EU AI Act Checkliste für Agenturen und KI-Content 2026

Die EU AI Act Checkliste für Agenturen beginnt nicht bei der Frage, welcher Hinweis auf das fertige Bild gehört. Sie beginnt beim Briefing. Ohne klare Informationen zu Referenzmaterial, realen Personen, Einsatzzweck und Verantwortung lässt sich später kaum belastbar entscheiden, ob eine Kennzeichnung nötig ist.

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Für Agenturen sind vor allem Deepfakes, bestimmte KI-Texte zu Angelegenheiten von öffentlichem Interesse, maschinenlesbare Provenienz und nachvollziehbare Freigabeprozesse relevant. Diese Checkliste übersetzt die gesetzlichen Grundlinien in einen praktischen Produktionsablauf.

Die Rollen zuerst klären

Artikel 50 unterscheidet zwischen Anbieter und Betreiber eines KI-Systems.

Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt.
Betreiber nutzen ein KI-System unter eigener Verantwortung, ausgenommen rein persönliche, nicht berufliche Tätigkeiten.

Eine Design- oder Marketingagentur, die ein generatives Tool für Kundenkampagnen einsetzt und den Prozess kontrolliert, ist regelmäßig selbst Betreiberin. Der Auftraggeber kann je nach Ablauf ebenfalls Verantwortung tragen, etwa wenn er das System selbst nutzt, den Prozess kontrolliert oder den Inhalt veröffentlicht.

Die konkrete Rollenverteilung darf nicht nur im Vertrag stehen. Sie muss zum tatsächlichen Arbeitsablauf passen.

Verantwortungsmatrix

Aufgabe	Agentur	Kunde	KI-Anbieter
Rechte am gelieferten Ausgangsmaterial bestätigen	prüfen und dokumentieren	bereitstellen und zusichern	nicht zuständig
KI-System technisch bereitstellen	nur bei eigenem System	selten	hauptsächlich
Maschinenlesbare Markierung erzeugen	erhalten, wenn vorhanden	beim Repost erhalten	grundsätzlich sicherstellen
Deepfake-Prüfung durchführen	bei eigener Produktion	bei eigener Nutzung oder Veröffentlichung mitprüfen	nicht für den Einzelfall verantwortlich
Sichtbaren Hinweis gestalten	regelmäßig	freigeben und beim Einsatz beibehalten	kann Hilfsmittel liefern
Aussagen und Fakten freigeben	fachlich prüfen, soweit beauftragt	inhaltlich verantworten	nicht zuständig
Finale Veröffentlichung dokumentieren	Produktionsnachweis	Kanal- und Freigabeverantwortung	nicht zuständig

Diese Matrix ist ein Ausgangspunkt. Bei White-Label-Produktion, Freelancern, Subunternehmern oder vollständig kundenseitiger Toolnutzung kann sie anders aussehen.

Schritt 1: KI-Nutzung schon im Briefing erfassen

Ein allgemeines Feld „KI verwendet: ja oder nein“ reicht nicht. Das Briefing sollte erfassen, was die KI konkret tun soll.

Pflichtfragen im Projektstart

Welche Inhalte werden erzeugt: Text, Bild, Audio oder Video?
Welche realen Personen, Marken, Produkte, Orte oder Ereignisse kommen vor?
Welche Referenzdateien stellt der Kunde bereit?
Soll eine reale Person nur freigestellt oder vollständig neu dargestellt werden?
Werden Pose, Mimik, Kleidung, Stimme oder Handlung verändert?
Auf welchen Kanälen erscheint der Inhalt?
Handelt es sich um Werbung, Redaktion, Information oder Unterhaltung?
Betrifft der Text ein Thema öffentlichen Interesses?
Wer prüft Fakten und wer trägt die redaktionelle Verantwortung?
Wer gibt die finale Version frei?

Je früher diese Fragen beantwortet sind, desto seltener muss ein fertiges Motiv kurz vor dem Launch neu gebaut werden.

Schritt 2: Rechte am Ausgangsmaterial prüfen

Die Agentur sollte sich nicht allein auf den Satz „Das Bild ist aus unserem Ordner“ verlassen.

Zu prüfen sind unter anderem:

Urheber- und Lizenzrechte am Foto,
Einwilligung der abgebildeten Person,
Bearbeitungsrechte,
Erlaubnis für synthetische Ableitungen,
Rechte an Logos, Produkten, Kunstwerken und Locations,
Einschränkungen aus Stockfoto- oder Pressebildlizenzen,
Erlaubnis zur Weitergabe an externe KI-Dienstleister.

Eine Lizenz zur Nutzung eines Fotos ist nicht automatisch eine Erlaubnis, das Gesicht in neue Szenen zu generieren oder daraus einen digitalen Avatar zu bauen.

