KI-Kennzeichnungspflicht: Was Unternehmen jetzt wirklich umsetzen müssen

Was ist die KI-Kennzeichnungspflicht? Definition und rechtliche Grundlage

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 der EU-KI-Verordnung (Verordnung (EU) 2024/1689, „KI-VO“ bzw. „EU AI Act“). Sie verpflichten Anbieter und Betreiber bestimmter KI-Systeme, den Einsatz künstlicher Intelligenz in klar definierten Fällen offenzulegen – etwa bei KI-Chatbots, Deepfakes und bestimmten KI-generierten Texten. Ziel ist es, Täuschung zu verhindern und Vertrauen in digitale Kommunikation zu erhalten.

Wichtig für die Einordnung: Die KI-VO ist bereits am 1. August 2024 in Kraft getreten; am 2. August 2026 begann die Geltung der Transparenzpflichten. Der vielzitierte „Digital Omnibus“ (Verordnung (EU) 2026/1744) hat zwar die Pflichten für Hochrisiko-KI-Systeme auf Ende 2027 bzw. 2028 verschoben – die Transparenzpflichten des Artikels 50 hat er ausdrücklich nicht verschoben. Wer aus der öffentlichen Debatte um den Omnibus geschlossen hat, „der AI Act wurde ohnehin vertagt“, unterliegt einem Irrtum: Genau die Pflichten, die den Unternehmensalltag am unmittelbarsten betreffen, gelten bereits.

Eine wichtige Klarstellung vorab, weil hierzu viel Falsches kursiert: Artikel 50 begründet keine allgemeine Kennzeichnungspflicht für alle KI-generierten Inhalte. Die Pflichten sind eng umrissen und unterscheiden sich danach, wer sie erfüllen muss und um welche Art von Inhalt es geht. Wer die Systematik kennt, erkennt schnell, dass viele befürchtete Pflichten gar nicht bestehen – und kann sich auf die konzentrieren, die tatsächlich gelten.

Die vier Pflichten des Artikels 50 im Überblick

Artikel 50 KI-VO enthält vier getrennte Transparenzpflichten, die sauber auseinandergehalten werden müssen:

1. Interaktionstransparenz (Art. 50 Abs. 1) – Pflicht des Anbieters. KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind (typischerweise Chatbots und Sprachassistenten), müssen so konzipiert sein, dass die betroffenen Personen erfahren, dass sie mit einer KI interagieren – es sei denn, dies ist aus Sicht einer verständigen Person aufgrund der Umstände offensichtlich.

2. Maschinenlesbare Markierung synthetischer Inhalte (Art. 50 Abs. 2) – Pflicht des Anbieters. Anbieter generativer KI-Systeme (einschließlich KI-Systemen mit allgemeinem Verwendungszweck) müssen sicherstellen, dass erzeugte Audio-, Bild-, Video- und Textinhalte in maschinenlesbarem Format als künstlich erzeugt oder manipuliert erkennbar sind. Die Verordnung ist dabei technologieneutral; in der Praxis haben sich Standards wie C2PA-Provenance-Metadaten und Wasserzeichenverfahren etabliert. Der Digital Omnibus gewährt Anbietern von Systemen, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, hierfür eine Übergangsfrist bis zum 2. Dezember 2026.

3. Information bei Emotionserkennung und biometrischer Kategorisierung (Art. 50 Abs. 3) – Pflicht des Betreibers. Wer solche Systeme einsetzt, muss die betroffenen Personen darüber informieren. Für die meisten mittelständischen Unternehmen ist dieser Fall in der Praxis selten relevant.

4. Offenlegung von Deepfakes und bestimmten KI-Texten (Art. 50 Abs. 4) – Pflicht des Betreibers. Zwei Konstellationen:

• Deepfakes: Wer KI-generierte oder -manipulierte Bild-, Audio- oder Videoinhalte erzeugt oder verbreitet, die realen Personen, Gegenständen, Orten oder Ereignissen ähneln und fälschlicherweise als echt erscheinen würden, muss offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Bei offensichtlich künstlerischen, kreativen oder satirischen Werken beschränkt sich die Pflicht auf eine Offenlegung in geeigneter Weise, die die Darbietung des Werks nicht beeinträchtigt.
• KI-generierte Texte: Die Offenlegungspflicht gilt nur für Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – und selbst dann entfällt sie, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterlag und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Die praktische Konsequenz dieser Systematik ist bemerkenswert: Ein mit KI-Unterstützung erstellter und anschließend von einem Menschen geprüfter Newsletter, eine Produktbeschreibung oder ein Social-Media-Post fällt in aller Regel nicht unter eine sichtbare Kennzeichnungspflicht des nutzenden Unternehmens. Wer das Gegenteil behauptet, überzeichnet die Rechtslage.

