Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Acts.
Diese Pflichten betreffen Chatbots, KI-Assistenten, Avatare, synthetische Stimmen, automatisch erstellte Bilder und Videos, KI-generierte Unternehmenspublikationen sowie bestimmte biometrische Anwendungen. Art. 50 AI Act geht damit über die Kennzeichnung von Deepfakes hinaus.
Was zu beachten ist, hängt vom jeweiligen Einsatzszenario, der Rolle des Unternehmens und der Art der betroffenen Inhalte ab. Unternehmen sollten sich folgende Fragen stellen:
1. Wann gilt ein Unternehmen als Anbieter oder Betreiber eines KI-Systems?
Für die Transparenzpflichten maßgeblich ist zunächst, ob ein Unternehmen als Anbieter, Betreiber oder in beiden Rollen handelt.
Anbieter sind die Modellentwickler sowie grundsätzlich auch Unternehmen, die ein KI-System entwickeln lassen und es unter eigenem Namen oder der eigenen Marke auf den Markt bringen oder in Betrieb nehmen. Betreiber ist demgegenüber grundsätzlich die Organisation, die ein KI-System in eigener Verantwortung zu beruflichen Zwecken verwendet.
Ob ein Unternehmen nur Betreiber ist oder zusätzlich als Anbieter angesehen werden kann, hängt auch davon ab, wie stark es ein KI-System anpasst und unter eigener Verantwortung bereitstellt.
Bei White-Label-Lösungen, integrierten KI-Agenten und individuell konfigurierten Chatbots kann ein Unternehmen für unterschiedliche Teile derselben Anwendung gleichzeitig Anbieter- und Betreiberpflichten erfüllen müssen.
Praktische Empfehlung
Für jedes KI-System sollte eine schriftliche Rollenmatrix erstellt werden. Sie sollte mindestens Systemanbieter, Modellanbieter, Integrator, internen Systemverantwortlichen, fachlichen Betreiber und Herausgeber der Inhalte ausweisen. Lieferantenverträge müssen diese Rollen nachvollziehbar abbilden.
2. Wann müssen Chatbots und KI-Assistenten als KI gekennzeichnet werden?
Art. 50 Abs. 1 AI Act verpflichtet Betreiber dazu, Personen darüber zu informieren, dass sie mit einem KI-System interagieren. Eine Ausnahme besteht, wenn das bereits offensichtlich ist.
Diese Ausnahme ist allerdings eng auszulegen. Es kommt auf die Sicht einer angemessen informierten, aufmerksamen und verständigen Durchschnittsperson im konkreten Nutzungskontext an.
Ein Comic-Roboter neben einem Texteingabefeld kann einen KI-Chatbot möglicherweise erkennbar machen. Anders kann es bei einem neutral gestalteten Servicefenster, einer menschenähnlichen Stimme, einem Avatar oder einem Assistenten mit einem üblichen Personennamen aussehen. Auch eine technisch gebildete Zielgruppe macht eine Offenlegung nicht automatisch entbehrlich.
Die Information muss spätestens zu Beginn der ersten direkten Interaktion erfolgen. Systeme, die ausschließlich im Hintergrund arbeiten, nur Maschine-zu-Maschine kommunizieren oder keinen direkten Kontakt zu Personen haben, fallen dagegen nicht unter diese konkrete Pflicht.
Praktische Empfehlung
Unternehmen sollten nicht auf die Offensichtlichkeitsausnahme bauen, wenn sich ein kurzer Hinweis ohne wesentliche Beeinträchtigung der Nutzererfahrung einfügen lässt. Ein ausdrücklicher Hinweis wie „Sie kommunizieren mit einem KI-gestützten Assistenten“ bietet rechtlich mehr Sicherheit als eine reine Produktbezeichnung.
3. Wie müssen KI-generierte Inhalte technisch gekennzeichnet werden?
Soweit generative KI-Systeme Bilder, Audio-, Video- oder Textinhalte erzeugen, müssen dies nicht nur Nutzer:innen, sondern auch Maschinen erkennen können.
Anbieter generativer Systeme müssen die Ausgaben daher maschinenlesbar markieren. Das Gesetz schreibt kein bestimmtes Verfahren vor. Es muss jedoch so ausgestaltet sein, dass KI-generierte Inhalte zuverlässig erkannt werden können, auch wenn sie weiterverarbeitet oder über andere Systeme verbreitet werden.
