Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act. Kurz davor hat die EU den Zeitplan geändert und die Regeln für Hochrisiko-KI auf 2027 und 2028 verschoben. Für dich als Absender eines Newsletters ist die Lage einfach. Wer mit KI schreibt und den Text selbst liest und freigibt, muss nichts kennzeichnen. Was genau gilt, wo die Grenze liegt und wie bemailed damit umgeht, steht hier.
Was der EU AI Act ist
Der EU AI Act, die Verordnung (EU) 2024/1689, ist das KI-Gesetz der Europäischen Union. Er gilt direkt in jedem Mitgliedstaat. Sein Grundgedanke ist das Risiko. Nicht die Technik wird geregelt, sondern ihr Einsatz. Ein System, das über Kredite entscheidet, unterliegt strengen Auflagen. Ein Werkzeug, das einen Newsletter-Entwurf vorschlägt, kaum.
Der Zeitplan, Stand September 2026
Das Gesetz kommt in Stufen, und die Stufen wurden im Sommer 2026 verschoben.
- 1. August 2024: Die Verordnung tritt in Kraft.
- 2. Februar 2025: Verbotene Praktiken sind untersagt, etwa Social Scoring. Seitdem gilt auch die Pflicht zur KI-Kompetenz (Artikel 4).
- 2. August 2025: Pflichten für die Anbieter großer Basismodelle, also die Unternehmen hinter GPT oder Claude.
- 27. Juli 2026: Der Digital Omnibus tritt in Kraft. Er verschiebt die Hochrisiko-Pflichten und nimmt kleinen Unternehmen einige Dokumentationspflichten ab.
- 2. August 2026: Die Transparenzpflichten aus Artikel 50 gelten. Das ist der Stand heute.
- 2. Dezember 2026: Frist für generative KI-Systeme, die vor dem 2. August 2026 auf dem Markt waren, ihre Ausgaben maschinenlesbar zu markieren. Das betrifft die Anbieter der Modelle, nicht dich.
- 2. Dezember 2027: Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III.
- 2. August 2028: Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I, etwa Medizingeräte.
Quellen: die Übersicht der EU-Kommission zum Rechtsrahmen für KI und die Einordnung von DLA Piper zum Digital Omnibus.
Die vier Risikoklassen
Unannehmbares Risiko
Social Scoring, Emotionserkennung am Arbeitsplatz, Systeme, die Menschen gezielt zu Schaden lenken. Seit Februar 2025 untersagt.
Hohes Risiko
KI in Bewerbungsauswahl, Kreditvergabe, kritischer Infrastruktur, Strafverfolgung. Erlaubt mit Risikomanagement, Dokumentation und menschlicher Aufsicht.
Begrenztes Risiko
Chatbots, Deepfakes, KI-Texte über Themen von öffentlichem Interesse. Menschen müssen erkennen können, dass KI im Spiel ist.
Minimales Risiko
Der Rest, von der Rechtschreibkorrektur bis zum Newsletter-Entwurf, den ein Mensch prüft. Keine besonderen Auflagen.
Was Artikel 50 verlangt
Artikel 50 ist der Teil des Gesetzes, der dich als Absender berühren kann. Er enthält vier Pflichten.
- Chatbots müssen sich als KI zu erkennen geben. Ein Newsletter ist kein Chatbot.
- Anbieter generativer KI müssen ihre Ausgaben maschinenlesbar markieren, etwa mit Wasserzeichen oder Metadaten. Das ist Sache von OpenAI, Anthropic oder Google.
- Deepfakes, also täuschend echte Bilder, Videos oder Stimmen realer Personen, müssen als KI-erzeugt gekennzeichnet werden. Wer das Foto eines echten Menschen per KI verändert und im Newsletter zeigt, kennzeichnet es.
- KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, müssen gekennzeichnet werden. Ausgenommen sind Texte, die ein Mensch prüft und redaktionell verantwortet.
Der vierte Punkt entscheidet. Ein Newsletter, den du mit Smart Mail entwirfst, dann liest, änderst und freigibst, ist genau dieser Ausnahmefall. Ein Mensch prüft ihn, dein Name steht im Impressum. Eine Kennzeichnung ist nicht vorgeschrieben. Du darfst sie trotzdem setzen, wenn du das deinen Lesern sagen willst. Die Einzelheiten stehen im Leitfaden zu Artikel 50 des AI-Act-Portals. Wer KI für Nachrichten, politische Kommunikation oder Bilder echter Personen einsetzt, fragt eine Kanzlei. Dieser Beitrag ist eine Einordnung, keine Rechtsberatung.
Der EU AI Act verbietet keine KI im Marketing. Er verlangt, dass ein Mensch die Kontrolle behält und niemanden täuscht.
