1. Was Artikel 4 des EU AI Act konkret verlangt
Der EU AI Act unterscheidet zwischen Anbietern und Betreibern von KI-Systemen. Wenn Ihr Team Werkzeuge wie generative Sprachmodelle, Bildgeneratoren oder KI-gestützte Analysetools in bestehenden Softwareplattformen nutzt, gilt Ihr Unternehmen rechtlich als Betreiber.
Artikel 4 der Verordnung (EU) 2024/1689 legt fest, dass Betreiber nach besten Kräften Maßnahmen ergreifen müssen, um sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Der Gesetzgeber berücksichtigt dabei die technischen Kenntnisse der Mitarbeiter, ihre Erfahrung, ihre Ausbildung sowie den Kontext, in dem die Systeme zum Einsatz kommen.
Die Verpflichtung ist seit dem 2. Februar 2025 wirksam. Damit greift sie früher als viele Regelungen zu Hochrisiko-KI-Systemen. Der europäische Gesetzgeber will gewährleisten, dass Risiken für Grundrechte, Datenschutz und betriebliche Fehlentscheidungen bereits bei der alltäglichen Anwendung minimiert werden.
Der risikobasierte Ansatz für KMU
Der Gesetzestext fordert von einem mittelständischen Betrieb keine Ausbildung auf Universitätsniveau. Die Anforderungen richten sich nach dem tatsächlichen Schadenspotenzial.
Nutzt ein Marketingteam KI, um Rohentwürfe für Social-Media-Beiträge zu verfassen, ist das Risiko geringer, als wenn dieselbe Technologie für automatisierte E-Mail-Antworten mit bindenden Preisangeboten eingesetzt wird. Entsprechend gestaffelt müssen das Wissen und die Vorsichtsmaßnahmen im Team ausfallen.
Folgen fehlender Nachweise
Bislang gibt es keine festen Bußgeldkataloge allein für unzureichende Schulungsunterlagen bei Standardwerkzeugen. Wenn es jedoch durch den ungeprüften Einsatz von KI zu Datenschutzverstößen nach der DSGVO, Urheberrechtsverletzungen oder irreführender Werbung kommt, prüfen Behörden und Gerichte die unternehmerische Sorgfalt.
Wer keine interne Richtlinie und keine dokumentierte Unterweisung vorweisen kann, haftet bei Verstößen oft wegen grober Fahrlässigkeit.
2. Typische Risikobereiche im KMU-Marketing
Im Onlinemarketing ist die Hürde für den Einsatz von KI niedrig. Genau darin liegt das Risiko für Geschäftsführungen und Marketingverantwortliche.
Datenschutz und Geschäftsgeheimnisse
Der häufigste Verstoß in der Praxis betrifft die Eingabe vertraulicher Daten. Wenn Mitarbeiter Kundendaten aus dem CRM, Gästelisten im Hotelbetrieb oder unveröffentlichte Konditionen eines Franchise-Partners in ein frei zugängliches Sprachmodell einspeisen, liegt ohne Auftragsverarbeitungsvertrag oft ein Datenschutzverstoß vor.
Zudem können diese Daten bei Standard-Einstellungen in den Trainingskorpus der Anbieter einfließen. Das Team muss wissen, welche Datenkategorien tabu sind.
Urheberrecht und Kennzeichnungspflichten
Generative KI-Tools bergen zwei urheberrechtliche Risiken: Sie können geschützte Werke dritter Urheber in ihren Ausgaben reproduzieren, und die erzeugten Inhalte genießen im Regelfall selbst keinen urheberrechtlichen Schutz.
Darüber hinaus greifen für künstlich erzeugte oder manipulierte Bild-, Audio- und Videoinhalte, die als echt wahrgenommen werden könnten, Kennzeichnungspflichten nach Artikel 50 des EU AI Act. Mitarbeiter müssen in der Lage sein, Deepfakes oder synthetische Medien vor der Veröffentlichung korrekt zu deklarieren.
Halluzinationen und Markenschäden
Sprachmodelle arbeiten wahrscheinlichkeitsbasiert und erfinden bei Wissenslücken Fakten. Im B2B-Bereich führt das schnell zu falschen technischen Datenblättern; im Tourismus zu falschen Leistungsversprechen bei Buchungsanfragen. Ein unüberwachter Ausgabeprozess führt direkt zu Haftungs- und Reputationsrisiken.
3. Der Aufbau einer schlanken internen KI-Richtlinie
Eine Richtlinie für ein KMU muss weder juristisch überfrachtet noch unlesbar lang sein. Sieben bis zehn Seiten genügen in der Regel, um den Rahmen verbindlich zu stecken.
Erlaubte Werkzeuge und Beschaffungsprozess
Legen Sie eine Positivliste der im Unternehmen zugelassenen KI-Tools an. Untersagen Sie die Nutzung privater Nutzerkonten für betriebliche Aufgaben.
Wenn neue Werkzeuge getestet werden sollen, muss geregelt sein, wer die Freigabe erteilt. Dabei spielen Kriterien wie der Serverstandort, das Vorliegen einer DPA (Data Processing Agreement) und der Ausschluss der Datennutzung für Modelltrainings die zentrale Rolle.
Ampelsystem für Daten und Inhalte
Ein Ampelsystem schafft Klarheit im Arbeitsalltag:
- Grün: Öffentlich zugängliche Informationen, Produktbeschreibungen ohne Geheimhaltungswert, allgemeine Recherchen und Formatierungsarbeiten. Die Nutzung von KI ist ohne gesonderte Prüfung freigegeben.
- Gelb: Interne Arbeitsentwürfe, aggregierte Daten ohne Personenbezug, Marketingstrategien vor Veröffentlichung. Die Nutzung ist nur mit freigegebenen Enterprise-Tools mit gesicherten Datenschutzeinstellungen erlaubt.
- Rot: Personenbezogene Daten von Kunden, Mitarbeitern und Partnern, unveröffentlichte Finanzdaten, rechtliche Streitigkeiten, sicherheitsrelevante Codes. Die Eingabe in KI-Systeme ist grundsätzlich untersagt.
Das Prinzip der menschlichen Aufsicht
Definieren Sie das Vier-Augen-Prinzip zwischen Mensch und Maschine: Kein von einer KI erzeugter Text, kein Bild und kein Datensatz darf ohne menschliche Prüfung (Human-in-the-Loop) veröffentlicht oder an Kunden versendet werden. Die prüfende Person trägt die fachliche Verantwortung für das Ergebnis, nicht die Software.
4. Dokumentation und Schulung im Alltag
Eine Richtlinie entfaltet rechtlich erst dann Wirkung, wenn sie den Mitarbeitern bekannt ist und aktiv vermittelt wurde.
Führen Sie eine jährliche Unterweisung durch und dokumentieren Sie die Teilnahme per Unterschrift oder digitaler Lesebestätigung. Für neue Teammitglieder gehört das Thema in den Onboarding-Prozess.
Praxisnahe Übungen statt reiner Rechtstexte
Reine Rechtsbelehrungen bleiben im Marketingalltag selten hängen. Kombinieren Sie die Theorie mit praktischen Aufgaben:
- Erkennen von KI-Halluzinationen in Fachtexten.
- Anonymisieren von Fallstudien vor der Übergabe an das Tool.
- Korrekte Formulierung von Prompts zur Reduzierung von Fehlern.
Die Nachweise über diese Schulungen bewahren Sie zentral auf, um im Falle einer behördlichen Nachfrage vorbereitet zu sein.
5. FAQ: Häufige Fragen zur KI-Kompetenzpflicht
Gilt die Pflicht zur KI-Kompetenz auch für kleine Unternehmen mit wenigen Angestellten?
Ja. Artikel 4 des EU AI Act sieht keine Ausnahme für Kleinst- oder Kleinunternehmen vor. Sobald Angestellte im Rahmen ihrer Tätigkeit KI-Systeme einsetzen, muss der Arbeitgeber für deren Kompetenz sorgen. Der Umfang der Maßnahmen darf sich jedoch an der Größe und den Ressourcen des Betriebs orientieren.
Ab welchem Datum müssen die Vorgaben umgesetzt sein?
Die Regelungen zur KI-Kompetenz aus Artikel 4 sind seit dem 2. Februar 2025 verbindlich anwendbar. Unternehmen müssen bereits jetzt in der Lage sein, entsprechende Maßnahmen und Richtlinien vorzulegen.
Müssen externe Freelancer ebenfalls geschult werden?
Arbeiten Freelancer mit Ihren internen Systemen und Daten, müssen sie vertraglich auf Ihre KI-Richtlinie verpflichtet werden. Sie müssen sicherstellen, dass auch externe Dienstleister keine geschützten Unternehmensdaten ungesichert in KI-Modelle einspeisen.
Reicht es aus, den Mitarbeitern ein Merkblatt auszuhändigen?
Ein Merkblatt ist ein guter Einstieg, genügt als alleinige Maßnahme aber meist nicht. Es muss eine nachweisbare Kenntnisnahme vorliegen, ergänzt durch regelmäßige Erläuterungen und eine Überprüfung, ob die Regeln im Arbeitsalltag verstanden wurden.
Welche Tools fallen unter die Definition des EU AI Act im Marketing?
Darunter fallen alle Systeme, die auf Basis maschinellen Lernens Inhalte, Empfehlungen oder Entscheidungen generieren. Dazu zählen Sprachmodelle (wie ChatGPT oder Claude), Bildgeneratoren, Transkriptionstools sowie KI-Funktionen in Marketing-Suiten, CRMs oder Web-Analytics-Plattformen. ***
