EU AI Act Art. 50: KI-Kennzeichnungspflicht ab 2026

Am 2. August 2026 wechselt der EU AI Act in seine wichtigste Praxis-Phase für die meisten Unternehmen. Bis dahin sind vor allem Grundlagenpflichten und Compliance-Themen für Hochrisiko-Systeme relevant. Ab diesem Datum betreffen die Transparenz-Regeln von Artikel 50 nahezu jeden Betrieb, der ChatGPT-ähnliche Werkzeuge einsetzt, KI-Bilder produziert oder Chatbots im Kundenkontakt nutzt.

Was Artikel 50 überhaupt regelt

Artikel 50 der Verordnung (EU) 2024/1689 — offiziell „Verordnung über künstliche Intelligenz“ — regelt Transparenzpflichten für bestimmte KI-Systeme. Der zentrale Gedanke lässt sich in einem Satz zusammenfassen: Menschen müssen erkennen können, wann sie mit KI interagieren oder KI-generierte Inhalte sehen.

Der Artikel ergänzt die Pflichten für Hochrisiko-KI (Kapitel III) und die allgemeinen Governance-Regeln. Er greift dort, wo KI nicht per se hochrisikorelevant ist, aber trotzdem Menschen betrifft — Chatbot im Kundendienst, KI-generiertes Marketing-Bild, Emotionserkennung im Recruiting, Deepfake-Video im Wahlkampf.

Wichtig: Artikel 50 gilt zusätzlich zu allen anderen Pflichten des EU AI Act. Wer ein Hochrisiko-System betreibt, hat sowohl die Anforderungen aus Kapitel III als auch die Transparenzregeln aus Artikel 50 zu erfüllen — kumuliert, nicht alternativ.

Die vier Pflicht-Kategorien im Überblick

Artikel 50 unterscheidet vier Konstellationen mit jeweils eigenen Pflichten und Verantwortlichen.

Kategorie 1 · Chatbots und direkte KI-Interaktion (Abs. 1)

Bei KI-Systemen, die direkt mit natürlichen Personen interagieren — Chatbots im Kundendienst, KI-Assistenten auf Websites, Sprachassistenten am Telefon — müssen Anbieter sicherstellen, dass Nutzer informiert werden, dass sie mit einer KI kommunizieren. Ausnahme: wenn die KI-Natur der Interaktion für eine vernünftig gut informierte Person offensichtlich ist.

Kategorie 2 · Synthetische Inhalte und KI-Output (Abs. 2)

Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte generieren, müssen dafür sorgen, dass die Ausgaben maschinenlesbar als künstlich erzeugt oder manipuliert markiert werden — etwa durch Wasserzeichen, Metadaten-Signaturen oder Content-Provenance-Standards. Die Lösung muss *wirksam, interoperabel, robust und zuverlässig* sein. Rein unterstützende Bearbeitungsfunktionen ohne wesentliche Veränderung fallen nicht darunter.

Kategorie 3 · Emotionserkennung und biometrische Kategorisierung (Abs. 3)

Wer als Betreiber ein Emotionserkennungs-System oder ein System zur biometrischen Kategorisierung einsetzt, muss die betroffenen Personen darüber informieren. Zusätzlich gelten die DSGVO-Anforderungen an besondere Kategorien personenbezogener Daten. Diese Pflicht greift unabhängig davon, ob das System als Hochrisiko klassifiziert ist.

Kategorie 4 · Deepfakes und KI-Texte zu öffentlichen Themen (Abs. 4)

Betreiber, die KI-Systeme zur Erzeugung oder Manipulation von Bildern, Audio- oder Videoinhalten einsetzen, die einen Deepfake darstellen, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Für KI-generierte Texte gilt eine ähnliche Kennzeichnungspflicht, wenn diese der Öffentlichkeit zur Information über Themen von öffentlichem Interesse dienen. Ausnahmen: Kunst, Satire und Fiktion erlauben dezentere Offenlegung; redaktionell verantwortete Texte mit nachweisbarer menschlicher Kontrolle sind ausgenommen.

Anbieter vs. Betreiber: wer ist wofür verantwortlich?

Der EU AI Act unterscheidet konsequent zwischen Anbieter (Provider) und Betreiber (Deployer). Wer diese Unterscheidung nicht versteht, verwechselt schnell wer die Pflichten trägt.

• Anbieter entwickelt, baut oder bringt ein KI-System in den Verkehr — auch wenn es kostenlos verteilt wird. Zuständig für Absatz 1 (Chatbot-Kennzeichnung) und Absatz 2 (maschinenlesbare Markierung synthetischer Inhalte).
• Betreiber nutzt ein KI-System im eigenen Betrieb, auf eigene Verantwortung — außer für rein private Zwecke. Zuständig für Absatz 3 (Emotionserkennung, Biometrie) und Absatz 4 (Deepfakes, Text bei öffentlichem Interesse).

Die Rollen können sich überschneiden. Eine Agentur, die einen eigenen Chatbot programmiert und im Kundendienst einbindet, ist gleichzeitig Anbieter und Betreiber. Ein Handwerksbetrieb, der ChatGPT für Kundenkommunikation einsetzt, ist nur Betreiber.

