Wer KI in der Agentur einsetzt, muss Freigabeprozesse, Datenschutzanforderungen und vertragliche Pflichten gegenüber Kunden lückenlos dokumentieren. Dieser Artikel zeigt, welche Nachweise heute bereits erwartet werden und wie strukturierte Prozesse dabei helfen.

Ab dem 2. August 2026 greifen vollständig die Hochrisiko-Pflichten der EU-KI-Verordnung: Agenturen, die KI-Agenten im Kundenauftrag betreiben, müssen dann gleichzeitig DSGVO und KI-VO einhalten und für jeden LLM-Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorweisen (Quelle: keyed.de, 13. April 2026). Für Agenturen bedeutet das doppeltes Compliance-Risiko: Sie haften als Betreiber gegenüber Behörden und gleichzeitig gegenüber ihren Kunden, wenn Verträge und Nachweise fehlen. Wer KI-gestützte Prozesse ohne lückenlose Dokumentation, ohne Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und ohne geprüfte AVV-Verträge mit Anbietern wie OpenAI oder Microsoft betreibt, riskiert Bußgelder, Vertragsverletzungen und den Verlust des Kundenvertrauens. Die Frist bis August 2026 ist knapp: Freigabeprozesse und Compliance-Dokumentation müssen jetzt strukturiert aufgebaut werden.

KI-Freigabeprozesse und Compliance: So dokumentieren Agenturen den KI-Einsatz rechtssicher

Leitfakt: Ab dem 2. August 2026 greifen vollständig die Hochrisiko-Pflichten der EU-KI-Verordnung. DSGVO und KI-Verordnung gelten dabei gleichzeitig, und Unternehmen müssen beide Regelwerke als Betreiber einhalten (Quelle: keyed.de). Wer als Agentur oder Dienstleister KI-Agenten im Kundenprojekt einsetzt, steht vor einer konkreten Dokumentationspflicht, die weit über interne Prozesse hinausgeht.

Warum Dokumentation jetzt zur Pflichtaufgabe wird

KI-Agenten sind laut Definition autonome Systeme, die selbstständig planen, entscheiden und handeln. Dabei verarbeiten sie fast immer personenbezogene Daten. Das erzeugt für Agenturen eine doppelte Verantwortung: gegenüber den eigenen Kunden vertraglich und gegenüber den Datenschutzbehörden regulatorisch.

Der EU AI Act gilt seit August 2024 und betrifft grundsätzlich alle Unternehmen, die KI-Systeme in der EU einsetzen, entwickeln oder vertreiben, also auch KMU, die Tools wie ChatGPT oder Microsoft Copilot nutzen (Quelle: ki-training-beratung.de). Die konkreten Pflichten richten sich nach der Risikoklasse des jeweiligen KI-Systems.

Für jeden eingesetzten LLM-Anbieter, ob OpenAI, Microsoft, Google oder Anthropic, ist zudem ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich. Bei KI-Agenten mit Personenbezug ist in den meisten Fällen zusätzlich eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO Pflicht (Quelle: keyed.de).

4 praktische Implikationen für Entscheider in Agenturen

1. Freigabematrix und Nachweispflichten vor Projektstart festlegen

Agenturen, die KI-generierte Inhalte produzieren oder KI-Agenten im Kundenauftrag betreiben, müssen für jeden Projekttyp eine klare Freigabematrix hinterlegen. Das bedeutet: Wer hat welche Inhalte zu welchem Zeitpunkt geprüft und freigegeben? Ohne diese Dokumentation fehlt im Streitfall der Nachweis, dass ein menschlicher Kontrollschritt stattgefunden hat.

Geeignete Werkzeuge und Strukturen für solche Workflows beschreibt der Beitrag zu KI-Freigabematrizen und Content-Approval-Routing in Agenturen. Ergänzend lohnt der Blick auf KI-Workflows für Dokumentation und Archivierung mit Nachweispflichten.

2. AVV mit jedem LLM-Anbieter vor dem Einsatz abschließen

Ein häufiger Fehler in der Praxis: Agenturen nutzen KI-Dienste produktiv, ohne den erforderlichen Auftragsverarbeitungsvertrag abgeschlossen zu haben. Das ist ein unmittelbarer DSGVO-Verstoß. Dabei ist nicht nur der eigene Vertrag mit dem Anbieter relevant, sondern auch die Weitergabe von Kundendaten im Rahmen von Projekten. Sobald im Kundenbriefing oder in Kampagnendaten personenbezogene Informationen enthalten sind, greift Art. 28 DSGVO.

Mehr zur Haftungsfrage bei KI-generierten Inhalten in Kundenverträgen findet sich unter KI-generierte Inhalte: Haftung, Gewährleistung und Vertragsrisiken.

3. Risikoklasse des eingesetzten KI-Systems bestimmen

Nicht jede KI-Anwendung fällt unter die strengen Hochrisiko-Pflichten. Der EU AI Act teilt KI-Systeme in vier Klassen ein: unakzeptables Risiko (verboten), hohes Risiko (strenge Auflagen), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (kaum Auflagen). Die meisten Marketing- und Vertriebsanwendungen wie KI-gestützte Texterstellung oder Datenanalyse fallen in die Kategorie begrenztes oder minimales Risiko (Quelle: ki-training-beratung.de).

Agenturen sollten dennoch für jedes eingesetzte System eine schriftliche Einschätzung zur Risikoklasse dokumentieren. Das gilt besonders, wenn KI in der Kundenkommunikation oder im automatisierten Content-Publishing eingesetzt wird. Relevant ist hier auch die KI-Kennzeichnungspflicht auf Social Media.

