Die Compliance-Frist des EU-AI-Gesetzes am 2. August 2026 schafft doppelte Verpflichtungen für Hochrisiko-KI-Systeme. Für E-Mail-Marketer, die KI-gestützte Personalisierungs- und Segmentierungstools nutzen, wird es eng. Für Unternehmen, die im europäischen Markt tätig sind oder dort Services anbieten, markiert die August-Frist 2026 den Übergang von der Vorbereitung zur Durchsetzung. Kombiniert mit bestehenden DSGVO-Anforderungen müssen E-Mail-Marketing-Teams in der EU nun eine zweistufige Compliance-Verpflichtung erfüllen, die sofortige Aufmerksamkeit erfordert, wie Secure Privacy dokumentiert.
Was die August-Frist wirklich bedeutet
Das AI-Gesetz trat am 1. August 2024 in Kraft und wird am 2. August 2026 vollständig anwendbar, mit einigen Ausnahmen. Der kritischste Compliance-Stichtag für die meisten Unternehmen ist der 2. August 2026, wenn die Anforderungen für Hochrisiko-KI-Systeme aus Annex III verbindlich werden.
Zu den wichtigsten Verpflichtungen ab August 2026 gehören umfassende Anforderungen für Hochrisiko-KI-Systeme, darunter Risikomanagement, Datenverwaltung, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit sowie Verpflichtungen für Anwender, Konformitätsbewertungsverfahren, Marktüberwachung nach Markteinführung und Meldepflichten für Vorfälle.
Die finanziellen Konsequenzen sind erheblich. Bußgelder für Nichtkonformität betragen bis zu 35 Mio. EUR oder 7% des weltweiten Umsatzes bei verbotenen Praktiken, bis zu 15 Mio. EUR oder 3% bei anderen Verstößen und bis zu 7,5 Mio. EUR oder 1% bei falschen oder irreführenden Informationen. Die Bußgelder gelten für EU- und Nicht-EU-Unternehmen, die KI-Systeme in der EU anbieten.
Ein wichtiger Punkt für die Planung: Die Europäische Kommission hat Ende 2025 ein "Digitales Omnibus"-Paket vorgeschlagen, das die Verpflichtungen für Hochrisiko-Systeme aus Annex III bis Dezember 2027 verschieben könnte. Unternehmen sollten jedoch nicht davon ausgehen, dass diese Verlängerung realisiert wird. Vorsichtige Compliance-Planung behandelt August 2026 als bindenden Stichtag.
Wo E-Mail-Marketing-KI in den "Hochrisiko"-Bereich fällt
Die meisten KI-Tools im E-Mail-Marketing, wie Betreffzeilen-Generatoren und Send-Time-Optimizer, fallen unter die Kategorie "begrenzte Risiken". Das Bild ändert sich jedoch bei tiefer gehender Verhaltensprofilierung.
KI-Systeme aus Annex III gelten immer als Hochrisiko, wenn sie Personen profilieren, also automatisierte Verarbeitung personenbezogener Daten zur Bewertung verschiedener Lebensbereiche wie Vorlieben, Interessen, Verhalten oder wirtschaftliche Situation. Ausgefeilte E-Mail-Segmentierungstools, die Abonnenten-Profile aus Kaufhistorie, Browsing-Daten und Engagement-Mustern erstellen, könnten diese Definition erfüllen.
Das Gesetz verbietet explizit KI-Systeme, die subliminale, manipulative oder täuschende Techniken einsetzen, um Verhalten zu verzerren und informierte Entscheidungsfindung zu beeinträchtigen, sowie Systeme, die Schwachstellen bezüglich Alter, Behinderung oder sozioökonomischer Verhältnisse ausnutzen. E-Mail-Marketer, die KI nutzen, um finanziell gefährdete Zielgruppen mit aggressiven Kampagnen anzusprechen, sollten diese Workflows sofort überprüfen.
Die Transparenzanforderungen aus Artikel 50, die Offenlegung von KI-Interaktionen, Kennzeichnung synthetischer Inhalte und Deepfake-Erkennung vorsehen, werden ebenfalls ab August 2026 durchgesetzt. Für E-Mail-Teams bedeutet dies, dass KI-generierte Kopien und personalisierte Inhalte als solche möglicherweise gegenüber Empfängern offengelegt werden müssen.
