Seit dem 2. August 2026 müssen KI-Systeme und KI-generierte Inhalte in der EU gekennzeichnet werden. Betroffen sind nicht nur Softwarehersteller, sondern jedes Unternehmen, das einen Chatbot betreibt oder KI-Inhalte veröffentlicht. Dieser Beitrag ordnet die Pflicht rechtlich ein: wer sie erfüllen muss, was genau zu kennzeichnen ist, welche Ausnahmen greifen – und was tatsächlich passiert, wenn man sie ignoriert.
Der Irrtum, der gerade die Runde macht
In den vergangenen Wochen ging eine Nachricht durch die Wirtschaftspresse: Die EU habe die KI-Verordnung entschärft, Fristen seien verschoben worden. Das stimmt – und führt trotzdem in die Irre.
Verschoben wurden die Pflichten für Hochrisiko-KI-Systeme nach Anhang III. Sie greifen nun erst im Dezember 2027. Das betrifft Systeme, die über Kreditwürdigkeit, Bewerbungen oder Zugang zu wesentlichen Diensten mitentscheiden – im typischen Mittelstand kommt so etwas selten vor.
Nicht verschoben wurde Artikel 50, die Transparenz- und Kennzeichnungspflicht. Sie gilt seit dem 2. August 2026 unverändert. Und sie trifft ungleich mehr Organisationen, weil sie nicht an der Risikoklasse des Systems hängt, sondern daran, ob Menschen mit KI interagieren oder KI-Inhalte vorgesetzt bekommen.
Wer also gelesen hat „die KI-Verordnung ist verschoben“ und daraus geschlossen hat, es sei nichts zu tun, hat die falsche Hälfte behalten.
Anbieter oder Betreiber? An dieser Frage entscheidet sich alles
Artikel 50 verteilt die Pflichten auf zwei Rollen, und die Verwechslung ist der häufigste Umsetzungsfehler.
Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Also OpenAI, Microsoft, Anthropic – oder ein Softwarehaus, das eine eigene KI-Funktion baut.
Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt. Das ist die Rolle, in der sich fast jedes mittelständische Unternehmen wiederfindet: Du hast den Chatbot nicht programmiert, du hast ihn eingekauft und auf deine Website gestellt.
Die praktische Konsequenz: Ein Teil der Pflichten liegt beim Hersteller, der andere bei dir – und der zweite Teil lässt sich nicht an den Hersteller delegieren. Ein KI-Bild trägt zwar eine technische Markierung des Anbieters. Ob es beim Erscheinen im Newsletter sichtbar als KI-generiert ausgewiesen wird, entscheidest du.
Die vier Pflichten im Einzelnen
Absatz 1 – Menschen müssen wissen, dass sie mit einer Maschine sprechen
Adressiert sind die Anbieter. KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen so gestaltet sein, dass die betroffene Person erfährt, dass sie mit einem KI-System interagiert.
Die praktisch wichtigste Ausnahme: Die Information kann entfallen, wenn das aus Sicht einer angemessen informierten Person ohnehin offensichtlich ist. Wer eine Seite mit der Überschrift „KI-Assistent“ öffnet, muss nicht zusätzlich belehrt werden. Ein Chat-Widget, das mit einem menschlich klingenden Namen und Profilbild auftritt, fällt nicht unter diese Ausnahme.
Zweite Ausnahme: Systeme, die zur Aufdeckung und Verfolgung von Straftaten eingesetzt werden, unter entsprechenden Schutzvorkehrungen und sofern nicht öffentlich zugänglich.
Absatz 2 – Synthetische Inhalte müssen maschinenlesbar markiert sein
Ebenfalls an die Anbieter gerichtet, einschließlich der Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Erzeugte Audio-, Bild-, Video- oder Textinhalte müssen in einem maschinenlesbaren Format markiert und als künstlich erzeugt oder manipuliert erkennbar sein.
Gemeint sind Wasserzeichen, Metadaten und ähnliche technische Verfahren – Dinge, die im Inneren der Datei sitzen und die ein Mensch nicht sieht.
