EU AI Act: Transparenzpflichten für KI-Systeme und wie Sie sie umsetzen

Hinweis: Dieser Artikel wurde am 24. Juli 2026 erneut korrigiert und im Oktober 2026 mit dem im Amtsblatt veröffentlichten Text des Digital Omnibus abgeglichen. Anders als zunächst dargestellt, verschiebt der Digital Omnibus die Transparenzpflichten aus Artikel 50 nicht auf Dezember 2026. Sie gelten wie ursprünglich vorgesehen seit dem 2. August 2026. Mehr Zeit haben nur Anbieter generativer KI-Systeme, die schon vor diesem Tag auf dem Markt waren, und das allein für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026. Verschoben wurden ansonsten die Pflichten für Hochrisiko-Systeme, siehe meinen Beitrag zum Digital Omnibus, der seit Oktober dieselben Fristen nennt.

Die Transparenzpflichten des EU AI Act gehören zu den Anforderungen, die praktisch jedes Unternehmen mit KI-Einsatz im Kundenkontakt betreffen, nicht nur die Großkonzerne. Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen gekennzeichnet werden. Diese Pflichten aus Artikel 50 der KI-Verordnung gelten wie ursprünglich geplant seit dem 2. August 2026, der Digital Omnibus hat daran nichts geändert. Eine Übergangsfrist gibt es nur für Anbieter generativer KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren. Sie haben für die maschinenlesbare Kennzeichnung der erzeugten Inhalte noch bis zum 2. Dezember 2026 Zeit. Alle anderen Vorgaben gelten bereits. Wer die Umsetzung noch nicht begonnen hat, sollte jetzt handeln statt abzuwarten.

Was die Transparenzpflichten verlangen

Die Anforderungen sind klarer, als viele befürchten, aber sie erfordern technische Umsetzungsarbeit, die nicht an einem Nachmittag erledigt ist. Betroffen sind im Wesentlichen drei Bereiche.

Zunächst die Chatbots und virtuellen Assistenten. Jedes KI-System, das im direkten Kundenkontakt natürlichsprachlich kommuniziert, muss sich als KI erkennbar machen, und zwar gleich zu Beginn der Interaktion und nicht erst auf Nachfrage. Das betrifft den Chatbot auf der Website genauso wie automatisierte E-Mail-Antworten und Sprachassistenten am Telefon.

Der zweite Bereich sind KI-generierte Inhalte. Anbieter von Systemen, die Texte, Bilder, Audio oder Video erzeugen, müssen die Ausgaben maschinenlesbar als künstlich erzeugt kennzeichnen. Wer solche Systeme einsetzt, muss Deepfakes offenlegen, also mit KI erzeugte oder veränderte Bilder, Ton- oder Videoinhalte, die etwa echten Personen, Orten oder Ereignissen ähneln und fälschlich für echt gehalten werden könnten. Dasselbe gilt für KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie redaktionell geprüft und jemand trägt dafür die redaktionelle Verantwortung. Für das Marketing bedeutet das, dass KI-Bilder, synthetische Stimmen und KI-Videos einen klaren Hinweis brauchen, sobald sie echt wirken und mit realen Personen, Orten oder Ereignissen verwechselt werden können.

Und schließlich die Systeme zur Emotionserkennung und zur biometrischen Kategorisierung. Wer sie betreibt, muss die betroffenen Personen über den Betrieb informieren. Am Arbeitsplatz und in Bildungseinrichtungen ist Emotionserkennung allerdings schon seit Februar 2025 grundsätzlich verboten, Ausnahmen gibt es nur aus medizinischen Gründen oder Sicherheitsgründen.

Wer eigene KI-Modelle anbietet

Wer eigene Sprachmodelle entwickelt oder anbietet, auch als internes Werkzeug für andere Entwickler, fällt unter die Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Diese gelten bereits seit August 2025 und wurden vom Digital Omnibus nicht verschoben. Ab einem bestimmten Schwellenwert an Trainingsaufwand kommen zusätzliche Anforderungen an Dokumentation und Risikobewertung hinzu.

So gehen Sie die Umsetzung an

Am Anfang steht eine vollständige Liste aller KI-Systeme im Unternehmen, einschließlich der KI, die in Drittanbieter-Software eingebettet ist. Für jedes System sollte klar sein, was es tut, ob es direkt mit Kunden oder Mitarbeitern interagiert, ob es Inhalte erzeugt und ob es biometrische Daten verarbeitet.

Danach folgt die technische Umsetzung der Kennzeichnung. Bei Chatbots heißt das ein Hinweis zu Beginn jeder Konversation, deutlich erkennbar und nicht als versteckter Fußnotentext. Bei generierten Inhalten kommen eine sichtbare Kennzeichnung oder Metadaten im C2PA-Format in Frage. Beides lässt sich mit überschaubarem Aufwand in bestehende Systeme integrieren.

Bleibt die Dokumentation. Die umfangreichen Nachweispflichten für Hochrisiko-Systeme, etwa in der Kreditvergabe oder bei Personalentscheidungen, greifen nach dem Digital Omnibus erst ab Dezember 2027, für KI in Produkten wie Medizinprodukten, die eigenen EU-Produktvorschriften unterliegen, sogar erst ab August 2028. Für die meisten Unternehmensanwendungen genügt es schon heute, festzuhalten, welches KI-System wo eingesetzt wird und wie die Kennzeichnung umgesetzt ist.

Was bei Nichtumsetzung droht

Die Aufsicht liegt in Deutschland seit dem 29. Juli 2026 grundsätzlich bei der Bundesnetzagentur. Das regelt § 2 des Gesetzes zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz. Für einzelne Bereiche wie den Finanzsektor sind andere Behörden zuständig. Wie streng in der Anfangsphase vorgegangen wird, lässt sich noch nicht sagen. Der AI Act lässt neben Bußgeldern ausdrücklich auch Verwarnungen und andere nichtmonetäre Maßnahmen zu. Die Erfahrung mit der DSGVO zeigt allerdings, dass aus Kulanz schnell Konsequenz wird. Für Verstöße gegen die Transparenzpflichten sieht der AI Act Bußgelder bis 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.

Wer die Transparenzpflichten jetzt sauber implementiert, ist für die nächsten Stufen des AI Act deutlich besser aufgestellt. Ich sehe das weniger als Last denn als Investition in einen rechtssicheren KI-Einsatz. Anders als bei den Hochrisiko-Pflichten gibt es hier aber keinen allgemeinen Aufschub, die Pflichten gelten seit dem 2. August 2026. Wer einen Chatbot oder KI-generierte Inhalte im Kundenkontakt einsetzt und die Kennzeichnung noch nicht umgesetzt hat, sollte das jetzt priorisieren.