Am 2. August 2026 tritt Artikel 50 des EU AI Act in Kraft. Ab dann müssen KI-generierte Bilder, Videos und Audios als solche gekennzeichnet werden — auch in deinem Instagram-Feed, auch in deiner LinkedIn-Anzeige, auch im Reel, das dein Azubi mit einem KI-Tool zusammengeschnitten hat.

Drei Wochen sind das noch. Und die meisten mittelständischen Unternehmen, mit denen wir sprechen, haben bis heute kein einziges Dokument, das regelt, wer im Team was posten darf, welche Tools erlaubt sind und was passiert, wenn etwas schiefgeht.

Genau dafür gibt es Social Media Guidelines. Nicht als Verbotskatalog, der im Intranet verstaubt — sondern als kurzer, praktischer Rahmen, der deinem Team Sicherheit gibt und dich vor Bußgeldern, Shitstorms und Abmahnungen schützt.

In diesem Artikel bekommst du die Struktur, die wir mit unseren Kunden nutzen: acht Bausteine, der neue KI-Absatz, ein Deepfake-Kapitel, das fast alle vergessen — und ein Ausrollplan, der dafür sorgt, dass die Regeln tatsächlich ankommen.

Warum Guidelines 2026 kein „Nice to have" mehr sind

Drei Entwicklungen treffen dieses Jahr zusammen.

Erstens die Regulierung. Der AI Act ist keine Absichtserklärung. Verstöße gegen die Transparenzpflichten können mit bis zu 35 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für einen Mittelständler ist das existenziell — und die Verantwortung liegt beim Unternehmen, nicht beim Praktikanten, der das Bild generiert hat.

Zweitens die Deepfakes. Gefälschte Geschäftsführer-Stimmen, manipulierte Videocalls, täuschend echte Sprachnachrichten: Deepfake-Betrug ist 2026 im Mittelstand angekommen. Und die Angreifer holen sich das Rohmaterial dort, wo es frei liegt — aus deinen eigenen Social-Media-Videos.

Drittens die Mitarbeiter selbst. Der stärkste Trend dieses Jahres ist, dass echte Menschen mehr Vertrauen genießen als polierte Unternehmensaccounts. Mitarbeiter, die aus dem Arbeitsalltag posten, schlagen inzwischen Hochglanz-Kampagnen. Das ist eine riesige Chance — aber nur, wenn klar ist, was gesagt werden darf und was nicht.

Aus unserer Erfahrung mit über 50 Kunden gilt: Unternehmen ohne Guidelines posten entweder zu wenig (weil sich niemand traut) oder zu unbedacht (weil niemand die Grenzen kennt). Beides kostet Geld.

Die 8 Bausteine, die in jede Guideline gehören

Halte das Dokument kurz. Zwei bis vier Seiten reichen. Alles, was länger ist, liest niemand.

1. Zweck und Geltungsbereich. Wofür gelten die Regeln? Für die Unternehmensaccounts, für private Profile im beruflichen Kontext, für beides? Sei hier explizit. Ein Mitarbeiter, der auf seinem privaten LinkedIn-Profil den Arbeitgeber in der Bio führt, ist im beruflichen Kontext unterwegs.

2. Verantwortlichkeiten. Wer betreut welchen Kanal? Wer gibt frei? Wer darf im Namen des Unternehmens antworten? Ein Name pro Kanal, kein Gremium.

3. Tonalität und Markenstimme. Duzen oder siezen? Emojis ja oder nein? Drei Beispiele für „so klingen wir" und drei für „so nicht" bringen mehr als eine Seite Theorie.

4. Pflichtangaben und Kennzeichnung. Impressumspflicht bei Unternehmensprofilen, Werbekennzeichnung bei bezahlten Kooperationen, Kennzeichnung von KI-Inhalten (dazu gleich mehr). Das ist der Abschnitt, der Abmahnungen verhindert.