Die Pflicht, die fast jeder übersieht
Seit dem 2. Februar 2025 verlangt Artikel 4, dass Unternehmen, die KI einsetzen, für KI-Kompetenz bei ihren Leuten sorgen. Das gilt auch für den Ein-Personen-Betrieb und den Verein. Eine Zertifizierung verlangt niemand. In der Praxis reicht eine Liste, wo im Betrieb KI im Einsatz ist, drei Regeln, die alle kennen, und ein Vermerk, wann das besprochen wurde. Die drei Regeln: KI-Entwürfe werden gelesen. Fakten werden geprüft. Personenbezogene Daten kommen nicht in fremde Werkzeuge.
Wie bemailed damit umgeht
Ein Mensch entscheidet
Smart Mail schreibt Entwürfe, verschickt aber nichts. Jeder Newsletter geht erst raus, wenn du ihn geprüft und bestätigt hast. Ein Import löst keine Mail aus.
KI ist benannt
Wo KI arbeitet, steht Smart Mail dran, im Editor, in der Marken-Analyse und in der Prüfung vor dem Versand. Du siehst, was von der KI kommt und was von dir.
Keine verbotenen Praktiken
Keine Emotionserkennung, keine Bewertung von Personen, keine manipulative Gestaltung. Die Auswertung zeigt Öffnungen und Klicks, sie bewertet keine Menschen.
Daten in Frankfurt
Die Daten deiner Leser liegen auf Servern in Frankfurt, der Auftragsverarbeitungsvertrag liegt im Konto. An die Sprachmodelle in den USA gehen nur die Texte, abgesichert über EU-Standardvertragsklauseln.
Was du jetzt tust
- Eine Liste, wo du KI einsetzt, drei Regeln fürs Team, ein Vermerk. Damit ist Artikel 4 erfüllt.
- KI-Entwürfe vor dem Versand lesen, Fakten prüfen, bewusst freigeben. Das hält dich in der Ausnahme von Artikel 50.
- Bilder echter Personen kennzeichnen, wenn KI sie verändert hat. Bei Illustrationen ohne reale Person ist nichts vorgeschrieben.
Wer so arbeitet, kann seinen Lesern zwei Dinge sagen: Ein Mensch verantwortet jeden Newsletter, und ihre Daten bleiben in der EU. Wie das mit der DSGVO zusammenpasst, steht im DSGVO-Leitfaden.
Häufige Fragen
Was ist der EU AI Act?
Das KI-Gesetz der Europäischen Union, die Verordnung (EU) 2024/1689. Es gilt direkt in jedem Mitgliedstaat, ohne ein deutsches Gesetz dazwischen. Es regelt KI nach dem Risiko: Je mehr eine Anwendung Menschen schaden kann, desto strenger die Pflichten.
Was gilt seit dem 2. August 2026?
Die Transparenzpflichten aus Artikel 50, und die Aufsicht kann sie durchsetzen. Die Pflichten für Hochrisiko-Systeme sind verschoben. Der Digital Omnibus, seit dem 27. Juli 2026 in Kraft, setzt sie auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme und auf den 2. August 2028 für KI in regulierten Produkten.
Muss ich Newsletter kennzeichnen, die mit KI geschrieben wurden?
Nicht, wenn du sie liest, prüfst und verantwortest. Artikel 50 verlangt eine Kennzeichnung für KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, und nimmt Texte aus, die ein Mensch prüft und redaktionell verantwortet. Ein Newsletter, den du liest und freigibst, ist so ein Text. Das ist eine Einordnung, keine Rechtsberatung.
Welche Strafen drohen?
Bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für die meisten anderen Verstöße, auch gegen die Transparenzpflichten, bis zu 15 Millionen Euro oder 3 Prozent. Für falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.
Ist Smart Mail eine Hochrisiko-KI?
Nein. Hochrisiko sind Bewerbungsauswahl, Kreditvergabe, kritische Infrastruktur, Strafverfolgung, die Bereiche aus Anhang III. Smart Mail schreibt Newsletter-Entwürfe, die du vor dem Versand prüfst. Das ist ein Schreibwerkzeug unter menschlicher Kontrolle und fällt in die unterste Stufe.
Wie setzt bemailed den EU AI Act um?
Ein Mensch entscheidet, kein Newsletter geht von allein raus, auch ein Import löst keine Mail aus. KI ist benannt, Smart Mail heißt Smart Mail. Es gibt keine Emotionserkennung, keine Bewertung von Personen, keine manipulative Gestaltung. Die Daten deiner Leser liegen in Frankfurt, mit Auftragsverarbeitungsvertrag im Konto. An die Sprachmodelle in den USA gehen nur die Texte, abgesichert über EU-Standardvertragsklauseln.