Top-Themen in der KI-Compliance:
Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung – ein externer KI-Beauftragter hilft Unternehmen, die vier Konstellationen des Artikel 50 rechtssicher umzusetzen.
Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung. Die verbreitete Kurzfassung „Ab jetzt muss jeder KI-Inhalt gekennzeichnet werden“ ist falsch. Kennzeichnungspflichtig sind vier klar umrissene Konstellationen – und für redaktionell verantwortete Texte gibt es eine Ausnahme, die viele Unternehmen übersehen.
Entscheidend sind drei Fragen: Handelt das Unternehmen als Anbieter oder als Betreiber? Was genau hat die KI am veröffentlichten Ergebnis erzeugt oder verändert? Und wer hat das Ergebnis vor der Veröffentlichung inhaltlich geprüft und verantwortet?
Die KI-Kennzeichnungspflicht ist die Pflicht aus Artikel 50 der KI-Verordnung (EU) 2024/1689, bestimmte KI-Ausgaben so offenzulegen, dass Menschen sie als künstlich erzeugt oder verändert erkennen können. Artikel 50 bildet allein das Kapitel IV der KI-Verordnung und knüpft nicht an die Risikoklasse eines Systems an. Auch ein System ohne Hochrisiko-Einstufung kann also transparenzpflichtig sein.
Für die meisten mittelständischen Unternehmen ist Artikel 50 der erste Teil der KI-Verordnung, der im operativen Alltag ankommt. Er betrifft die Website, den Kundenservice, die Unternehmenskommunikation und das Marketing – also Bereiche, in denen generative KI längst produktiv eingesetzt wird. Den Gesamtrahmen des risikobasierten Ansatzes erläutert der EU-Parlament zum KI-Akt auf der offiziellen Website des Europäischen Parlaments.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie KI-Verordnung unterscheidet zwei Rollen: Anbieter entwickeln und vermarkten KI-Systeme, Betreiber setzen sie unter eigener Verantwortung ein. Die Zuordnung ist der erste Schritt jeder Prüfung, weil sich daraus ergibt, ob technisch markiert oder sichtbar informiert werden muss.
Die meisten Unternehmen sind Betreiber: Sie nutzen zugekaufte Werkzeuge und müssen die technische Markierung nicht selbst entwickeln. Die Rolle kippt jedoch schneller als gedacht. Wer einen zugekauften Chatbot unter eigenem Namen als eigenes Produkt anbietet oder ein Modell wesentlich verändert, kann selbst zum Anbieter werden – mit deutlich weitergehenden Pflichten.
Innerhalb einer Organisation ist grundsätzlich die Organisation selbst Betreiberin. Beschäftigte, die im Auftrag und unter Kontrolle des Unternehmens mit KI arbeiten, werden nicht jeweils zu eigenen Betreibern. Intern muss aber geregelt sein, wer prüft, wer freigibt und wer die Kennzeichnungsentscheidung dokumentiert.
Rolle | Wer das ist | Kernpflicht bei KI-Inhalten |
|---|---|---|
Anbieter | Wer ein KI-System entwickelt oder unter eigenem Namen bzw. eigener Marke bereitstellt | Synthetische Ausgaben maschinenlesbar markieren und technisch erkennbar machen (Art. 50 Abs. 2) |
Betreiber | Wer ein KI-System unter eigener Verantwortung im beruflichen Kontext einsetzt | Das Publikum sichtbar oder hörbar über Deepfakes und bestimmte KI-Texte informieren (Art. 50 Abs. 4) |
Artikel 50 kennt vier Fälle. Für jedes eingesetzte System ist zu prüfen, welcher davon überhaupt vorkommt – in vielen Unternehmen sind es nur ein oder zwei.
Wer mit einem Chatbot oder Voicebot spricht, muss erkennen können, dass kein Mensch antwortet. Die Pflicht trifft formal den Anbieter, praktisch entscheidet aber die Konfiguration auf der Website: Ein Hinweis, der erst nach drei Klicks in den Nutzungsbedingungen auftaucht, erfüllt den Zweck nicht. Entfallen kann der Hinweis nur, wenn die Maschine für eine verständige Person aus dem Kontext ohnehin offensichtlich ist.
