EU AI Act nach dem Stichtag

Das Wichtigste in Kürze

Seit dem 2. August 2026 gelten die Transparenzpflichten des Artikels 50 EU AI Act für bestimmte KI-Einsatzfälle. Relevant sind insbesondere Systeme, mit denen Menschen direkt interagieren, Systeme zur Emotionserkennung oder biometrischen Kategorisierung, Deepfakes sowie bestimmte automatisiert veröffentlichte KI-Texte zu Themen von öffentlichem Interesse. Nicht jede Nutzung von ChatGPT, Copilot oder anderen generativen Werkzeugen löst automatisch eine Kennzeichnungspflicht aus. Entscheidend sind die Rolle des Unternehmens, das eingesetzte System und der konkrete Verwendungszweck.

Für Unternehmen lautet die erste Aufgabe deshalb nicht: alles pauschal kennzeichnen. Sie sollten ihre KI-Einsatzfälle erfassen, die betroffenen Personengruppen und Ausgabekanäle bestimmen und anschließend die einschlägigen Transparenzmaßnahmen umsetzen. Dieser Beitrag bietet eine praxisnahe Einordnung; er ersetzt keine Rechtsberatung.

Was seit dem 2. August 2026 gilt

Der EU AI Act gilt gestaffelt. Artikel 50 ist seit dem 2. August 2026 anwendbar und enthält Transparenzpflichten für klar abgegrenzte Situationen. Die Pflichten richten sich je nach Fall an Anbieter oder Betreiber von KI-Systemen.

• Direkte Interaktion mit KI: Personen müssen grundsätzlich erkennen können, dass sie mit einem KI-System interagieren. Das betrifft etwa Chatbots oder Voicebots, soweit der KI-Charakter der Interaktion nicht offensichtlich ist.

• Emotionserkennung und biometrische Kategorisierung: Personen, die einem solchen System ausgesetzt sind, müssen informiert werden.

• Deepfakes: Bei künstlich erzeugten oder manipulierten Bild-, Ton- oder Videoinhalten, die wie authentische Inhalte erscheinen, können Transparenzpflichten greifen.

• Bestimmte KI-generierte Texte: Eine Transparenzpflicht kann insbesondere entstehen, wenn KI-generierte Texte zu Themen von öffentlichem Interesse automatisiert veröffentlicht werden und keine menschliche Überprüfung oder redaktionelle Kontrolle erfolgt.

Die praktische Konsequenz: Ein Chatbot im Kundenservice ist anders zu bewerten als eine interne Textassistenz. Ein KI-generiertes Marketingbild ist anders einzuordnen als ein täuschend echt wirkendes Video einer realen Person. Und ein redaktionell geprüfter Fachbeitrag ist nicht mit einem vollautomatisiert veröffentlichten Text gleichzusetzen.

Nicht jede KI-Nutzung ist gleich

Die häufigste Fehlannahme lautet: „Wir nutzen KI, also müssen wir sämtliche Ergebnisse kennzeichnen.” Artikel 50 funktioniert differenzierter. Für die erste Einordnung helfen vier Fragen:

• Welche Rolle hat unser Unternehmen? Stellen wir ein KI-System bereit oder setzen wir ein externes System im eigenen Namen ein?

• Wer ist betroffen? Beschäftigte, Website-Besucher, Kunden, Bewerber, Öffentlichkeit oder ausschließlich interne Teams?

• Wie wird das Ergebnis verwendet? Intern, im direkten Dialog, als veröffentlichter Inhalt oder als täuschend echt wirkende Medienausgabe?

• Gibt es eine menschliche Prüfung und redaktionelle Verantwortung vor einer Veröffentlichung?

Typische Einsatzfälle im Mittelstand

• Website-Chatbot: Der Hinweis auf die KI-Interaktion sollte für Besucher klar erkennbar sein, sofern der Charakter des Systems nicht ohnehin offensichtlich ist.

• KI-Telefonassistent: Auch hier ist eine verständliche Information über die Interaktion mit einem KI-System ein naheliegender Transparenzschritt.

• Interne Nutzung eines Textassistenten: Die reine interne Nutzung führt nicht automatisch zu einer Kennzeichnungspflicht nach Artikel 50. Datenschutz, Vertraulichkeit, Informationssicherheit, Urheberrecht und KI-Kompetenz können dennoch relevant sein.

