EU-KI-Gesetz: Transparenzregeln sind ab sofort gültig

Seit dem 2. August 2026 ist Artikel 50 des EU-KI-Gesetzes verbindlich. Unternehmen, die KI-Systeme im europäischen Binnenmarkt einsetzen oder bereitstellen, müssen nun offenlegen, wenn Nutzer mit einer KI interagieren, KI-generierte Inhalte in maschinenlesbarer Form kennzeichnen, Deepfakes deklarieren und Personen informieren, die Emotionserkennungs- oder biometrischen Kategorisierungssystemen ausgesetzt sind. Das KI-Büro der Europäischen Kommission hat zusammen mit den nationalen Marktüberwachungsbehörden mit der Durchsetzung begonnen, und die Strafen reichen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes (Europäische Kommission).

Für regulierte Branchen ist dies kein Zukunftsszenario. Es handelt sich um eine operative Anforderung, die von der Architektur abhängt: Wo Ihre KI läuft, wer die Protokolle kontrolliert und ob KI-generierte Ergebnisse bis zu ihrer Quelle zurückverfolgt werden können.

Was hat sich am 2. August 2026 geändert?

Drei Dinge traten gleichzeitig in Kraft:

1. Die Transparenzpflichten nach Artikel 50 wurden durchsetzbar. Diese gehören zu den ersten materiellen Pflichten im Rahmen des KI-Gesetzes, die zur Anwendung kommen – noch vor den Regeln für Hochrisikosysteme, die durch das vom Rat am 29. Juni 2026 angenommene und im Juli 2026 in Kraft getretene Digital Omnibus on AI auf den 2. Dezember 2027 verschoben wurden (Freshfields).

2. Die Durchsetzungsbefugnisse wurden aktiviert. Das KI-Büro der Europäischen Kommission kann nun Untersuchungen einleiten, Unterlagen anfordern, Modellbewertungen erzwingen und Geldbußen gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck verhängen (Gibson Dunn).

3. Der Verhaltenskodex zur Transparenz von KI-generierten Inhalten ist formal angemessen. Die Kommission und das KI-Gremium bestätigten den freiwilligen Kodex als ausreichend für den Nachweis der Einhaltung der Kennzeichnungs- und Deklarierungspflichten gemäß Artikel 50. Rund 190 Organisationen haben ihn unterzeichnet, darunter OpenAI, Google, Anthropic, Meta, Microsoft und Mistral (CADE).

Am 20. Juli 2026 veröffentlichte die Kommission außerdem ihre endgültigen Leitlinien zu den Transparenzpflichten gemäß Artikel 50, das primäre Referenzdokument, das die nationalen Behörden bei der Bewertung der Compliance heranziehen werden (Faegre Drinker).

Der geteilte Zeitplan

Das Digital Omnibus on AI schuf einen gestaffelten Zeitplan. Die Transparenz verblieb auf dem ursprünglichen Datum. Die Hochrisiko-Verpflichtungen wurden verschoben.

Quellen: Europäische Kommission, Gibson Dunn

Die vier Transparenzpflichten

Artikel 50 ist keine universelle Regel nach dem Motto „Alles kennzeichnen“. Er legt vier unterschiedliche Verpflichtungen fest, die jeweils durch bestimmte Anwendungsfälle ausgelöst und einer bestimmten Rolle – Anbieter oder Betreiber – zugewiesen werden.

Ein Anbieter entwickelt ein KI-System (oder lässt eines entwickeln) und bringt es unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr. Ein Betreiber verwendet ein KI-System unter seiner eigenen Verantwortung in beruflicher Funktion. Die Leitlinien der Kommission stellen klar, dass „Verantwortung“ bedeutet, die Entscheidungsgewalt über den Einsatz des Systems und dessen tatsächliche Nutzung zu übernehmen; eine technische Kontrolle ist nicht erforderlich (Travers Smith).