Anbieter vs. Betreiber: Wer trägt in Ihrem Unternehmen welche Pflicht?

Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Anbieter tragen die technischen Pflichten aus Art. 50 Abs. 1 und 2 – also die Gestaltung der Interaktionstransparenz und die maschinenlesbare Markierung der Ausgaben.

Betreiber ist nach Art. 3 Nr. 4 KI-VO, wer ein KI-System in eigener Verantwortung beruflich einsetzt – also auch jedes Unternehmen, das ChatGPT, Microsoft Copilot oder Google Gemini im Arbeitsalltag nutzt. Betreiber tragen die Offenlegungspflichten aus Art. 50 Abs. 3 und 4.

Der überwiegende Teil des deutschen Mittelstands ist Betreiber. Das bedeutet konkret: Die maschinenlesbare Markierung ist Sache des Tool-Anbieters – nicht Ihres Unternehmens. Ihre Pflichten als Betreiber konzentrieren sich auf Deepfakes und auf KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Verantwortung. Vorsicht allerdings bei einem häufig übersehenen Punkt: Wer ein fremdes KI-System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden – mit den entsprechenden weitergehenden Pflichten.

Praxisbeispiele: Welche Use-Cases tatsächlich unter Art. 50 fallen

KI-Chatbot im Kundenservice – Pflicht besteht. Ein Kundenservice-Bot muss so gestaltet sein, dass Nutzerinnen und Nutzer erkennen, dass sie mit einer KI kommunizieren. Die Gestaltungspflicht trifft primär den Anbieter der Chatbot-Lösung; als Betreiber sollten Sie jedoch sicherstellen, dass der Hinweis in Ihrer konkreten Implementierung tatsächlich zu Beginn der Interaktion erscheint und nicht durch Konfiguration oder Branding verdeckt wird.

Avatar- und synthetische Videos mit realistischen Personen – Pflicht besteht. Ein Erklärvideo mit einem fotorealistischen KI-Avatar, der wie ein echter Mensch wirkt, ist als künstlich erzeugt offenzulegen. Ein erkennbar animiertes Video oder eine abstrakte Illustration ist dagegen kein Deepfake im Sinne der Verordnung – Deepfakes setzen voraus, dass der Inhalt fälschlich als echt erscheinen würde.

Marketing-Texte mit menschlicher Überprüfung – Pflicht besteht in der Regel nicht. Produktbeschreibungen, Newsletter und Social-Media-Posts, die mit KI-Unterstützung entstanden sind und vor Veröffentlichung von einem Menschen geprüft werden, unterliegen keiner Offenlegungspflicht nach Art. 50 Abs. 4. Empfehlenswert ist gleichwohl, den Review-Prozess und die redaktionelle Verantwortung intern zu dokumentieren – denn genau diese menschliche Kontrolle ist es, die die Ausnahme trägt.

Vollautomatisiert veröffentlichte KI-Texte zu Themen von öffentlichem Interesse – Pflicht besteht. Wer etwa Nachrichteninhalte, Ratgeber zu Gesundheits- oder Rechtsthemen oder vergleichbare informierende Inhalte ohne menschliche Prüfung automatisiert publiziert, muss den KI-Ursprung offenlegen.

KI-generierte Bilder – differenziert betrachten. Die maschinenlesbare Markierung ist Anbieterpflicht. Eine sichtbare Offenlegungspflicht des Betreibers besteht nur, wenn das Bild ein Deepfake ist, also real erscheinende Personen, Orte oder Ereignisse zeigt. Praktischer Hinweis unabhängig von der Rechtspflicht: Vom KI-System eingebettete Provenance-Metadaten sollten im eigenen Publishing-Workflow nicht entfernt werden.

Schritt für Schritt: KI-Transparenz-Compliance jetzt aufsetzen

Die Pflichten gelten seit dem 2. August 2026 – eine Schonfrist gibt es nicht. Wer die Umsetzung noch nicht abgeschlossen hat, sollte strukturiert und zügig vorgehen:

Schritt 1 – KI-Tool-Inventar erstellen. Erfassen Sie alle im Unternehmen eingesetzten KI-Systeme – offiziell lizenzierte Tools ebenso wie inoffiziell genutzte Anwendungen (Shadow AI). Ohne vollständiges Inventar ist keine belastbare Bewertung möglich.