Mindestnachweis

Für jedes reale Referenzmotiv sollte im Projektordner liegen:

Quelle und Rechteinhaber,
Lizenz oder Freigabe,
erlaubter Zweck,
erlaubte Bearbeitungen,
Laufzeit und Kanäle,
Einschränkungen,
verantwortliche Kontaktperson.

Schritt 3: Datenschutz vor dem Upload klären

Bei identifizierbaren Personen werden personenbezogene Daten verarbeitet. Vor dem Einsatz eines externen KI-Dienstes sollte die Agentur klären:

Vertrags- und Rollenmodell des Anbieters,
Training mit Eingaben oder Ausgaben,
Speicherfristen,
Verarbeitungsorte und Drittlandtransfers,
Unterauftragnehmer,
Löschmöglichkeiten,
Zugriffsschutz,
interne Berechtigungen.

Auch öffentlich sichtbare Fotos bleiben personenbezogene Daten. „Das Bild steht schon auf Instagram“ ist keine allgemeine Erlaubnis, es für beliebige KI-Generierung zu verwenden.

Schritt 4: Standardbearbeitung oder wesentliche Veränderung?

Die erste inhaltliche Grenze verläuft zwischen technischer Assistenz und einer Veränderung der Aussage.

Grüne Zone: überwiegend technische Bearbeitung

Rechtschreibung,
Formatierung,
Komprimierung,
leichter Zuschnitt,
Farb- und Helligkeitskorrektur,
Schärfung,
technische Rauschreduzierung.

Gelbe Zone: Kontext kann sich verändern

generativer Hintergrund,
Entfernung größerer Objekte,
Erweiterung des Bildausschnitts,
Austausch von Kleidung,
neue Requisiten,
starke Haut- oder Körperretusche,
synthetische Ergänzung fehlender Bildbereiche.

Rote Zone: neue Aussage oder synthetische Realität

neues Gesicht oder Face Swap,
neue Pose und neuer Körper,
geklonte Stimme,
Lippenbewegung zu nie gesprochenem Text,
reale Person in erfundener Handlung,
künstliche Empfehlung oder Testimonial,
manipuliertes Ereignis oder Produktverhalten.

Die Farbzonen entscheiden noch nicht endgültig über die Kennzeichnung. Sie zeigen, wie tief die Prüfung gehen muss.

Schritt 5: Deepfake-Test durchführen

Für Bild, Audio und Video sollte die Agentur vier Punkte dokumentieren:

KI-Erzeugung oder Manipulation: Wurde ein KI-System eingesetzt?
Realer Bezug: Ähnelt der Inhalt einer existierenden Person, einem realen Gegenstand, Ort, Unternehmen oder Ereignis?
Erhebliche Ähnlichkeit: Ist der reale Bezug für das Publikum erkennbar?
Falsche Authentizität: Könnte der Inhalt oder ein wesentlicher Teil als echt oder wahrheitsgetreu verstanden werden?

Für den letzten Punkt sind Kontext und Zielgruppe entscheidend.

Prüffragen zur falschen Authentizität

Wirkt die Darstellung fotografisch oder eindeutig illustrativ?
Wird die reale Person mit Namen oder Funktion genannt?
Könnte das Publikum glauben, sie habe für die Aufnahme posiert?
Wird eine Handlung gezeigt, die tatsächlich nicht stattgefunden hat?
Entsteht der Eindruck einer Empfehlung, Partnerschaft oder Teilnahme?
Könnten Kinder, ältere Menschen oder andere Zielgruppen den künstlichen Charakter schlechter erkennen?
Korrigiert der restliche Kontext die mögliche Fehlvorstellung wirklich?

Eine Agentur sollte nicht nur aus Sicht des eigenen Designteams urteilen. Wer das Motiv gebaut hat, erkennt die künstlichen Elemente leichter als ein unbeteiligter Betrachter.

Schritt 6: KI-Texte separat prüfen

Die Kennzeichnungspflicht für Text greift nicht bei jedem KI-Entwurf. Relevant sind veröffentlichte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen.

Zu den möglichen Themen gehören:

Politik und demokratische Prozesse,
öffentliche Verwaltung und Justiz,
Grundrechte und Sicherheit,
öffentliche Gesundheit,
Umweltschutz,
Verbrauchersicherheit,
relevante wirtschaftliche, finanzielle, wissenschaftliche oder kulturelle Entwicklungen.

Ausnahme durch menschliche Prüfung

Eine Kennzeichnung kann entfallen, wenn der Inhalt eine substanzielle menschliche Prüfung oder redaktionelle Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Dafür sollte dokumentiert sein:

wer fachlich geprüft hat,
welche Quellen verwendet wurden,
welche Aussagen geändert oder verworfen wurden,
wer die Freigabebefugnis hatte,
wer rechtlich für die Veröffentlichung einsteht.