Quelle: Artikel 50, EU-KI-Gesetz

Eine horizontale Anforderung zieht sich durch alle vier Bereiche: Informationen müssen in klarer und erkennbarer Weise spätestens zum Zeitpunkt der ersten Interaktion oder Exposition bereitgestellt werden und den geltenden Barrierefreiheitsanforderungen entsprechen. Informationen, die leicht übersehen, vergessen oder versteckt werden können, erfüllen diesen Standard nicht.

Wer ist betroffen?

Artikel 50 gilt extraterritorial. Wenn Ihre KI-Ergebnisse Nutzer in der EU erreichen – unabhängig davon, wo Ihr Unternehmen seinen Hauptsitz hat –, fallen Sie in den Anwendungsbereich.

Anbieter

Unternehmen, die KI-Systeme entwickeln und auf dem EU-Markt bereitstellen. Dazu gehören Anbieter von generativen KI-Modellen, Chatbot-Plattformen und Tools für synthetische Inhalte. Diese Firmen müssen nun eine maschinenlesbare Kennzeichnung (Wasserzeichen, Metadaten, Herkunftssignale) direkt in ihre Produkte integrieren.

Betreiber

Organisationen, die KI-Systeme professionell nutzen. Dies ist die Kategorie, die die meisten Unternehmen betrifft. Marketingteams, die KI-generierte Texte verwenden, HR-Teams, die KI-Vorauswahl-Tools einsetzen, der Kundensupport, der Chatbots betreibt, und Medienhäuser, die KI-gestützte Artikel veröffentlichen, fallen alle in diesen Anwendungsbereich.

Nicht-EU-Unternehmen

Unternehmen mit Hauptsitz in den USA, deren KI-Ergebnisse EU-Nutzer erreichen, sind betroffen. Das Gesetz definiert „beabsichtigt“ als vorhersehbare Nutzung – nicht als zufällige oder unbefugte nachgelagerte Nutzung. Für Betreiber gilt Artikel 50, wenn der Betreiber voraussieht, dass die Ergebnisse in der EU verbreitet oder verwendet werden, wie z. B. das Posten von Deepfake-Inhalten auf einer weltweit zugänglichen Plattform (Travers Smith).

Eine entscheidende Nuance: Wann ein Betreiber zum Anbieter wird

Organisationen, die ein KI-System anpassen, umbranden oder wesentlich verändern, können vom Betreiber zum Anbieter umgestuft werden. Dadurch geht die gesamte Compliance-Last – einschließlich der Anforderungen an die maschinenlesbare Kennzeichnung – auf sie über (Bird & Bird).

Was Unternehmen jetzt tun sollten

1. Erfassen Sie Ihre KI-Anwendungsfälle

Identifizieren Sie jede Stelle, an der in Ihrer Organisation KI eingesetzt wird: Chatbots, Inhaltserstellung, Emotionserkennung, biometrische Kategorisierung, Erstellung von Deepfakes, KI-gestützte Veröffentlichungen. Die meisten Unternehmen unterschätzen, wie viele Berührungspunkte im Marketing, HR, Kundensupport und im internen Betrieb existieren.

2. Bestimmen Sie Ihre Rolle für jeden Anwendungsfall

Legen Sie für jedes KI-System fest, ob Sie der Anbieter, der Betreiber oder beides sind. Wenn Sie ein KI-Tool anpassen oder umbranden, sind Sie möglicherweise in die Rolle des Anbieters gerückt. Diese Einstufung bestimmt, welche Verpflichtungen für Sie gelten.

3. Implementieren Sie Offenlegungen für Nutzer

Wenn Nutzer mit einem KI-System interagieren (Chatbot, virtueller Assistent, KI-Agent), muss die Offenlegung zum Zeitpunkt der ersten Interaktion erfolgen. Sie muss klar, gut erkennbar und barrierefrei sein. Ein versteckter Link im Footer reicht nicht aus.

