Der EU AI Act kommt 2026. Dein Marketing könnte davon betroffen sein. (Spoiler: es ist trivial.)

Es war Dienstag, 14:22 Uhr. Anruf von einem Optiker aus Hannover. "David, ich hab gerade einen LinkedIn-Post gelesen. Der EU AI Act kommt 2026 und ab sofort brauche ich einen KI-Compliance-Officer, eine Impact-Assessment-Dokumentation und eine externe Audit-Behörde." Pause. "Stimmt das?"

Nein. Fast alles falsch.

Der EU AI Act ist echt. Er kommt am 02. Februar 2026. Aber 90% der Marketing-Tools sind davon gar nicht betroffen. Wer nicht gerade ein automatisiertes Kandidaten-Screening-System baut oder die Gesichtserkennung von Kunden nutzt, läuft nicht in eine Compliance-Falle. Hier ist die unaufgeregte Wahrheit.

Was der EU AI Act wirklich regelt

Der AI Act hat vier Risiko-Levels: verboten, Hochrisiko, limitiertes Risiko, minimal.

Dein Marketing-Newsletter mit ChatGPT? Minimal-Risiko = 0 Compliance-Anforderung.

Deine Lead-Scoring-KI die automatisch E-Mails raussendet? Abhängig von der Architektur. Wenn die KI Menschen "klassifiziert und filtert" (wie Kandidaten oder Leistungsbewerber), ist es Hochrisiko. Wenn sie nur "Daten sortiert", ist es oft minimal.

Das Verboten-Level ist konkret und eng: Echtzeit-Gesichtserkennung im öffentlichen Raum, Polygraf-KI, Kinderzielgerichtete Manipulation, Scoring von Bonität ohne Mensch-Check. Für normale KMU und Marketing-Teams: nicht relevant.

Vier Marketing-Use-Cases und ihre AI-Act-Status

Fall 1: ChatGPT für deine Newsletter-Teile
Du schreibst deine Newsletter, ChatGPT hilft bei der Überschrift. Status: Minimal-Risiko. Anforderung: keine. Der End-Mensch (du) kontrolliert den Output. Fertig.

Fall 2: Automatische Candidate-Rejection per KI
Du hast eine Karriere-Seite, 200 Bewerbungen pro Monat kommen rein, eine KI lehnt 90% ab ohne dass ein Mensch schaut. Status: Hochrisiko. Anforderung: Dokumentation, Transparenz-Mitteilung ("deine Bewerbung wurde von einer KI bewertet"), optionales Impact-Assessment. Nicht unmöglich, aber lästig.

Fall 3: Chatbot auf der Website der Zahnarztpraxis
Der Bot antwortet auf "Haben Sie noch Termine?" mit "Ja, der nächste Termin ist 14. März." Status: Minimal-Risiko (Chatbot ist nicht "hochriskant" per se — es hängt ab was er tut, aber reine Informations-Bots sind safe).

Fall 4: KI-gestützte Preisgestaltung basierend auf Kundenprofilen
"Diese Person wohnt in wohlhabender Gegend → höherer Preis." Status: abhängig. Wenn die KI Menschen nach Merkmalen "klassifiziert" (Alter, Vermögen, Familienstand) und darauf Preise basieren, kann das Hochrisiko sein. Wenn sie nur Nachfrage-Volatilität nutzt (wie Uber), ist es minimal.

Der clevere Trick: Die Zwei-Checklisten-Lösung

Wenn du ab Februar 2026 live gehen willst, brauchst du ZWEI Dinge. Nicht 20.

Checkliste 1 — "Nutze ich überhaupt KI in meinem Marketing?" (10 Minuten)

• ChatGPT für Kopie: ✓ ja, aber minimal-Risiko
• Automatische Lead-Segmentierung: ✓ ja, kommt auf die Architektur an
• Automatische E-Mail-Versände basierend auf KI-Scoring: ✓ ja, vermutlich High-Risk
• Face-Recognition auf Kundenphotos: ✗ nein (und wäre eh DSGVO-Horror)
• KI-Chatbot: ✓ ja, meist minimal-Risiko

Wenn deine Antworten alle "minimal-Risiko" sind, bist du fertig. Wirklich.

Checkliste 2 — "Bin ich bei Hochrisiko?" (wenn ja, eine Stunde Setup)

• Meine KI klassifiziert Menschen nach Merkmalen? (Alter, Vermögen, Herkunft, Verhalten-Score für "guter Kunde"?)
• Basierend darauf werden sie akzeptiert / abgelehnt / erhalten unterschiedliche Angebote?
• Alles ohne echten Mensch-Review?

Wenn JA bei allen drei: Hochrisiko. Dann brauchst du:

1. Eine interne Dokumentation (2-3 Seiten): "So funktioniert die KI. Diese Daten nutzen wir. Hier ist der Appeal-Prozess für Betroffene."
2. Ein Hinweis auf deiner Website / in deinen Emails: "Diese Entscheidung wurde von einer automatisierten KI getroffen. Möchtest du, dass ein Mensch das nochmal prüft? Hier klicken."
3. Optional: eine Audit-Institution beauftragen (kostet ab 2.000 €, aber erst WENN regelmäßig Hochrisiko-Entscheidungen fallen).

Das ist es.

Was die Branche falsch macht

Ein KI-Consultant verlangt aktuell 8.000 € für einen "AI Act Impact-Assessment" für KMU. Das ist Angst-Verkauf. Der echte Impact-Assessment ist PFLICHT nur bei echten Hochrisiko-Systemen, und der kostet 300-600 € wenn du intern arbeitest. Die 8.000 € gehen in Über-Dokumentation, Prozess-Theater, juristische Überabsicherung.

Ein DSGVO-Anwalt sagt: "Warte ab bis zur Enforcement-Phase im Jahr 2027 und 2028, dann sind die Regeln klarer." Das ist ehrlich. Die EU wird die Regeln real-world-testen. Wer 2026 zu aggressiv herumkommt wird wahrscheinlich nicht sofort kassiert.

Ein Marketing-Manager denkt: "Wenn ich ChatGPT nutze, bin ich illegal." Falsch. ChatGPT-Output-Kontrolle durch einen Menschen = du erfüllst die Transparenz-Anforderung. Die KI trifft keine Entscheidung. Du tust es.

Die eine Sache die wirklich wichtig ist

Dokumentation. Wenn die EU-Behörde morgen anruft und fragt "Wie funktioniert deine Lead-Scoring-KI?", must du antworten können. Nicht juristisch airtight, sondern verständlich. Eine 2-Seiten-Beschreibung reicht. Mit dieser Dokumentation — und einem Appeal-Prozess für betroffene Leute — bist du zu 95% safe.

Mein Optiker aus Hannover? Ich hab ihm eine Vorlage zugeschickt. 15 Minuten später war klar: Er nutzt ChatGPT für Terminerinnerungstexte, aber der Mensch (er selbst) sendet die raus. Minimal-Risiko. Keine Aktion nötig. Fertig.

Die EU AI Act-Panik ist ein gutes Geschäft für Consultants. Die Wahrheit ist langweiliger: Wenn du deine KI nicht nutzt um Menschen automatisiert abzulehnen, läufst du nicht in eine Falle.

---

PS. Falls dein Setup doch Hochrisiko ist — schreib mir. Das Compliance-Template gibt's kostenlos, Excel, 15 Minuten Setup. Die meisten Gründer schreiben mir, dass sie am Ende feststellen: "Ach so, das war's?" Ja. Das war's.