Thursday, July 30, 2026

EU AI Act: Transparenzpflichten ab dem 2. August 2026

Mit KI erstellt oder bearbeitet

Dieser Beitrag wurde unter Einsatz von KI-Werkzeugen erstellt.

Praxisleitfaden zur Kennzeichnung von KI-Interaktionen, KI-generierten Inhalten und Deepfakes

Stand: 28. Juli 2026 – Fassung auf Grundlage der EU-Verordnung, der Leitlinien der Europäischen Kommission und des freiwilligen Verhaltenskodex.

Hinweis: Dieser Beitrag ist eine Arbeitshilfe und ersetzt keine Rechtsberatung. Maßgeblich sind der verbindliche Verordnungstext und die jeweils aktuellen amtlichen Auslegungshilfen.

‍

1. Was ändert sich am 2. August 2026?

‍Ab dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung (AI Act). Sie betreffen nicht jede Nutzung künstlicher Intelligenz, sondern vier klar abgrenzbare Fallgruppen:

Direkte Interaktion mit einem KI-System – Betroffene Personen müssen grundsätzlich darüber informiert werden, dass sie mit einem KI-System interagieren.
Generierung oder Manipulation synthetischer Inhalte – Anbieter des KI-Systems müssen Ausgaben maschinenlesbar kennzeichnen und ihre Erkennbarkeit ermöglichen.
Emotionserkennung oder biometrische Kategorisierung – Betreiber müssen exponierte Personen über den Einsatz des Systems informieren.
Deepfakes und bestimmte Texte von öffentlichem Interesse – Betreiber müssen Inhalte klar und wahrnehmbar als künstlich erzeugt oder manipuliert offenlegen.

Wichtig: Die sichtbare Kennzeichnung mit einem EU-Icon ist nur ein Teil der Umsetzung. Anbieterpflichten zur maschinenlesbaren Markierung und Betreiberpflichten zur verständlichen Offenlegung sind getrennt zu prüfen.

Der freiwillige EU-Verhaltenskodex kann genutzt werden, um die Einhaltung der Kennzeichnungs- und Markierungspflichten nachzuweisen. Wer den Kodex nicht nutzt, muss eine gleichwertig geeignete Alternative dokumentieren. Die EU-Icons sind frei nutzbar; ihre Verwendung allein beweist jedoch weder die Unterzeichnung des Kodex noch automatisch die vollständige Rechtskonformität.

‍

2. Rollen sauber trennen: Anbieter und Betreiber

‍Anbieter (Provider) ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in der EU in Verkehr bringt oder in Betrieb nimmt. Anbieterpflichten betreffen vor allem die technische Gestaltung des Systems.

Betreiber (Deployer) ist, wer ein KI-System unter eigener Verantwortung beruflich einsetzt. Betreiberpflichten betreffen vor allem die konkrete Nutzung, die Zielgruppe und die sichtbare Information der betroffenen Personen.

Praxisfolge: Ein Unternehmen kann bei einem zugekauften KI-Dienst Betreiber sein, bei einer selbst gebrandeten oder wesentlich umgebauten Lösung aber zusätzlich Anbieterpflichten auslösen. Rollen sind je Anwendung schriftlich festzuhalten.

‍

3. Entscheidungslogik für Inhalte

Wurde ein Bild, Audio, Video oder Text mit einem KI-System erzeugt oder wesentlich manipuliert?
Handelt es sich bei Bild, Audio oder Video um einen Deepfake im rechtlichen Sinn?
Bei Text: Wird der Text veröffentlicht, um die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse zu informieren?
Liegt eine gesetzliche Ausnahme vor, etwa wirksame menschliche Prüfung und redaktionelle Verantwortung bei Texten?
Welche technische Markierung muss der Anbieter bereitstellen und welche sichtbare Offenlegung muss der Betreiber umsetzen?

Korrektur einer häufigen Fehlannahme: Für die Einstufung als Deepfake müssen nicht mehrere zusätzliche Risikofragen kumulativ mit „Ja“ beantwortet werden. Entscheidend ist die gesetzliche Definition: KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte ähneln bestehenden Personen, Objekten, Orten, Einrichtungen oder Ereignissen und könnten fälschlich authentisch oder wahr erscheinen. Zielgruppenrisiko, fehlender Satirekontext oder besondere Vulnerabilität können die Dringlichkeit und Gestaltung der Kennzeichnung beeinflussen, sind aber keine zusätzlichen Tatbestandsmerkmale.

