„Davon haben wir nichts mitbekommen“ wird bald nicht mehr reichen, wenn es um KI im Arbeitsalltag geht.
Ab dem 2. August 2026 greifen zentrale Transparenzpflichten des EU AI Acts. Unternehmen müssen dann genauer wissen, wo sie KI einsetzen, welche Inhalte damit entstehen und wann Kundschaft, Bewerbende, Beschäftigte oder die Öffentlichkeit darüber informiert werden müssen.
Das klingt nach Regulierung. Tatsächlich geht es darum: Wer KI nutzt, braucht Ordnung im eigenen System. Der EU AI Act verlangt, dass Unternehmen Verantwortung übernehmen.
Denn KI steckt längst nicht mehr nur in ChatGPT. Sie steckt in Social-Media-Tools, Bewerbungssoftware, CRM-Systemen, Ads-Plattformen, Support-Chatbots, Bildgeneratoren, Übersetzungstools und Automatisierungen. Viele Teams nutzen KI täglich, ohne dass es im Unternehmen sauber dokumentiert ist.
Der AI Act trennt nicht nach Tool, sondern nach Risiko
Der EU AI Act bewertet KI nicht pauschal als gut oder schlecht. Er unterscheidet nach Risiko.
Ein Spamfilter ist etwas anderes als ein KI-System, das Bewerbungen vorsortiert. Ein Bildgenerator für Social Content ist etwas anderes als eine biometrische Identifikation. Ein interner Textassistent hat andere Risiken als ein Chatbot, der Kundschaft berät.
Die EU arbeitet dabei mit Risikoklassen:
- verbotene KI-Praktiken
- Hochrisiko-KI
- KI mit Transparenzpflichten
- KI mit geringem oder minimalem Risiko
Für Unternehmen ist vor allem wichtig: Nicht jede KI-Nutzung wird zum Compliance-Großprojekt. Aber jede KI-Nutzung sollte einmal sauber eingeordnet werden.
Oft wissen einzelne Teams sehr genau, welche Tools sie nutzen. Marketing nutzt KI für Texte und Bilder. HR nutzt KI für Stellenanzeigen oder Bewerbungsprozesse. Vertrieb nutzt KI für E-Mails. Support nutzt Chatbots. IT testet Automatisierungen. Aber für den AI Act reicht diese Grobübersicht nicht.
Ab August 2026 zählt sichtbare Kennzeichnung
Besonders relevant sind die Transparenzpflichten nach Artikel 50.
Dazu gehören mehrere Fälle: Menschen sollen erkennen können, wenn sie mit einem KI-System interagieren. KI-generierte Inhalte müssen in bestimmten Fällen als solche erkennbar sein. Deepfakes brauchen klare Hinweise. Und KI-generierte Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, können kennzeichnungspflichtig sein, sofern keine redaktionelle Prüfung mit Verantwortung erfolgt.
Für Marketing, Kommunikation und Social Media ist das beispielsweise für folgende KI-Inhalte relevant:
- KI-Texte für Blogartikel
- KI-generierte Social-Posts
- KI-Bilder für Kampagnen
- KI-Videos und Avatare
- automatische Übersetzungen
- synthetische Stimmen
- KI-Chatbots auf Websites
- KI-gestützte Anzeigenvarianten
Die Frage lautet also„Muss dieser Inhalt gekennzeichnet werden und können wir nachweisen, wie er entstanden ist?“
Ein KI-Hinweis ist kein Makel
Viele Unternehmen haben Sorge, dass KI-Kennzeichnung Inhalte abwertet. Aber ein klarer Hinweis kann Vertrauen schaffen. Gerade dann, wenn Kundschaft merkt: Dieses Unternehmen verschweigt KI nicht, sondern geht transparent damit um.
Ein guter Hinweis muss nicht kompliziert sein. Er muss verständlich sein. Zum Beispiel:
– „Dieser Beitrag wurde mit Unterstützung von KI erstellt und redaktionell geprüft.“
– „Bildmotiv KI-generiert.“
– „Du sprichst mit einem KI-gestützten Assistenzsystem.“
Welche Formulierung im Einzelfall passt, hängt vom Einsatz ab. Ein interner Entwurf braucht andere Regeln als eine veröffentlichte Anzeige. Ein KI-generiertes Symbolbild ist anders zu bewerten als ein Video, das eine reale Person täuschend echt nachbildet.