4. Fügen Sie maschinenlesbare Herkunftsnachweise hinzu

Implementieren Sie für KI-generierte Audio-, Bild-, Video- und Textdaten eine technische Kennzeichnung: digitale Wasserzeichen, signierte Metadaten, Herkunftsnachweise im C2PA-Stil oder nachgelagerte Erkennungsmechanismen. Der Verhaltenskodex empfiehlt eine mehrschichtige Kennzeichnung, die sowohl eingebettet als auch extern erkennbar ist.

5. Protokollieren Sie KI-Ergebnisse und Veröffentlichungsworkflows

Führen Sie Aufzeichnungen darüber, was KI-generiert war, wann es erstellt wurde, welches Modell es produziert hat und ob die erforderliche Offenlegung angewendet wurde. Dies ist Ihr Prüfpfad. Nationale Marktüberwachungsbehörden können diesen anfordern.

6. Überprüfen Sie Dienstleister und Verträge

Wenn Sie von KI-Drittanbietern abhängig sind, lassen Sie sich schriftlich bestätigen, dass diese die maschinenlesbare Kennzeichnung gemäß Artikel 50 Absatz 2 implementiert haben. Stellen Sie sicher, dass Verträge die Transparenzpflichten klar zwischen Anbieter und Betreiber aufteilen.

7. Bereiten Sie Compliance-Belege vor

Dokumentieren Sie Ihren Compliance-Ansatz. Wenn Sie den Verhaltenskodex nicht unterzeichnet haben, müssen Sie alternative technische Maßnahmen dokumentieren und bereit sein, deren Gleichwertigkeit gegenüber den nationalen Behörden nachzuweisen.

Warum die Infrastruktur entscheidend ist

Hier liegt die praktische Herausforderung, die Artikel 50 mit sich bringt: Unternehmen müssen nachweisen können, wo KI eingesetzt wurde, was das Ergebnis erzeugt hat, ob die korrekte Offenlegung angewendet wurde und ob das Ergebnis rückverfolgbar ist.

Wenn KI über verstreute SaaS-Tools läuft – ein Marketingteam nutzt eine Cloud-API, HR eine andere, der Kundensupport eine dritte –, wird Transparenz zu einem manuellen, fehleranfälligen Prozess. Protokolle liegen in verschiedenen Systemen. Offenlegungen werden uneinheitlich angewendet. Prüfpfade sind unvollständig.

Eine souveräne KI-Steuerungsebene (Control Plane) ändert dies. Wenn Prompts, Ergebnisse, Protokolle und das Modell-Routing innerhalb der von Ihnen kontrollierten Infrastruktur verbleiben, wird Transparenz durchsetzbar statt manuell. Sie können:

• Den gesamten KI-Verkehr über ein einziges Gateway mit einheitlichen Offenlegungsregeln leiten

• Jeden Prompt und jedes Ergebnis zentral protokollieren, mit Modell, Zeitstempel und Benutzerzuordnung

• Offenlegungsrichtlinien auf der Infrastrukturebene anwenden, nicht pro Team oder Tool

• Compliance-Belege auf Anfrage aus einer einzigen Quelle der Wahrheit (Single Source of Truth) erstellen

Für regulierte Unternehmen stellt sich nicht mehr nur die Frage, welches Modell sie verwenden sollen. Sondern wo das Modell läuft, wer die Protokolle kontrolliert und ob KI-generierte Ergebnisse rückverfolgbar sind.

Für regulierte Branchen

Artikel 50 trifft regulierte Sektoren zuerst und am härtesten – nicht weil sie besondere Pflichten haben, sondern weil sie die meisten KI-Berührungspunkte und die geringste Toleranz für Compliance-Lücken aufweisen.

