Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 der KI-Verordnung (VO (EU) 2024/1689). Wer KI-Systeme anbietet oder betreibt, muss KI-generierte Inhalte maschinenlesbar markieren, Deepfakes sichtbar offenlegen und Nutzer über den Kontakt mit KI informieren. Bei Verstößen drohen Bußgelder bis 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes.
Wie wird die KI-Verordnung stufenweise anwendbar?
Die KI-Verordnung wird stufenweise anwendbar. Die Verbote unzulässiger Praktiken (Art. 5) gelten seit Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit August 2025. Mit dem 2. August 2026 folgt die Stufe, die praktisch jedes Unternehmen betrifft, das generative KI im Arbeitsalltag einsetzt: die Transparenz- und Kennzeichnungspflichten nach Kapitel IV, Art. 50 KI-VO.
Anbieter oder Betreiber: Warum ist die eigene Rolle entscheidend?
Entscheidend ist zunächst die eigene Rolle. Die Verordnung unterscheidet:
- Anbieter (Provider): Wer ein KI-System entwickelt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt.
- Betreiber (Deployer): Wer ein KI-System in eigener Verantwortung nutzt – also der klassische Anwendungsfall in einem Unternehmen, wenn ein KI-Werkzeug eines Drittanbieters eingesetzt wird.
Beide Rollen treffen unterschiedliche Pflichten. Wer ein zugekauftes KI-System allerdings unter eigenem Namen anbietet oder wesentlich verändert, kann nach Art. 25 KI-VO selbst zum Anbieter werden – mit allen weitergehenden Pflichten.
Für alle Fälle gilt Art. 50 Abs. 5 KI-VO: Die Information muss klar, erkennbar und spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung erfolgen und den Anforderungen der Barrierefreiheit genügen. Ein Hinweis, der in den AGB oder im Impressum versteckt ist, genügt nicht.
Müssen bearbeitete KI-Inhalte gekennzeichnet werden?
In der öffentlichen Diskussion wird die Regelung häufig so verkürzt: Alle KI-Inhalte, die nicht menschlich bearbeitet werden, müssen gekennzeichnet werden. Das trifft die Rechtslage nur zum Teil und führt in der Praxis zu Fehleinschätzungen. Drei Klarstellungen sind wichtig:
Die maschinenlesbare Markierung ist von einer Bearbeitung unabhängig
Die Pflicht aus Art. 50 Abs. 2 KI-VO trifft den Anbieter und knüpft an die Erzeugung des Inhalts an, nicht an dessen spätere Verwendung. Ob ein Mensch den Output anschließend überarbeitet, ändert an der Markierungspflicht des Anbieters nichts. Sie ist eine technische Produktanforderung, keine redaktionelle.
Die Ausnahme „menschliche Überprüfung“ gilt nur für Texte und nur für Betreiber
Art. 50 Abs. 4 UAbs. 2 KI-VO sieht vor, dass die Offenlegungspflicht für KI-generierte Texte entfällt, wenn zwei Bedingungen kumulativ erfüllt sind: Die Inhalte wurden einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen, und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung für die Veröffentlichung.
Diese Ausnahme greift also nicht bei Bildern, Videos oder Audioinhalten – ein „durchgesehener“ Deepfake bleibt kennzeichnungspflichtig. Praktisch bedeutet das: Ein flüchtiger Blick auf den Text genügt nicht. Der Review-Prozess sollte dokumentiert und die redaktionelle Verantwortung namentlich zugeordnet werden, um die Ausnahme im Ernstfall nachweisen zu können.
Nicht jeder KI-Text ist offenlegungspflichtig
Art. 50 Abs. 4 UAbs. 2 KI-VO erfasst nur Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – typischerweise Nachrichten, politische Inhalte, gesellschaftliche Debattenbeiträge. Eine KI-gestützte interne Protokollzusammenfassung, ein Angebotsentwurf oder eine Produktbeschreibung fällt regelmäßig nicht darunter. Die Abgrenzung ist im Einzelfall unscharf; bei Corporate-Blogs oder Pressemitteilungen mit gesellschaftspolitischem Bezug empfiehlt sich eine konservative Handhabung.
Welche Ausnahmen gelten von der Kennzeichnungspflicht?
- Unterstützende Standardbearbeitung (Art. 50 Abs. 2 S. 3 KI-VO): Die Markierungspflicht entfällt, wenn das KI-System lediglich eine unterstützende Funktion für die Standardbearbeitung erfüllt oder die vom Betreiber bereitgestellten Eingabedaten nicht wesentlich verändert. Rechtschreibkorrektur, Rauschunterdrückung oder Belichtungskorrektur fallen darunter; die vollständige Neuerzeugung eines Bildes nicht.
