Foto von Immo Wegmann
In den meisten Mittelständlern gibt es keine Regel für den Umgang mit KI. Es gibt eine Praxis, und über die spricht niemand offen.
Zwei oder drei Kollegen arbeiten damit, jeder mit einem privaten Zugang, jeder mit eigenen Gewohnheiten. Was dabei in die Systeme wandert, weiß die Geschäftsführung nicht: Angebotskalkulationen, Kundennamen, Vertragsentwürfe, Bewerbungsunterlagen. Nicht aus Böswilligkeit, sondern weil niemand gesagt hat, was gilt.
Diese Schattennutzung ist das eigentliche Risiko. Nicht die Technik. Sie ist auch der Grund, warum KI im Marketing in vielen Häusern nie über den Einzelnen hinauskommt: Was nicht geregelt ist, wird nicht besprochen, und was nicht besprochen wird, wird nicht besser.
Vorab und ausdrücklich: Dieser Beitrag ist keine Rechtsberatung und erhebt keinen Anspruch auf Vollständigkeit. Er beschreibt den Stand im Juli 2026 und soll dir zeigen, welche Fragen du stellen musst. Für die verbindliche Antwort brauchst du einen Anwalt.
Der 2. August 2026 betrifft dich. Die Hochrisiko-Debatte nicht.
Die öffentliche Diskussion um den AI Act dreht sich fast ausschließlich um Hochrisiko-Systeme: Personalauswahl, Kreditvergabe, Biometrie. Für ein Marketingteam ist das die falsche Baustelle.
Diese Pflichten sind ohnehin verschoben worden. Der Digital Omnibus wurde Ende Juni 2026 final angenommen und verlegt die Hochrisiko-Anforderungen nach Anhang III auf Dezember 2027, die für produkteingebettete Systeme auf August 2028.
Was nicht verschoben wurde, sind die Transparenzpflichten nach Artikel 50. Sie gelten ab dem 2. August 2026. Auch die KI-Kompetenzpflicht nach Artikel 4 blieb unangetastet, und der Bußgeldrahmen ist seit August 2025 anwendbar.
Artikel 50 trifft damit die weitaus größte Zahl von Unternehmen: jeden, der einen Chatbot betreibt, KI-erzeugte Bilder im Marketing einsetzt oder KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht. Das sind in der Praxis fast alle Mittelständler mit einer halbwegs modernen Marketingabteilung. Zuständige Marktüberwachungsbehörde in Deutschland ist die Bundesnetzagentur. Und weil das Marktortprinzip gilt, sind auch Schweizer und britische Unternehmen erfasst, sobald sie in der EU werben.
Eine Entwarnung gehört dazu: Für kleine und mittlere Unternehmen sieht die Verordnung bei Sanktionen besondere Verhältnismäßigkeitsregeln vor. Das senkt das Risiko. Es beseitigt es nicht.
Die Ausnahme, die dein Redaktionsprozess schon erfüllt
Jetzt der Teil, den die Panikbeiträge auf LinkedIn regelmäßig unterschlagen.
Für Texte entfällt die Kennzeichnungspflicht, wenn zwei Bedingungen zusammen erfüllt sind. Erstens: Vor der Veröffentlichung findet eine menschliche Prüfung statt, und zwar eine inhaltliche auf Richtigkeit, Plausibilität und Quellen, mit der echten Möglichkeit, den Text zu ändern oder abzulehnen. Zweitens: Eine klar identifizierbare Person oder Firma übernimmt dafür die redaktionelle Verantwortung.
Eine reine Rechtschreibprüfung genügt ausdrücklich nicht. Ein fast vollständig maschinell geschriebener Text, an dem nur sprachlich poliert wurde, fällt nicht unter die Ausnahme. Eine automatische Übersetzung ohne Substanzprüfung ebenso wenig.
Wer den Prozess aus der Content-Erstellung mit KI ernst nimmt, also jede Zahl gegen eine selbst geöffnete Quelle prüft und den Standpunkt von Hand hineinschreibt, erfüllt diese Bedingung ohnehin. Das ist die angenehmste Nachricht in diesem ganzen Artikel: Die redaktionelle Sorgfalt, die ohnehin über die Qualität entscheidet, ist zugleich die Ausnahme von der Kennzeichnungspflicht.
Wichtig für dein Archiv: Die Pflicht greift für Inhalte, die ab dem 2. August 2026 veröffentlicht oder wesentlich verändert werden. Eine rückwirkende Kennzeichnung alter Beiträge verlangt niemand. Wer aber einen Altbeitrag überarbeitet und neu ausspielt, löst sie aus.
Bei Bildern gilt eine andere Regel
Für Bild-, Ton- und Videoinhalte ist die Lage strenger, und die Redaktionsausnahme greift dort nicht.
Die praktische Faustregel: Wirkt es fotorealistisch und könnte es einen Betrachter über die Wirklichkeit täuschen, gehört ein Hinweis daran. Ist offensichtlich, dass es sich um eine Illustration oder um Fiktion handelt, brauchst du keinen.
Das betrifft im Mittelstand vor allem einen Fall, der beliebter geworden ist, als vielen bewusst ist: erzeugte Menschen. Das KI-Team auf der Karriereseite, der KI-Kunde im Testimonial-Bild, die KI-Produktionshalle, die es so nicht gibt. Wer damit arbeitet, kennzeichnet ab August. Wer es lässt, hat das Problem nicht und nebenbei die glaubwürdigere Website.
Für offensichtlich künstlerische oder satirische Arbeiten ist die Pflicht abgeschwächt, der Hinweis darf dezent erfolgen.
Eine ausführliche Einordnung speziell für Marketingfälle findest du in diesem Leitfaden zu den KI-Transparenzpflichten, die juristischen Details zur Textausnahme sind hier gut aufgearbeitet.
Die Pflicht, die seit anderthalb Jahren gilt und kaum jemand kennt
Seit Februar 2025 verlangt Artikel 4 von Unternehmen, die KI einsetzen, ein ausreichendes Maß an KI-Kompetenz bei den Menschen, die damit arbeiten.
Kein Zertifikat, keine Prüfung, keine vorgeschriebene Stundenzahl. Aber die Erwartung, dass deine Leute verstehen, was das Werkzeug tut, wo seine Grenzen liegen und welche Fehler es typischerweise macht.
Für ein Team von vier Leuten heißt das: eine dokumentierte Einweisung, ein Dokument, das den Stand festhält, und eine Wiederholung, wenn sich etwas Wesentliches ändert. Der Aufwand ist gering. Der Nachweis, dass es stattgefunden hat, ist der eigentliche Punkt.
Was in die Richtlinie gehört
Zwei Seiten reichen. Sie müssen vier Fragen beantworten.
Welche Werkzeuge sind freigegeben? Eine kurze Liste, mit Angabe des Tarifs. Der Unterschied ist nicht kosmetisch: Für die gewerbliche Verarbeitung personenbezogener Daten brauchst du in aller Regel einen Auftragsverarbeitungsvertrag, und den gibt es bei den meisten Anbietern erst im Team- oder Geschäftstarif, nicht im privaten Bezahltarif. Welches Werkzeug wofür taugt, steht im Toolvergleich, welcher Tarif nötig ist, entscheidet dieser Punkt.
Welche Daten dürfen hinein und welche nie? Das ist die wichtigste Zeile im ganzen Dokument. Personenbezogene Daten, Kalkulationen, Vertragsentwürfe, Bewerbungsunterlagen, alles unter Geheimhaltungsvereinbarung: nur in freigegebenen Systemen mit passendem Vertrag, im Zweifel gar nicht. Formulier es als Verbotsliste, nicht als Prinzip. Prinzipien werden ausgelegt, Listen nicht.
Wer entscheidet im Zweifel? Ein Name, keine Rolle. Ohne Ansprechpartner entscheidet im Zweifelsfall jeder für sich, und das ist genau der Zustand, den die Richtlinie beenden soll.
Wo ist eine menschliche Prüfung zwingend? Alles, was veröffentlicht wird, alles, was an Kunden geht, alles mit Zahlen darin. Diese Zeile ist zugleich dein Nachweis für die Redaktionsausnahme oben. Schreib dazu, wer die Verantwortung trägt.
Wem gehört, was die Maschine schreibt
Ein Punkt, der selten auftaucht und im Zweifel wehtut: Rein maschinell erzeugte Inhalte genießen nach deutschem Urheberrecht in der Regel keinen Schutz, weil die persönliche geistige Schöpfung fehlt.
Praktisch heißt das: Das vollständig generierte Bild auf deiner Startseite kannst du deinem Wettbewerber vermutlich nicht verbieten. Je größer dein eigener gestalterischer Anteil, desto eher sieht es anders aus. Wo genau die Grenze verläuft, ist im Detail umstritten, und an dieser Stelle hört meine Auskunft auf. Wenn ein Motiv für deine Marke wirklich zählt, kläre das vorher anwaltlich.
Fang klein an
Eine Richtlinie, die in einem Workshop entsteht und danach in einem Ordner verschwindet, hilft niemandem.
Schreib die vier Antworten auf zwei Seiten. Lass sie einmal juristisch prüfen. Verteil sie, erklär sie in zwanzig Minuten, und leg fest, wer sie einmal im Jahr anfasst. Das ist der ganze Vorgang.
Damit hast du das Wichtigste: keine Schattennutzung mehr, eine Antwort auf die Frage nach der Kennzeichnung, und einen dokumentierten Stand. Wie du von dort aus zu einer echten Teampraxis kommst, statt bei einer Regelung stehen zu bleiben, steht in KI im Mittelstand einführen. Denn eine Richtlinie ordnet, was passiert. Sie sorgt nicht dafür, dass etwas passiert.
Und sie ist am Ende dasselbe wie alles andere in der Marketingorganisation im KMU: keine Technikfrage, sondern eine Frage der Zuständigkeit.
TL;DR | Ohne Regeln gibt es keinen ernsthaften Einsatz, nur Schattennutzung.
Die Kennzeichnungspflicht nach Artikel 50 kommt am 2. August 2026 und wurde nicht verschoben, anders als die Hochrisiko-Fristen. Für Texte entfällt sie, wenn ein Mensch inhaltlich prüft und die Verantwortung trägt: Deine Redaktionssorgfalt ist die Ausnahme. Für fotorealistische Bilder gilt sie ohne Ausnahme. Zwei Seiten, vier Fragen, ein Name. Mehr braucht es nicht, um aus Schattennutzung Praxis zu machen.
