Der EU AI Act: was er für deine Website wirklich bedeutet

Der AI Act ist das erste umfassende Gesetz, das künstliche Intelligenz in der ganzen EU regelt. Er ist im August 2024 in Kraft getreten und gilt seitdem Schritt für Schritt. Die Idee dahinter ist eigentlich sehr vernünftig: Je größer das Risiko einer KI Anwendung für Menschen, desto strenger die Regeln.

Das Gesetz unterscheidet deshalb grob vier Stufen. Ganz oben stehen Anwendungen, die schlicht verboten sind, etwa Systeme, die Menschen nach ihrem Verhalten bewerten und benachteiligen. Darunter kommen Hochrisiko Anwendungen, zum Beispiel KI bei der Auswahl von Bewerbern oder bei der Vergabe von Krediten. Dann folgen Anwendungen mit Transparenzpflichten, und ganz unten alles, was kaum Risiko birgt.

Die gute Nachricht vorweg: Fast alles, was kleine und mittlere Unternehmen auf ihrer Website einsetzen, landet in den unteren beiden Stufen.

Die Regeln kamen nicht auf einmal, sondern in Etappen. Das hat für viel Verwirrung gesorgt, weil jede Etappe eine neue Welle an Artikeln ausgelöst hat. Die wichtigsten Termine sind:

• Februar 2025: Verbotene Anwendungen sind untersagt, und Unternehmen sollen dafür sorgen, dass ihre Leute im Umgang mit KI geschult sind
• August 2025: Pflichten für die Anbieter großer KI Modelle, also für die Firmen hinter ChatGPT, Claude, Gemini und Co.
• August 2026: Die Transparenzpflichten greifen, und genau die betreffen viele Websites
• Danach: Die Regeln für Hochrisiko Anwendungen folgen mit längeren Übergangsfristen

Der August 2026 ist also der Punkt, an dem das Gesetz für viele Unternehmen zum ersten Mal ganz praktisch wird. Deshalb bekommen wir die Fragen dazu auch gerade jetzt.

Wenn Menschen auf deiner Website mit einer KI schreiben, müssen sie das wissen. So einfach ist der Kern. Niemand soll glauben, er unterhalte sich mit einer Mitarbeiterin, wenn in Wahrheit ein Programm antwortet.

In der Praxis reicht dafür meistens ein klarer Hinweis direkt im Chatfenster, am besten gleich in der ersten Nachricht. Ein Satz wie "Hier antwortet unser digitaler Assistent" erfüllt den Zweck. Ausnahmen gibt es nur dort, wo es für jeden offensichtlich ist, dass eine Maschine spricht.

Ehrlich gesagt halten wir das auch ohne Gesetz für richtig. Wer sich getäuscht fühlt, weil die freundliche "Lisa" im Chat plötzlich wirre Antworten gibt, verliert Vertrauen. Und Vertrauen ist das, wofür eine Website überhaupt da ist.

Hier ist die Unsicherheit am größten, und hier wird auch am meisten übertrieben. Nicht jedes Bild, bei dem eine KI geholfen hat, braucht eine Kennzeichnung.

Eine Pflicht zur Kennzeichnung gilt vor allem für sogenannte Deepfakes. Gemeint sind Bilder, Videos oder Tonaufnahmen, die echte Menschen, Orte oder Ereignisse so realistisch zeigen, dass man sie für echt halten könnte, obwohl sie es nicht sind. Ein generiertes Foto, auf dem angeblich euer Team vor dem Firmengebäude steht, gehört genau in diese Kategorie.

Bei Texten ist die Grenze enger gezogen. Eine Kennzeichnung ist nötig, wenn ein KI Text veröffentlicht wird, um die Öffentlichkeit über Themen von allgemeinem Interesse zu informieren, und niemand ihn redaktionell geprüft hat. Wenn ein Mensch den Text gelesen, bearbeitet und verantwortet, entfällt diese Pflicht in aller Regel.