5. Datenschutz. Keine Kundendaten in Kommentaren oder DMs. Keine Fotos von Mitarbeitern oder Kunden ohne Einwilligung. Keine Betriebsinterna im Hintergrund des Reels — der Monitor mit der offenen Kundenliste ist ein Klassiker.

6. Rechte an Bild, Musik und Text. Welche Musikbibliotheken sind freigegeben? Stock-Fotos nur aus lizenzierten Quellen. Und: Der kommerzielle TikTok-Sound-Katalog ist nicht identisch mit dem, den Privatnutzer sehen.

7. Umgang mit Kritik und Krisen. Wann wird geantwortet, wann gelöscht, wann eskaliert? Definiere eine klare Schwelle: Ab wann geht ein Kommentar an die Geschäftsführung? Und lege eine Reaktionszeit fest — vier Stunden in der Kernzeit ist ein realistischer Wert.

8. Konsequenzen. Was passiert bei Verstößen? Formuliere das sachlich, nicht drohend. Es geht darum, dass die Regeln ernst genommen werden.

Der KI-Absatz: Was ab dem 2. August 2026 gilt

Das ist der Baustein, den du dieses Jahr ergänzen musst — und der Grund, warum bestehende Guidelines aus 2023 nicht mehr reichen.

Der Kern von Artikel 50: Wer KI-Systeme einsetzt, die Bilder, Audio oder Video erzeugen oder verändern, muss diese Inhalte erkennbar als KI-generiert kennzeichnen. Das betrifft auch Deepfakes. Und es betrifft Chatbots: Wenn ein Kunde in deinen Instagram-DMs mit einer KI schreibt, muss er das erkennen können.

Für Texte gibt es eine wichtige Ausnahme: Die Kennzeichnungspflicht entfällt, wenn ein Mensch den KI-Text redaktionell geprüft und verantwortet hat — und wenn eine Person benannt ist, die diese redaktionelle Verantwortung trägt.

Was du in die Guidelines schreiben solltest:

• Welche KI-Tools sind freigegeben? Eine positive Liste ist besser als eine Verbotsliste.
• Was wird gekennzeichnet? Alle generierten oder wesentlich veränderten Bilder, Videos und Audios. Ein schlichtes „Mit KI erstellt" in der Caption oder ein Label im Bild reicht.
• Wer trägt die redaktionelle Verantwortung für KI-Texte? Namentlich festhalten. Das ist der Satz, der dich aus der Kennzeichnungspflicht für Captions und Blogtexte holt.
• Was ist tabu? Keine KI-Gesichter, die echte Kunden oder Mitarbeiter darstellen. Keine generierten „Testimonials". Keine KI-Bilder von Produkten, die es so nicht gibt — das ist unabhängig vom AI Act schon irreführende Werbung.

Ein praktischer Nebeneffekt: Zielgruppen sind 2026 deutlich misstrauischer gegenüber synthetischen Bildern geworden. Die Kennzeichnung schützt dich also nicht nur rechtlich — offen kommuniziertes KI-Handling wirkt inzwischen glaubwürdiger als der Versuch, es zu verstecken.

Dieser Artikel ist keine Rechtsberatung. Für die verbindliche Bewertung deines Einzelfalls sprich mit einem Fachanwalt.

Deepfake-Schutz: Der Abschnitt, den fast alle vergessen

Jedes Video, das du postest, ist Trainingsmaterial. Stimme, Mimik, Sprechweise deiner Geschäftsführung liegen öffentlich im Netz — und genau daraus bauen Betrüger inzwischen Anrufe, die intern Zahlungen auslösen sollen.

Deshalb gehört in moderne Guidelines ein kurzes Kapitel zur Verifikation:

• Keine Freigabe von Zahlungen oder Datenzugriffen per Sprachnachricht, Videocall oder Chat — egal, wie echt es klingt.
• Ein internes Rückrufverfahren: Bei ungewöhnlichen Anweisungen wird über die bekannte Nummer zurückgerufen, nicht über den Kontakt aus der Nachricht.
• Ein Codewort für kritische Freigaben. Klingt altmodisch, funktioniert.
• Meldeweg, wenn jemand ein gefälschtes Profil oder Video des Unternehmens entdeckt.

