Der AI Act gilt: Fünf Situationen aus dem Betriebsalltag und was jetzt zu tun ist.

Seit dem 2. August gilt ein neuer Teil der KI-Verordnung. Darin geht es nur um eine Frage: Wann müssen Sie Ihren Kunden sagen, dass eine Maschine im Spiel war?

Sechs Tage vorher hat die EU an anderer Stelle Druck rausgenommen: Am 27. Juli ist der Digital Omnibus in Kraft getreten. Er schiebt die strengen Regeln für heikle Anwendungen um 16 Monate nach hinten. Wer nur darüber gelesen hat, denkt jetzt, der AI Act sei vom Tisch. Das gilt nur für den schwierigen Teil.

Betroffen sind fast alle: Nach der Bitkom-Studie setzen 41 Prozent der Unternehmen ab 20 Beschäftigten KI ein, weitere 48 Prozent planen es. Am weitesten verbreitet ist sie im Kundenkontakt und im Marketing.

Für einen normalen Betrieb lässt sich fast alles auf drei Sätze bringen.

Erstens: Wenn eine Maschine mit Ihren Kunden spricht, sagen Sie es ihnen.
Zweitens: Wenn ein KI-Bild echt aussieht, schreiben Sie dazu, dass es aus dem Rechner kommt.
Drittens: Wenn jemand Ihre Texte vor der Veröffentlichung liest, müssen Sie gar nichts kennzeichnen.

Fünf Fälle decken ab, was in einem normalen Betrieb vorkommt.

1. Texte, Angebote und Newsletter

Der häufigste Einsatz und zugleich der harmloseste. Artikel 50 Absatz 4 verlangt eine Kennzeichnung nur für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren.

Ein Angebot an einen Kunden fällt nicht darunter. Eine Werbemail auch nicht. Ein Newsletter über Gesetzesänderungen oder ein Blogbeitrag über die Lage in Ihrer Branche dagegen schon.

Diese Abgrenzung können Sie sich sparen, weil eine Ausnahme fast immer greift: Hat ein Mensch den Text inhaltlich geprüft und trägt jemand die Verantwortung dafür, entfällt die Kennzeichnung. Die Kommission stellt in ihren Erläuterungen zu Artikel 50 klar, dass ein Blick auf die Rechtschreibung dafür nicht genügt. Es muss jemanden geben, der den Inhalt verantwortet und ihn ändern darf.

Was zu tun ist: Legen Sie fest, wer jeden Text vor der Veröffentlichung liest. Damit ist der ganze Bereich erledigt, unabhängig davon, worüber Sie schreiben.

2. Bilder für Werbung und Social Media

Marketing und Kommunikation ist nach der Bitkom-Studie der zweitgrößte Einsatzbereich. Hier greift die Deepfake-Regel aus Artikel 50 Absatz 4. Sie trifft Bild-, Ton- und Videoinhalte, die etwas Existierendes nachbilden und dabei echt wirken.

Der klare Fall: Ein Autohaus stellt einen echten Wagen frei und setzt ihn vor eine Kulisse, an der er nie stand. Das Fahrzeug existiert, die Szene nicht.

Umstritten ist das frei erfundene Gesicht als Model. Nach den Erläuterungen der Kommission muss ein Inhalt etwas nachbilden, das es wirklich gibt, was ein erfundenes Gesicht nicht tut. Eine Kanzlei liest denselben Text anders. In der Werbung erledigt sich der Streit ohnehin meistens, weil das Model ein echtes Produkt hält oder in einem echten Laden steht.

Nicht gemeint ist normale Bildbearbeitung. Wer den Himmel aufhellt oder eine Mülltonne wegstempelt, macht daraus keinen Deepfake. Zeichnungen, Comics und offensichtlich unmögliche Motive brauchen ebenfalls keinen Hinweis.

Was zu tun ist: Jedes Bild kennzeichnen, das echt wirkt. Der Hinweis gehört sichtbar ans Bild, nicht ins Impressum.

3. Chatbot und Telefon-KI

Der Kundenkontakt ist laut Bitkom der mit Abstand größte Einsatzbereich für KI. Artikel 50 Absatz 1 verlangt, dass Menschen erfahren, wenn sie mit einer Maschine sprechen oder schreiben.

Ein Satz in der Begrüßung reicht: „Sie schreiben mit einem KI-Assistenten." Bei einer Telefonansage gehört der Hinweis an den Anfang, nicht ans Ende.

Es gibt eine Ausnahme für Fälle, in denen das ohnehin jeder merkt. Verlassen Sie sich nicht darauf. Die Kommission legt sie in ihren Leitlinien vom 20. Juli 2026 eng aus. Ein Name wie „Ihr Assistent" genügt ihr nicht.

Verpflichtet ist streng genommen der Anbieter des Systems, nicht Sie als Kunde. Nur steht der Hinweis eben auf Ihrer Website. Ihre Kunden fragen bei Ihnen nach.

Was zu tun ist: Öffnen Sie Ihr eigenes Chatfenster. Fehlt der Hinweis, fordern Sie ihn beim Anbieter an.

4. Vorauswahl bei Bewerbungen

In der Personalabteilung setzen laut Bitkom nur 14 Prozent der KI-Nutzer solche Systeme ein. Dafür ist es der Fall mit den strengsten Regeln.

Anhang III der Verordnung zählt Software, die Bewerbungen auswertet oder vorsortiert, zu den Hochrisiko-Systemen. Dazu gehören eine Risikobewertung, technische Dokumentation, Protokollierung und eine menschliche Aufsicht, die das Ergebnis überstimmen kann.

Diese Pflichten hätten seit dem 2. August gelten sollen. Der Digital Omnibus hat sie am 27. Juli auf den 2. Dezember 2027 verschoben, für KI in bereits regulierten Produkten sogar auf den 2. August 2028.

Zwei Dinge gelten trotzdem heute. Das Datenschutzrecht mit seinen Regeln zur automatisierten Entscheidung. Und Artikel 4 der Verordnung, der seit Februar 2025 verlangt, dass die Leute, die mit solchen Programmen arbeiten, sie auch verstehen. Fehlendes Know-how nennen 53 Prozent der Unternehmen selbst als größtes Hemmnis.

Was zu tun ist: Schulen Sie die Beteiligten und schreiben Sie auf, dass die Schulung stattgefunden hat. Den Rest legen Sie sich auf Frühjahr 2027 in den Kalender.

5. Stimmung und Gefühle messen

Artikel 5 verbietet seit dem 2. Februar 2025, mit künstlicher Intelligenz die Gefühle von Menschen am Arbeitsplatz oder in Bildungseinrichtungen zu erkennen. Gemeint ist zum Beispiel eine Software, die aus der Stimme am Telefon ableitet, wie gestresst oder wie motiviert ein Mitarbeiter klingt. Erlaubt bleibt das nur aus medizinischen Gründen oder aus Gründen der Sicherheit.

Bei Kunden liegt es anders. Wer auswertet, wie zufrieden Anrufer klingen, darf das. Nach Artikel 50 Absatz 3 müssen die Betroffenen aber informiert werden. Zusätzlich gilt das Datenschutzrecht.

Was zu tun ist: Bei Mitarbeitern abschalten. Bei Kunden in die Ansage und in die Datenschutzerklärung aufnehmen.

Was ein Verstoß kostet

Bei den Transparenzpflichten aus Artikel 50 bis zu 15 Millionen Euro oder drei Prozent vom weltweiten Jahresumsatz, je nachdem, was höher ist. Bei den verbotenen Anwendungen aus Artikel 5 bis zu 35 Millionen oder sieben Prozent.

Für kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Werte (Artikel 99). Zuständig sind die nationalen Marktüberwachungsbehörden.

Für Artikel 4, die Schulungspflicht, sieht die Verordnung übrigens gar kein Bußgeld vor. Der Sanktionskatalog führt ihn nicht auf. Wer damit droht, sagt Ihnen nicht die Wahrheit.

Der nächste Termin ist der 2. Dezember 2026

Bis dahin müssen KI-Werkzeuge ihre Ergebnisse so markieren, dass Programme sie als maschinell erzeugt erkennen. Darum kümmern sich die Hersteller. Alte Inhalte müssen Sie nicht nachträglich markieren.

Was zu tun ist: Im Dezember bei den Anbietern nachfragen, die Sie einsetzen.

Die wichtigsten Inhalte zusammengefasst

• Seit dem 2. August müssen Chatbot und Telefon-KI sagen, dass eine Maschine antwortet. KI-Bilder, die echt wirken, brauchen einen Hinweis.
• Texte sind der einfachste Fall. Liest ein Mensch sie vor der Veröffentlichung und verantwortet sie, entfällt jede Kennzeichnung.
• Bewerbungssoftware gehört zu den Hochrisiko-Systemen. Die Pflichten dafür sind auf den 2. Dezember 2027 verschoben. Datenschutz und Schulungspflicht gelten heute.
• Gefühlserkennung bei Mitarbeitern ist seit Februar 2025 verboten, mit dem höchsten Bußgeldrahmen der ganzen Verordnung.
• Für die Schulungspflicht selbst gibt es kein Bußgeld. Artikel 4 steht nicht im Sanktionskatalog.
• Der nächste Stichtag ist der 2. Dezember 2026. Dann müssen KI-Werkzeuge ihre Ergebnisse maschinenlesbar markieren, darum kümmern sich die Hersteller.

Unterm Strich sind es zwei Sätze in einer Begrüßung, ein Hinweis an ein paar Bildern und die Festlegung, wer Texte gegenliest. Das ist an einem Vormittag erledigt. Der Rest der Verordnung betrifft die meisten Betriebe frühestens 2027.