Ausgenommen sind Systeme, die lediglich eine unterstützende Funktion für die Standardbearbeitung erfüllen und die Eingabedaten nicht wesentlich verändern. Die Autokorrektur bleibt also außen vor, ebenso ein Filter, der ein Foto aufhellt.
Wichtig für die Praxis: Diese technischen Marker überstehen einen Screenshot, eine Komprimierung oder einen Upload in ein soziales Netzwerk häufig nicht. Genau deshalb gibt es Absatz 4.
Absatz 3 – Emotionserkennung und biometrische Kategorisierung
Hier sind die Betreiber adressiert. Wer ein System zur Emotionserkennung oder zur biometrischen Kategorisierung einsetzt, muss die davon betroffenen Personen über den Betrieb informieren – und die Daten nach den Vorgaben der DSGVO verarbeiten.
Für die meisten Unternehmen ist das kein Thema. Relevant wird es dort, wo Kamerasysteme mit Analysefunktionen im Einsatz sind, etwa in der Zutrittskontrolle oder im Handel.
Absatz 4 – Deepfakes und Texte von öffentlichem Interesse
Der Absatz, der im Mittelstand am häufigsten greift – und wieder sind die Betreiber adressiert.
Wer mit einem KI-System Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die einen Deepfake darstellen, muss offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Ein Deepfake ist dabei nicht auf Prominenten-Fälschungen beschränkt: Gemeint sind Inhalte, die echten Personen, Gegenständen oder Ereignissen ähneln und fälschlicherweise als echt erscheinen würden.
Für Texte gilt eine engere Regel: Offenlegungspflicht besteht, wenn KI-generierte oder -bearbeitete Texte veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Sie entfällt, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.
Für künstlerische, kreative, satirische oder fiktionale Werke ist die Pflicht abgeschwächt: Die Offenlegung erfolgt in geeigneter Weise, ohne die Darstellung oder den Genuss des Werks zu beeinträchtigen.
Wie und wann die Information erfolgen muss
Absatz 5 legt die Form fest, und dieser Absatz entwertet die beliebteste Abkürzung.
Die Information muss klar und unterscheidbar erfolgen, spätestens zum Zeitpunkt der ersten Interaktion oder Exposition – und sie muss den Barrierefreiheitsanforderungen genügen.
Damit ist ein Hinweis, der in den AGB oder in der Datenschutzerklärung steht, keine Erfüllung der Pflicht. Der Nutzer soll es wissen, bevor er tippt, nicht wenn er nachliest. Praktisch heißt das:
- Der Hinweis steht im Chatfenster, nicht in verlinkten Dokumenten.
- Beim KI-Bild steht er am Bild, nicht am Seitenende.
- Bei einer KI-Telefonstimme kommt er in der Ansage, bevor das Gespräch beginnt.
Was das für den betrieblichen Alltag bedeutet
Die Pflicht klingt abstrakt, bis man sie auf die eigene Kommunikation legt. Die typischen Fundstellen:
Der Chatbot auf der Website. Der klarste Fall. Ein Satz im Begrüßungstext genügt – aber er muss dort stehen.
KI-Bilder in Newsletter, Social Media und auf der Website. Sobald sie reale Szenen oder Personen darstellen, greift Absatz 4. Ein Bildhinweis reicht.
KI-Stimmen in der Telefonanlage. Ein synthetischer Sprachassistent, der wie ein Mensch klingt, fällt unter Absatz 1 und – je nach Ausgestaltung – unter Absatz 4.
KI-Avatare in Videos. Synthetische Gesichter und Stimmen sind der Kernfall des Deepfake-Begriffs.
Für Kommunen und öffentliche Einrichtungen kommt eine Besonderheit hinzu: Texte in Amtsblättern, Bürgerinformationen und Pressemitteilungen betreffen regelmäßig Angelegenheiten von öffentlichem Interesse. Damit rückt die Ausnahme der redaktionellen Kontrolle ins Zentrum – wer sie in Anspruch nehmen will, sollte den Prüfschritt dokumentieren und die Verantwortlichkeit benennen können.