Das kostet dich eine halbe Seite und kann dir einen fünfstelligen Betrag sparen.

Corporate Influencer: Erlauben statt verbieten

Der häufigste Fehler in Guidelines ist der Reflex zum Verbot. „Mitarbeiter äußern sich nicht öffentlich zum Unternehmen" ist bequem — und verschenkt den wertvollsten Reichweitenkanal, den du hast.

Besser: Erlaube es und gib einen Rahmen.

• Transparenzregel: Wer über den Arbeitgeber postet, macht die Verbindung kenntlich.
• Sprecherregel: Mitarbeiter posten aus ihrer Perspektive („ich"), nicht als offizielle Unternehmensstimme („wir"), außer sie sind dafür benannt.
• Rote Linien: Keine Zahlen, keine Kundennamen, keine laufenden Projekte, keine Personalthemen.
• Freigabe: Alltagseinblicke brauchen keine Freigabe. Alles mit Zahlen, Kunden oder Politik schon.

Ein praktischer Zusatz: Stell ein kleines Content-Kit bereit — freigegebene Fotos, ein paar Textbausteine, die Musikliste. Das senkt die Hürde enorm.

So rollst du die Guidelines aus, ohne dass sie verstauben

Ein PDF im Intranet ändert kein Verhalten. Was funktioniert:

1. Eine 30-Minuten-Session mit dem Team statt einer E-Mail. Echte Beispiele zeigen, echte Fragen beantworten.
2. Eine Einseiten-Kurzfassung — die Langversion liest niemand zweimal.
3. Ein fester Ansprechpartner für die Frage „darf ich das posten?". Zwei Minuten Rückfrage sind billiger als ein Löschvorgang.
4. Review alle sechs Monate. Plattformregeln und Gesetze ändern sich schneller als dein Dokument.
5. Betriebsrat einbeziehen, wenn Tools mit Überwachungsbezug im Spiel sind — hier greift die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Das früh zu klären, spart später Monate.

Die fünf häufigsten Fehler

Zu lang. Zwölf Seiten Juristendeutsch werden nicht gelesen. Vier Seiten Klartext schon.

Zu negativ. Wenn 90 Prozent des Dokuments aus „nicht" besteht, postet am Ende niemand mehr.

Keine Beispiele. „Professionelle Tonalität" bedeutet für jeden etwas anderes. Zeig konkrete Posts.

Nie aktualisiert. Guidelines ohne KI-Absatz sind 2026 schlicht unvollständig.

Kein Krisenteil. Der Moment, in dem du Guidelines am dringendsten brauchst, ist der Moment, in dem ein Kommentar entgleist — und niemand weiß, wer entscheidet.

Fazit: Zwei Wochen Arbeit, die dich ein Jahr absichern

Social Media Guidelines sind kein Bürokratieprojekt. Sie sind der Rahmen, der deinem Team erlaubt, schnell und sicher zu posten — statt zögerlich und riskant.

Die Prioritäten für 2026 sind klar: der KI-Kennzeichnungsabsatz vor dem 2. August, ein Deepfake-Verifikationsverfahren und ein Corporate-Influencer-Kapitel, das erlaubt statt verbietet. Alles andere ist Handwerk.

Du willst Guidelines, die zu deinem Unternehmen passen — und eine Social-Media-Strategie, die sie mit Leben füllt? Wir bei [mediarenner] entwickeln beides gemeinsam mit dir: rechtssicher, praxistauglich und auf deine Branche zugeschnitten.

👉 Buch dir ein kostenloses Erstgespräch — wir schauen uns deine Kanäle an und sagen dir ehrlich, wo du stehst.

Dieser Artikel ist keine Rechtsberatung.

‍