Die Transparenzregeln der KI-Verordnung gelten: Was sich auf Ihrer Website ändert

Am 2. August 2026 wurden die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung anwendbar. Anders als die Hochrisiko-Vorschriften, die nach hinten geschoben wurden, kam diese Tranche pünktlich.

Sie betrifft weit mehr Unternehmen, als der Begriff "KI-Regulierung" vermuten lässt. Sie müssen keine Modelle bauen. Wenn Sie einen Chatbot auf Ihre Supportseite stellen, Produkttexte mit einem Sprachmodell erzeugen oder Bildmaterial für Kampagnen mit einem KI-Werkzeug produzieren, gehört Artikel 50 jetzt zu Ihrer Compliance-Oberfläche.

Hier steht, was gilt, was nicht, und wie die Arbeit aussieht.

Der überarbeitete Zeitplan, weil er sich verschoben hat

2026 herrschte echte Verwirrung darüber, welche Fristen der KI-Verordnung überlebt haben. Der am 19. November 2025 vorgeschlagene und im Laufe von 2026 vereinbarte Digital Omnibus zu KI hat Teile des Regimes verschoben. Das aktuelle Bild:

• 2. Februar 2025: Verbote inakzeptabler Praktiken, darunter Social Scoring, unterschwellige Manipulation und bestimmte biometrische Identifizierung. Bereits in Kraft, unverändert.
• 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. In Kraft.
• 2. August 2026: Transparenzpflichten nach Artikel 50. Jetzt in Kraft.
• 2. Dezember 2026: Verbot von Nudify-Anwendungen sowie die Kennzeichnungspflichten für KI-erzeugte Inhalte, mit einer viermonatigen Übergangsfrist für generative Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren.
• 2. Dezember 2027: Konformitätsfrist für eigenständige Hochrisikosysteme nach Anhang III, verschoben vom 2. August 2026.
• 2. August 2028: Konformitätsfrist für Hochrisiko-KI in regulierten Produkten.

Die Verschiebung betrifft die Hochrisiko-Stufe. Wer angenommen hat, die ganze Verordnung sei gerutscht, hat den Teil verpasst, der gewöhnliche Produktteams am stärksten trifft.

Was Artikel 50 verlangt

Vier Pflichten, auf unterschiedliche Situationen gerichtet.

1. Sagen Sie den Menschen, dass sie mit einer Maschine sprechen

Ist ein KI-System dazu bestimmt, direkt mit Menschen zu interagieren, muss es so gestaltet sein, dass diese Menschen darüber informiert werden, dass sie mit KI interagieren, es sei denn, das ist für eine angemessen informierte und aufmerksame Person offensichtlich.

Das erfasst Support-Chatbots, Sprachassistenten, KI-gesteuerte Telefonsysteme und dialogorientierte Vertriebsagenten. Die Pflicht liegt beim Anbieter zur Designzeit, aber wer einen solchen unter eigener Marke auf seiner Seite betreibt, hat die Nutzer, die informiert werden müssen.

Die Schwelle für "offensichtlich" liegt niedriger, als viele annehmen. Ein Widget namens "KI-Assistent" mit Roboter-Symbol dürfte reichen. Ein Chatfenster, das mit "Hallo, ich bin Anna vom Support, wie kann ich helfen?" beginnt und nie etwas anderes sagt, reicht nicht.

2. Synthetische Inhalte maschinenlesbar kennzeichnen

Anbieter von KI-Systemen, die synthetisches Audio, Bilder, Video oder Text erzeugen, müssen die Ausgaben in einem maschinenlesbaren Format kennzeichnen, sodass sie als künstlich erzeugt oder manipuliert erkennbar sind. Die Kennzeichnung muss wirksam, interoperabel, robust und zuverlässig sein, soweit technisch machbar.

Praktisch verweist das auf Content Credentials und Provenienz-Metadaten, wobei C2PA der am weitesten entwickelte Ansatz ist, sowie auf Wasserzeichen bei Modellen, die das unterstützen. Die detaillierten Kennzeichnungspflichten greifen am 2. Dezember 2026.