Ein Deepfake ist nach der KI-Verordnung ein mit KI erzeugter oder veränderter Bild-, Ton- oder Videoinhalt, der existierenden Personen, Gegenständen, Orten oder Ereignissen ähnelt und fälschlich als echt wahrgenommen werden kann. Eine Täuschungsabsicht ist nicht erforderlich. Maßgeblich ist die Wirkung auf das vorgesehene Publikum.
Typische Fälle im Unternehmensumfeld:
Nicht erfasst sind übliche Nachbearbeitungen wie Farbkorrektur, Zuschnitt, Rauschunterdrückung oder Kompression, solange sie Aussage und Bedeutung nicht wesentlich verändern. Offensichtlich fantastische, künstlerische oder satirische Darstellungen bleiben hinweispflichtig; der Hinweis darf hier aber so gestaltet werden, dass er die Wirkung des Werks nicht unnötig stört.
Bei Texten ist die KI-Kennzeichnungspflicht deutlich enger gefasst. Sie greift erst, wenn vier Merkmale zusammenkommen:
Zu Themen von öffentlichem Interesse zählen unter anderem Politik, Gesundheit, öffentliche Sicherheit, Umwelt, Verbraucherschutz sowie wirtschaftliche, finanzielle, wissenschaftliche und kulturelle Entwicklungen. Interne Dokumente, Angebote, Protokolle und Kundenkorrespondenz fallen nicht darunter – sie sind keine Veröffentlichung an die Öffentlichkeit.
Werbe- und Produkttexte sind nicht automatisch erfasst. Sobald ein Text jedoch Aussagen zu Gesundheit, Sicherheit oder Umweltwirkungen trifft, verschiebt sich die Einordnung. Die Entscheidung erfolgt nach Inhalt und Zweck, nicht nach dem Format.
Absatz | Konstellation | Wer ist verpflichtet | Was zu tun ist |
|---|---|---|---|
Abs. 1 | KI-System interagiert direkt mit Menschen | Anbieter | Erkennbar machen, dass die Interaktion mit einer Maschine stattfindet |
Abs. 2 | System erzeugt synthetische Texte, Bilder, Audio oder Video | Anbieter | Ausgaben maschinenlesbar markieren |
Abs. 3 | Emotionserkennung oder biometrische Kategorisierung | Betreiber | Betroffene Personen über den Einsatz informieren |
Abs. 4 | Deepfakes und veröffentlichte KI-Texte zu Themen von öffentlichem Interesse | Betreiber | Sichtbare bzw. hörbare Offenlegung |
Diese Szenarien verdeutlichen die Grundlogik: Die Pflicht entsteht nicht durch den Einsatz von KI als solcher, sondern durch öffentlichen Nutzerkontakt oder die Veröffentlichung von Inhalten. Wer jetzt mit der Inventarisierung aller KI-Systeme beginnt, schafft die Grundlage für beide Anforderungen gleichzeitig.
Für die tägliche Praxis lässt sich die Prüfung auf vier Fragen verdichten. Sie ersetzen keine Einzelfallprüfung, geben Redaktion und Marketing aber eine erste, schnelle Orientierung, bevor ein Inhalt live geht.
Halten Sie bei Grenzfällen zusätzlich fest, welche Fassung geprüft wurde, wer die Freigabe erteilt hat und warum ein Hinweis gesetzt oder bewusst nicht gesetzt wurde. Diese kurze Dokumentation ist im Zweifel mehr wert als die Kennzeichnungsentscheidung selbst.
Ein sichtbares KI-Label ist bei Texten nicht erforderlich, wenn der Inhalt einen echten Prozess menschlicher Überprüfung oder redaktioneller Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.
Nach den Leitlinien der Europäischen Kommission ist damit mehr gemeint als ein schnelles Gegenlesen. Die prüfende Person sollte:
Eine reine Rechtschreib- und Grammatikprüfung genügt nicht. Ein zweites KI-System ist keine menschliche Kontrolle. Und wenn nach der Freigabe noch wesentliche KI-gestützte Änderungen erfolgen, muss die neue Fassung erneut geprüft werden.
