Der EU AI Act und automatisierte Kommentarmoderation

Die Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft, gilt aber gestaffelt. Sie ordnet KI-Systeme nicht nach Technologie, sondern nach Verwendungszweck: Was ein System tut und in welchem Kontext, entscheidet über die Pflichten. Für ein Werkzeug, das Kommentare unter deinen eigenen Beiträgen vorsortiert, ist das eine gute Nachricht - und keine Entwarnung.

Dieser Artikel ist keine Rechtsberatung. Er ist der Versuch, die Artikel verständlich zu machen, die in jedem Gespräch über KI-Moderation auftauchen, und zu benennen, welche Pflicht bei uns als Anbieter liegt und welche bei dir als Betreiber.

Der Zeitplan

Die Fristen für Anhang III wurden 2026 im Rahmen des Digital-Omnibus nach hinten verschoben. Prüfe den Stand, bevor du ihn in eine interne Richtlinie schreibst - das ist der Teil dieses Artikels, der am schnellsten altert.

Der AI Act kennt vier Stufen: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und alles übrige. Welche Stufe gilt, ergibt sich nicht aus einer Einschätzung, sondern aus zwei Listen.

Anhang III zählt die Einsatzbereiche auf, in denen ein KI-System als hochriskant gilt: kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalauswahl, der Zugang zu grundlegenden privaten und öffentlichen Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse. Anhang I nennt KI, die als Sicherheitsbauteil in bereits regulierte Produkte eingebaut ist. Die Moderation von Kommentaren unter den eigenen Beiträgen steht auf keiner der beiden Listen.

Wer dir ein Moderationswerkzeug als hochrisiko-zertifiziert verkauft, verkauft dir ein Siegel für eine Kategorie, in die das Produkt nicht fällt.

Folgenlos ist die Einordnung trotzdem nicht. Die Transparenzpflichten aus Artikel 50, die KI-Kompetenz aus Artikel 4 und die gesamte DSGVO gelten unabhängig von der Risikoklasse. Und die Abgrenzung kann kippen: Wird dieselbe Automatik eingesetzt, um über den Zugang zu einer Leistung zu entscheiden statt über die Sichtbarkeit eines Kommentars, ist es ein anderer Zweck und damit möglicherweise eine andere Klasse.

Artikel 50 ist der Teil, der ab dem 2. August 2026 die meisten Unternehmen berührt - nicht weil er schwer wäre, sondern weil fast jedes Unternehmen KI irgendwo im Kundenkontakt einsetzt.

• Absatz 1 - Wer ein KI-System betreibt, mit dem Menschen direkt interagieren, muss das offenlegen. Der klassische Fall ist der Chatbot. Eine Automatik, die im Hintergrund entscheidet, ohne dass jemand mit ihr spricht, ist nicht gemeint.
• Absatz 2 - Anbieter generativer Systeme müssen ihre Ausgaben maschinenlesbar als künstlich erzeugt kennzeichnen, etwa über Wasserzeichen oder Metadaten. Das ist eine Pflicht der Modellanbieter, nicht deine.
• Absatz 3 - Emotionserkennung und biometrische Kategorisierung müssen den betroffenen Personen gegenüber offengelegt werden.
• Absatz 4 - Deepfakes müssen gekennzeichnet werden, und KI-erzeugte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, ebenfalls - es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
• Absatz 5 - Die Information muss spätestens bei der ersten Interaktion vorliegen, klar erkennbar und unterscheidbar. Ein Hinweis, den man erst im Impressum findet, erfüllt das nicht.

Was das für Kommentare unter deinen Beiträgen heißt

• Eine Antwort, die du selbst geschrieben und hinterlegt hast, ist kein KI-Inhalt - auch dann nicht, wenn eine KI entschieden hat, wann sie passt. Genau so funktioniert Smart Reply.
• Eine Antwort, die die KI formuliert und die du vor dem Senden freigibst, ist ein von einem Menschen geprüfter Text. Darauf zielt die Ausnahme in Absatz 4 - und deshalb ist die Freigabe bei Copilot kein Komfortfeature, das man abschalten kann.
• Das Verbergen eines Kommentars ist keine Interaktion im Sinne von Absatz 1: Es spricht niemand mit einem System.
• Unabhängig davon bleibt es transparent, wenn du es transparent machst. Ein Satz in deiner Datenschutzerklärung oder in deinen Community-Regeln, dass Kommentare automatisiert vorgeprüft werden, kostet nichts und beantwortet die Frage, bevor sie gestellt wird.

