EU AI Act ab jetzt ernst: Was sich für Webprojekte, Kunden und Agenturen wirklich ändert

“Der AI Act kommt erst irgendwann.” Solche Sätze hörte man in den letzten Monaten erstaunlich oft - manchmal beruhigend gemeint, manchmal als Ausrede. Seit dem 2. August 2026 gilt das nicht mehr so einfach, auch wenn der EU AI Act kein brandneues Gesetz von gestern ist, sondern bereits seit Längerem stufenweise Anwendung findet.

Was sich jetzt ändert, ist ein großer Anwendungstermin: Die Transparenzpflichten nach Artikel 50 sind da. Und anders als viele Headlines suggerieren, wurde nicht “alles verschoben”. Verschoben wurden vor allem die strengen High-Risk-Pflichten; was für Websites, Shops und digitale Services besonders relevant ist - Transparenz bei KI-Systemen und bestimmten KI-Inhalten - gilt ab jetzt. Für Kunden von Webagenturen bedeutet das vor allem Klarheit darüber, welche Inhalte und Interfaces wirklich kennzeichnungspflichtig sind. Für Agenturen heißt es, dass KI nicht mehr nur Produktivitäts- oder Feature-Thema ist, sondern Compliance-, Architektur- und Kommunikationsfrage.

Was gestern wirklich relevant geworden ist und was nicht

Bereits länger gelten Verbote besonders riskanter KI-Praktiken und erste Regeln für General-Purpose-AI-Modelle. Neu und praktisch relevant ab dem 2. August 2026 sind vor allem die Transparenzpflichten nach Artikel 50: Menschen müssen erkennen können, wenn sie mit einem KI-System interagieren oder bestimmten synthetischen Inhalten ausgesetzt sind. Die umfassenden Pflichten für Hochrisiko-KI - etwa in Bereichen wie Personal, Kreditwürdigkeit oder bestimmten kritischen Dienstleistungen - greifen durch den Digital Omnibus später: für viele Annex-III-Systeme erst ab Dezember 2027, für bestimmte produktbezogene Systeme noch später.

Wer also dachte, ab August müsse jedes Unternehmen ein vollständiges AI-Governance-Programm à la Medizinprodukte-Zertifizierung vorlegen, liegt falsch. Wer glaubt, für Webprojekte ändere sich nichts, ebenfalls - denn genau dort, wo Agenturen und Kunden KI heute am häufigsten einsetzen, geht es um Transparenz, Kennzeichnung und nachvollziehbare Verantwortung.

Welche Inhalte und Systeme wann kennzeichnungspflichtig sind

Der häufigste Irrtum lautet: “Alles, was mit KI geschrieben oder erzeugt wurde, braucht ab sofort ein Label.” So pauschal sieht es der AI Act nicht vor. Artikel 50 unterscheidet zwischen verschiedenen Pflichten, Rollen und Zeitpunkten – und genau diese Unterscheidung entscheidet in der Praxis über Chatbots, Produkttexte, Kampagnenbilder und Deepfake-ähnliche Medien.

Was ab dem 2. August 2026 gekennzeichnet bzw. offengelegt werden muss

1. Direkte Interaktion mit KI (Chatbots & Co.)

Sobald ein KI-System dazu bestimmt ist, direkt mit natürlichen Personen zu interagieren, müssen Anbieter sicherstellen, dass die betroffenen Personen darüber informiert werden - klar, unterscheidbar, spätestens bei der ersten Interaktion und barrierefrei. Typische Fälle:

• Website-Chatbots und Support-Assistenten
• terminbuchende oder leadqualifizierende Agents
• Voice- oder Text-Interfaces, die wie ein menschlicher Ansprechpartner wirken
• eingebettete Assistenten in Portalen, Shops oder Kundenbereichen

Die Pflicht entfällt nur, wenn die KI-Natur für eine vernünftig informierte, aufmerksame und umsichtige Person aus Kontext und Nutzung offensichtlich ist. In der Praxis sollte man sich darauf nur verlassen, wenn wirklich kein Täuschungsrisiko besteht.