Die EU-Kommission hat ursprünglich am 10. Juni 2026 im Rahmen des Verhaltenskodex freiwillig nutzbare EU-Icons in drei Varianten (Basis-Icon, „AI GENERATED“ und „AI MODIFIED“) für die Kennzeichnung bestimmter KI-generierter oder KI-manipulierter Inhalte veröffentlicht, die allerdings lediglich zur Erkennbarkeit für Menschen geeignet sind und die maschinenlesbare Markierungspflicht nicht ersetzen.
Besonders schwierig ist die Verantwortungsverteilung bei mehrstufigen technischen Lieferketten. Nutzt ein SaaS-Anbieter ein Basismodell über eine API, muss geklärt werden, ob das Modell bereits geeignete Provenienz- oder Markierungsinformationen liefert, ob diese bei der weiteren Verarbeitung erhalten bleiben und wer die Funktionsfähigkeit gegenüber Behörden nachweisen kann.
Laut Kommissionsleitlinien müssen bestimmte Inhalte nicht technisch gekennzeichnet werden. Dazu gehören sehr kurze Zeichenfolgen (zum Beispiel einzelne Wörter, Bildunterschriften, Alt-Texte), Quellcode, automatische Übersetzungen als Standardbearbeitung, ausschließlich maschinell verarbeitete Ausgaben und bestimmte Inhalte in geschlossenen industriellen Entwicklungsumgebungen. Daneben sehen die Leitlinien für bestimmte geschlossene industrielle Anwendungsfälle weitere Ausnahmen vor. Diese sind jedoch eng gefasst und gelten nicht für öffentliche oder verbraucherorientierte KI-Systeme.
Die Kennzeichnungspflicht liegt grundsätzlich beim Anbieter des KI-Systems, das den jeweiligen Inhalt erzeugt oder manipuliert. Auch wenn dabei technische Lösungen anderer Anbieter genutzt werden, bleibt die Verantwortung für die Einhaltung der Anforderungen beim Anbieter des Systems.
Vorhandene Systeme müssen übrigens nicht sofort angepasst werden, sondern können bis zum 2. Dezember 2026 nachgerüstet werden.
Praktische Empfehlung
Rechts- und IT-Abteilung sollten bei dieser Frage eng zusammenarbeiten. Verträge mit Modell- und Plattformanbietern sollten verbindliche Angaben zum eingesetzten Markierungsverfahren, zu unterstützten Dateiformaten, zur Erhaltung der Metadaten, zu Detektionsmöglichkeiten und zu technischen Änderungen verlangen. Bloße Marketingaussagen wie „AI detectable“ reichen für einen Compliance-Nachweis nicht aus.
4. Welche Bearbeitung von Inhalten mit KI löst keine Kennzeichnungspflicht aus?
Wer KI nur für technische oder unterstützende Bearbeitungen vorhandener Inhalte nutzt, muss die Inhalte nicht als KI-generiert kennzeichnen.
Die Abgrenzung wird im Alltag schwierig. Eine Rechtschreibkorrektur, eine technische Rauschunterdrückung, eine geringfügige Farbkorrektur oder eine automatische Übersetzung dürften noch keine Kennzeichnungspflicht auslösen. Auch automatische Transkriptionen, Untertitel und Vorlesefunktionen zur Barrierefreiheit gelten nach den finalen Kommissionsleitlinien grundsätzlich als Standardbearbeitung und müssen daher in der Regel nicht als KI-generiert gekennzeichnet werden.
Dagegen können das Ersetzen einer Stimme, die Erzeugung neuer Bildbereiche, die substanzielle Umformulierung eines Textes oder die Veränderung der Aussage eines Videos über eine bloße Assistenzfunktion hinausgehen.
Praktische Empfehlung
In einer anwendungsbezogenen Entscheidungsmatrix sollten Unternehmen dokumentieren, welche Bearbeitungen als rein technisch oder unterstützend behandelt werden und ab welchem Veränderungsgrad eine Markierung erfolgt. Im Zweifel sollte die Bearbeitung gekennzeichnet werden.
5. Wie müssen Deepfakes gekennzeichnet werden?
Die in eine Datei eingebettete maschinenlesbare Markierung ersetzt nicht die Offenlegung eines Deepfakes gegenüber Menschen.
Nach den Kommissionshinweisen müssen Betreiber Deepfakes für Menschen verständlich und wahrnehmbar kennzeichnen, etwa durch einen sichtbaren oder hörbaren Hinweis.