Wenn Sie einen kommerziellen Modellanbieter nutzen, liegt der Großteil dieser Pflicht bei ihm. Ihr Risiko liegt darin, was Ihre Pipeline danach mit der Ausgabe macht. Metadaten bei der Bildverarbeitung zu entfernen, neu zu kodieren oder über eine CDN-Transformation zu jagen, kann genau die Kennzeichnung löschen, die das Gesetz erhalten wissen will. Das ist in einer gewöhnlichen Asset-Pipeline ein reales Risiko und die Prüfung wert.

3. Deepfakes und KI-generierte Texte von öffentlichem Interesse offenlegen

Betreiber von Systemen, die Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren, die einen Deepfake darstellen, müssen offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke gibt es eine Ausnahme, bei der die Offenlegung zurückhaltender ausfallen kann und das Werk nicht beeinträchtigen darf.

Getrennt davon müssen Betreiber, die KI-erzeugte oder KI-gestützte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlichen, dies offenlegen, sofern der Inhalt keine menschliche Überprüfung durchlaufen hat und eine natürliche Person oder Organisation die redaktionelle Verantwortung trägt.

Diese zweite Ausnahme ist für Marketingteams wichtig. KI-gestützte Texte, die ein menschlicher Redakteur geprüft und freigegeben hat, brauchen in der Regel kein Label. Was Sie brauchen, ist ein Nachweis, dass die Prüfung stattgefunden hat. Ein Workflow-Status, ein Freigabeprotokoll, ein benannter Verantwortlicher.

4. Emotionserkennung und biometrische Kategorisierung

Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die betroffenen Personen informieren und personenbezogene Daten im Einklang mit der DSGVO behandeln. Das ist enger, aber wenn Ihr Produkt Stimmungsanalysen bei Videocalls macht oder Merkmale aus Bildern ableitet, schauen Sie genau hin.

Wie die Information dargestellt werden muss

Artikel 50 verlangt, dass die Information klar und unterscheidbar spätestens zum Zeitpunkt der ersten Interaktion oder Exposition bereitgestellt wird und dabei geltende Barrierefreiheitsanforderungen erfüllt.

Dieser letzte Halbsatz verbindet sich direkt mit dem europäischen Barrierefreiheitsgesetz. Eine Offenlegung, die nur als Tooltip beim Hovern erscheint, oder als kontrastarmer grauer Text, oder als Bild ohne Alternativtext, fällt gleich doppelt durch.

Praktische Konsequenzen:

• Die Offenlegung erscheint vor oder bei der ersten Interaktion, nicht in den Nutzungsbedingungen.
• Sie ist lesbarer Text im zugänglichen DOM, nicht in ein Bild gebrannt.
• Sie übersteht Tastaturnavigation und Screenreader-Zugriff.
• Sie ist übersetzt. Auf einer mehrsprachigen Website ist ein nur englischer KI-Hinweis für einen polnischen Nutzer nicht klar.

Wie das als Tickets aussieht

Für die meisten Teams ist die eigentliche Arbeit klein, was ein guter Grund ist, sie nicht aufzuschieben.

Chat und dialogorientierte Oberflächen. Eine dauerhaft sichtbare Angabe in der Widget-Kopfzeile und in der Eröffnungsnachricht ergänzen. Sicherstellen, dass sie in jeder ausgelieferten Sprache vorhanden ist. Bei Übergabe an einen Menschen sagen Sie das beim Übergang, denn genau dann ändert sich die Annahme des Nutzers.

Content-Pipelines. Prüfen Sie, wo KI-erzeugte Assets in Ihr System gelangen und was mit ihren Metadaten passiert. Wenn Ihre Bildverarbeitung Provenienzdaten entfernt, erhalten Sie sie oder tragen Sie sie erneut ein. Führen Sie ein Provenienzfeld am Asset-Datensatz.

Redaktioneller Workflow. Wer KI-gestützte Inhalte zu Themen von öffentlichem Interesse veröffentlicht, ergänzt einen Prüfschritt mit benanntem Freigeber und speichert die Freigabe. Das ist Ihre Ausnahme, und eine Ausnahme, die Sie nicht belegen können, ist keine.

Komponentenarbeit. Bauen Sie eine kleine Offenlegungskomponente und nutzen Sie sie konsistent, statt das Label an fünf Stellen ad hoc zu schreiben. Das heißt auch: eine Stelle zum Ändern, wenn sich die Leitlinien weiterentwickeln.