Praktisch bedeutet das: KI darf bei Recherche, Gliederung und Entwurf helfen, ohne dass jeder Blogbeitrag ein KI-Label braucht. Voraussetzung ist ein belastbarer Freigabeprozess – und der muss nachweisbar sein, nicht nur behauptet.
Ist eine Offenlegung erforderlich, muss sie klar, unterscheidbar und barrierefrei sein. Das Publikum soll den Hinweis spätestens beim ersten Kontakt mit dem Inhalt wahrnehmen können. Ein Vermerk im Impressum, in den AGB oder am Ende einer langen Seite reicht dafür in der Regel nicht.
Verständliche Formulierungen genügen:
Die EU stellt zusätzlich optionale Symbole für KI-generierte Inhalte bereit. Sie sind freiwillig und belegen für sich genommen keine rechtskonforme Umsetzung. Ein klarer Textzusatz ist meist die robustere Lösung.
Wichtig für die Praxis: Das Label beantwortet nur die Transparenzfrage. Persönlichkeitsrechte, Urheberrecht, Wettbewerbsrecht und Datenschutz sind davon unberührt und getrennt zu prüfen.
Wer KI-generierte Bilder direkt kennzeichnen möchte, ohne eine Software zu installieren, kann das kostenlose Browser-Tool snipKI nutzen: Es fügt EU-konforme Symbole oder eigene Hinweistexte per Drag-and-drop ins Bild ein – vollständig lokal, ohne Datei-Upload, bis zu 50 Bilder im Batch.
Die Änderungsverordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft, hat die Hochrisiko-Pflichten nach hinten verschoben: Anhang-III-Systeme auf den 2. Dezember 2027, Anhang-I-Systeme auf den 2. August 2028. Daraus ist vielerorts der Eindruck entstanden, die KI-Verordnung sei insgesamt vertagt.
Artikel 50 wurde nicht verschoben. Die sichtbaren Offenlegungspflichten für Betreiber gelten seit dem 2. August 2026. Zugestanden wurde lediglich eine begrenzte Übergangsfrist bis zum 2. Dezember 2026 für die maschinenlesbare Markierung nach Absatz 2 – und zwar nur für Systeme, die bereits vor dem Stichtag in Verkehr gebracht wurden. Diese Frist betrifft Anbieter, nicht die sichtbare Kennzeichnung durch Betreiber.
Verstöße gegen die Transparenzpflichten des Artikel 50 sind nach Artikel 99 Abs. 4 der KI-Verordnung bußgeldbewehrt: bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag als Obergrenze.
Das sind Höchstgrenzen, keine Regelsätze. Art, Schwere und Dauer des Verstoßes, die Unternehmensgröße sowie Kooperationsbereitschaft und vorhandene Governance-Strukturen fließen in die Bemessung ein. Ein dokumentierter Freigabeprozess ist deshalb doppelt wertvoll: Er verhindert Verstöße und wirkt sich im Fall der Fälle mildernd aus.
Wo bereits ein Datenschutzmanagement besteht, lässt sich die Struktur meist übernehmen: Verantwortlichkeiten, Verzeichnis, Prüfprozess, Nachweisführung.
Die KI-Kennzeichnungspflicht ersetzt keine datenschutzrechtliche Prüfung. Werden beim KI-Einsatz personenbezogene Daten verarbeitet, gelten Rechtsgrundlage, Informationspflichten, Auftragsverarbeitungsvertrag, Verzeichnis der Verarbeitungstätigkeiten und gegebenenfalls Datenschutz-Folgenabschätzung unverändert – unterstützt in vielen Fällen durch einen externen Datenschutzbeauftragten.
Umgekehrt löst eine saubere DSGVO-Umsetzung die Transparenzfrage nicht. Beide Regelwerke laufen parallel und sollten in einem gemeinsamen Compliance-Prozess abgebildet werden, statt in getrennten Silos. Zur datenschutzrechtlichen Einordnung des KI-Einsatzes: DSGVO-Rechtsgrundlage beim KI-Einsatz.