‍

4. Deepfakes: Abgrenzung und Kennzeichnung

‍Ein Deepfake liegt vor, wenn drei Elemente zusammenkommen:

Der Inhalt ist ein Bild, Audio oder Video.
Der Inhalt wurde durch KI erzeugt oder manipuliert und ähnelt einer bestehenden Person, einem Objekt, Ort, einer Einrichtung oder einem Ereignis.
Der Inhalt könnte für eine Person fälschlich authentisch oder wahr erscheinen.

Nicht jede KI-Bearbeitung ist damit automatisch ein Deepfake. Reine Standardbearbeitung, geringfügige Korrekturen oder Änderungen ohne wesentliche Veränderung von Inhalt oder Bedeutung können außerhalb der maschinenlesbaren Markierungspflicht liegen. Gleichwohl können andere Informationspflichten, Urheber-, Persönlichkeits-, Wettbewerbs- oder Datenschutzregeln greifen.

‍

5. Texte zu Angelegenheiten von öffentlichem Interesse

‍Eine sichtbare Offenlegung ist erforderlich, wenn ein KI-generierter oder KI-manipulierter Text kumulativ:

veröffentlicht wird,
die Öffentlichkeit informieren soll und
eine Angelegenheit von öffentlichem Interesse betrifft.

Dazu können unter anderem Politik und demokratische Prozesse, öffentliche Verwaltung, Rechtspflege, Grundrechte, öffentliche Sicherheit und Gesundheit, Umwelt- und Verbraucherschutz sowie wirtschaftliche, finanzielle, wissenschaftliche oder kulturelle Entwicklungen gehören, die Gegenstand öffentlicher Debatten sein können.

Ausnahme bei redaktioneller Verantwortung: Eine Kennzeichnung ist für solche Texte nicht erforderlich, wenn eine qualifizierte menschliche Prüfung oder redaktionelle Kontrolle stattgefunden hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt. Ein bloßes flüchtiges Gegenlesen oder die automatische Rechtschreibprüfung sollte nicht als belastbarer Nachweis behandelt werden.

‍

6. EU-Icons: sinnvolle deutsche Beschriftungen

‍Die EU stellt optionale Icons bereit. Für deutschsprachige Zielgruppen sollte das Icon möglichst mit einer verständlichen Textangabe kombiniert werden.

EU Icons for labelling AI-generated content | Shaping Europe’s digital future

Geeignete Formulierungen sind beispielsweise:

Basissymbol „AI“ – „Mit KI erstellt oder bearbeitet“: Wenn eine allgemeine Kennzeichnung genügt oder eine zweite Informationsebene weitere Details liefert.
AI GENERATED – „Vollständig KI-generiert“: Wenn der relevante Inhalt vollständig durch KI erzeugt wurde und keine von Menschen geschaffenen Inhaltselemente oder redaktionelle Kontrolle vorliegen, abgesehen vom Prompting.
AI MODIFIED – „Teilweise KI-bearbeitet“: Wenn ein bestehender, von Menschen erstellter Inhalt durch KI so verändert wurde, dass ein kennzeichnungspflichtiger Deepfake oder ein betroffener Text entsteht.

Darstellungsempfehlungen:

spätestens bei der ersten Exposition klar wahrnehmbar und unterscheidbar,
nicht durch andere Overlays verdeckt,
direkt im Inhalt oder über eine gleichwertige dauerhafte Benutzeroberfläche,
bei Weitergabe oder Download möglichst erhalten,
barrierefrei: ausreichende Größe, verständliche Sprache, Alt-Text bzw. ARIA-Label und ausreichende Anzeigedauer.

‍

7. Umsetzung in der Organisation

‍Ein belastbarer Prozess sollte mindestens die folgenden Bausteine enthalten:

Inventar – Alle generativen, interaktiven, biometrischen und emotionserkennenden KI-Anwendungen erfassen; Rollen als Anbieter oder Betreiber dokumentieren.
Klassifikation – Pro Anwendungsfall prüfen, welche Fallgruppe des Artikels 50 betroffen ist und welche Ausnahme greift.
Technik – Maschinenlesbare Provenienz- oder Markierungsmechanismen, Exportverhalten und Erhalt bei Weiterverarbeitung prüfen.
Redaktion – Verantwortliche Personen, fachliche Prüfschritte, Freigabe und Nachweis der redaktionellen Verantwortung festlegen.
Kennzeichnung – Standardtexte, Icons, Platzierung, Barrierefreiheit und Sprachvarianten definieren.
Verträge – Pflichten zu Markierung, Metadaten, Weitergabe, Update-Informationen und Nachweisen mit Dienstleistern regeln.
Nachweise – Entscheidungen, Ausnahmen, Tests und Freigaben revisionssicher dokumentieren.
Schulung – Mitarbeitende in Marketing, Kommunikation, Produkt, HR, Recht, Einkauf und IT anhand konkreter Beispiele schulen.