- Künstlerische und satirische Werke (Art. 50 Abs. 4 UAbs. 1 KI-VO): Ist der Deepfake Teil eines offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werks, beschränkt sich die Pflicht auf eine Offenlegung in geeigneter Weise, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt.
- Strafverfolgung: Gesetzlich zugelassene Verarbeitungen zur Aufdeckung, Verhütung, Ermittlung und Verfolgung von Straftaten sind von den Pflichten der Abs. 1 bis 4 teilweise ausgenommen.
Nach dem Digital Omnibus besteht für generative KI-Systeme, die vor dem 2. August 2026 bereits in Verkehr gebracht waren, zudem eine kurze Übergangsfrist zur technischen Nachrüstung der maschinenlesbaren Markierung. Ob und in welchem Umfang diese Übergangsregelung für konkrete Systeme greift, sollte im Einzelfall geprüft werden.
Wie verhält sich Art. 50 KI-VO zur DSGVO?
Art. 50 KI-VO tritt neben die datenschutzrechtlichen Pflichten, er ersetzt sie nicht. Wer personenbezogene Daten in generative KI einspeist, benötigt weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO, muss die Informationspflichten nach Art. 13/14 DSGVO erfüllen, den Verarbeitungsvorgang im Verzeichnis nach Art. 30 DSGVO führen und gegebenenfalls eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen. Beim Einsatz von KI-Diensten Dritter ist zusätzlich eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO erforderlich.
Welche Bußgelder und Haftungsrisiken drohen bei Verstößen?
Verstöße gegen Art. 50 KI-VO sind nach Art. 99 Abs. 4 lit. g KI-VO mit Geldbußen bis zu 15 Mio. EUR oder 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bedroht – je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt nach Art. 99 Abs. 6 KI-VO der jeweils niedrigere der beiden Beträge als Obergrenze.
Mit dem nationalen Durchführungsgesetz zur KI-Verordnung ist die Bundesnetzagentur als zentrale Marktüberwachungsbehörde benannt worden. Sie richtet unter anderem eine KI-Marktüberwachungskammer, einen Service-Desk für Unternehmen sowie ein KI-Reallabor ein. Für Hochrisiko-KI in bereits regulierten Produktbereichen bleiben die jeweiligen Fachbehörden zuständig. Die Datenschutzaufsichtsbehörden bleiben für den datenschutzrechtlichen Teil weiterhin zuständig, in der Praxis ist mit einer parallelen Befassung zu rechnen.
Über das Bußgeld hinaus ist unterlassene Kennzeichnung regelmäßig auch ein Wettbewerbsverstoß und damit abmahnfähig. Hinzu kommen Reputationsrisiken und, bei Verwendung von Personenabbildungen, Ansprüche aus dem allgemeinen Persönlichkeitsrecht sowie §§ 22, 23 KUG.
Was sollten Unternehmen jetzt tun?
Die Kennzeichnungspflicht ist kein rein technisches Thema und keine reine Anbieterfrage. Sie verlangt eine saubere Rollenzuordnung, dokumentierte Prozesse und eine verbindliche interne Richtlinie. Damit diese Vorgaben im Arbeitsalltag auch tatsächlich beachtet werden, empfiehlt sich eine Verankerung des Themas in den Datenschutz- und Compliance-Schulungen für Mitarbeitende. Unternehmen, die generative KI bereits produktiv einsetzen, sollten kurzfristig mit dem KI-Inventar beginnen – es ist die Grundlage für jede weitere Bewertung.
Für die rechtliche Bewertung konkreter Anwendungsfälle sowie für die Erstellung von KI-Richtlinien, Prüfprozessen und der zugehörigen Datenschutzdokumentation bieten wir mit unseren Compliance- und Datenschutz-Lösungen für Unternehmen praxisnahe Unterstützung.
Stand: August 2026. Dieser Beitrag gibt den Rechtsstand zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine Einzelfallberatung. Die Auslegung des Art. 50 KI-VO ist in Teilen noch nicht abschließend geklärt; Leitlinien der Kommission, der Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte und harmonisierte Normen konkretisieren die Anforderungen fortlaufend.
Haben Sie Fragen zu KI-Kennzeichnungspflichten, Datenschutz, DSGVO oder Compliance-Pflichten in Ihrem Unternehmen? Wir unterstützen Unternehmen in der EU mit praxisnaher Beratung, strukturierten Lösungen und klarer Orientierung. Nehmen Sie gerne unverbindlich Kontakt mit uns auf.