Die Struktur des AI Act im Jahr 2026

Der AI Act ist die erste umfassende horizontale Regulierung künstlicher Intelligenz der Welt. Seine risikobasierte Architektur ist der Schlüssel zum Verständnis, welche Pflichten für welche Systeme gelten.

Die Risikostufen

Das Gesetz ordnet KI-Systeme in vier Stufen ein, basierend auf dem Risiko, das sie darstellen:

• Verbotene Systeme — vollständig verbotene Praktiken, einschließlich manipulativer subliminaler Techniken, Ausnutzung von Schwachstellen, Social Scoring durch Behörden und bestimmter Formen biometrischer Kategorisierung und Emotionserkennung
• Hochrisiko-Systeme — Systeme, die in bestimmten risikoreichen Kontexten eingesetzt werden und dem Großteil der inhaltlichen Pflichten des Gesetzes unterliegen, einschließlich Risikomanagement, Daten-Governance, Transparenz, menschlicher Aufsicht und Genauigkeitsanforderungen
• Systeme mit begrenztem Risiko — Systeme mit spezifischen Transparenzpflichten, einschließlich der meisten KI-gesteuerten Inhaltsempfehlungssysteme und Chatbots, die direkt mit Nutzern interagieren
• Systeme mit minimalem Risiko — alles andere, nur allgemeinen freiwilligen Verhaltenskodizes unterworfen

Wo Werbung und Empfehlungssysteme angesiedelt sind

Die meisten werbungsorientierten KI — Audience-Scoring, programmatische Bid-Optimierung, Inhaltsempfehlungssysteme, Personalisierungsmaschinen — ist eher in der Stufe mit begrenztem Risiko als in der Hochrisiko-Stufe angesiedelt. Das klingt nach Erleichterung, aber die Stufe mit begrenztem Risiko trägt noch immer bedeutende Transparenzpflichten, und mehrere Grenzfälle drängen bestimmte Systeme in höhere Stufen. Entscheidend ist, dass die Regeln für verbotene Praktiken Werbsysteme erreichen können, wenn sie in das Gebiet der Manipulation oder Ausbeutung geraten, und der EDPB hat signalisiert, diese Bestimmungen weit auszulegen.

Die stufenweise Einführung

Der Kalender für 2026 ist wichtig: Die Hochrisiko-Pflichten für neue Systeme treten im August 2026 in Kraft, die Pflichten für bereits auf dem Markt befindliche Systeme treten 2027 in Kraft, und die Pflichten von Anbietern von KI mit allgemeinem Verwendungszweck sind bereits in Kraft. Publisher und Werbetreibende sollten ihr KI-Inventar mit diesem Kalender abgleichen, um zu wissen, welche Pflichten wann gelten.

Wie sich der AI Act über die DSGVO legt

Der AI Act ersetzt die DSGVO nicht. Er legt sich darüber. Ein System, das personenbezogene Daten verarbeitet, um KI-gesteuerte Ausgaben zu erzeugen, muss beide Regime erfüllen, und die Pflichten sind kumulativ und nicht alternativ.

Die DSGVO-Schicht

Die DSGVO regelt weiterhin die Rechtmäßigkeit der Verarbeitung personenbezogener Daten. Die Einwilligung zum Werbeprofiling, die Rechtsgrundlage für die Messung, das Cluster der Betroffenenrechte, die Pflichten zum grenzüberschreitenden Datentransfer — all das gilt weiterhin unverändert.

Die AI Act-Schicht

Über die DSGVO hinaus fügt der AI Act Pflichten speziell das KI-System selbst betreffend hinzu: wie es trainiert wurde, welche Daten in das Training eingeflossen sind, wie seine Ausgaben dokumentiert sind, welche Aufsichtsmechanismen existieren, welche Transparenz der Nutzer erhält. Diese Pflichten sind an das KI-System gebunden, unabhängig davon, ob die zugrundeliegende Datenverarbeitung einwilligungsbasiert, vertragsbasiert oder auf einer anderen Rechtsgrundlage beruht.

Die praktische Konsequenz

Ein Publisher, der einen Inhaltsempfehlungsdienst mit personenbezogenen Daten betreibt, benötigt sowohl eine gültige DSGVO-Rechtsgrundlage für die Datenverarbeitung als auch eine konforme Transparenzoffenlegung nach dem AI Act. Keines davon allein reicht aus. Die Compliance-Oberfläche ist jetzt wirklich zweidimensional, und die Dokumentationskette muss beide Achsen abdecken.

Verbotene Praktiken und Werbung

Die Liste der verbotenen Praktiken des Gesetzes ist kurz, aber folgenreich, und mehrere Einträge haben Auswirkungen auf das Werbedesign.