Was passiert, wenn man es nicht tut
Hier kursieren Zahlen, die stimmen und trotzdem ein schiefes Bild erzeugen.
Verstöße gegen Artikel 50 fallen unter Artikel 99 Absatz 4: Geldbußen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Diese Zahl wird meist ohne den nächsten Absatz zitiert. Artikel 99 Absatz 6 bestimmt für kleine und mittlere Unternehmen einschließlich Start-ups, dass die Geldbuße den jeweils niedrigeren der beiden Werte nicht überschreitet. Für einen Mittelständler mit 20 Millionen Euro Umsatz liegt die Obergrenze damit nicht bei 15 Millionen, sondern bei 600.000 Euro.
Das ist keine Entwarnung, aber es ordnet die Größenordnung. Und es verschiebt den Blick auf das realistischere Risiko: Nicht die Höchstbuße ist der wahrscheinliche Schaden, sondern die wettbewerbsrechtliche Abmahnung, die Beschwerde eines Kunden – und der Vertrauensverlust, wenn auffliegt, dass ein vermeintlich persönlich geschriebener Text aus einem Modell kam.
Wer in Deutschland kontrolliert
Seit dem 29. Juli 2026 ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es bündelt die nationale KI-Aufsicht bei der Bundesnetzagentur.
Sie ist damit Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für die KI-Verordnung. Zusätzlich betreibt sie einen KI-Service-Desk, der Unternehmen bei der Umsetzung unterstützen soll, sowie Reallabore zum Erproben von Anwendungen.
Für Unternehmen heißt das zweierlei: Es gibt einen Adressaten für Beschwerden – und es gibt eine Stelle, die man selbst fragen kann, bevor man etwas falsch macht.
Was die EU zusätzlich veröffentlicht hat
Zwei Dokumente helfen bei der Auslegung:
Am 10. Juni 2026 hat die Kommission den Verhaltenskodex zur Kennzeichnung von KI-generierten Inhalten veröffentlicht. Er ist freiwillig und beschreibt praktische Maßnahmen, mit denen sich die Transparenzpflichten erfüllen lassen. Die Kommission hat bestätigt, dass er ein geeignetes Instrument ist, um die Einhaltung zu belegen.
Am 20. Juli 2026 folgten die Leitlinien zu den Transparenzpflichten. Sie klären, welche Anbieter und Betreiber die Pflichten für interaktive KI-Systeme und für die Kennzeichnung erfüllen müssen.
Beide Dokumente sind keine Rechtsnormen. Sie sind aber die beste verfügbare Orientierung, wie die Aufsicht die Vorschrift versteht.
Umsetzung in fünf Schritten
1. Inventur. Wo läuft KI im Kundenkontakt? Die Antwort liegt selten nur in der IT – Marketing, Vertrieb und Support haben eigene Werkzeuge eingeführt. Diese Liste zu erstellen ist der aufwendigste Teil und der wichtigste.
2. Rolle klären. Für jedes System: Bist du Anbieter oder Betreiber? Meist Letzteres – dann sind Absatz 3 und 4 deine Baustelle.
3. Kennzeichnungstexte festlegen. Kurze, wiederverwendbare Formulierungen für Chatfenster, Bildunterschriften und Ansagen. Einmal abstimmen, überall gleich verwenden.
4. Eine Seite Richtlinie. Welche Werkzeuge sind freigegeben, was muss gekennzeichnet werden, wer entscheidet im Zweifel. Ergänzend gilt seit Februar 2025 ohnehin Artikel 4 der KI-Verordnung: Unternehmen müssen für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen.
5. Dokumentieren. Besonders dort, wo du dich auf die Ausnahme der redaktionellen Kontrolle stützt. Wer die Prüfung nicht belegen kann, hat sie im Streitfall nicht gehabt.
Häufige Fragen
Gilt die KI-Kennzeichnungspflicht auch für kleine Unternehmen? Ja. Artikel 50 knüpft nicht an die Unternehmensgröße an, sondern an den Einsatz. Kleinere Unternehmen profitieren aber bei den Sanktionen: Nach Artikel 99 Absatz 6 gilt für KMU der jeweils niedrigere der beiden Bußgeldwerte.
