EU AI Act: Was Marken über die KI-Verordnung wissen müssen

Die KI-Verordnung der EU ist längst Realität. Seit August 2024 ist sie in Kraft. Seit Februar 2025 verbietet sie bestimmte Praktiken. Und seit dem 2. August 2026 gelten ihre Transparenzpflichten direkt für Marken, die mit KI Inhalte erstellen, das Einkaufserlebnis personalisieren oder ihre E-Commerce-Prozesse automatisieren.

Für Marketing-, Produkt- und Digitalteams stellt sich deshalb nicht mehr die Frage „Müssen wir uns damit beschäftigen?“. Entscheidend ist: „Wo fangen wir an?“ Hier erfährst du, was der AI Act konkret verlangt und was das für deine Produktdaten bedeutet.

Was ist der AI Act und für wen gilt er?

Die Verordnung (EU) 2024/1689 hat das Europäische Parlament am 13. März 2024 verabschiedet. Sie wurde am 12. Juli 2024 im Amtsblatt veröffentlicht und ist am 1. August 2024 in Kraft getreten. Ihr Ansatz richtet sich nach dem Risiko: Je mehr ein KI-System Sicherheit, Gesundheit oder Grundrechte von Menschen beeinträchtigen kann, desto strenger sind die Pflichten. Seitdem hat der Digital Omnibus zur KI die Verordnung geändert. Er gilt seit dem 27. Juli 2026 und passt den Zeitplan an.

Die KI-Verordnung gilt für alle, die ein KI-System auf dem EU-Markt entwickeln, vertreiben, einführen oder einsetzen. Das schließt Anbieter außerhalb der EU ein, sobald die Ergebnisse ihres Systems in der EU genutzt werden. Konkret: Nutzt deine Marke ein KI-Tool, um Produktdaten anzureichern, personalisierte Empfehlungen auszuspielen oder Marketinginhalte zu erstellen, betrifft dich der AI Act, auch wenn du die Technologie nicht selbst entwickelt hast. Die Verordnung unterscheidet zwei Rollen: den Anbieter, der ein KI-System entwickelt oder unter eigenem Namen vermarktet, und den Betreiber, der es im eigenen Geschäft einsetzt. Setzt deine Marke ein KI-Tool vom Markt ein, bist du Betreiber. Bringst du einen eigenen Assistenten unter deinem Namen an den Start, wirst du unter Umständen zusätzlich zum Anbieter.

Vier Risikostufen: Wo stehen Marken?

Der AI Act ordnet KI-Systeme vier Kategorien zu. Welche davon auf dich zutrifft, bestimmt deine tatsächlichen Pflichten.

Unannehmbares Risiko: seit Februar 2025 verbotene Praktiken

Seit dem 2. Februar 2025 sind bestimmte Praktiken verboten: Social Scoring, Verhaltensmanipulation und biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit Ausnahmen). Ab dem 2. Dezember 2026 kommen durch den Digital Omnibus zwei neue Verbote hinzu. Sie betreffen Systeme, die nicht einvernehmliche intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Diese Verbote zielen auf die invasivsten Anwendungen und haben mit klassischem Marketing nichts zu tun. Sie ziehen aber eine klare rote Linie.

Hohes Risiko: strenge Pflichten, spätere Fristen

Hochrisiko-Systeme betreffen sensible Felder wie Recruiting, Kreditvergabe, Gesundheit oder Justiz. Der Digital Omnibus, am 24. Juli 2026 im Amtsblatt veröffentlicht, hat ihre Pflichten verschoben: Eigenständige Systeme nach Anhang III, die ursprünglich ab dem 2. August 2026 konform sein mussten, haben jetzt bis zum 2. Dezember 2027 Zeit. Für KI in regulierten Produkten (Anhang I) gilt der 2. August 2028. Für Marken geht es dabei vor allem um automatisierte HR-Tools und manche Kreditsysteme, nicht um gängige Marketingtools.

Begrenztes Risiko: Hier stehen E-Commerce-Marken

Hier liegt der Großteil der KI-Anwendungen im Marketing: Chatbots, Content-Generatoren, Personalisierungstools, Produktempfehlungen. Für diese Systeme verlangt der AI Act vor allem Transparenz. Die Regeln stehen in Artikel 50 und gelten seit dem 2. August 2026.

Konkret heißt das: Informiere Nutzerinnen und Nutzer, wenn sie mit einer KI interagieren, und mach KI-generierte oder KI-veränderte Inhalte erkennbar.

Minimales Risiko: keine besonderen Pflichten

Spamfilter, Tools zur Datensortierung und Empfehlungssysteme ohne Auswirkung auf Grundrechte fallen in diese Kategorie. Regulatorische Pflichten gibt es hier keine, gute Praxis lohnt sich trotzdem.