Manipulative Techniken

Das Gesetz verbietet KI-Systeme, die subliminale Techniken, manipulative Praktiken einsetzen oder Schwachstellen bestimmter Gruppen auf eine Weise ausnutzen, die wahrscheinlich erheblichen Schaden verursacht. Die meisten Werbedesigns nähern sich dieser Grenze nicht — aber Werbung, die identifizierte Schwachstellen (finanzielle Not, psychische Gesundheitszustände, Suchtmuster) mittels KI-gesteuertem Profiling anvisiert, könnte sie überschreiten. Der EDPB hat dies in frühen Leitlinien darauf hingewiesen.

Biometrische Kategorisierung

Das Gesetz verbietet biometrische Kategorisierung, die sensible Attribute wie Rasse, politische Meinung, Gewerkschaftsmitgliedschaft, religiöse Überzeugung, Sexualleben oder sexuelle Orientierung ableitet. Audience-Segmente, die aus biometrischen Daten aufgebaut wurden und diese Attribute ableiten, befinden sich nun in verbotenem Terrain.

Emotionserkennung in bestimmten Kontexten

Die Emotionserkennung ist in Arbeitsplatz- und Bildungskontexten verboten. Werbliche Anwendungsfälle der Emotionserkennung außerhalb dieser Kontexte können noch zulässig sein, sehen sich aber verstärkter Prüfung ausgesetzt.

Transparenzpflichten bei begrenztem Risiko

Hier liegt der Großteil der AI Act-Compliance-Arbeit für Publisher und Werbetreibende im Jahr 2026.

Die Offenlegung des Empfehlungssystems

Inhaltsempfehlungssysteme, die personalisieren, was Nutzer sehen — ob auf der Startseite eines Publishers, in einem In-App-Feed oder in einer programmatischen Anzeigenplatzierung — fallen in die Stufe mit begrenztem Risiko. Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren, und das System muss so gestaltet sein, dass der KI-Charakter der Interaktion klar ist.

Die Chatbot-Offenlegung

Jedes KI-System, das direkt in Gesprächsform mit Nutzern interagiert, muss seinen KI-Charakter offenbaren. Publisher und Werbetreibende, die KI-Chat-Schnittstellen betreiben — für den Kundensupport, die Inhaltssuche oder jeden anderen Zweck — müssen diese Grundlage erfüllen.

Die Offenlegung synthetischer Inhalte

KI-generierte Bilder, Audio, Video und Textinhalte müssen als solche gekennzeichnet werden. Publisher, die KI-generierte Visuals oder Texte in redaktionellen Inhalten, Werbekreativen oder Produktabbildungen verwenden, müssen die Kennzeichnungspflichten einhalten. Die Implementierungsleitlinien für 2026 haben die technischen Spezifikationen für die Kennzeichnung präzisiert, einschließlich Wasserzeichenstandards für visuelle Inhalte.

Die kombinierte Einwilligungsoberfläche im Jahr 2026

Das CMP und die Datenschutzhinweise müssen jetzt für beide Regime arbeiten. Das Publisher-CMP 2026 ist deutlich aufwändiger als sein Vorgänger von 2024.

Granulare Einwilligungszwecke

Das CMP legt Einwilligungszwecke offen, die zwischen allgemeiner Werbung, Profiling für Werbung, automatisierter Entscheidungsfindung und Empfehlungspersonalisierung unterscheiden. Jeder bildet eine bestimmte AI Act- und DSGVO-Grenze ab und erfordert seine eigene ausdrückliche Einwilligung.

KI-System-Offenlegungen

Der Datenschutzhinweis oder ein begleitendes KI-Offenlegungsdokument beschreibt die verwendeten KI-Systeme, ihre Zwecke, die Kategorien von Eingabedaten, die übergeordnete Logik der Ausgaben und die vorhandenen menschlichen Aufsichtsmechanismen. Das ist mehr als die Offenlegung automatisierter Entscheidungen nach DSGVO Artikel 22 — es ist eine vollständigere KI-Transparenzgeschichte.

Das Widerspruchsrecht

Das DSGVO-Widerspruchsrecht gegen Profiling gilt weiterhin, und der AI Act fügt weitere Nutzerrechte rund um die KI-gesteuerte Empfehlungspersonalisierung hinzu. Nutzer können die Empfehlungspersonalisierung ablehnen, ohne den Zugang zum zugrunde liegenden Dienst zu verlieren, und das Opt-out muss mindestens genauso einfach sein wie das Opt-in.

Operative Muster, die 2026 funktionieren

Publisher und Werbetreibende, die ausgereifte Programme für 2026 betreiben, konvergieren auf einige operative Muster.

Das KI-Inventar

Führen Sie ein Live-Inventar jedes KI-Systems, das im Publisher- oder Werbetreibenden-Stack eingesetzt wird: das System, seine Risikostufe nach dem Gesetz, die personenbezogenen Daten, die es verarbeitet, seine Rechtsgrundlage nach der DSGVO, die auf es angewendeten Transparenzoffenlegungen und die vorhandene menschliche Aufsicht. Dies ist das grundlegende Compliance-Artefakt und das, was Regulatoren als erstes sehen wollen.