2. Deepfakes (Bild, Audio, Video)

Sog. “Deployer” - also typischerweise das Unternehmen, das Inhalte ausspielt - müssen offenlegen, wenn Bild-, Audio- oder Videoinhalte Deepfakes darstellen: KI-generierte oder -manipulierte Inhalte, die bestehenden Personen, Objekten, Orten, Entitäten oder Ereignissen ähneln und fälschlich authentisch wirken würden. Kennzeichnungspflichtig sind insbesondere:

• synthetische oder stark manipulierte Personenbilder, die echt wirken sollen
• nachgestellte oder veränderte Stimmen realer Personen
• Videos, in denen reale Personen, Orte oder Ereignisse glaubwürdig, aber künstlich dargestellt werden
• Kampagnen- oder Social-Content, der Authentizität vortäuscht, obwohl er generativ erzeugt wurde

Klar fantastische oder physisch unmögliche Darstellungen fallen nach den Kommissionsleitlinien in der Regel nicht darunter. Bei ersichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werken darf die Offenlegung “angemessen” erfolgen und muss den Genuss des Werks nicht beeinträchtigen - entfällt aber nicht vollständig. Inhalte, die sowohl erzeugt als auch veröffentlicht wurden, bevor der 2. August 2026 lag, müssen nicht rückwirkend gelabelt werden; wird älteres Material erst ab diesem Datum veröffentlicht, greift die Pflicht.

3. KI-Text zu Themen von öffentlichem Interesse

Deployer müssen offenlegen, wenn Text mit dem Zweck veröffentlicht wird, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und dieser Text KI-generiert oder KI-manipuliert ist. Das betrifft vor allem:

• Beiträge zu gesellschaftlichen, politischen oder vergleichbar öffentlichkeitswirksamen Themen
• Nachrichten- oder newsroom-ähnliche Formate ohne echte redaktionelle Kontrolle
• automatisiert ausgespielte Informational Content, der die Öffentlichkeit unterrichten soll, ohne menschliche Freigabe und ohne redaktionelle Verantwortung

Genau hier liegt die entscheidende Einschränkung für viele Unternehmenswebsites: Die Pflicht gilt nicht pauschal für jeden KI-gestützten Produkttext. Sie entfällt, wenn der Inhalt menschlich geprüft bzw. redaktionell kontrolliert wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Was in der Praxis oft nicht oder nicht automatisch kennzeichnungspflichtig ist

Nicht jeder Prompt erzeugt eine Pflichtkennzeichnung auf der Startseite. In vielen Webprojekten fällt Folgendes eher nicht oder nicht pauschal unter die sichtbare Kennzeichnungspflicht:

• interne Entwürfe, Briefings, Konzepte und nicht veröffentlichte Zwischenergebnisse
• KI-gestützte Code-Vorschläge, Refactorings oder technische Dokumentation intern im Projekt
• leichte Editing-Hilfe ohne substanzielle Veränderung von Inhalt oder Semantik (z. B. Zuschnitt, Farbkorrektur, einfache Retusche)
• klar fantastische oder offensichtlich unmögliche Darstellungen, die nicht als authentisch missverstanden werden können
• kommerzielle Produkt-, Kategorie- oder Corporate-Texte, die redaktionell geprüft, freigegeben und verantwortet werden
• Blog- oder Ratgebertexte ohne Charakter “Information der Öffentlichkeit zu Themen von öffentlichem Interesse”, sofern echte redaktionelle Kontrolle greift
• Inhalte, die sowohl erzeugt als auch veröffentlicht wurden, bevor der 2. August 2026 lag (keine rückwirkende Kennzeichnungspflicht)

Freiwillige Transparenz und saubere interne Prozesse bleiben trotzdem sinnvoll - der AI Act verlangt Kennzeichnung vor allem dort, wo Täuschungsrisiko oder besondere Schutzerfordernisse bestehen.