• KI-Inhalte für Website oder Social Media: Nicht jeder KI-gestützte Beitrag ist automatisch kennzeichnungspflichtig. Bei automatisiert veröffentlichten Texten zu Themen von öffentlichem Interesse ohne redaktionelle Kontrolle ist besondere Vorsicht geboten.

• Realistisch wirkende Bild-, Ton- oder Videoinhalte: Je stärker ein Inhalt einen authentischen Eindruck erzeugt und Personen über seinen Ursprung täuschen könnte, desto sorgfältiger sollte die Deepfake-Einordnung erfolgen.

Was Unternehmen jetzt tun sollten

Nach dem Stichtag zählt ein strukturiertes Vorgehen. Nicht jede Maßnahme muss am ersten Tag perfekt sein. Wichtig ist, die relevanten Einsatzfälle zu erkennen, nachvollziehbare Entscheidungen zu treffen und die Umsetzung sauber zu dokumentieren.

Schritt 1: KI-Einsatzfälle erfassen

Erstellen Sie ein kompaktes KI-Register. Erfasst werden sollten mindestens: Tool oder System, Anbieter, verantwortliche Fachabteilung, Zweck, betroffene Personengruppen, Eingabe- und Ausgabedaten, Veröffentlichungskanal sowie vorhandene menschliche Prüfungen. Berücksichtigen Sie nicht nur offiziell beschaffte Tools, sondern auch KI-Funktionen in bestehenden Softwareprodukten.

Schritt 2: Transparenzpflichten fallbezogen prüfen

Ordnen Sie jeden Einsatzfall einer einfachen Kategorie zu: direkte KI-Interaktion, Emotionserkennung/biometrische Kategorisierung, Deepfake, veröffentlichter KI-Text oder rein interne Nutzung. Prüfen Sie anschließend, ob eine Information oder Kennzeichnung erforderlich ist, wer sie ausspielt und wie sie für Betroffene verständlich erreichbar bleibt.

Schritt 3: Prozesse und Verantwortlichkeiten festlegen

Definieren Sie, wer Chatbot-Hinweise freigibt, wer Veröffentlichungen mit KI-Bezug prüft und wie Änderungen an Tools oder Workflows nachgezogen werden. Dokumentieren Sie die Entscheidung kurz und nachvollziehbar. Ein schlankes Register, Musterhinweise und eine Freigaberegel sind häufig hilfreicher als ein umfangreiches, nicht gelebtes Compliance-Handbuch.

Schritt 4: Regelmäßig aktualisieren

KI-Landschaften ändern sich schnell. Prüfen Sie das Register bei neuen Tools, neuen Funktionen, neuen Veröffentlichungskanälen oder geänderten Einsatzweisen. Bei komplexen, personenbezogenen oder besonders sensiblen Anwendungen ist eine vertiefte rechtliche Prüfung sinnvoll.

Transparenz als Teil guter KI-Governance

Transparenz ist nicht nur eine rechtliche Pflicht in bestimmten Fällen. Sie kann auch Vertrauen schaffen: bei Kunden, Beschäftigten und Geschäftspartnern. Unternehmen profitieren, wenn sie verständlich erklären können, wo KI eingesetzt wird, welche Kontrolle Menschen behalten und wie mit Risiken umgegangen wird.

Der Maßstab sollte dabei weder Alarmismus noch Formalismus sein. Ziel ist eine nachvollziehbare, angemessene und zum konkreten Einsatzfall passende KI-Governance. Wer Transparenzmaßnahmen mit Datenschutz, Informationssicherheit, Qualitätskontrolle und klaren Verantwortlichkeiten verbindet, schafft eine belastbarere Grundlage für den weiteren KI-Einsatz.

Die Rolle der Aufsicht in Deutschland

Der Vollzug des AI Act wird auf europäischer und nationaler Ebene organisiert. Die Europäische Kommission hat mit dem AI Office eine zentrale Rolle insbesondere für bestimmte unionsweite Aufgaben. In Deutschland ist die Bundesnetzagentur im Rahmen der nationalen Umsetzung für eine zentrale Rolle in der Marktüberwachung vorgesehen; sektorspezifische Zuständigkeiten können daneben relevant sein. Die konkrete nationale Vollzugspraxis wird sich weiter entwickeln.