Reine Grammatik- oder Stilkorrektur reicht nach der Kommissionsauslegung nicht.

Schritt 7: Passenden Hinweis formulieren

Der Hinweis sollte die relevante künstliche Erzeugung benennen.

Inhalt	Möglicher Hinweis
vollständig erzeugtes Motiv	Bild KI-generiert
teilweise verändertes Motiv	Bild teilweise KI-modifiziert
reale Person synthetisch nachgebildet	Personendarstellung KI-generiert
mehrere reale Personen nachgebildet	KI-generierte Darstellung realer Personen
synthetische Stimme	Stimme KI-generiert
manipulierter Videoteil	Video enthält KI-manipulierte Szenen
ungeprüfter Text zu öffentlichem Interesse	Text KI-generiert

„Mit KI unterstützt“ ist nur geeignet, wenn es die tatsächliche Veränderung verständlich beschreibt. Bei einer vollständig synthetischen Person ist die Formulierung meist zu weich.

Schritt 8: Platzierung im echten Nutzungskontext testen

Eine Kennzeichnung wird nicht am großen Designmonitor freigegeben, sondern in der realen Nutzung.

Print

Ausdruck in Originalgröße,
ausreichender Kontrast,
außerhalb von Beschnitt und Falz,
lesbar aus üblichem Abstand.

direkt im Motiv,
Abstand zu App-Overlays,
Test als Story und Feed-Screenshot,
beim Repost weiterhin vorhanden.

Website

am Bild oder als sichtbare Bildunterschrift,
nicht nur in Metadaten oder im Impressum,
ohne zusätzlichen Klick erkennbar.

Video

bei erster Wahrnehmung,
ausreichend lange oder wiederkehrend,
betroffene Szenen eindeutig zuordenbar.

Audio

hörbar vor oder zu Beginn der synthetischen Passage,
verständliches Tempo und Lautstärke.

Schritt 9: Maschinenlesbare Provenienz erhalten

Anbieter generativer Systeme müssen ihre Ausgaben grundsätzlich technisch markieren, soweit Artikel 50 Absatz 2 greift. Agenturen sollten vorhandene Provenienzsignale nicht ohne Grund entfernen.

Der Exportprozess sollte deshalb prüfen:

Bleiben Metadaten erhalten?
Unterstützt das Zielformat Provenienzstandards?
Entfernt das Design- oder Social-Tool technische Informationen?
Gibt es neben der sichtbaren Kennzeichnung eine Originaldatei mit unveränderten Markierungen?

Die technische Markierung ersetzt bei Deepfakes nicht den sichtbaren Hinweis. Sie verbessert aber Nachweisbarkeit und spätere Prüfung.

Schritt 10: Kundenfreigabe mit der Kennzeichnung verbinden

Ein häufiger Prozessfehler: Der Kunde gibt das Design frei, die Agentur ergänzt danach einen Hinweis oder der Kunde entfernt ihn beim Upload.

Die Freigabe sollte deshalb ausdrücklich umfassen:

finale Datei,
exakten Kennzeichnungstext,
Platzierung,
Veröffentlichungsformate,
bestätigte Rechte,
bestätigte Tatsachen und Aussagen,
Verantwortlichkeit für spätere Änderungen.

Eine sinnvolle Freigabeformulierung kann lauten:

Der Auftraggeber bestätigt die sachliche Richtigkeit der dargestellten
Personen, Produkte, Rollen und Aussagen sowie die erforderlichen Rechte am
bereitgestellten Material. Die gekennzeichnete finale Version ist für die
genannten Kanäle freigegeben. Änderungen oder Entfernungen der Kennzeichnung
nach Übergabe erfolgen außerhalb der Produktionsfreigabe der Agentur.

Diese Formulierung ersetzt keine individuelle Vertragsprüfung, macht die Prozessgrenze aber sichtbar.

Schritt 11: Entscheidungsakte anlegen

Für jedes relevante KI-Projekt sollte ein kompakter Nachweis gespeichert werden.

Empfohlener Inhalt

Projekt und Auftraggeber,
Veröffentlichungsdatum,
eingesetzte Systeme und Tarife,
Ausgangsmaterial und Rechtequellen,
relevante Prompts oder Produktionsbeschreibung,
erzeugte oder veränderte Elemente,
Deepfake-Test,
Textprüfung,
gewählte Kennzeichnung,
Screenshots der Platzierung,
Kundenfreigabe,
verantwortliche Personen,
Lösch- und Aufbewahrungsfrist.