Der Zeitplan nach dem Digital Omnibus

Der AI Act gilt schrittweise. So sieht der Zeitplan aus, den der Digital Omnibus seit dem 27. Juli 2026 vorgibt:

• 1. August 2024: Inkrafttreten der Verordnung
• 2. Februar 2025: Verbote (unannehmbares Risiko) und KI-Kompetenz
• 2. August 2025: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI)
• 2. August 2026: Allgemeine Anwendung, darunter die Transparenzpflichten (Artikel 50)
• 2. Dezember 2026: Markierung von Inhalten für generative KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, und neue Verbote
• 2. Dezember 2027: Hochrisiko-Pflichten nach Anhang III
• 2. August 2028: Hochrisiko-Pflichten nach Anhang I (regulierte Produkte)

Was der AI Act 2026 konkret von Marken verlangt

Transparenz bei KI-generierten Inhalten

Das ist die sichtbarste Pflicht für Marketing- und E-Commerce-Teams. Seit dem 2. August 2026 müssen Anbieter generativer KI-Tools die erzeugten Inhalte (Text, Bild, Audio, Video) maschinenlesbar markieren, etwa über Metadaten oder Wasserzeichen. Tools, die schon vor diesem Datum auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit. Als Orientierung hat die EU-Kommission am 10. Juni 2026 einen Verhaltenskodex zur Markierung und Kennzeichnung KI-generierter Inhalte veröffentlicht und am 20. Juli 2026 ihre Leitlinien zu Artikel 50.

Für Marken geht es um die sichtbare Kennzeichnung. Als Betreiber musst du Deepfakes offenlegen: Bilder, Videos oder Audios, die mit KI erzeugt oder verändert wurden, realen Personen, Gegenständen oder Orten ähneln und echt wirken. Auch KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, musst du kennzeichnen. Ausgenommen sind Texte, die ein Mensch geprüft hat und für die er die redaktionelle Verantwortung trägt.

In der Praxis lohnt ein genauer Blick: Ein retuschiertes Produktbild oder ein KI-generiertes Model gilt unter Umständen als Deepfake, wenn es echt wirkt. Ein Chatbot im Kundenservice fällt unter die Informationspflicht. Eine KI-generierte Produktbeschreibung musst du nach dem AI Act nicht sichtbar kennzeichnen, sie muss nach dem Verbraucherrecht aber korrekt sein. Prüfe außerdem, ob deine Tools die Markierung ihrer Inhalte erhalten.

Information bei der Interaktion mit KI

Bietet deine Website einen KI-Chatbot oder einen Einkaufsassistenten an, müssen Nutzerinnen und Nutzer wissen, dass sie mit einer KI sprechen, außer es ist offensichtlich. Verstöße gegen die Transparenzpflichten aus Artikel 50 werden mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist (für KMU gilt der niedrigere). In Deutschland überwacht die Bundesnetzagentur die Einhaltung der KI-Verordnung. Grundlage dafür ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das seit dem 29. Juli 2026 gilt.

KI-Kompetenz im Team

Seit Februar 2025 müssen Anbieter und Betreiber auf die KI-Kompetenz der Menschen achten, die in ihrem Auftrag mit KI-Systemen arbeiten. Der Digital Omnibus hat diese Pflicht neu gefasst: Seit dem 27. Juli 2026 ergreifst du Maßnahmen, die den Aufbau von KI-Kompetenz unterstützen. Ein bestimmtes Niveau pro Person musst du nicht garantieren, und eine zertifizierte Schulung ist nicht vorgeschrieben. Dokumentiere die Maßnahmen, die du triffst, als Teil deiner internen Governance.

Warum die Qualität deiner Produktdaten zur Compliance-Frage wird

Diesen Punkt haben die wenigsten Marken auf dem Schirm: Der AI Act verknüpft Compliance direkt mit der Qualität der Daten, mit denen KI-Systeme arbeiten.

Fehlerhafte oder nicht konforme Produktinformationen verbreiten sich schnell und in großem Umfang. Das schadet dem Vertrauen deiner Kundschaft und erhöht dein regulatorisches Risiko.

Nutzt du KI, um Produktbeschreibungen zu erstellen, Empfehlungen auszuspielen oder das Einkaufserlebnis zu personalisieren, hängt die Qualität der Ergebnisse direkt von der Qualität der Eingabedaten ab. Ohne saubere Produktdatenbasis (PIM) fehlt den Algorithmen verlässliches Material. Ein KI-Projekt beginnt fast immer mit einem Datenprojekt.

Die Governance-Funktionen eines PIM (Validierungsregeln, Freigabe-Workflows, Vollständigkeitsbewertung, Versionshistorie und Nachvollziehbarkeit) wirken wie ein Sicherheitsnetz. So stellst du sicher, dass die Produktdaten, die KI-Systeme verarbeiten, geprüft, freigegeben und angereichert sind: automatisiert und unter menschlicher Aufsicht.

Kurz gesagt: Ein gut strukturiertes PIM steigert deine Produktivität und wird zugleich zur Compliance-Infrastruktur für KI.

Was das für deine Marke heißt

Die Regulierung KI-generierter Inhalte markiert einen neuen Reifegrad im E-Commerce. Sie bringt Marken dazu, vom spontanen Experimentieren zu einem strukturierten, gesteuerten und nachhaltigen Vorgehen zu wechseln. Erfolgreich sind die Unternehmen, die KI klug einsetzen: auf Basis verlässlicher Produktdaten und in einem klaren, kontrollierten Rahmen.

Der AI Act setzt einen Rahmen, der Marken mit strukturiertem Datenmanagement von den übrigen unterscheidet. Hast du in eine zentrale Produktdatenbasis investiert, baut deine Compliance auf einem soliden Fundament auf. Fehlt sie, zeigt der AI Act die Lücken in deiner Data Governance.