Unternehmen sollten sich deshalb nicht auf Vermutungen über Prüfungsprioritäten verlassen. Praktisch sinnvoll ist, relevante Einsatzfälle, Transparenzentscheidungen und Verantwortlichkeiten so zu dokumentieren, dass sie gegenüber Kunden, Betroffenen oder Behörden nachvollziehbar erklärt werden können.

Bußgelder und Risiko richtig einordnen

Für Verstöße gegen Transparenzpflichten nach Artikel 50 sieht der EU AI Act einen Bußgeldrahmen von bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes vor – maßgeblich ist der jeweils höhere Betrag. Die konkrete Sanktion richtet sich jedoch nicht automatisch nach dem Höchstbetrag. Sie hängt vom Einzelfall, der Art des Verstoßes, seiner Schwere, Dauer und weiteren Umständen ab.

Aus einer möglichen Sanktion folgt kein Grund für pauschale Kennzeichnung oder hektische Einzelmaßnahmen. Der bessere Weg ist eine dokumentierte Risikoeinordnung: Wo liegt ein relevanter Einsatzfall vor, welche Pflicht kann daraus folgen und welche Maßnahme stellt Transparenz für Betroffene tatsächlich her?

Häufige Fragen

Müssen wir jetzt jeden mit KI erstellten Inhalt kennzeichnen?

Nein. Artikel 50 sieht keine pauschale Kennzeichnungspflicht für jeden KI-gestützten Inhalt vor. Relevant sind insbesondere Deepfakes sowie bestimmte automatisiert veröffentlichte KI-Texte zu Themen von öffentlichem Interesse, wenn keine menschliche Überprüfung oder redaktionelle Kontrolle erfolgt. Der konkrete Einsatzfall ist entscheidend.

Wir verwenden ChatGPT oder Copilot nur intern. Sind wir betroffen?

Die bloße interne Nutzung eines generativen Tools löst nicht automatisch eine Transparenzpflicht nach Artikel 50 aus. Prüfen sollten Sie dennoch insbesondere Datenschutz, Umgang mit vertraulichen Informationen, Informationssicherheit, Urheberrecht und die KI-Kompetenz der Mitarbeitenden.

Braucht unser Website-Chatbot einen Hinweis?

In der Regel muss für Besucher erkennbar sein, dass sie mit einem KI-System interagieren, sofern dies nicht offensichtlich ist. Ein klarer, gut sichtbarer Hinweis am Beginn oder im Umfeld der Interaktion ist ein praktikabler Ansatz.

Was ist bei Deepfakes zu beachten?

Deepfakes sind künstlich erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte, die wie authentische Inhalte erscheinen können. In einschlägigen Fällen muss die betroffene Person darüber informiert werden, dass der Inhalt künstlich erzeugt oder manipuliert ist. Bei Zweifeln, besonders bei Personenbezug oder öffentlicher Kommunikation, sollte der konkrete Fall rechtlich geprüft werden.

Ist die Bundesnetzagentur bereits für alle AI-Act-Fragen zuständig?

Die Bundesnetzagentur ist im deutschen Umsetzungskonzept für eine zentrale Rolle vorgesehen. Die genaue Zuständigkeitsverteilung und Vollzugspraxis ergeben sich aus dem nationalen Rechtsrahmen und können bei sektoralen Anwendungen weitere Stellen einbeziehen.

Wie schnell lässt sich ein erster Compliance-Check durchführen?

Ein erster Überblick über die wichtigsten Tools und Einsatzfälle lässt sich bei überschaubarer Tool-Landschaft in kurzer Zeit erstellen. Die vollständige Prüfung hängt jedoch von Anzahl, Kritikalität, Datenbezug und Veröffentlichungskanälen der Systeme ab.

Weiterlesen

• EU AI Act für KMU: Der Compliance-Guide

• Artikel 50 Transparenzpflichten: Die Checkliste

• KI-Governance im Unternehmen: Rollen, Register und Freigaben

• KI-Kompetenz nach EU AI Act: Was Unternehmen organisatorisch aufbauen sollten

Redaktioneller Hinweis

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Anwendung des EU AI Act hängt von Rolle, System, Einsatzkontext und dem jeweils geltenden nationalen Vollzugsrahmen ab. Bei komplexen, hochsensiblen oder personenbezogenen KI-Anwendungen sollte eine qualifizierte rechtliche Beratung eingeholt werden.