Muss ich einen Chatbot kennzeichnen? In aller Regel ja. Die Pflicht entfällt nur, wenn für eine angemessen informierte Person ohnehin offensichtlich ist, dass sie mit einer KI spricht. Ein Widget mit menschlichem Namen und Profilbild erfüllt das nicht.
Muss ich KI-generierte Bilder kennzeichnen? Wenn sie reale Personen, Gegenstände oder Ereignisse darstellen und fälschlicherweise als echt erscheinen könnten, greift die Offenlegungspflicht nach Artikel 50 Absatz 4. Für rein illustrative, offensichtlich künstliche Motive ist die Lage weniger eindeutig – im Zweifel kennzeichnen.
Reicht ein Hinweis in den AGB oder der Datenschutzerklärung? Nein. Absatz 5 verlangt eine klare und unterscheidbare Information spätestens zum Zeitpunkt der ersten Interaktion. Ein verlinktes Dokument erfüllt das nicht.
Was ist mit KI-Texten auf der Website? Die Offenlegungspflicht für Texte greift, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Sie entfällt bei menschlicher Überprüfung oder redaktioneller Kontrolle mit benannter Verantwortung. Ein KI-unterstützter Produkttext fällt regelmäßig nicht darunter, eine KI-verfasste Stellungnahme zu einem kommunalen Vorhaben eher schon.
Wurde die Kennzeichnungspflicht nicht verschoben? Nein. Verschoben wurden die Pflichten für Hochrisiko-KI nach Anhang III, nun ab Dezember 2027. Artikel 50 gilt seit dem 2. August 2026 unverändert.
Wie hoch ist das Bußgeld? Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist – für KMU und Start-ups nach Artikel 99 Absatz 6 der jeweils niedrigere Wert.
Wer kontrolliert die Einhaltung in Deutschland? Die Bundesnetzagentur. Sie ist seit Inkrafttreten des KI-MIG am 29. Juli 2026 Marktüberwachungsbehörde sowie Anlauf- und Beschwerdestelle und betreibt einen KI-Service-Desk.
Was ist mit KI-Avataren in Videos? Synthetische Gesichter und Stimmen, die real wirken, sind der Kernfall des Deepfake-Begriffs. Sie sind nach Absatz 4 offenzulegen.
Muss die Kennzeichnung in einer bestimmten Formulierung erfolgen? Die Verordnung schreibt keinen Wortlaut vor. Sie verlangt Klarheit, Unterscheidbarkeit, Rechtzeitigkeit und Barrierefreiheit. Formulierungen wie „Mit KI erstellt“ oder „Du schreibst mit einem KI-Assistenten“ erfüllen das.
Einordnung
Die Kennzeichnung selbst ist der einfachste Teil des gesamten Regelwerks: ein Satz im Chatfenster, ein Hinweis unter dem Bild, eine Zeile in der Telefonansage. Das ist an einem Nachmittag erledigt.
Aufwendiger ist, was davor kommt – überhaupt zu wissen, wo im eigenen Haus KI nach außen wirkt. Bei den meisten Organisationen liegt diese Antwort verteilt über Marketing, Vertrieb und Support, und niemand hat die vollständige Liste.
Genau dort beginnt die Umsetzung.
Rechtlicher Hinweis
Dieser Beitrag gibt den Stand vom 4. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung. Ob und in welchem Umfang die Pflichten aus Artikel 50 der KI-Verordnung im Einzelfall greifen, hängt von der konkreten Ausgestaltung des jeweiligen Systems und Einsatzzwecks ab.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex
- Artikel 50 – Transparenzpflichten
- Artikel 99 – Sanktionen
- Europäische Kommission: Leitlinien zu den Transparenzpflichten (20.07.2026)
- Europäische Kommission: Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte (10.06.2026)
- Bundesnetzagentur: Zentrale Rolle bei der Umsetzung der KI-Verordnung