Für eine typische Unternehmensseite heißt das:

• Eine KI Grafik als Stimmungsbild oder Illustration ist in der Regel unkritisch
• Ein täuschend echtes Foto von Menschen oder Orten, das es so nie gab, sollte gekennzeichnet werden
• Texte, die ihr mit KI vorbereitet und dann selbst überarbeitet, brauchen normalerweise keinen Hinweis
• Automatisch generierte Beiträge, die ungeprüft online gehen, sind der Fall, bei dem ihr genau hinschauen solltet

Unser Rat ist trotzdem, im Zweifel lieber offen zu sein. Ein kleiner Hinweis schadet niemandem, eine aufgedeckte Täuschung dagegen schon.

Ein Punkt geht in der ganzen Diskussion oft unter. Schon seit Februar 2025 sollen Unternehmen, die KI einsetzen, dafür sorgen, dass ihre Mitarbeitenden ausreichend Wissen darüber haben. Das Gesetz nennt das KI Kompetenz.

Das klingt größer, als es ist. Niemand verlangt ein Zertifikat für jeden, der mal einen Text von ChatGPT umformulieren lässt. Gemeint ist, dass die Leute wissen, was die Werkzeuge können, wo sie Fehler machen und welche Daten man besser nicht hineinkopiert.

Ein kurzes internes Treffen, ein paar klare Regeln auf einer Seite und jemand, den man fragen kann, sind für einen kleinen Betrieb schon ein sehr guter Anfang. Wichtig ist, dass ihr euch Gedanken gemacht habt und das im Zweifel auch zeigen könnt.

Die Bußgelder, die in vielen Artikeln genannt werden, sind tatsächlich hoch. Bei verbotenen Anwendungen sind es bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen die Transparenzpflichten bis zu 15 Millionen Euro oder drei Prozent.

Diese Zahlen sind Obergrenzen und zielen vor allem auf große Konzerne. Für kleine und mittlere Unternehmen sieht das Gesetz ausdrücklich vor, dass ihre Größe bei der Höhe berücksichtigt wird. Das ist kein Freibrief, aber es ist auch kein Grund, nachts wach zu liegen.

Realistischer als ein Bußgeld ist für die meisten übrigens ein anderer Schaden: Kunden, die sich getäuscht fühlen, und Mitbewerber, die gerne auf so etwas hinweisen.

Du musst dafür kein Gesetz lesen. Geh einfach deine Seite einmal mit diesen Fragen durch:

• Gibt es einen Chat, in dem eine KI antwortet, und steht dort klar, dass es eine KI ist?
• Gibt es Fotos von Menschen oder Orten, die komplett generiert wurden und echt wirken?
• Werden irgendwo Texte automatisch erzeugt und ohne Kontrolle veröffentlicht?
• Nutzt ihr KI Tools, die personenbezogene Daten verarbeiten, und steht das in der Datenschutzerklärung?
• Wissen alle im Team, welche KI Werkzeuge sie nutzen dürfen und wofür?

Wenn du bei allen Punkten ein gutes Gefühl hast, bist du für die meisten Anforderungen schon gut aufgestellt. Wo du unsicher bist, lohnt sich ein genauerer Blick. Und bei allem, was in Richtung Hochrisiko geht, etwa KI bei Bewerbungen, solltest du dir rechtlichen Rat holen. Diesen Beitrag verstehen wir als Orientierung, nicht als Rechtsberatung.

Wir setzen KI selbst jeden Tag ein und haben uns deshalb früh gefragt, was das Gesetz für unsere eigene Arbeit bedeutet. Unsere Antwort ist ziemlich unspektakulär: offen sein, Menschen die Verantwortung behalten lassen und nichts zeigen, was es so nicht gibt.

Auf den Websites, die wir bauen, zeigen wir echte Menschen und echte Projekte. Wenn ein Kunde einen Chatbot möchte, bauen wir den Hinweis von Anfang an mit ein, statt ihn später nachzurüsten. Und Texte, bei denen KI geholfen hat, gehen bei uns nie ungelesen online.

Wenn du unsicher bist, ob deine Seite in Ordnung ist, schick uns einfach den Link. Wir schauen sie uns an und sagen dir ehrlich, ob es etwas zu tun gibt, auch dann, wenn die Antwort lautet, dass alles schon passt.