Unternehmen sollten nicht jedes Mal neu überlegen. Sie brauchen Standards.
Deutsche KI-Souveränität hat ein Glaubwürdigkeitsproblem
Viele deutsche KI-Unternehmen sprechen über digitale Souveränität, setzen im Hintergrund aber auf US-Technologie.
Eine GreenPT-Untersuchung, über die Basicthinking berichtet, zeigt genau diese Lücke. Untersucht wurden 514 öffentlich auffindbare deutsche KI-Unternehmen. 221 davon legen öffentlich offen, welche Modellanbieter sie nutzen. Von diesen offenlegenden Unternehmen hängt laut GreenPT etwa die Hälfte von US-Frontier-Anbietern ab. Dazu zählen OpenAI, Anthropic, Google, Microsoft oder AWS.
Das ist nicht automatisch falsch.
US-Modelle sind leistungsfähig, schnell verfügbar und oft tief in bestehende Workflows integriert. Viele Unternehmen nutzen sie aus pragmatischen Gründen. Problematisch wird es dort, wo nach außen Souveränität, EU-Datenresidenz oder On-Prem-Betrieb versprochen wird, während im Hintergrund geschlossene US-Proprietärmodelle laufen. Laut GreenPT vermarkten 173 der untersuchten 514 Unternehmen aktiv Souveränität oder EU-Datenresidenz. 72 davon nutzen trotzdem ein US-Proprietärmodell. Besonders auffällig ist diese Lücke in Bereichen wie Recht, HR, Verwaltung und Finanzen.
Souveränität ist kein Marketingwort
Digitale Souveränität bedeutet nicht: „Wir haben irgendwo einen europäischen Server.“
Es geht um echte Kontrolle:
- Wo liegen Daten?
- Welches Modell verarbeitet sie?
- Wer betreibt die Infrastruktur?
- Werden Daten zum Training genutzt?
- Welche Subdienstleister sind beteiligt?
- Welche Rechtsräume greifen?
- Gibt es Exit-Optionen?
- Können Ergebnisse geprüft und dokumentiert werden?
Viele Unternehmen müssen hier ehrlicher werden. Nicht jedes Team braucht ein eigenes Modell. Nicht jeder Use Case verlangt europäische Infrastruktur. Für einfache Textentwürfe kann ein Standardtool völlig ausreichen. Für sensible Daten, HR-Prozesse, Kundenkommunikation, medizinische Inhalte oder rechtliche Bewertungen sieht das anders aus.
Souveränität heißt deshalb nicht immer: alles selbst bauen.
Souveränität heißt: wissen, was man nutzt, warum man es nutzt und welche Risiken damit verbunden sind.
KI-Kompetenz ist seit Februar 2025 kein Nice-to-have mehr
Ein oft unterschätzter Teil des AI Acts ist die Pflicht zur KI-Kompetenz. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen dafür sorgen, dass Personen, die mit KI arbeiten, ausreichende Kenntnisse haben. Das ist keine reine Schulungsformalie. KI-Kompetenz bedeutet nicht, einmal einen Prompting-Workshop zu besuchen und danach weiterzumachen wie vorher.
Beschäftigte müssen verstehen:
- welche Grenzen KI-Systeme haben
- warum Ergebnisse geprüft werden müssen
- welche Daten nicht in Tools gehören
- wann Kennzeichnung nötig ist
- wie Bias und Fehler entstehen können
- welche Verantwortung beim Menschen bleibt
- welche internen Regeln gelten
Gerade in Marketing, HR, Vertrieb, Support und Verwaltung ist das wichtig. Dort arbeiten viele Teams direkt mit KI-Ausgaben, ohne technische Spezialrolle. Der AI Act macht damit klar: KI ist kein reines IT-Thema. KI ist ein Organisationsthema.
Hochrisiko-KI trifft vor allem HR, Bildung und kritische Entscheidungen
Nicht jedes KI-Tool fällt in den Hochrisikobereich. Aber bestimmte Einsatzfelder sollten Unternehmen sehr genau prüfen.