Bei Satire, Kunst oder anderen offensichtlich fiktionalen Inhalten kann die Kennzeichnung unter Umständen weniger prominent erfolgen. Unternehmen sollten diese Ausnahme jedoch nicht vorschnell anwenden, da sie für informative oder werbliche Inhalte regelmäßig nicht gilt, auch dann nicht, wenn sie zusätzlich kreativ sind.
Praktische Empfehlung
Betreiber sollten Deepfakes direkt in der eigentlichen Mediendatei oder Veröffentlichung kennzeichnen und nicht ausschließlich in leicht entfernbaren Metadaten oder Begleittexten. Für Audioinhalte sind hörbare Hinweise vorzusehen; bei visuellen Inhalten sollten Platzierung, Dauer und Lesbarkeit vorab verbindlich festgelegt werden.
Eine rückwirkende Kennzeichnungspflicht besteht allerdings nicht. Für Bild-, Audio- und Videodeepfakes ist nach den finalen Leitlinien das Datum der Erzeugung maßgeblich, während für Texte zu Angelegenheiten von öffentlichem Interesse das Datum der Veröffentlichung entscheidend ist.
6. Wann gilt ein KI-generierter Inhalt als Deepfake?
Nach dem AI Act sind Deepfakes KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die realen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und für echt gehalten werden könnten. Nach den finalen Kommissionsleitlinien können auch Inhalte als Deepfake gelten, die keine tatsächlich existierende Person oder Sache darstellen. Entscheidend ist, ob die Darstellung realistisch wirkt und für echt gehalten werden kann. Deshalb können auch fotorealistische Darstellungen erfundener Personen oder KI-generierte Avatare unter die Deepfake-Regeln fallen.
Je realistischer die Darstellung und je größer die Gefahr einer Verwechslung mit der Realität, desto eher greifen die Kennzeichnungspflichten.
Praktische Empfehlung
Die Beurteilung sollte nicht ausschließlich der Kreativ- oder Marketingabteilung überlassen werden. Gerade bei Werbung, politischer Kommunikation, Influencer-Kampagnen und realistisch wirkenden Unternehmensvideos ist eine dokumentierte rechtliche Bewertung angezeigt. In der Praxis gibt es erhebliche Graubereiche. Im Zweifel sollten die Inhalte gekennzeichnet werden.
7. Welche Inhalte sind Texte über Angelegenheiten von öffentlichem Interesse?
Betreiber müssen auch KI-generierte oder manipulierte Texte kennzeichnen, mit denen sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren.
Dazu gehören:
- politische Themen und demokratische Prozesse
- die öffentliche Verwaltung und die Rechtspflege
- Grundrechte
- die öffentliche Sicherheit
- Gesundheit
- Umweltschutz
- Verbrauchersicherheit
- wirtschaftliche, finanzielle, wissenschaftliche und kulturelle Entwicklungen, die Gegenstand öffentlicher Debatten sein können
Auch Unternehmenswebsites, Verbandsinformationen, Legal Updates, ESG-Berichte und Gesundheitsinformationen können darunterfallen.
Entscheidend ist hier, ob ein Text nur Werbung oder auch Sachinformationen zu einem öffentlichen Thema enthält, und an welche Zielgruppe sich der Text richtet.
Eine Kennzeichnung KI-generierter Texte über Angelegenheiten von öffentlichem Interesse ist nicht erforderlich, wenn der Text einem Prozess menschlicher Überprüfung und redaktioneller Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Reine Rechtschreib-, Grammatik- oder Formatkontrollen genügen nicht.
Praktische Empfehlung
Für relevante Publikationen sollte ein verbindlicher Freigabeprozess mit namentlich oder funktional benannten Verantwortlichen eingeführt werden. Die Dokumentation sollte zumindest verwendetes System, Prüfer, Prüfdatum, wesentliche Korrekturen, Quellenkontrolle und Freigabeentscheidung enthalten.
8. Welche Transparenzpflichten gelten für Emotionserkennung und biometrische KI?
Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die betroffenen natürlichen Personen über den Betrieb des Systems informieren. Die Pflicht gilt nach den Kommissionshinweisen sowohl bei Echtzeitanwendungen als auch bei einer nachträglichen Auswertung. Zudem ist zu prüfen, ob der konkrete Einsatz überhaupt zulässig ist. Art. 5 AI Act verbietet etwa bestimmte Formen der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie bestimmte biometrische Kategorisierungen anhand sensibler Merkmale.