Banken und Finanzen

KI wird bereits in Chatbots im Kundenservice, für automatisierte Berichte und im Marketing eingesetzt – jeder dieser Bereiche löst Offenlegungs- oder Kennzeichnungspflichten aus. Finanzinstitute stehen zudem vor parallelen Verpflichtungen unter MiFID II, DORA und der DSGVO, und die Aufsichtsbehörden werden erwarten, dass KI-Transparenz nachweisbar und nicht nur behauptet ist.

Gesundheitswesen

Krankenhäuser und Versicherer, die KI für die Patientenkommunikation, die klinische Dokumentation oder administrative Inhalte nutzen, müssen sicherstellen, dass KI-generierte Ergebnisse gekennzeichnet sind und dass Patienten informiert werden, wenn sie mit KI-Systemen interagieren. Die Schnittstelle zwischen Artikel 50 und dem Schutz von Patientendaten setzt die Messlatte für die Prüfbarkeit besonders hoch.

Öffentlicher Sektor

Behörden, die Chatbots, automatisierte Kommunikation oder KI-gestützte Dokumentenerstellung einsetzen, müssen Artikel 50 in Einklang mit den Anforderungen des öffentlichen Vergaberechts und des Verwaltungsrechts bringen. Das Streben der EU nach einer souveränen KI-Infrastruktur in der öffentlichen Verwaltung macht die Kontrolle über die Architektur zu einem Vergabekriterium, nicht nur zu einer bloßen Compliance-Präferenz.

Medien

Verlage, die KI zur Inhaltserstellung nutzen, insbesondere für Texte zu Themen von öffentlichem Interesse, müssen KI-generierte Ergebnisse kennzeichnen, es sei denn, ein Mensch hat eine wesentliche redaktionelle Überprüfung vorgenommen. Die Leitlinien stellen klar, dass routinemäßige Nachbesserungen ausgenommen sind, die Veränderung von Inhalten zur Darstellung einer wesentlich anderen Realität jedoch nicht (Addleshaw Goddard).

Industrie und Fertigung

Unternehmen, die KI für interne Dokumentationen, Schulungsunterlagen oder betriebliche Berichte nutzen, müssen prüfen, ob diese Ergebnisse Kennzeichnungs- oder Offenlegungspflichten auslösen, insbesondere wenn sie ein externes Publikum erreichen.

Häufig gestellte Fragen (FAQs)

Müssen alle KI-generierten Texte gekennzeichnet werden?

Nein. Artikel 50 verlangt nicht die Kennzeichnung jedes KI-gestützten Ergebnisses. Die Pflicht gilt speziell für KI-generierte Texte zu Themen von öffentlichem Interesse, die ohne wesentliche menschliche redaktionelle Überprüfung veröffentlicht werden, sowie für KI-generierte synthetische Inhalte (Audio, Bild, Video, Text), die eine maschinenlesbare Kennzeichnung tragen müssen. Routinemäßige KI-Unterstützung (Rechtschreibprüfung, Grammatikkorrektur, Formatierung) löst keine Offenlegungspflicht aus (Europäische Kommission).

Gilt Artikel 50 auch außerhalb der EU?

Ja. Das KI-Gesetz gilt extraterritorial. Nicht-EU-Unternehmen, deren KI-Ergebnisse für die Nutzung in der EU bestimmt sind (was eine vorhersehbare Nutzung bedeutet, keine zufällige nachgelagerte Nutzung), unterliegen Artikel 50. Für die Betreiber gilt die Regel, wenn absehbar ist, dass die Ergebnisse in der EU verbreitet oder verwendet werden.

Wie hoch ist die Strafe bei Nichteinhaltung?

Verstöße gegen die Transparenzpflichten nach Artikel 50 können Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Wert höher ist. Schwerwiegendere Verstöße im Zusammenhang mit verbotenen Praktiken können bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes betragen (Stibbe).

Was ist die Schonfrist im Dezember 2026?