Die Agentur muss nicht jedes kreative Zwischenergebnis dauerhaft speichern. Sie sollte aber die Entscheidung später erklären können.

Schritt 12: Wiederverwendung neu bewerten

Ein freigegebenes Motiv kann in einem neuen Kanal anders wirken.

Beispiele:

Aus einem Website-Banner wird ein Printplakat.
Ein Instagram-Post wird als Story ausgespielt.
Eine längere Videoeinblendung wird zum kurzen Werbeclip.
Ein internes Avatarvideo wird öffentlich veröffentlicht.
Ein Bild ohne Namensnennung erhält später eine prominente Beschriftung.

Die ursprüngliche Kennzeichnung kann dann zu klein, verdeckt oder inhaltlich unvollständig sein. Jeder neue Veröffentlichungsweg braucht einen kurzen Formatcheck.

Ampelmatrix für schnelle Entscheidungen

Stufe	Typischer Fall	Maßnahme
Grün	Rechtschreibung, Zuschnitt, leichte Farbkorrektur	dokumentieren, meist keine sichtbare Kennzeichnung
Gelb	generativer Hintergrund, größere Retusche, neue Objekte	Kontext und mögliche Bedeutungsänderung prüfen
Rot	reale Person neu erzeugt, Stimme geklont, Handlung erfunden	Deepfake-Prüfung, Kennzeichnung und Rechteprüfung
Stopp	fehlende Rechte, falsches Testimonial, rufschädigender Kontext	nicht veröffentlichen, rechtlich klären

Die Ampel ist ein Produktionswerkzeug. Sie ersetzt nicht die Definitionen des AI Acts.

Mindeststandard für kleinere Agenturen

Auch ohne eigene Rechtsabteilung lässt sich ein solider Mindestprozess etablieren:

eine verantwortliche Person für KI-Content benennen,
ein einheitliches Briefingformular verwenden,
rote Fälle immer im Vier-Augen-Prinzip prüfen,
drei bis fünf freigegebene Kennzeichnungsformulierungen definieren,
Story-, Feed-, Print- und Webvorlagen mit sicherer Hinweiszone anlegen,
Rechte und Kundenfreigaben zentral speichern,
Mitarbeitende zu Deepfakes, Datenschutz und Bildrechten schulen,
unklare oder reichweitenstarke Fälle extern prüfen lassen.

Artikel 4 des EU AI Acts verlangt zudem Maßnahmen zur KI-Kompetenz von Mitarbeitenden und Personen, die KI-Systeme im Auftrag nutzen. Eine Checkliste ist deshalb am wirksamsten, wenn das Team auch versteht, warum die einzelnen Schritte existieren.

Vorlage für den internen KI-Content-Check

PROJEKT
Kunde:
Kampagne:
Kanäle:
Veröffentlichungsdatum:

KI-NUTZUNG
System und Version:
Erzeugter Inhalt: Text / Bild / Audio / Video
Neu erzeugte Elemente:
Nur Standardbearbeitung: ja / nein

REALE BEZÜGE
Personen:
Produkte und Marken:
Orte oder Ereignisse:
Erhebliche Ähnlichkeit: ja / nein / unklar
Mögliche falsche Authentizität:

RECHTE UND DATENSCHUTZ
Quelle der Referenzen:
Einwilligung und Bearbeitungsrecht:
KI-Upload erlaubt:
Anbieterprüfung abgeschlossen:

TRANSPARENZ
Deepfake: ja / nein / unklar
Text zu öffentlichem Interesse: ja / nein
Menschliche Fachprüfung:
Kennzeichnungstext:
Platzierung geprüft:
Technische Markierung erhalten:

FREIGABE
Geprüft durch:
Kundenfreigabe:
Finale Datei:
Archivdatum:

Sanktionen nüchtern einordnen

Verstöße gegen Pflichten des AI Acts können mit erheblichen Geldbußen verbunden sein. Für Verstöße gegen andere Vorschriften der Verordnung nennt der AI Act Obergrenzen von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Für kleinere Unternehmen sind Verhältnismäßigkeit und die jeweils günstigere Obergrenze zu berücksichtigen.

Diese Zahlen sollten nicht als Marketing-Schreckbild verwendet werden. Für Agenturen ist der wichtigere Punkt: Ein sauberer Prozess reduziert nicht nur Bußgeldrisiken, sondern auch Reklamationen, Persönlichkeitsrechtskonflikte, Plattformprobleme und Vertrauensverlust.

Quellen und Stand

Rechts- und Veröffentlichungsstand: 3. August 2026.

Die Kommissionsleitlinien sind eine wichtige, aktuelle Auslegungshilfe, aber keine verbindliche Gerichtsentscheidung. Dieser Beitrag ist keine individuelle Rechtsberatung.