Insbesondere in öffentlich zugänglichen Räumen, bei Veranstaltungen, in Callcentern, bei Videoanalysen und bei der Auswertung aufgezeichneter Gespräche müssen Hinweise so angebracht werden, dass sie nicht übersehen werden.
Darüber hinaus müssen Betreiber das Datenschutzrecht beachten, das hohe Anforderungen an solche Systeme stellt.
Praktische Empfehlung
Neben der Kennzeichnung brauchen Unternehmen eine datenschutzrechtliche Rechtsgrundlage, eine Datenschutz-Folgenabschätzung und müssen etwaige arbeitsrechtliche Beschränkungen beachten.
9. Wie können Unternehmen die Einhaltung der Transparenzpflichten nachweisen?
Eine weitere zentrale praktische Herausforderung wird voraussichtlich der Nachweis der Kennzeichnung sein. Nationale Marktüberwachungsbehörden können einen solchen Nachweis verlangen. Verstöße gegen Art. 50 können mit Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden.
Der am 10. Juni 2026 veröffentlichte Verhaltenskodex zur Transparenz KI-generierter Inhalte ist freiwillig. Er enthält praktische Maßnahmen zur maschinenlesbaren Markierung und Detektion sowie zur Kennzeichnung von Deepfakes und bestimmten KI-generierten Texten. Die Kommission und das AI Board haben ihn am 8. bzw. 9. Juli 2026 als geeignetes Instrument zur Darlegung der Compliance bewertet. Wer dem Kodex nicht beitritt, muss die Angemessenheit eigener Maßnahmen auf andere Weise darlegen; nach den offiziellen Hinweisen können in solchen Fällen umfangreichere behördliche Informationsanfragen naheliegen.
Ein Beitritt entbindet Unternehmen jedoch weder von der Prüfung des eigenen Anwendungsbereichs noch von der Umsetzung der Pflichten für direkte KI-Interaktionen, Emotionserkennung und biometrische Kategorisierung.
Wie Unternehmen jetzt handeln sollten
Unternehmen sollten mindestens einen verlässlichen Basisprozess mit folgenden Maßnahmen etabliert haben:
- KI-Systeme erfassen: Vollständige Bestandsaufnahme aller KI-Systeme, die direkt mit Personen interagieren, Inhalte generieren, biometrische Kategorien bilden oder Emotionen erkennen.
- Rollen bestimmen: Rechtliche Einordnung der beteiligten Akteure als Anbieter, Betreiber, Integratoren oder veröffentlichende Einheiten.
- Ausgaben klassifizieren: Einordnung sämtlicher Inhalte nach Text, Bild, Audio oder Video sowie nach interner, geschlossener oder öffentlicher Verwendung.
- Markierungen technisch prüfen: Sicherstellen, dass maschinenlesbare Markierungen erzeugt, weitergegeben und ausgelesen werden können sowie typische Verarbeitungsschritte überstehen.
- Transparenzhinweise vereinheitlichen: Einführung klarer und barrierefreier Hinweise für Chatbots, Sprachassistenten, Avatare, Deepfakes und sonstige kennzeichnungspflichtige Inhalte.
- Prüf- und Freigabeprozesse einführen: Aufbau einer substanziellen menschlichen Prüfung für Veröffentlichungen über Angelegenheiten von öffentlichem Interesse.
- Verträge anpassen: Überarbeitung von Einkaufsbedingungen, SaaS- und Agenturverträgen sowie Leistungsbeschreibungen. Lieferanten sollten verpflichtet werden, technische Informationen, Nachweise und Unterstützung bei behördlichen Anfragen bereitzustellen.
- Entscheidungen dokumentieren: Festhalten wesentlicher Abgrenzungen, insbesondere zur Offensichtlichkeit der KI-Interaktion, zur Standardbearbeitung, zur Deepfake-Eigenschaft und zur redaktionellen Kontrolle.
- Compliance-Konzept festlegen: Prüfung eines Beitritts zum EU-Verhaltenskodex oder Entwicklung eines dokumentierten alternativen Compliance-Konzepts.
- Wirksamkeit regelmäßig testen: Prüfung der Hinweise und Markierungen unter realistischen Bedingungen, insbesondere bei mobiler Nutzung, Plattform-Uploads, Formatkonvertierungen und barrierefreier Wahrnehmbarkeit.