Fragen, die sich Kunden von Webagenturen jetzt stellen sollten

Für die meisten Unternehmen ist der AI Act kein Grund, KI abzuschalten, sondern ein Anlass, sie bewusst und dokumentierbar einzusetzen. Sinnvoll ist eine Bestandsaufnahme anhand konkreter Fragen:

Zu euren KI-Systemen und Interfaces

• Welche KI-Systeme laufen auf Website, Shop, Portal, App oder im Support?
• Gibt es Chatbots, Assistenten oder Agents, die direkt mit Nutzerinnen und Nutzern sprechen?
• Ist für diese Systeme klar erkennbar, dass es sich um KI handelt, oder wirken sie bewusst menschlich?
• Wer liefert das System, wer betreibt es, und wer entscheidet über Konfiguration und Freigaben?

Zu Inhalten und Kennzeichnung

• Welche Texte, Bilder, Audios oder Videos werden KI-generiert oder KI-manipuliert?
• Welche davon werden öffentlich ausgespielt und seit wann?
• Entstehen Deepfake-ähnliche Darstellungen realer Personen, Orte oder Ereignisse?
• Welche Texte informieren die Öffentlichkeit zu Themen von öffentlichem Interesse, und welche sind klassische Produkt- oder Unternehmenskommunikation?
• Welche Inhalte werden vor dem Livegang menschlich geprüft und wer trägt die redaktionelle Verantwortung?

Zu Prozessen, Daten und Verantwortung

• Habt ihr dokumentierte Freigabewege für KI-Content?
• Welche Kundendaten oder internen Daten fließen in welche Tools?
• Kennt ihr eure Rolle im jeweiligen Setup: eher Deployer oder näher am Provider?
• Was ist vertraglich mit Tool-Anbietern und der Agentur geklärt und was fehlt noch?
• Welche Teams brauchen Schulung: Redaktion, Support, Marketing, IT?

Darüber hinaus wird Vertrauen zum Produktmerkmal. Nutzerinnen und Nutzer akzeptieren KI inzwischen weitgehend, reagieren aber empfindlich auf Täuschung; ein klar gekennzeichneter Assistent mit guten Antworten wirkt oft professioneller als ein vermeintlicher “Mitarbeiter Max”, den niemand für echt hält.

Fragen, die sich Webagenturen jetzt stellen sollten

Agenturen stehen mittendrin, weil sie beraten, konzipieren, integrieren und oft mitbetreiben. Deshalb reicht die Haltung “Wir nutzen Cursor und ChatGPT intern” nicht mehr, sobald KI Teil des Kundenprodukts wird. Vor jedem KI-Feature und in laufenden Projekten sollten Teams systematisch klären:

In der Anforderungsanalyse und Konzeption

• Interagiert das geplante System direkt mit Menschen?
• Generiert oder manipuliert es Text, Bild, Audio oder Video?
• Können Deepfake-ähnliche Darstellungen entstehen?
• Geht es um öffentlichkeitsrelevante Information oder um redaktionell freigegebene Produktkommunikation?
• Welche Anbieter und Modelle stecken dahinter?
• Welche Hinweise, Logs, Freigaben und Opt-outs braucht das Setup von Anfang an?

In Design, UX und Technik

• Wo und wann erscheint der KI-Hinweis – früh genug, verständlich und barrierefrei?
• Funktioniert die Kennzeichnung auch mobil, in Embeds und bei neu geladenen Chat-Sessions?
• Wie markieren wir generierte Bilder oder Medien im CMS?
• Wie verhindern wir, dass ungeprüfte KI-Texte live gehen?
• Welche Leitplanken brauchen TYPO3-, Shopware- oder Laravel-Projekte im System selbst - nicht nur auf einer Schulungsfolie?