Dazu gehören unter anderem KI-Systeme in Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit. Ein Beispiel ist Software, die Lebensläufe vorsortiert oder Bewerbende bewertet. Auch KI in Bildung, kritischer Infrastruktur, Zugang zu wichtigen privaten oder öffentlichen Leistungen, Migration, Strafverfolgung oder Justiz kann unter Hochrisiko-Regeln fallen.
Für Hochrisiko-KI gelten deutlich strengere Anforderungen: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibenden, menschliche Aufsicht, Robustheit, Cybersicherheit und Genauigkeit.
Transparenz beginnt mit einem KI-Inventar
Der erste Schritt ist eine Liste. Jedes Unternehmen sollte erfassen, wo KI eingesetzt wird:
- Toolname
- Team oder Abteilung
- Zweck
- verarbeitete Daten
- verwendetes Modell oder Anbieter
- Output-Art: Text, Bild, Video, Audio, Entscheidung, Empfehlung
- interne oder externe Nutzung
- mögliche Betroffenengruppen
- Kennzeichnung nötig: ja, nein, unklar
- verantwortliche Person
- Freigabeprozess
Marketing braucht eigene KI-Regeln
Für Marketing-Teams wird der AI Act besonders spürbar, weil dort viele KI-Inhalte veröffentlicht werden.
Deshalb braucht Marketing klare Regeln:
KI-Texte:
Wurden sie nur als Entwurf genutzt oder vollständig generiert? Gab es eine redaktionelle Prüfung? Geht es um ein Thema von öffentlichem Interesse?
KI-Bilder:
Handelt es sich um Symbolbilder, Produktdarstellungen, Personenbilder oder täuschend echte Szenen? Muss das Bild gekennzeichnet werden?
KI-Videos und Stimmen:
Werden reale Personen imitiert? Gibt es synthetische Stimmen? Könnte das Publikum glauben, eine echte Person spreche?
KI-Ads:
Welche Plattform verlangt welche Offenlegung? Sind KI-generierte Assets dokumentiert?
Chatbots:
Ist für Nutzende klar, dass sie mit KI interagieren? Gibt es eine Übergabe an Menschen?
Ein pragmatischer 30-Tage-Plan
Unternehmen müssen nicht alles auf einmal lösen. Aber sie sollten anfangen.
Woche 1: KI-Nutzung sammeln
Alle Teams melden, welche KI-Tools sie nutzen. Keine Bewertung, keine Schuldzuweisung. Nur erfassen.
Woche 2: Risiken sortieren
Welche Tools verarbeiten personenbezogene Daten? Welche Inhalte werden veröffentlicht? Welche Systeme beeinflussen Entscheidungen über Menschen?
Woche 3: Kennzeichnung definieren
Standardhinweise für KI-Texte, Bilder, Videos, Stimmen und Chatbots festlegen. Dazu klare Regeln, wann sie genutzt werden.
Woche 4: Verantwortlichkeiten klären
Wer prüft KI-Inhalte? Wer bewertet neue Tools? Wer dokumentiert Anbieter? Wer gibt sensible Use Cases frei?
Das ist noch keine vollständige Compliance. Aber es ist der Unterschied zwischen Blindflug und Steuerung.
Keine Panik, aber auch kein Wegducken
Der EU AI Act ist kein Verbot von KI. Er zwingt Unternehmen nur dazu, KI nicht nebenbei laufen zu lassen. Wer KI nutzt, muss wissen, wofür, mit welchen Daten, mit welchem Anbieter und mit welcher Wirkung.
Die GreenPT-Zahlen zeigen: Selbst KI-Unternehmen kommunizieren Souveränität nicht immer sauber. Viele setzen auf Anbieter, die nicht zu ihren eigenen Versprechen passen. Für normale Unternehmen dürfte diese Lücke oft noch größer sein.
KI-Transparenz wird ab August 2026 sichtbarer Teil professioneller Kommunikation. Unternehmen, die jetzt Standards bauen, wirken vorbereitet. Unternehmen, die warten, müssen später hektisch reparieren.
