellen wie GPT-5.5, Claude Opus 4.7, Gemini 3 oder Mistral Large vorlegen müssen — von Trainings-Daten-Transparenz bis zu Risikobewertungen. Eine spezifische Pflicht aus Artikel 55 betrifft Modelle mit systemischem Risiko: Sie müssen ihre Entwicklungsprozesse dokumentieren und externe Bewertungen ermöglichen.
Für Mittelständler relevant: Diese Pflichten liegen bei den Anbietern, nicht bei den Nutzern. Wer ChatGPT in seinem Marketing einsetzt, muss nicht selbst die GPAI-Pflichten erfüllen — aber er sollte sicherstellen, dass das verwendete Modell von einem Anbieter stammt, der seine GPAI-Pflichten erfüllt. Praktisch bedeutet das: kommerzielle Modelle bevorzugen, deren Anbieter veröffentlichte Compliance-Dokumentation haben. Die EU-Leitlinien für GPAI-Anbieter geben einen Überblick, welche Anforderungen seit August 2025 gelten.
Die Marketing-Abteilungs-Checkliste
Was muss bis zum 2. August 2026 in einer Mittelstand-Marketing-Abteilung dokumentiert sein? Fünf Punkte:
Erstens: Eine Liste aller eingesetzten KI-Tools, mit Anbieter, Use-Case und Risikoklassen-Einschätzung. Diese Liste sollte mindestens vierteljährlich gepflegt werden, weil neue Tools in Marketing-Teams oft schnell und unkoordiniert auftauchen.
Zweitens: Ein Nachweis der KI-Kompetenz der Mitarbeitenden. Artikel 4 des EU AI Act gilt bereits seit Februar 2025 und verlangt, dass Personal, das mit KI arbeitet, über grundlegende Kompetenzen verfügt. Eine kurze interne Schulung, ein dokumentiertes Train-the-Trainer-Format oder ein extern zertifiziertes Online-Modul reichen — wichtig ist die Dokumentation.
Drittens: Eine Auftragsverarbeitungsvereinbarung mit jedem KI-Anbieter, dessen Tools personenbezogene Daten verarbeiten. Diese DSGVO-Pflicht überlappt mit der EU-AI-Act-Logik und ist bei US-Anbietern oft erst nach expliziter Anfrage erhältlich.
Viertens: Eine Transparenz-Kennzeichnung für KI-generierte Inhalte, die in Kundenkommunikation gehen. Artikel 50 verlangt das für bestimmte Kontexte — der Schutzgedanke ist die Kennzeichnung von Deepfakes, aber die Praxis im B2B-Marketing ist breiter. Eine schlichte Notiz im E-Mail-Footer oder eine Kategorie auf der Website reicht in den meisten Fällen.
Fünftens: Eine Eskalations-Routine für den Fall, dass ein eingesetztes Tool von einem minimalen in einen höheren Risikobereich rutscht — etwa weil eine neue Funktion (Lead-Scoring, automatische Priorisierung von Bewerbungen) hinzukommt. Die Tool-Liste aus Punkt eins sollte ausdrücklich auch neue Funktionen erfassen.
Verschiebung — und warum sie nichts ändert
Die EU-Kommission diskutiert eine Verschiebung der Hochrisiko-Pflichten auf Dezember 2027. Diese Diskussion ist real und wird von Brancheninteressen mitbetrieben. Für Mittelständler ist die Verschiebung im Tagesgeschäft aber irrelevant: Die KI-Kompetenzpflicht aus Artikel 4 gilt seit Februar 2025 unabhängig davon, die DSGVO-Pflichten gelten ohnehin, und die Transparenz-Pflicht aus Artikel 50 ist im B2B-Mittelstand ohne große Schmerzen umsetzbar. Wer die fünf Punkte oben jetzt aufsetzt, hat sie bei einer Verschiebung als kostenlosen Vorlauf — und kann den Aufwand entzerren.
Häufige Fragen
Welche Risikoklassen unterscheidet der EU AI Act?
Vier: unakzeptabel, hoch, begrenzt und minimal. Die meisten Marketing-Anwendungen liegen in den unteren Klassen — eine ChatGPT-gestützte Newsletter-Erstellung gilt als minimales Risiko. Entscheidend ist die Einordnung der konkreten Anwendung, nicht des Tools allgemein.
Wer überwacht den EU AI Act in Deutschland?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) übernimmt die Marktüberwachung und kann Bußgelder verhängen — bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Mittelständler greifen reduzierte Obergrenzen.
Was muss bis zum 2. August 2026 dokumentiert sein?
Ab diesem Stichtag greifen die Pflichten für Hochrisiko-Systeme. Die meisten Marketing-Anwendungen sind nicht hochriskant, dennoch sollten die eingesetzten KI-Systeme, ihre Zweckbestimmung und die Risikoeinordnung dokumentiert sein — das ist die Grundlage jeder Compliance-Prüfung.
Hinweis zur DSGVO und zum EU AI Act: Eine Auftragsverarbeitungsvereinbarung mit dem KI-Anbieter, eine dokumentierte KI-Kompetenz der Mitarbeitenden und eine schlichte Transparenz-Kennzeichnung KI-generierter Inhalte sind die drei Bausteine, die in jeder Mittelstand-Marketing-Abteilung bis 2. August 2026 stehen sollten.
EU-AI-Act-Begleitung für Marketing-Teams
Stefan Bach ist TÜV-zertifizierter Datenschutzbeauftragter und begleitet Mittelständler bei der konkreten Umsetzung der EU-AI-Act-Pflichten in Marketing-Abteilungen — ohne juristische Komplexitäts-Show, mit umsetzbaren Checklisten. Erstgespräch: bach@wildbachdigital.de, +49 521 80 06 98 32.
Weiterlesen im Cluster
Thematisch passende Beiträge im Cluster:
Kommentare