‍

8. Typische Lücken und wie sie geschlossen werden

Nur sichtbares Label, keine technische Markierung: Bei Anbieterpflichten reicht ein sichtbares Icon nicht. Maschinenlesbare Kennzeichnung und Erkennbarkeit müssen technisch bewertet werden.
Kennzeichnung jedes KI-Inhalts: Artikel 50 verlangt keine pauschale sichtbare Kennzeichnung sämtlicher KI-unterstützter Inhalte. Die konkrete Fallgruppe und Ausnahmen sind zu prüfen.
Deepfake-Test mit zusätzlichen Pflichtfragen: Die gesetzliche Definition ist maßgeblich. Zusätzliche Fragen eignen sich als Risiko- und Kommunikationscheck, nicht als kumulative Rechtsvoraussetzung.
„Mensch hat geprüft“ ohne Nachweis: Prüfkompetenz, Prüfumfang, Änderungsbefugnis, Freigabe und redaktionelle Verantwortung sollten dokumentiert sein.
Icons ohne deutschen Begleittext: Ein Icon allein kann missverstanden werden. Nutzergetestete Klarheit steigt mit einer kurzen, verständlichen Textangabe.
Kennzeichnung geht beim Export verloren: Download, Screenshot, Re-Upload, Transkodierung und Plattformwechsel testen; technische und sichtbare Informationen möglichst persistent gestalten.
Barrierefreiheit fehlt: Alt-Texte, Kontrast, Lesedauer, Screenreader-Fähigkeit und verständliche Sprache als feste Akzeptanzkriterien aufnehmen.
Altsysteme und Altinhalte werden vermischt: Für vor dem 2. August 2026 in Verkehr gebrachte generative KI-Systeme gilt für Artikel 50 Absatz 2 eine begrenzte Übergangsfrist bis 2. Dezember 2026. Vor dem Stichtag erzeugte Deepfakes müssen grundsätzlich nicht rückwirkend gekennzeichnet werden; freiwillige Kennzeichnung wird empfohlen.

‍

9. Kurzcheck vor Veröffentlichung

☐ Ist dokumentiert, ob die Organisation Anbieter, Betreiber oder beides ist?
☐ Wurde geprüft, ob eine direkte KI-Interaktion, Emotionserkennung oder biometrische Kategorisierung vorliegt?
☐ Bei Medien: Erfüllt der Inhalt die Deepfake-Definition?
☐ Bei Texten: Geht es um eine Veröffentlichung zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse?
☐ Ist eine Ausnahme nachvollziehbar belegt?
☐ Sind maschinenlesbare Markierung und sichtbare Offenlegung getrennt bewertet?
☐ Ist die Kennzeichnung bei erster Exposition klar, deutschsprachig und barrierefrei?
☐ Bleibt sie bei Download und Weitergabe soweit technisch möglich erhalten?
☐ Sind Freigabe, Verantwortlichkeit und Nachweise archiviert?

‍

10. Zeitplan und Sanktionen

‍Die Transparenzpflichten des Artikels 50 gelten ab 2. August 2026. Für generative KI-Systeme, die bereits vor diesem Datum in Verkehr gebracht wurden, besteht für die maschinenlesbare Kennzeichnungs- und Erkennbarkeitspflicht nach Artikel 50 Absatz 2 eine begrenzte Übergangsfrist bis 2. Dezember 2026. Die übrigen Pflichten sind ab dem 2. August 2026 zu beachten.

Verstöße gegen sonstige Pflichten des AI Act können grundsätzlich mit Geldbußen bis zu 15 Mio. EUR oder – bei Unternehmen – bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Die konkrete Einordnung und Zumessung hängt vom Einzelfall und den anwendbaren Vorschriften ab.

Abgrenzung zum übrigen AI Act: Der 2. August 2026 ist nicht gleichbedeutend damit, dass sämtliche Hochrisiko-Pflichten sofort für alle Systeme gelten. Nach der 2026 vereinbarten Anpassung gelten für bestimmte Hochrisiko-Anwendungsfälle spätere Termine. Dieser Beitrag konzentriert sich auf Artikel 50.

‍

11. Offizielle Quellen

Redaktioneller Hinweis: Die deutschsprachigen Seiten der Europäischen Kommission können maschinell übersetzt sein. Bei Auslegungsfragen sollte die englische Originalfassung gemeinsam mit dem verbindlichen Verordnungstext herangezogen werden.