Der 2. August 2026 ist ein Stichtag, der für viele Unternehmen noch unter dem Radar läuft. An diesem Tag tritt Artikel 50 der EU-KI-Verordnung vollständig in Kraft und schreibt verbindlich vor, wann und wie KI-generierte Inhalte als solche zu kennzeichnen sind. Wer diese Pflicht ignoriert, riskiert Bußgelder bis zu 15 Millionen Euro.
Die gute Nachricht: Die Anforderungen sind für die meisten KMU handhabbar. Die schlechte Nachricht: Kaum ein Unternehmen hat sich bisher systematisch damit befasst, welche KI-Inhalte es überhaupt produziert und wo diese veröffentlicht werden. Genau das ist der erste Schritt.
Was gilt ab 2. August 2026?
Der EU AI Act unterscheidet bei der Kennzeichnungspflicht vier sogenannte Pflichtenkreise. Sie gelten unabhängig davon, in welcher Risikoklasse das eingesetzte KI-System eingestuft ist. Entscheidend ist allein: Wurde der Inhalt von einer KI generiert? Und in welchem Kontext wird er verwendet?
Die Verordnung gilt nicht nur für Unternehmen mit Sitz in der EU. Sie greift für alle, deren KI-generierte Inhalte auf dem europäischen Markt bereitgestellt werden. Ein österreichisches Unternehmen, das KI-generierte Marketingtexte auf seiner Website veröffentlicht, fällt genauso darunter wie ein Anbieter aus den USA, der seine Dienste europäischen Kunden anbietet.
Zuständige Behörden: In Österreich ist die KI-Servicestelle der RTR die zentrale Anlaufstelle für Fragen rund um den AI Act. In Deutschland ist die Bundesnetzagentur zuständig. Beide Behörden haben angekündigt, die Umsetzung der Transparenzpflichten aktiv zu begleiten.
Die vier Pflichtenkreise im Detail
Pflichtenkreis 01 · Interaktion
Chatbot-Hinweispflicht
Wer KI-Systeme einsetzt, die in Echtzeit mit Menschen interagieren, also Chatbots, virtuelle Assistenten oder automatisierte Kundendienst-Systeme, muss sicherstellen, dass Nutzerinnen und Nutzer wissen, dass sie mit einer KI kommunizieren.
Dieser Hinweis muss zu Beginn der Interaktion erfolgen. Eine kleine Fußnote am Ende der Seite reicht nicht aus. Ausnahme: Wenn eine KI offensichtlich als solche erkennbar ist, etwa durch einen klar artifiziellen Avatar, entfällt die Hinweispflicht. Im Zweifel gilt: Hinweis anzeigen.
Pflichtenkreis 02 · Technik
Technische Markierung synthetischer Inhalte
Anbieter generativer KI-Systeme müssen sicherstellen, dass ihre Ausgaben maschinenlesbar als KI-generierte Inhalte markiert sind. Das betrifft Audio, Bilder, Videos und Text. Die Markierung kann durch Metadaten, digitale Wasserzeichen oder vergleichbare technische Verfahren erfolgen.
Diese Pflicht richtet sich primär an die Anbieter der KI-Systeme, also an Unternehmen wie OpenAI, Google oder Midjourney. Als Betreiber eines solchen Systems sind Sie mittelbar betroffen: Sie müssen prüfen, ob Ihre genutzten KI-Tools diese technische Markierung tatsächlich umsetzen.
Pflichtenkreis 03 · Deepfakes
Deepfake-Offenlegungspflicht
KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte, die reale Personen, Orte oder Ereignisse täuschend ähnlich darstellen, müssen deutlich als solche gekennzeichnet werden. Die Kennzeichnung muss für die Betrachterin und den Betrachter unmittelbar erkennbar sein und darf nicht nur in Metadaten versteckt sein.
Das betrifft Werbung mit realistischen KI-generierten Testimonials ebenso wie Produktvideos, die reale Personen darstellen, ohne es zu sein. Auch erklärendes Videomaterial mit KI-simulierten Sprecherstimmen fällt darunter.
Pflichtenkreis 04 · Öffentliches Interesse
KI-Texte zu Themen von öffentlichem Interesse
Wer KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, also Nachrichten, politische Inhalte, medizinische Informationen oder rechtliche Einschätzungen, muss diese als KI-generiert kennzeichnen.
Diese Pflicht entfällt, wenn ein Mensch die Inhalte vor der Veröffentlichung inhaltlich geprüft und redaktionelle Verantwortung dafür übernommen hat. Entscheidend ist nicht, ob KI am Schreibprozess beteiligt war, sondern ob eine benannte Person für den Inhalt verantwortlich zeichnet.