Die DSGVO-Ebene bleibt aktiv und intensiviert sich
Das EU-AI-Gesetz ersetzt die DSGVO nicht. Es ergänzt sie, und Regulatoren nutzen die DSGVO bereits als primäres Werkzeug für KI-Enforcement.
Wie DLA Piper in ihrer GDPR-Durchsetzungsumfrage 2025 feststellte, wird die DSGVO derzeit als primäres Durchsetzungsinstrument für KI-Regulierung genutzt, da AI-spezifische Regeln noch eingeführt werden.
Automatisierte Entscheidungsfindung nach Artikel 22 überlappt mit Hochrisiko-KI-Systemen des AI-Gesetzes und erfordert in beiden Rahmenwerken menschliche Aufsicht. Diese Überschneidung ist exakt dort, wo E-Mail-Marketer doppelter Exposition ausgesetzt sind. Ein KI-System, das Abonnenten automatisch bewertet und Entscheidungen zum Versand oder zur Unterdrückung ohne menschliche Beteiligung trifft, könnte Verpflichtungen aus beiden Regelwerken gleichzeitig auslösen.
Nach der DSGVO müssen KI-gestützte Profile, die folgenreiche Entscheidungen über Abonnenten treffen, auf konsentierten Erst-Party-Daten basieren. Das bedeutet, dass die Consent-Architektur in der E-Mail-Plattform nicht nur Marketing-Zustimmung erfassen muss, sondern auch explizite Offenlegung von KI-gestützter Profilierung.
Seit Geltung der DSGVO haben Regulatoren über 2.800 Bußgelder mit einer Gesamtsumme von mehr als 6,2 Mrd. EUR verhängt, und mehr als 60% dieser Summe seit Januar 2023 allein. Der Durchsetzungstrend zeigt nur eine Richtung.
Was E-Mail-Marketing-Teams vor August 2026 tun müssen
Die Compliance-Lücke ist real. Analysen zur Unternehmensbereitschaft deuten darauf hin, dass die meisten Unternehmen beim Herangehen an die 2026-Frist erhebliche Compliance-Lücken aufweisen, wobei über die Hälfte systematische Inventare ihrer KI-Systeme in Produktion oder Entwicklung vermisst.
Hier ist ein praktischer Einstiegspunkt für E-Mail-Marketing- und Growth-Teams:
Audit des KI-Stacks. Erfassen Sie jedes KI-Tool in der E-Mail-Workflow, von Segmentierungs-Engines und Predictive-Churn-Modellen bis zu KI-Copywriting-Tools. Klassifizieren Sie jedes nach Risiko-Stufe. Bewerten Sie, ob sie unter Hochrisiko- oder verbotene Kategorien fallen, und implementieren Sie relevante Maßnahmen für Risikomanagement, menschliche Aufsicht, Datenverwaltung und Transparenz.
Consent-Flows aktualisieren. Gültige Zustimmung erfordert vier Elemente: freiwillig, spezifisch, informiert und eindeutig. Vorausgewählte Kontrollkästchen, Cookie-Walls und unklar formulierte Texte ungültig machen die Zustimmung. Wenn aktuelle Anmeldeformulare keine KI-Profilierung offenlegen, müssen sie überarbeitet werden.
Menschliche Aufsicht einbauen. KI erschwert die Compliance durch großflächige Datenverarbeitung und automatisierte Entscheidungen. Um within DSGVO-Richtlinien zu bleiben, müssen Unternehmen jede KI-Aktivität dokumentieren, menschliche Aufsicht für folgenreiche Entscheidungen sicherstellen und Prozesse regelmäßig prüfen.
Alles dokumentieren. Bis zum 2. August 2026 sollten Konformitätsbewertungen abgeschlossen, technische Dokumentation finalisiert, CE-Kennzeichnung angebracht und EU-Datenbankregistrierung für Hochrisiko-Systeme vollendet sein. Falls ein Third-Party-KI-Personalisierungstool eingesetzt wird, fordern Sie diese Dokumentation sofort vom Anbieter an.
Europa führt weltweit bereits mit 89,1% Inbox-Platzierungsquoten an, größtenteils weil DSGVO-Compliance-Anforderungen strengere List-Hygiene-Praktiken erzwingen. Marketer, die die August-2026-Frist als operatives Upgrade statt als rechtliche Hürde betrachten, sind besser positioniert, um diesen Deliverability-Vorteil zu sichern und die Art von Abonnenten-Vertrauen aufzubauen, die nachhaltigen ROI erzeugt.