Wie die Kennzeichnung konkret aussehen muss

Artikel 50 nennt vier Anforderungen an jede Kennzeichnung:

• Klar und erkennbar — kein Kleingedrucktes, keine versteckten Hinweise im Impressum.
• Spätestens bei der ersten Interaktion oder Exposition — nicht nachträglich.
• Barrierefrei — für Menschen mit Behinderungen wahrnehmbar, konform zu Zugänglichkeits-Standards.
• Für Menschen verständlich — klare Sprache, kein Techno-Jargon, im relevanten Sprachraum.

Für die maschinenlesbare Markierung synthetischer Inhalte (Abs. 2) fordert die Verordnung zusätzlich Stand der Technik gemäß *wirksam, interoperabel, robust und zuverlässig*. In der Praxis: Standards wie C2PA (Content Provenance and Authenticity) oder vergleichbare Content-Credentials sind derzeit der wahrscheinlichste Compliance-Weg. Das EU AI Office entwickelt Codes of Practice mit konkreteren Umsetzungshinweisen.

Ausnahmen und Grenzfälle

Ausnahme 1: Strafverfolgung. Alle Pflichten entfallen bei gesetzlich zugelassener Nutzung zur Aufdeckung, Verhütung und Ermittlung von Straftaten — für den Mittelstand faktisch irrelevant.

Ausnahme 2: Reine Hilfsfunktionen. Wenn eine KI-Funktion nur eine unwesentliche Bearbeitung darstellt — Rechtschreibkorrektur, minimale Kontrastanpassung, Auto-Vervollständigung —, greift Abs. 2 nicht. Die Grenze zur „wesentlichen Veränderung“ wird Gerichtssache werden.

Ausnahme 3: Redaktionelle menschliche Kontrolle bei Texten. Für KI-generierte Texte zu Themen öffentlichen Interesses (Abs. 4) entfällt die Kennzeichnungspflicht, wenn ein Mensch redaktionelle Kontrolle und Verantwortung übernimmt. „Redaktionelle Kontrolle“ heißt nicht „einmal drübergelesen“, sondern substantielle inhaltliche Verantwortung — belegbar durch dokumentierte Prozesse.

Grenzfall: Kunst, Satire, Fiktion. Dezentere Offenlegung erlaubt, um die kreative Wirkung nicht zu zerstören. Wo die Grenze zwischen „satirisch“ und „irreführend“ liegt, klären Gerichte.

Sanktionen und Durchsetzung

Artikel 99 des EU AI Act legt die Bußgelder fest. Für Verstöße gegen die Transparenzpflichten von Artikel 50 gilt: bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem welcher Betrag höher ist. Für KMU inklusive Start-ups sind die Bußgelder auf den jeweils niedrigeren Betrag der beiden Alternativen begrenzt — ein wichtiger Schutz für den Mittelstand, aber kein Freibrief.

Durchsetzung erfolgt durch die nationalen Marktüberwachungsbehörden. Die konkreten Zuständigkeiten in Österreich und Deutschland werden bis zum Stichtag benannt und ausgestattet.

Bußgelder sind das Maximum, nicht der Regelfall. Aber wer die Kennzeichnungspflichten offensichtlich und wiederholt ignoriert, wird zum Präzedenzfall für Aufsichtsbehörden, die ihre neue Kompetenz zeigen wollen.

Was der Mittelstand bis August 2026 tun sollte

Vier konkrete Schritte für die verbleibende Zeit:

Schritt 1 · KI-Inventur

Liste aller im Unternehmen aktiv genutzten KI-Anwendungen — auch Schatten-KI, die Mitarbeiter privat nutzen und in Unternehmens-Kontext einbringen. Für jede Anwendung: Wer ist Anbieter (in der Regel externer Werkzeug-Hersteller wie OpenAI, Anthropic, Microsoft), wer ist Betreiber (Sie selbst).

Schritt 2 · Kategorien-Zuordnung

Pro Anwendung: In welche der vier Artikel-50-Kategorien fällt sie? Ein Chatbot im Kundendienst = Kategorie 1. Ein Bild-Generator für Marketing-Assets = Kategorie 2 auf Anbieter-Seite und potenziell Kategorie 4 (Deepfake-nah) auf Betreiber-Seite. Ein KI-Text-Assistent für Website-Inhalte kann in Kategorie 4 fallen, wenn keine substantielle redaktionelle Kontrolle nachweisbar ist.

Schritt 3 · Kennzeichnungs-Konzept

Pro Anwendung definieren, wie die Kennzeichnung konkret aussehen soll. Chatbot: Einleitungs-Satz „Sie chatten mit unserem KI-Assistenten.“ Marketing-Bilder: Metadaten-Wasserzeichen plus sichtbarer Hinweis in den Bild-Credits. KI-Texte: redaktionelle Verantwortung dokumentieren oder Kennzeichnung im Beitrag selbst.

Schritt 4 · Dokumentation

KI-Anwendungsfall-Verzeichnis führen — nicht als bürokratische Übung, sondern als aktives Steuerungsinstrument. Wer setzt was ein, mit welchem Zweck, unter welcher Verantwortung, mit welcher Kennzeichnung. Dieses Verzeichnis wird ohnehin zur Grundausstattung jeder ISO-42001-Zertifizierung und KI-Kompetenznachweis-Pflicht nach EU AI Act Artikel 4.