Bei Vendor-Auswahl, Betrieb und Verträgen

• Welche Transparenz-, Logging- und Kennzeichnungsfunktionen bringt der Anbieter mit?
• Wo werden Daten verarbeitet, und welche AV-/Vertragsregelungen greifen?
• Ist die Kennzeichnung für den Kunden steuerbar?
• Was passiert bei Modellwechsel, Plugin-Update oder Anbieterausfall?
• Welche Tools sind intern für Kundendaten freigegeben und welche ausdrücklich nicht?
• Was darf in Prompts, und wie werden Secrets, personenbezogene Daten und Quellcode geschützt?
• Wer reviewed KI-generierten Code auf Security, Architektur und Wartbarkeit?

Im Angebot und in der Zusammenarbeit mit dem Kunden

• Ist klar beschrieben, was wir liefern: technische Transparenzhinweise, CMS-Optionen, Dokumentation?
• Ist ebenso klar, was wir nicht liefern: abschließende Rechtsberatung?
• Sind Mitwirkungspflichten des Kunden definiert: Freigaben, Richtlinien, Schulungen?
• Ist dokumentiert, welche Modelle und Integrationen im konkreten Projekt eingesetzt werden?

Was jetzt konkret zu tun ist - ohne Aktionismus

Der sinnvollste Einstieg bleibt eine Bestandsaufnahme statt einer Panik-Roadmap.

Für Unternehmen

1. Alle KI-Systeme auf Website, Shop, Portal, App und in der Redaktion listen
2. Systeme mit direkter Nutzerinteraktion oder generierten Medien markieren
3. Getrennt prüfen: Chatbot-Hinweise, Deepfake-Kennzeichnung, redaktionelle Freigaben, technische Markierungsfragen
4. Sofortmaßnahmen und spätere Skalierung priorisieren
5. Redaktion, Support, Marketing und IT schulen

Für Agenturen

1. Projekt-Checklisten um AI-Act-relevante Fragen ergänzen
2. Transparenz-Patterns in Design-Systeme und Komponenten bauen
3. Eingesetzte Modelle und Integrationen je Projekt dokumentieren
4. Berater und Entwickler für Provider-/Deployer-Grundlagen sensibilisieren
5. Bei Unsicherheit früh Fachjuristik einbinden

Nicht alles ist High Risk, aber vieles ist kommunikations- und vertrauenskritisch, und genau dort entstehen die typischen Webprojekt-Themen.

Unser Fazit: Transparenz ist das neue Minimum

Der 2. August 2026 ist kein Weltuntergangstermin für die Digitalbranche, sondern ein Reifegrad-Check. Wer KI als versteckte Magie verkauft, bekommt ein Problem; wer sie klar gekennzeichnet, sinnvoll begrenzt und technisch sauber integriert, bleibt handlungsfähig. Die High-Risk-Pflichten kommen später, die Erwartung an ehrliche digitale Produkte gilt jetzt - und die Kennzeichnungspflicht trifft eben nicht pauschal jeden KI-Satz, sondern vor allem Interaktionen, Deepfakes, bestimmte öffentlichkeitsrelevante Texte und die technische Detektierbarkeit synthetischer Outputs.

Für Kunden von Webagenturen bedeutet das: Fragt bei jedem KI-Feature nicht nur “Was kann das?”, sondern “Muss das gekennzeichnet werden - und wer verantwortet die Freigabe?” Für Webagenturen bedeutet es: Beratung endet nicht beim Prompt, sondern beginnt bei Use Case, Transparenz, Datenflüssen, UX und Betrieb.

Bei imia digital behandeln wir KI genau so: als Werkzeug mit Mehrwert - und mit Leitplanken. Wenn ihr wissen wollt, welche KI-Funktionen auf eurer Website oder in eurem Shop jetzt transparent umgesetzt werden sollten und welche erst einmal gar nicht nötig sind, sprecht uns an. Wir helfen gerne dabei, aus Hype belastbare Lösungen zu machen.