Die Ausnahmen kennen und richtig anwenden
Nicht jeder KI-generierte Inhalt muss mit einem auffälligen Label versehen werden. Der AI Act sieht zwei wesentliche Ausnahmeregelungen vor. Beide müssen aber aktiv und nachweisbar angewendet werden, sie entstehen nicht automatisch.
Ausnahme 1: Redaktionelle Kontrolle. KI-generierte Texte, die vor der Veröffentlichung von einer Person inhaltlich geprüft wurden und für die eine benannte Person redaktionelle Verantwortung trägt, müssen nicht gesondert als KI-generiert gekennzeichnet werden.
Das ist keine Einladung zur Umgehung der Regel. Es setzt eine echte, inhaltliche Prüfung voraus, keine oberflächliche Durchsicht. Wer im Streitfall nicht nachweisen kann, dass eine solche Prüfung stattgefunden hat, trägt das volle Risiko.
Ausnahme 2: Kunst, Satire und fiktionale Werke. Für offensichtlich künstlerische, fiktionale oder satirische Inhalte gilt eine abgeschwächte Kennzeichnungspflicht. Die KI-Nutzung muss zwar offengelegt werden, aber nicht so prominent, dass der Kunstgenuss gestört wird. Eine Angabe im Impressum oder im Abspann eines Films kann ausreichend sein.
Bußgelder. Was droht bei Verstößen?
Verstöße gegen die Transparenzpflichten nach Artikel 50 AI Act können mit Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem welcher Betrag höher ist. Für ein Unternehmen mit 5 Millionen Euro Jahresumsatz entspricht das bis zu 150.000 Euro.
Die Sanktionen des AI Act wurden bewusst an das Niveau der DSGVO angelehnt. Europas Gesetzgeber meint es mit dieser Verordnung ernst. Einschätzung aus der Datenschutzberatungspraxis
Hinzu kommen Reputationsschäden und das Risiko, dass Betroffene oder Wettbewerber Beschwerden einreichen. Anders als bei vielen technischen DSGVO-Verstößen ist ein Kennzeichnungsverstoß für Dritte in der Regel leicht dokumentierbar.
Datenschutz und AI Act. Doppelte Pflichten bei personenbezogenen Daten
KI-generierte Inhalte, die personenbezogene Daten enthalten oder verarbeiten, unterliegen gleichzeitig den Anforderungen der DSGVO. Wer hier nur einen der beiden Rechtsrahmen im Blick hat, tappt in eine Compliance-Lücke.
Die Schnittmenge von DSGVO und AI Act:
Wer KI-Bilder mit erkennbaren realen Personen erstellt, braucht eine Rechtsgrundlage nach DSGVO und muss gleichzeitig die Kennzeichnungspflicht des AI Act erfüllen. Wer KI-Stimmen realer Personen simuliert, trägt Verantwortung nach beiden Regelwerken. Wer KI-generierte Texte auf Basis von Kundendaten erstellt, muss beides im Griff haben.
In der Praxis empfiehlt sich deshalb eine kombinierte Betrachtung: KI-Einsatz und Datenschutz sind keine getrennten Themen mehr. Wer seinen Datenschutzstatus kennt, hat die bessere Ausgangsposition, um auch AI-Act-Anforderungen strukturiert umzusetzen.
Was Ihr Unternehmen jetzt konkret tun sollte
Die meisten KMU sind nicht grundsätzlich schlecht aufgestellt. Was fehlt, ist eine systematische Bestandsaufnahme. Sechs Schritte helfen dabei:
- KI-Inventar erstellen: Welche KI-Systeme setzt Ihr Unternehmen ein? Welche Inhalte erzeugen diese Systeme?
- Veröffentlichungen prüfen: Wo werden KI-generierte Inhalte auf Ihrer Website, in Social Media oder in der Kundenkommunikation eingesetzt?
- Redaktionelle Verantwortung klären: Wer prüft KI-generierte Texte vor der Veröffentlichung? Ist diese Person namentlich benannt?
- Chatbots anpassen: Werden Nutzerinnen und Nutzer zu Beginn einer KI-gestützten Interaktion informiert?
- Dienstleister prüfen: Setzen die von Ihnen genutzten KI-Tools die technische Markierungspflicht tatsächlich um?
- Dokumentation aufbauen: Halten Sie fest, welche Inhalte KI-generiert sind und wie die Kennzeichnung im Einzelfall erfolgt.
Dieser Prozess muss einmalig aufgesetzt und dann laufend aktualisiert werden. KI-Einsatz wächst in den meisten Unternehmen schnell. Was heute noch ein einziges Tool ist, sind in sechs Monaten oft fünf.