Artikel 14 verlangt für Hochrisiko-Systeme, dass eine Person die Ausgabe überwachen, richtig einordnen und eingreifen kann. Kommentarmoderation ist kein Hochrisiko-System - aber die Denkfigur ist die richtige Messlatte für ein Produkt, das etwas unsichtbar machen kann. Die DSGVO geht in Artikel 22 in dieselbe Richtung: Wer von einer ausschließlich automatisierten Entscheidung erheblich betroffen ist, hat das Recht auf das Eingreifen einer Person.

Zwei Regeln, die immer gelten

• Antwortet das Modell gar nicht oder unklar, gilt ein Kommentar als prüfbedürftig - nie als unbedenklich freigegeben. Eine Störung macht deine Seite also nicht stiller, sondern deine Review Queue länger.
• Jedes Verbergen ist umkehrbar. Ein verborgener Kommentar ist nicht gelöscht: Er bleibt bei Instagram beziehungsweise Facebook liegen und ist für andere nicht mehr sichtbar. Ein Klick macht das rückgängig.

Menschliche Aufsicht ist nur dann echte Aufsicht, wenn sie vor der Wirkung greift. Eine Freigabe, die man nachträglich erteilt, ist eine Korrektur.

• KI-Kompetenz nach Artikel 4: Wer in deinem Team mit KI-Werkzeugen arbeitet, muss verstehen, was das Werkzeug tut und wo seine Grenzen liegen. Das gilt seit Februar 2025 und verlangt kein Zertifikat, sondern eine nachvollziehbare Einweisung.
• Ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO, in dem die Moderation als eigener Zweck auftaucht.
• Einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit jedem Werkzeug, das Kommentare deiner Community verarbeitet. Ohne den fehlt nicht die Formalie, sondern die Rechtsgrundlage.
• Einen Satz in deiner Datenschutzerklärung, der die automatisierte Vorprüfung von Kommentaren benennt - inklusive der Information, dass ein Mensch eingreifen kann.
• Eine kurze Notiz darüber, welche Entscheidungen die Automatik treffen darf und welche nicht. Das ist die Dokumentation, nach der eine Aufsichtsbehörde als Erstes fragt.

Die Bußgelder stehen in Artikel 99: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. Euro oder 3 % für Verstöße gegen die übrigen Pflichten - darunter die Transparenzpflichten aus Artikel 50.

Ist automatische Kommentarmoderation nach dem EU AI Act ein Hochrisiko-System?

Nein. Hochrisiko ist über die Listen in Anhang I und Anhang III definiert - kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung und vergleichbare Bereiche. Die Moderation von Kommentaren unter den eigenen Beiträgen steht dort nicht. Die Transparenzpflichten aus Artikel 50, die KI-Kompetenz aus Artikel 4 und die DSGVO gelten trotzdem.

Muss ich kennzeichnen, dass Kommentare von einer KI geprüft werden?

Artikel 50 Abs. 1 zielt auf Systeme, mit denen Menschen direkt interagieren - eine Vorprüfung im Hintergrund fällt nicht darunter. Empfehlenswert ist ein Hinweis trotzdem: Ein Satz in der Datenschutzerklärung und in deinen Community-Regeln beantwortet die Frage, bevor sie öffentlich gestellt wird. Antworten, die die KI formuliert hat, gibst du bei Doorman ohnehin einzeln frei - damit sind sie von einem Menschen geprüfte Inhalte.

Bin ich Anbieter oder Betreiber im Sinne des AI Act?

In aller Regel Betreiber, im Gesetz Deployer genannt: Du setzt ein System ein, das jemand anderes anbietet. Anbieter wirst du erst, wenn du ein System unter eigenem Namen in Verkehr bringst oder ein bestehendes so wesentlich veränderst, dass es ein anderes wird. Das Konfigurieren eigener Moderationsregeln ist keine solche Veränderung.

Was passiert, wenn die KI eine falsche Entscheidung trifft?

Jedes Verbergen ist mit einem Klick umkehrbar, und zu jeder Entscheidung steht dabei, welche deiner Regeln gegriffen hat. Ist das Modell unsicher oder fällt es aus, wird der Kommentar nicht automatisch behandelt, sondern landet in der Review Queue. Diese beiden Eigenschaften sind der praktische Kern dessen, was Artikel 14 mit menschlicher Aufsicht meint.

• Sicherheit, DSGVO und EU AI Act im Überblick - die Übersichtsseite mit Datenfluss, Berechtigungen und Löschfristen.
• DSGVO in der automatisierten Kommentarmoderation - Rechtsgrundlagen, Datenminimierung und Betroffenenrechte.
• EU-Inferenz und der Provider-Split - wo welcher Schritt der Verarbeitung läuft.

Stand: 3. September 2026. Dieser Artikel wird überprüft, wenn sich Fristen oder Auslegungen ändern; er ist keine Rechtsberatung.