Gemäß dem Digital Omnibus on AI haben KI-Systeme mit allgemeinem Verwendungszweck, die bereits vor dem 2. August 2026 auf dem Markt waren, bis zum 2. Dezember 2026 Zeit, die Anforderungen an die maschinenlesbare Kennzeichnung gemäß Artikel 50 Absatz 2 umzusetzen. Systeme, die nach dem 2. August 2026 in Verkehr gebracht werden, erhalten keine Schonfrist – die Kennzeichnung muss vom ersten Tag an implementiert sein (Faegre Drinker).

Was ist der Unterschied zwischen den Transparenz- und den Hochrisiko-Verpflichtungen im KI-Gesetz?

Die Transparenzpflichten gemäß Artikel 50 sind breit gefächert, kurzfristig und gelten unabhängig davon, ob Ihr KI-System als Hochrisikosystem eingestuft ist. Sie konzentrieren sich auf Offenlegung, Kennzeichnung und Deklarierung. Hochrisiko-Verpflichtungen gemäß Anhang III (die Rekrutierungstools, Kredit-Scoring, biometrische Identifizierung und andere spezifische Anwendungsfälle abdecken) umfassen Konformitätsbewertungen, Risikomanagement, Dokumentation und menschliche Aufsicht. Diese Verpflichtungen wurden durch das Digital Omnibus on AI auf den 2. Dezember 2027 verschoben.

Ist der Verhaltenskodex verpflichtend?

Nein. Die Einhaltung des Verhaltenskodex zur Transparenz von KI-generierten Inhalten ist freiwillig. Unterzeichner profitieren jedoch von einer Konformitätsvermutung bezüglich der Kennzeichnungs- und Deklarierungspflichten nach Artikel 50, einer vereinfachten Compliance und größerer Rechtssicherheit in den EU-Mitgliedstaaten. Nicht-Unterzeichner müssen alternative technische Maßnahmen dokumentieren und deren Gleichwertigkeit gegenüber den nationalen Marktüberwachungsbehörden nachweisen (EU AI Act Service Desk).

Der Übergang von unkontrollierter KI zu einer souveränen KI-Infrastruktur

Artikel 50 ist die erste harte Frist, die Unternehmen im Rahmen des KI-Gesetzes spüren, aber es wird nicht die letzte sein. Die Verpflichtungen für Hochrisikosysteme treten im Dezember 2027 in Kraft. Die Durchsetzung für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) läuft bereits. Die regulatorische Richtung ist klar: Unternehmen müssen nachweisen, nicht nur versprechen, dass ihre KI-Nutzung transparent, rückverfolgbar und überprüfbar ist.

Für regulierte Branchen macht dies die Infrastruktur zu einer Compliance-Entscheidung. Wenn KI über eine souveräne Steuerungsebene auf Ihrer eigenen Hardware, hinter Ihrer Firewall und mit Protokollen, die Ihr Netzwerk nie verlassen, betrieben wird, ist Transparenz keine manuelle Checkliste mehr. Sie ist eine Eigenschaft des Systems selbst.

Eine On-Premise-KI-Infrastruktur hilft, die blinden Flecken zu verringern, die durch eine fragmentierte SaaS-KI-Nutzung entstehen. Sie zentralisiert das Routing, die Protokollierung und die Durchsetzung von Offenlegungen. Und sie belässt die Compliance-Belege dort, wo sie hingehören: in Ihrem Unternehmen.

Möchten Sie Ihre Bereitschaft in puncto KI-Transparenz überprüfen? Kontaktieren Sie Xinity, um Ihre KI-Anwendungsfälle mit den Pflichten aus Artikel 50 abzugleichen und zu erfahren, wie eine souveräne KI-Steuerungsebene die Compliance im operativen Betrieb sicherstellt.

Dieser Artikel wurde mit KI-Unterstützung verfasst sowie vom Xinity-Team, das die volle redaktionelle Verantwortung für den Inhalt übernimmt, geprüft, auf Fakten kontrolliert und editiert.