Schritt 2 – Use-Cases entlang der Systematik des Art. 50 klassifizieren. Prüfen Sie je Anwendungsfall: Handelt es sich um ein interagierendes System (Abs. 1)? Werden Deepfakes erzeugt oder verbreitet (Abs. 4)? Werden KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne menschliche Prüfung veröffentlicht (Abs. 4)? Rein intern genutzte Inhalte lösen keine Offenlegungspflichten aus.

Schritt 3 – Interne KI-Richtlinie entwickeln oder aktualisieren. Eine praxistaugliche Richtlinie regelt, welche Tools erlaubt sind, wie der Review-Prozess für KI-gestützte Inhalte aussieht, wer redaktionelle Verantwortung trägt und in welchen Fällen offenzulegen ist. Sie ist zugleich das wirksamste Instrument gegen Shadow-AI-Risiken.

Schritt 4 – Technische Umsetzung in die bestehenden Systeme integrieren. Wo Offenlegungspflichten bestehen, gehören sie in den Workflow – nicht als nachträgliches Pflaster: Pflicht-Hinweis zu Beginn jeder Chatbot-Interaktion, Offenlegungs-Kennzeichnung für Deepfake-Inhalte im CMS und in Social-Media-Publishing-Tools, Erhalt eingebetteter Provenance-Metadaten in der Bild- und Videopipeline.

Schritt 5 – Mitarbeitende befähigen. Der Digital Omnibus hat die Kompetenzpflicht des Art. 4 KI-VO entschärft: Unternehmen müssen KI-Kompetenz fördern, ohne ein bestimmtes Wissensniveau jedes Einzelnen garantieren zu müssen. Praktisch bleiben Schulungen das zentrale Instrument – wer sie dokumentiert, kann Fördermaßnahmen nachweisen und reduziert zugleich das größte reale Risiko: Mitarbeitende, die Pflichten schlicht nicht kennen.

Schritt 6 – Verantwortlichkeiten festlegen und dokumentieren. Benennen Sie interne Zuständigkeiten (je nach Unternehmensgröße z. B. einen KI-Beauftragten in Abstimmung mit Rechts- und IT-Abteilung), definieren Sie Eskalationswege und dokumentieren Sie Inventar, Klassifizierung, Richtlinie und technische Maßnahmen. Dokumentierte Prozesse sind im Kontakt mit der Aufsicht der entscheidende Nachweis.

Shadow AI: Das reale Risiko richtig einordnen

Das relevanteste Transparenzrisiko entsteht in vielen Unternehmen nicht durch offiziell eingeführte Systeme, sondern durch unkontrollierte KI-Nutzung einzelner Mitarbeitender, sogenannte Schatten KI. Das Risiko liegt dabei weniger in einer flächendeckenden Kennzeichnungspflicht – die es, wie gezeigt, nicht gibt – als in zwei konkreten Konstellationen: Erstens können ohne menschlichen Review veröffentlichte KI-Inhalte in den Anwendungsbereich des Art. 50 Abs. 4 fallen, ohne dass es jemand bemerkt. Zweitens entfällt ohne dokumentierten Review-Prozess genau die Ausnahme, auf die sich das Unternehmen bei KI-gestützten Texten stützen möchte. Eine verbindliche interne KI-Richtlinie kombiniert mit Sensibilisierung der Mitarbeitenden adressiert beide Punkte.

Aufsicht und Sanktionen: nüchtern betrachtet

In Deutschland ist die Aufsichtsstruktur inzwischen geregelt: Mit dem Ende Juli 2026 in Kraft getretenen KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung. Bei ihr ist ein Koordinierungs- und Kompetenzzentrum (KoKIVO) mit einem Service-Desk als erster Anlaufstelle für Unternehmen eingerichtet.

Bei den Sanktionen lohnt Präzision, denn hier wird häufig übertrieben: Verstöße gegen die Transparenzpflichten des Art. 50 können nach Art. 99 Abs. 4 KI-VO mit Geldbußen von bis zu 15 Mio. EUR oder 3 % des weltweiten Vorjahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist; für KMU gilt der jeweils niedrigere Betrag. Die in Medienberichten oft genannten Höchstsätze von 35 Mio. EUR bzw. 7 % betreffen ausschließlich die verbotenen Praktiken des Art. 5 – nicht die Kennzeichnungspflichten. Daneben kommen wettbewerbsrechtliche Abmahnungen in Betracht. Realistisch ist in der Anfangsphase mit aufklärungsorientierter Aufsicht zu rechnen; verlassen sollte man sich darauf nicht.