Der kombinierte Datenschutzhinweis

Ein einziger kombinierter Datenschutz- und KI-Transparenzhinweis — auf Portugiesisch, Deutsch, Französisch oder in welcher Sprache auch immer für das Publikum geeignet — der sowohl die DSGVO- als auch die AI Act-Pflichten in einer kohärenten Erzählung adressiert. Der Versuch, zwei separate Offenlegungen aufrechtzuerhalten, führt zu Widersprüchen und Verwirrung beim Leser.

Das KI-Audit des Anbieters

Für jeden Werbe- oder Analytics-Anbieter, der KI-gesteuerte Ausgaben im Auftrag des Publishers verarbeitet, muss der Vertrag die Zuordnung der AI Act-Pflichten, den Zugang zur technischen Dokumentation und die Incident-Benachrichtigung regeln. Standard-Datenverarbeitungsverträge aus 2023 adressieren den AI Act nicht und müssen aufgefrischt werden.

Sanktionen und Durchsetzungsposition

Der AI Act führt ein gestuftes Sanktionsregime mit Verwaltungsgeldbußen ein, die die Maximalwerte der DSGVO überschreiten können.

Die Sanktionsstufen

• Bis zu EUR 35 Millionen oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen verbotene Praktiken
• Bis zu EUR 15 Millionen oder 3 Prozent bei den meisten anderen inhaltlichen Verstößen
• Bis zu EUR 7,5 Millionen oder 1 Prozent bei der Bereitstellung unzutreffender Informationen

Die Durchsetzungsarchitektur

Jeder Mitgliedstaat benennt nationale zuständige Behörden für die AI Act-Durchsetzung, und das Europäische KI-Büro koordiniert die Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck. Die Durchsetzung gegenüber Publishern und Werbetreibenden wird hauptsächlich durch die nationalen Behörden erfolgen, oft in enger Koordination mit den bestehenden Datenschutzbehörden. Die ersten bedeutenden AI Act-Durchsetzungsmaßnahmen werden im Laufe von 2026 erwartet, wenn die Hochrisiko-Pflichten vollständig in Kraft treten.

Prüfcheckliste für KI-gesteuerte Werbung im Jahr 2026

• Live-Inventar jedes KI-Systems im Stack mit Risikostufenklassifizierung
• Dokumentierte DSGVO-Rechtsgrundlage für jedes KI-System, das personenbezogene Daten verarbeitet
• AI Act-Transparenzoffenlegungen auf jedes System mit begrenztem Risiko angewendet, einschließlich Empfehlungspersonalisierung und Chatbots
• Kennzeichnung synthetischer Inhalte auf KI-generierte Kreative, Bilder, Audio und Video angewendet
• Kombinierter Datenschutz- und KI-Transparenzhinweis in der relevanten Landessprache
• Das CMP legt Profiling, automatisierte Entscheidungsfindung und Empfehlungspersonalisierung als separat einwilligungspflichtige Zwecke offen
• Audience-Segmente werden gegen die Liste der verbotenen biometrischen Kategorisierung überprüft
• Anbieterverträge aktualisiert, um die Zuordnung der AI Act-Pflichten zu adressieren
• Menschliche Aufsichtsmechanismen für jedes System dokumentiert, das sich der Hochrisiko-Grenze nähert
• Der Arbeitsablauf für Betroffenen- und AI Act-Nutzerrechte kann auf Abmeldungs-, Erklärungs- und Überprüfungsanfragen durch Menschen innerhalb der geltenden Antwortfristen reagieren

Der Ausblick für 2026

Der AI Act ersetzt die DSGVO nicht — er legt sich darüber, und die kombinierte Oberfläche ist deutlich aufwändiger als jedes der Regime für sich allein. Für Publisher und Werbetreibende, die KI-gesteuerte Personalisierung, Profiling, Empfehlungssysteme oder generative Inhalte betreiben, ist 2026 das Jahr, in dem die Compliance-Architektur über eine reine DSGVO-Haltung hinaus reifen muss. Diejenigen, die den AI Act als Zukunftsfrage behandeln, werden feststellen, dass die Zukunft schneller eintrifft als erwartet, wobei nationale Behörden im Laufe von 2026 und bis 2027 ihre ersten Durchsetzungsmaßnahmen erlassen. Diejenigen, die von Anfang an kombinierte Compliance aufbauen, werden feststellen, dass sich die Architektur auszahlt: Die Transparenzpflichten des AI Act, gut umgesetzt, stärken auch die DSGVO-Einwilligungs- und Vertrauensgeschichte, und die operative Disziplin der Führung eines Live-KI-Inventars erweist sich weit über die regulatorische Compliance hinaus als nützlich.