4. Kundenverträge um KI-spezifische Klauseln ergänzen

Standardverträge bilden den KI-Einsatz häufig nicht ab. Agenturen sollten ihre AGB und Projektverträge um Regelungen zu folgenden Punkten erweitern:

Welche KI-Systeme und Anbieter im Projekt eingesetzt werden
Wie mit personenbezogenen Daten des Kunden umgegangen wird
Wer die inhaltliche Verantwortung für KI-generierte Outputs trägt
Wie Nachweise über Freigaben archiviert und auf Anfrage bereitgestellt werden

Das Thema Urheberrecht, Lizenzierung und Datenschutz in Agenturverträgen wird detailliert unter KI-Urheberrecht, Lizenzierung, Datenschutz und Haftung in Agenturverträgen behandelt. Hinweise zur Abrechnungsdokumentation bei KI-gestützten Projekten bietet der Beitrag zur KI-gestützten Agenturabrechnung.

Was konkret bis August 2026 zu tun ist

Die Umsetzungsfristen des EU AI Act sind gestaffelt. Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken bereits verboten, darunter manipulative KI-Systeme und Social Scoring (Quelle: ki-training-beratung.de). Für die vollständigen Hochrisiko-Pflichten läuft die Frist voraussichtlich bis zum 2. August 2026 (Quelle: keyed.de).

Agenturen, die jetzt strukturiert vorgehen, verschaffen sich einen Vorsprung: Dokumentierte Freigabeprozesse, rechtskonforme AVV und klare Vertragsregelungen sind nicht nur Compliance-Anforderung, sondern auch ein Qualitätsmerkmal gegenüber Kunden. Wer den KI-Einsatz in der Kundenkommunikation strukturiert aufstellt, reduziert gleichzeitig das Haftungsrisiko bei KI-generierten Inhalten.

Weiterführende Hinweise zum Datenschutz finden Sie auch in unserer Datenschutzerklärung.

Quellen

Häufige Fragen

Welche rechtlichen Rahmenbedingungen gelten für den KI-Einsatz in Agenturen ab 2026?

Agenturen, die KI-Agenten einsetzen, müssen gleichzeitig zwei Regelwerke einhalten: die DSGVO und die EU-KI-Verordnung (EU AI Act). Der EU AI Act gilt seit August 2024 mit gestaffelten Umsetzungsfristen. Voraussichtlich ab dem 2. August 2026 greifen vollständig die Hochrisiko-Pflichten der KI-Verordnung. Das bedeutet: Beide Regelwerke sind bereits heute bei der Planung von KI-Freigabeprozessen und der internen Dokumentation zu berücksichtigen.

Wann ist für den KI-Einsatz in der Agentur ein Auftragsverarbeitungsvertrag (AVV) erforderlich?

Für jeden LLM-Anbieter, über den personenbezogene Daten verarbeitet werden, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend erforderlich. Das gilt für gängige Anbieter wie OpenAI, Microsoft, Google und Anthropic. Agenturen müssen sicherstellen, dass dieser Vertrag vor dem produktiven Einsatz des jeweiligen KI-Systems geschlossen und in der Compliance-Dokumentation hinterlegt ist.

Wann muss eine Datenschutz-Folgenabschätzung (DSFA) für KI-Systeme durchgeführt werden?

Bei KI-Agenten, die personenbezogene Daten verarbeiten, ist in den meisten Fällen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht. Da KI-Agenten als autonome Systeme selbstständig planen, entscheiden und handeln, verarbeiten sie dabei fast immer personenbezogene Daten. Agenturen sollten die DSFA vor dem Einsatz durchführen, schriftlich dokumentieren und regelmäßig aktualisieren, um Nachweispflichten gegenüber Aufsichtsbehörden und Kunden erfüllen zu können.

Welche Risikoklasse ist für typische Agentur-KI-Anwendungen relevant, und welche Pflichten folgen daraus?

Der EU AI Act unterteilt KI-Systeme in vier Risikoklassen. Die meisten Marketing- und Vertriebsanwendungen, etwa KI-gestützte Texterstellung oder Datenanalyse, fallen in die Kategorien “begrenztes” oder “minimales Risiko”. Für diese Klassen bestehen vor allem Transparenzpflichten. Hochrisiko-Systeme, zum Beispiel KI in der Personalentscheidung, unterliegen deutlich strengeren Auflagen. Agenturen sollten für jedes eingesetzte KI-System die Risikoklasse ermitteln und die jeweils geltenden Pflichten in ihrer Dokumentation festhalten.

Wie sollten Agenturen den KI-Einsatz gegenüber Kunden vertraglich und dokumentarisch absichern?

Agenturen sind als Betreiber von KI-Systemen verantwortlich für die Einhaltung von DSGVO und KI-Verordnung. Für die Absicherung gegenüber Kunden empfiehlt sich eine strukturierte Dokumentation: Dazu gehören der Nachweis geschlossener AVVs mit LLM-Anbietern, die Ergebnisse durchgeführter Datenschutz-Folgenabschätzungen sowie eine klare Beschreibung, welche KI-Systeme in welchen Prozessen eingesetzt werden. Diese Unterlagen bilden die Grundlage für transparente Kundenverträge und ermöglichen den Nachweis regelkonformer Verarbeitung im Prüfungsfall.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.

KI-Freigabeprozesse in Agenturen: Compliance und Dokumentation