Orientierungshilfen der EU-Kommission

Verbindliche „EU-Icons“ oder ein vorgeschriebenes Label-Design gibt es nicht. Die EU-Kommission hat jedoch zwei Orientierungsinstrumente auf den Weg gebracht: Leitlinien zur Umsetzung der Transparenzpflichten nach Artikel 50 sowie einen begleitenden Verhaltenskodex für die Kennzeichnung KI-generierter Inhalte. Der Verhaltenskodex ist freiwillig und kein verbindliches Recht – die gesetzlichen Pflichten ergeben sich weiterhin unmittelbar aus der Verordnung. Für die praktische Umsetzung (Platzierung von Hinweisen, technische Markierungsverfahren, Grenzfälle) sind beide Dokumente gleichwohl die maßgebliche Referenz und sollten bei der Ausgestaltung der eigenen Kennzeichnungspraxis berücksichtigt werden. Aktuelle Informationen zum Rechtsrahmen insgesamt bietet die AI-Act-Seite der EU-Kommission.

Häufige Missverständnisse – und was stattdessen gilt

Missverständnis 1: „Alle KI-generierten Inhalte müssen gekennzeichnet werden.“ Nein. Die Betreiberpflichten beschränken sich auf Deepfakes und auf KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Verantwortung. Ein menschlicher Review-Prozess mit klarer redaktioneller Verantwortung nimmt KI-gestützte Texte aus der Offenlegungspflicht heraus.

Missverständnis 2: „Der Digital Omnibus hat den AI Act verschoben – wir haben noch Zeit.“ Verschoben wurden die Hochrisiko-Pflichten. Die Transparenzpflichten des Art. 50 gelten seit dem 2. August 2026; lediglich Anbieter von Bestandssystemen haben für die maschinenlesbare Markierung bis zum 2. Dezember 2026 Zeit.

Missverständnis 3: „Wir müssen als Nutzer von ChatGPT & Co. Wasserzeichen und Metadaten einbauen.“ Die maschinenlesbare Markierung ist Pflicht des Anbieters. Als Betreiber sollten Sie eingebettete Markierungen nicht entfernen und Ihre Offenlegungspflichten aus Abs. 4 erfüllen – mehr verlangt Art. 50 von Ihnen nicht.

Missverständnis 4: „Bis Dezember 2026 müssen alle Mitarbeitenden zertifiziert geschult sein.“ Eine solche Frist existiert nicht. Die Kompetenzpflicht des Art. 4 galt bereits seit Februar 2025 und wurde durch den Digital Omnibus zu einer Förderpflicht abgemildert. Dokumentierte, risikoadäquate Schulungen bleiben dennoch klar empfehlenswert.

Missverständnis 5: „Ohne Dokumentation passiert schon nichts.“ Doch: Gegenüber der Bundesnetzagentur lässt sich Compliance nur mit dokumentierten Prozessen nachweisen – vom Tool-Inventar über die Richtlinie bis zum Review-Workflow, der die redaktionelle Verantwortung belegt.

---

Rechtlicher Hinweis (Disclaimer)

Dieser Beitrag dient ausschließlich der allgemeinen, unverbindlichen Information und stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Er kann eine auf den konkreten Einzelfall bezogene Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt nicht ersetzen. Durch das Lesen dieses Beitrags oder die Kontaktaufnahme mit uns kommt kein Mandatsverhältnis zustande.

Die Inhalte wurden mit größter Sorgfalt recherchiert und geben den Rechtsstand vom August 2026 wieder. Gleichwohl übernehmen wir keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität der bereitgestellten Informationen. Die Rechtslage im Bereich der KI-Regulierung entwickelt sich fortlaufend weiter – insbesondere durch Leitlinien der EU-Kommission, die Verwaltungspraxis der Aufsichtsbehörden und künftige Rechtsprechung. Aussagen zur Auslegung einzelner Vorschriften, insbesondere zu Ausnahmetatbeständen und Grenzfällen, geben unsere Einschätzung auf Basis der verfügbaren Quellen wieder; eine abweichende Beurteilung durch Behörden oder Gerichte ist nicht ausgeschlossen.

Maßgeblich sind allein die amtlichen Rechtstexte, insbesondere die Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung, das KI-MIG sowie die Veröffentlichungen der EU-Kommission und der Bundesnetzagentur. Für Entscheidungen mit rechtlicher oder wirtschaftlicher Tragweite empfehlen wir, fachkundigen Rechtsrat einzuholen. Eine Haftung für Handlungen, die auf Grundlage der hier bereitgestellten Informationen ohne individuelle Beratung vorgenommen werden, ist – soweit gesetzlich zulässig – ausgeschlossen.