Inventar. Führen Sie eine Liste jedes KI-Systems im Produkt: was es ist, wer es anbietet, was es erzeugt, wer Anbieter und wer Betreiber ist und welche Pflichten aus Artikel 50 daran hängen. Wenn eine Behörde oder ein Kunde fragt, ist das die Antwort.

Wer Anbieter ist und wer Betreiber

Die Verordnung teilt die Pflichten zwischen Anbietern, die ein System entwickeln und in Verkehr bringen, und Betreibern, die es unter ihrer Verantwortung einsetzen.

Die meisten Unternehmen sind Betreiber. Das ist die leichtere Rolle, aber es gibt eine Falle: Wer ein System wesentlich verändert, seinen eigenen Namen oder seine Marke darauf setzt oder den Zweckbestimmung ändert, kann zum Anbieter werden und erbt die schwereren Pflichten.

Ein kommerzielles Modell in Ihr eigenes Produkt zu verpacken, ihm eine Persona zu geben und es unter Ihrer Marke auszuliefern, ist ein Sachverhalt, den Ihre Juristen prüfen sollten, denn die Antwort hängt an Details, die nur Ihr Team kennt.

Was nicht im Anwendungsbereich ist

Das gehört klar gesagt, weil ausufernde interne Compliance-Projekte echte Zeit kosten.

Artikel 50 verlangt nicht, jede Nutzung von maschinellem Lernen zu kennzeichnen. Eine Empfehlungsmaschine, die Produkte sortiert, erzeugt keine synthetischen Inhalte und agiert nicht als Dialogsystem. Spamfilter, Betrugsscoring, Suchranking und Nachfrageprognose liegen außerhalb dieser konkreten Transparenzregeln, auch wenn sie DSGVO-Fragen zur automatisierten Entscheidungsfindung aufwerfen können.

Sie werden auch nicht zum Hochrisikosystem, nur weil Sie KI einsetzen. Die Einstufung als Hochrisiko ergibt sich aus Anhang I und Anhang III und ist an konkrete Anwendungsfälle gebunden, etwa Beschäftigung, Kredit, Bildung, wesentliche Dienste und Sicherheitsbauteile. Wer dort ist, hat den 2. Dezember 2027 oder 2. August 2028 vor sich, und das ist ein deutlich größeres Programm.

Realität der Durchsetzung

Die Sanktionen der KI-Verordnung sind erheblich, bei vielen Verstößen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Nationale Marktüberwachungsbehörden bauen ihre Kapazitäten noch auf, und das erste Durchsetzungsjahr dürfte gegenüber kleinen, gutgläubig handelnden Betreibern nicht aggressiv ausfallen.

Allerdings sind Transparenzpflichten das, was sich in der gesamten Verordnung am leichtesten von außen prüfen lässt. Eine Behörde, ein Journalist oder ein Wettbewerber kann Ihre Seite öffnen und sehen, ob der Chatbot es offenlegt. Es braucht kein Auskunftsverfahren.

Billig einzuhalten, trivial sichtbar, wenn man es nicht getan hat. Das ist die falsche Kombination zum Pokern.

Wo das hineinpasst

Die KI-Verordnung ist ein Strang in einem viel breiteren Ausbau der EU-Digitalregeln. Wer die ganze Oberfläche kartieren will, findet in unserem Leitfaden zur EU-Digital-Compliance 2026, was wann gilt, und im technischen DSGVO-Leitfaden die Datenschutzschicht, auf der KI-Systeme aufsetzen.

Wir bauen KI-Funktionen in Produkte für Unternehmen in Europa ein, das heißt, wir behandeln Offenlegung, Provenienz und Audit-Trail als Teil der normalen Lieferung statt als getrennte Compliance-Übung. Wenn Sie eine Bestandsaufnahme wollen, wo KI in Ihrem Produkt auftaucht und was Artikel 50 dazu sagt, schreiben Sie an office@c9group.dev.

Wir sind Ingenieure, keine Juristen. Einstufungsfragen, besonders die Grenze zwischen Anbieter und Betreiber, gehören zu Ihren Juristen. Wir sorgen dafür, dass das System zur Antwort passt.