Ein anonymisiertes Kundenfoto und ein Datensatz mit echtem Firmenkontext liefern nicht dieselbe Qualität an KI-generierten Marketingtexten – und genau an diesem Unterschied entscheidet sich bei uns, ob eine Kampagne durchs Compliance-Raster geht oder nicht. Seit ich intern für KI-Compliance zuständig bin, vergleiche ich in unserem Maschinenbau-Zulieferer eigentlich ständig zwei Wege: den schnellen, den das Marketing will, und den dokumentierten Weg, den die Datenschutz-Grundverordnung von uns verlangt, sobald Marketing und DSGVO gleichzeitig im Spiel sind. Bei der KMU-Digitalisierung reicht es nicht, ein Tool einfach auszuprobieren, sobald Mitarbeiterfotos oder Kundendaten hochgeladen werden. Wie weit die beiden Wege auseinanderlaufen können, wurde mir klar, als ein Kollege aus dem Marketing echte Mitarbeiterfotos in ein US-amerikanisches Tool hochgeladen hat. Er wollte für eine lokale Kampagne freundliche Avatare daraus bauen, ungefragt und ohne Einwilligung. Das Ergebnis: Eine Kollegin aus der Fertigung hatte auf dem generierten Bild plötzlich sechs Finger an einer Hand.
DSGVO im Marketing: anonymisierte Bilder gegen ein geschütztes Trainingsmodell
Anonymisieren war für mich lange die naheliegende Antwort auf jedes Datenschutzproblem im Marketing. Laura Schmidt, HR-Leiterin in einem Sanitärunternehmen in Wuppertal, die mir seit ihrer ersten Mail zu unserer Schatten-KI-Inventur ab und zu schreibt, hat genau das bei sich durchgesetzt: alle Namen raus, alle Gesichter unkenntlich gemacht, bevor irgendetwas in ein KI-Tool geht. Ihr Fazit, so förmlich formuliert wie immer in ihren Nachrichten, war ernüchternd knapp. Die Texte klangen austauschbar, weil dem Modell jeder Bezug zum eigenen Unternehmen fehlte.
Bei uns bin ich einen anderen Weg gegangen und habe der Geschäftsführung vorgeschlagen, stattdessen in eine geschlossene Instanz zu investieren, in der unsere Daten nicht zum Training des großen Modells verwendet werden. Der Unterschied in der Ergebnisqualität war für mich der Moment, in dem klar wurde: Anonymisierung schützt zwar die Betroffenen, sagt aber nichts über eine vernünftige Daten-Governance im restlichen Prozess aus. Und ohne die passenden Verträge, bei uns Teil unserer Dokumentationspflichten, bringt auch die aufwendigste Instanz nichts.
Zwei Schutzziele, die sich nicht gegenseitig ersetzen: Anonymisierung schützt Menschen, Kontext schützt die Kampagne. Für einen schnellen internen Entwurf ohne Personenbezug reicht mir bis heute die anonymisierte Variante. Sobald aber unsere eigene Tonalität oder Fachbegriffe aus dem Maschinenbau gefragt sind, hole ich das Marketing zur geschlossenen Instanz.
Wie entscheidet man, welches Tool Grün, Gelb oder Rot bekommt?
Tobias aus der IT und ich haben irgendwann versucht, das Problem an der Wurzel zu packen. Ich habe ihn gebeten, mir eine vollständige Liste aller im Unternehmen bereits eingesetzten KI-Tools zusammenzustellen. Diese Liste kam nie – nicht weil er nicht wollte, sondern weil jede Abteilung längst eigene Browser-Erweiterungen und Testkonten hatte, von denen selbst die IT nichts wusste. Aus diesem gescheiterten Anlauf ist am Ende die Ampel entstanden: Grün für Tools mit Vertrag und ohne Trainingsnutzung unserer Daten, Gelb für alles, was nur mit anonymisierten Inhalten laufen darf, Rot für Tools, deren Bedingungen uns die Rechte an eigenen Inhalten nehmen oder die mit biometrischen Merkmalen arbeiten – Letzteres würde ohnehin in Richtung der nach dem AI Act verbotenen Anwendungen laufen.
Die meisten Textgeneratoren und Bildwerkzeuge, die das Marketing tatsächlich nutzt, landen bei uns in der unteren Risikoklasse, was die Ampel im Alltag handhabbarer macht, als es beim ersten Lesen der Verordnung aussah. Kennzeichnungspflicht gilt bei uns trotzdem für jedes KI-generierte Bild, das nach außen geht. Und wer die Urheberrechte an einem komplett KI-erzeugten Motiv hält, klären wir inzwischen vor jeder Kampagne, statt es hinterher zu bereuen.
Stefans Pragmatismus trifft auf meine Kontrollliste
Stefan Roth, mit dem ich mich seit einem Informationsabend der IHK zu Düsseldorf am Ernst-Schneider-Platz austausche, weil er als HR-Kollege bei einem anderen Maschinenbau-Zulieferer vor genau denselben Fragen stand, nennt praktisch jeden Kompromiss instinktiv pragmatisch. Passt ein Tool zu neunzig Prozent, nutzt er es und regelt den Rest später – bei ihm geht das oft schneller, weil sein Unternehmen im Marketing-Alltag als reiner Betreiber der KI-Systeme gilt und nicht als Anbieter, was die Pflichten überschaubarer macht.
Ich dagegen wollte erst genau wissen, wer bei uns welche Rolle nach dem AI Act trägt, bevor ich irgendetwas freigebe. Deshalb saß ich an einem Abend um halb elf noch am Küchentisch, den Verordnungstext aufgeklappt, ohne dass ich wirklich noch eine Zeile davon gelesen hätte. Am nächsten Morgen musste ich mir eingestehen, dass mein Perfektionsanspruch das Marketing eher gebremst als unterstützt hatte. Stefans Tempo war für sein Team richtig, meines nicht automatisch für unseres.
Wann Tempo zählt und wann Dokumentation den Vorrang bekommt
Nach diesen Vergleichen sehe ich unsere AI-Act-Umsetzung im Marketing nicht mehr als einen einzigen Prozess, sondern als ständige Abwägung zwischen zwei Geschwindigkeiten. Für kurzlebige interne Entwürfe oder anonyme Social-Media-Grafiken reicht ein grün markiertes Tool und ein kurzer Blick auf die Kennzeichnung – hier zählt Tempo mehr als jede zusätzliche Prüfschleife. Sobald aber Mitarbeiterfotos, Kundendaten oder unsere eigene Fachsprache aus dem Maschinenbau im Spiel sind, ziehe ich die Dokumentation vor, selbst wenn das Marketing dadurch einen Tag länger auf die Freigabe wartet.
Wenn du zwischen Marketing-Tempo und Compliance-Pflicht genauso hin- und hergerissen bist wie ich anfangs, hilft dir vielleicht mein Text zu Stress als KI-Beauftragte im Mittelstand mit mehr Gelassenheit. Als neulich jemand vergaß, ein KI-generiertes Icon zu kennzeichnen, war das kein Drama, weil wir längst festgelegt haben, wie wir KI-Vorfälle im Unternehmen melden – kurz korrigiert, im Team besprochen, weiter im Text. Compliance heißt nicht Nein zu sagen, sondern zu wissen, welche der beiden Geschwindigkeiten der jeweilige Fall gerade braucht.