Unser spezialisiertes KI Audit unterstützt Sie bei der Bewertung und Steuerung von KI-Systemen in Ihrem Unternehmen – für rechtskonforme und verantwortungsvolle AI Governance.
Die Beteiligung von KI allein löst keine KI-Kennzeichnungspflicht aus. Entscheidend ist die Kombination aus Rolle, Veränderungstiefe, Veröffentlichungskontext und menschlicher Verantwortung. Unternehmen sollten deshalb nicht pauschal alles labeln, sondern die vier Konstellationen des Artikel 50 einmal sauber gegen die eigenen Kanäle prüfen – der Schnellcheck oben liefert dafür den ersten Filter.
Der Aufwand ist überschaubar, wenn drei Dinge stehen: ein KI-Inventar, ein dokumentierter Freigabeprozess und standardisierte Hinweistexte. Genau daran scheitert es in der Praxis am häufigsten – nicht an der Auslegung des Gesetzestextes.
Rechtsgrundlagen: Art. 4, 50 und 99 Verordnung (EU) 2024/1689; Verordnung (EU) 2026/1744; Leitlinien der Europäischen Kommission zu den Transparenzpflichten nach Artikel 50.
Weitere Ressourcen: Bundesamt für Sicherheit in der Informationstechnik (BSI) – Empfehlungen und Leitlinien zum sicheren Einsatz von KI in Unternehmen.
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.
Nein. Die sichtbare Pflicht betrifft veröffentlichte KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen. Sie entfällt zudem, wenn der Text substanziell menschlich geprüft wurde und eine Person oder Organisation die redaktionelle Verantwortung trägt.
Nein. Artikel 50 Abs. 4 setzt eine Veröffentlichung zur Information der Öffentlichkeit voraus. Interne Protokolle, Präsentationen, Angebote und Kundenkorrespondenz sind davon nicht erfasst. Datenschutz- und Geheimhaltungsanforderungen gelten selbstverständlich weiter.
Nicht immer. Die maschinenlesbare Markierung durch den Anbieter und der für Menschen wahrnehmbare Hinweis durch den Betreiber sind zwei getrennte Pflichten. Wo ein sichtbarer Hinweis erforderlich ist, muss das Publikum ihn ohne technische Hilfsmittel erkennen können.
Inhalte, die vor dem 2. August 2026 erzeugt und veröffentlicht wurden, sind nach derzeitiger Auslegung nicht rückwirkend zu kennzeichnen. Ein älterer Entwurf, der erst nach dem Stichtag veröffentlicht wird, ist dagegen nach der aktuellen Rechtslage zu beurteilen.
Die Betreiberpflichten der KI-Verordnung greifen bei rein persönlicher, nicht beruflicher Nutzung grundsätzlich nicht. Persönlichkeitsrechte, Urheberrecht und Strafrecht gelten trotzdem. Sobald der Einsatz zu einer beruflichen, gewerblichen oder freiberuflichen Tätigkeit gehört, endet diese Ausnahme.
In der Regel nicht, solange ein fremdes System unverändert unter dessen Bezeichnung genutzt wird. Anbieterpflichten können jedoch entstehen, wenn das System unter eigenem Namen oder eigener Marke bereitgestellt oder es wesentlich verändert wird. Diese Einordnung sollte dokumentiert werden.
Profitieren Sie von der Expertise unserer KI-Experten, die Ihnen als externer KI-Beauftragter zur Seite stehen.
Wir begleiten Unternehmen dabei, Künstliche Intelligenz rechtssicher, transparent und verantwortungsvoll einzusetzen – digital, praxisnah und zu fixen Konditionen. Ob Risikobewertung nach EU AI-Act oder in der Schulung Ihrer Mitarbeitenden – Wir sorgen dafür, dass der Einsatz von KI-Systemen in Ihrem Unternehmen den regulatorischen Vorgaben entspricht und rechtliche Risiken minimiert werden.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen