Der EU AI Act für Social-Media-Teams: Was tatsächlich gilt

Der EU AI Act sortiert KI-Systeme nach Risikostufen und legt die überwältigende Mehrheit seiner Pflichten den Unternehmen auf, die diese Systeme bauen – nicht den Marketing-Teams, die sie nutzen. Für ein Social-Media-Team richtet sich das meiste davon schlicht nicht an dich: Was tatsächlich greift, ist ein Transparenzartikel zu Deepfakes und bestimmten synthetischen Inhalten, plus eine Kompetenzpflicht für Mitarbeitende, die seit Anfang 2025 in Kraft ist. Der allgemeine Geltungsbeginn ist der 2. August 2026 – morgen, wenn das hier erscheint. Es lohnt sich also zu wissen, welche Linien deine Arbeit berühren, bevor jemand in eurem Team-Slack verkündet, dass jede KI-gestützte Caption jetzt ein Label braucht.

Das hier ist die Sicht aus der Praxis, keine Rechtsberatung. Wenn deine Arbeit an Stellenanzeigen, Finanzdienstleistungen, Gesundheitsaussagen oder Biometrie grenzt, hol dir eine qualifizierte Beratung für dein Setup.

Betreiber, nicht Anbieter – die Unterscheidung, die fast alles entscheidet

Der AI Act teilt die Pflichten zwischen zwei Rollen auf. Ein Anbieter entwickelt ein KI-System oder -Modell und bringt es unter eigenem Namen auf den EU-Markt. Ein Betreiber nutzt ein KI-System unter eigener Verantwortung im beruflichen Kontext.

Wenn du ein Chat-Modell promptest, um Captions zu entwerfen, in einem Design-Tool Bilder generierst oder einen Video-Generator nutzt, bist du Betreiber. Praktisch jede schwere Pflicht im AI Act – technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Qualitätsmanagementsysteme, Datenbankregistrierung, maschinenlesbare Wasserzeichen für Outputs – liegt stattdessen beim Anbieter. Die Ausnahme, die du im Blick behalten solltest: Wenn du aufhörst, das Tool von jemand anderem zu nutzen, und anfängst, deinen eigenen KI-Assistenten zu bauen und zu branden, kannst du in Richtung Anbieterstatus rutschen. Hol dir dann Beratung, statt einfach vom Betreiberpfad auszugehen.

Wo der Zeitplan im August 2026 steht

Der AI Act trat am 1. August 2024 in Kraft und wurde stufenweise scharf geschaltet:

Eine ehrliche Einschränkung: Stand August 2026 sind Zeitpunkt und Umfang des Hochrisiko-Kapitels des AI Act Gegenstand laufender Änderungsdiskussionen auf EU-Ebene. Wenn deine Arbeit plausibel eine Hochrisiko-Kategorie berührt, lass dir die aktuellen Termine von einer Beraterin bestätigen und nicht von einem Blogbeitrag.

Was für ein normales Social-Media-Team wirklich gilt

1. Deepfake-Offenlegung

Das ist der große Punkt. Wenn du ein KI-System einsetzt, um Bild, Audio oder Video zu erzeugen oder zu manipulieren, das echten Personen, Objekten, Orten oder Ereignissen ähnelt und plausibel echt wirken würde, musst du offenlegen, dass es künstlich erzeugt oder manipuliert wurde. Die Definition eines Deepfakes im AI Act hängt genau an diesem Test aus Ähnlichkeit plus Glaubwürdigkeit. In der Praxis:

• Im Anwendungsbereich: ein fotorealistischer KI-Avatar, der dein Produkt als Sprecher präsentiert; ein geklontes Voice-Over; ein generiertes „Kundenstimmen"-Video; eine fotorealistische Szene deines Produkts an einem Ort, den es nie gab.
• Außerhalb: eine offensichtlich illustrierte oder stilisierte Grafik; ein abstrakter Hintergrund; alles, was kein vernünftiger Betrachter für ein echtes Foto oder eine echte Aufnahme halten würde.

Für offensichtlich künstlerische, satirische oder fiktionale Arbeiten gibt es eine Ausnahmeregelung: Die Offenlegung besteht weiter, kann aber so gehandhabt werden, dass sie das Werk nicht ruiniert. Ein Parodie-Sketch braucht keinen Warnhinweis quer über dem ersten Frame.

Wenn KI-Visuals bei dir Routine sind, ist das die Pflicht, die du in deinen Prozess einbauen solltest – unsere Guides zu KI-Bildgenerierung und KI-Video für Social Media decken dasselbe Terrain ab.

2. KI-Kompetenz – längst aktiv, günstig zu erfüllen

Seit Februar 2025 haben Betreiber die Pflicht, ein ausreichendes Maß an KI-Kompetenz bei den Mitarbeitenden sicherzustellen, die in ihrem Auftrag KI-Systeme bedienen – angemessen zu Rolle und Kontext. Es gibt kein vorgeschriebenes Curriculum, keine Zertifizierung und keine Meldepflicht.

Was das in einem kleinen Team erfüllt, ist unspektakulär: eine Notiz, welche Tools freigegeben sind und wofür, eine kurze Session zu Halluzinationsrisiko und Regeln für vertrauliche Daten, und ein datierter Nachweis, dass es stattgefunden hat. Wenn du ohnehin eine KI-Nutzungsrichtlinie für dein Social-Team pflegst, ergänze ein Schulungsprotokoll und einen Namen als Verantwortliche – und du hast etwas Konkretes für den Einkaufsfragebogen eines Kunden.

3. KI-generierter Text zu Angelegenheiten von öffentlichem Interesse

Die Offenlegungspflicht für Text ist enger, als die meisten annehmen. Sie gilt für KI-generierten oder KI-manipulierten Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – und sie entfällt vollständig, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine Person oder ein Unternehmen die redaktionelle Verantwortung dafür trägt.

Eine Produktlaunch-Caption ist keine Angelegenheit von öffentlichem Interesse. Ein Hashtag-Set auch nicht. Ein Marken-Newsroom-Thread, der ein Public-Health-Thema erklärt oder eine politische Debatte kommentiert, könnte es sein – und selbst dann löst ein namentlich benannter Mensch, der den Text prüft und verantwortet, die Sache auf. Die menschliche Prüfung in deinem Publishing-Flow ist der Compliance-Mechanismus, kein Nice-to-have.

4. Praktiken, die du schlicht nie anfassen solltest

Eine Handvoll KI-Anwendungen ist seit Februar 2025 komplett verboten. Diejenigen, die gelegentlich in die Nähe von Marketing driften:

• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Videoüberwachung, um Gesichtserkennungsdatenbanken aufzubauen.
• Ableiten von Emotionen bei Beschäftigten am Arbeitsplatz (außerhalb enger medizinischer oder sicherheitsbezogener Fälle).
• Biometrische Kategorisierung, um Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit, religiöse Überzeugungen oder sexuelle Orientierung abzuleiten.
• Manipulative oder unterschwellige Techniken, die Verhalten wesentlich verzerren und erheblichen Schaden verursachen.

Wenn dir ein Anbieter ein Tool andrehen will, das in einem Livestream Gesichter ausliest, um Stimmung zu bewerten, oder Audience-Building aus abgegriffenen Gesichtsdaten verspricht, ist das ein klares Nein – egal wie gut die Demo aussieht.

5. Konversationelle KI

Systeme, die direkt mit Menschen interagieren, müssen klarmachen, dass sie KI sind, sofern es nicht offensichtlich ist. Die Pflicht liegt bei den Anbietern, aber das Ergebnis ist dasselbe: Lass keinen Bot als Mensch durchgehen. Wenn du KI-gestützte DM-Automatisierung betreibst, kennzeichne den Assistenten in seiner ersten Nachricht.

Die Liste der Dinge, die er nicht verlangt

Die Sorge ist meist lauter als die Pflicht. Als Betreiber mit ganz normalem organischem Social Media verlangt der AI Act nicht von dir:

• KI-gestützte Captions, Hooks, Hashtag-Sets oder erste Entwürfe zu kennzeichnen.
• Hilfe bei Grammatik, Tonalität, Übersetzung oder Standard-Editing zu kennzeichnen – Outputs, die die Bedeutung dessen, was du geliefert hast, nicht wesentlich verändern, sind ausdrücklich von der Kennzeichnungspflicht ausgenommen.
• Selbst maschinenlesbare Wasserzeichen einzubetten. Das liegt beim Tool-Anbieter; die Metadaten, die deine Tools anhängen, nicht zu entfernen, ist gute Praxis und keine ausdrückliche Betreiberpflicht.
• Einen KI-Beauftragten zu benennen. Eine solche Rolle existiert im AI Act nicht.
• Deine Tools bei einer nationalen Behörde oder in irgendeiner EU-Datenbank zu registrieren.
• Eine Konformitätsbewertung durchzuführen, ein Qualitätsmanagementsystem zu unterhalten oder technische Dokumentation zu erstellen.
• Eine Grundrechte-Folgenabschätzung zu machen – die zielt auf Hochrisiko-Einsätze durch öffentliche Stellen und wenige regulierte Dienste, nicht auf das Texten von Captions.
• KI-abgeleitete Planungsvorschläge, Best-Time-Empfehlungen oder Analytics-Zusammenfassungen zu kennzeichnen.

Gilt er auch, wenn du nicht in der EU sitzt?

Oft ja. Der AI Act erfasst Betreiber, die in der Union niedergelassen oder ansässig sind, und ebenso solche in Drittländern, wenn der Output des KI-Systems in der Union verwendet wird. Eine britische oder US-amerikanische Agentur, die KI-generiertes Video für das deutsche Publikum eines Kunden produziert, sollte davon ausgehen, im Anwendungsbereich zu sein. Für Agenturen mit KI-gestützter Social-Arbeit über gemischte Regionen hinweg schlägt ein Standard – der strengere – zwei Content-Prozesse.

Sanktionen, im Verhältnis betrachtet

Die Schlagzeilenzahlen sind groß: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für die verbotenen Praktiken und bis zu 15 Mio. € oder 3 % für die meisten anderen Verstöße, einschließlich der Transparenzpflichten. Zwei Dinge dämpfen die Panik. Für KMU und Start-ups gilt der niedrigere der beiden Werte – Festbetrag oder Prozentsatz –, nicht der höhere. Und eine kleine Agentur, die ihre KI-Avatare kennzeichnet und ein Schulungsprotokoll führt, ist nicht die Zielgruppe.

Der AI Act ist nicht dein einziges Regelwerk

Plattform-Richtlinien sind separat, vertraglich und global. Meta, TikTok und YouTube betreiben jeweils eigene Kennzeichnungssysteme für KI-Inhalte, und ihre Schwellen decken sich nicht sauber mit denen des AI Act. Das native KI-Label einer Plattform ist meist der sauberste Weg, beides auf einmal zu erfüllen – prüf die Mechanik für jedes Netzwerk, auf dem du veröffentlichst, auf unserer Seite zu den unterstützten Plattformen.

Die DSGVO regelt weiterhin alle personenbezogenen Daten, die du in ein Modell fütterst, und das Verbraucherschutzrecht verbietet weiterhin irreführende Geschäftspraktiken – wohl das größere reale Risiko für alle, die fake wirkende Testimonials generieren. Die ethischen Fragen rund um KI im Social-Media-Marketing lösen sich nicht auf, nur weil eine Verordnung irgendwo eine Linie gezogen hat. Compliance ist die Untergrenze.

Wie du das in deine Posting-SOP verdrahtest

Regeln, die nur in einem Richtliniendokument leben, überstehen keine volle Woche. Drei praktische Schritte:

Ergänze ein KI-Herkunftsfeld in deinem Content-Brief. Eine Zeile pro Asset: Was war KI-generiert, welches Tool, ob es etwas Reales abbildet. Das ist deine Beweiskette. Bau sie in deine Social-Media-SOP ein, damit sie in Fleisch und Blut übergeht statt eine separate Compliance-Aufgabe zu bleiben.

Setz einen namentlich benannten Menschen vor das Veröffentlichen. Ein strukturierter Content-Freigabe-Workflow macht aus „wir prüfen das schon" eine belastbare Aussage. In SocialKit sind Freigabe-Workflows in den Team- und Enterprise-Plänen verfügbar, sodass das Sign-off-Gate in der Scheduling-Queue sitzt statt in einer parallelen Tabelle – und der visuelle Kalender zeigt, was noch auf Prüfung wartet.

Handhabe Offenlegung pro Plattform, nicht global. Die Kennzeichnungsmechanik unterscheidet sich je Netzwerk: Manche wollen einen nativen Toggle, manche erwarten eine Zeile in der Caption. Einmal komponieren und die Caption pro Plattform anpassen heißt, du hängst an jedes Ziel die passende Offenlegung, ohne elf Entwürfe zu pflegen. Unser Guide zu was du offenlegen musst und wie behandelt die Formulierungen; die Platzierung gehört zu deinen Automatisierungs-Leitplanken.

Deine Checkliste auf einer Seite

1. Ordne dich selbst ein. Betreiber für jedes Standard-KI-Tool. Markiere alles, was du selbst baust und brandest, für die rechtliche Prüfung.
2. Liste deine KI-Tools auf. Wofür jedes freigegeben ist und welche Daten niemals hineinkopiert werden dürfen.
3. Protokolliere die KI-Kompetenzschulung. Eine datierte Session mit Teilnehmerliste. Wiederholen, wenn sich die Tool-Liste wesentlich ändert.
4. Screene auf verbotene Praktiken. Kein Gesichts-Scraping, keine Emotionsableitung bei Mitarbeitenden, keine biometrische Kategorisierung. Frag Anbieter direkt.
5. Leg eine Deepfake-Regel fest. Jedes fotorealistische KI-generierte oder KI-veränderte Medium, das als echt durchgehen könnte, wird offengelegt. Schreib die Standardformulierung einmal auf.
6. Dokumentiere die Herkunft pro Asset. Verwendetes Tool, was generiert wurde, ob es etwas Reales abbildet.
7. Verlange namentliches menschliches Sign-off vor dem Veröffentlichen. Das meiste Gewicht für den geringsten Aufwand.
8. Kennzeichne konversationelle KI. Jeder Bot, der DMs oder Kommentare beantwortet, weist sich vorab als solcher aus.
9. Prüfe Plattform-Labels separat. Native Toggles, wo es sie gibt; Offenlegung in der Caption, wo nicht.
10. Bau es in deine schriftliche Social-Media-Richtlinie ein, statt ein separates KI-Dokument zu pflegen, das niemand öffnet.
11. Benenne eine verantwortliche Person und ein Review-Datum. Eine Richtlinie ohne Verantwortliche verrottet innerhalb von zwei Quartalen.

Die meisten Teams werden feststellen, dass sie sieben oder acht davon längst erfüllen und es nur nicht aufgeschrieben haben. Die Lücke ist die Dokumentation, nicht das Verhalten – und die Behebung ist ein Nachmittag, kein Projekt.

Wenn du das Prüf-Gate und die plattformspezifische Offenlegung direkt neben deinem Kalender haben willst: SocialKit deckt in jedem Plan alle 11 Netzwerke ab, ab €29/Monat mit Solo (€17.40/Monat bei jährlicher Abrechnung, Stand August 2026) mit 7 Tagen kostenloser Testphase. Starte auf der Preisseite und bau den Prüfschritt ein, bevor er dringend wird.