KI-Verordnung: Neue Transparenzpflichten seit 2. August

Wie können Verbraucher, Behörden und Unternehmen im Zeitalter von Künstlicher Intelligenz unterscheiden, ob ein visueller, auditiver oder textlicher Inhalt authentisch oder KI-generiert ist?

Die Antwort auf diese Frage findet sich in den Transparenzverpflichtungen aus Art. 50 KI-Verordnung, die seit dem 02. August 2026 gelten (Textliche, visuelle oder auditive KI-generierte Inhalte, die vor dem 2. August publiziert wurden, sind von den Transparenzpflichten grundsätzlich ausgenommen. Es bedarf somit keiner nachträglichen Anpassung der Inhalte.) 

Im Rahmen dieser Pflichten müssen bestimmte KI-generierte Inhalte unter Umständen als solche gekennzeichnet werden. Doch unter welchen Voraussetzungen und wie konkret diese Kennzeichnung in der Praxis zu erfolgen hat, blieb für betroffene Unternehmen bislang weitgehend unklar.

Die Kommission hat nun mit dem Verhaltenskodex zur Umsetzung der Transparenzpflichten nach Art. 50 KI-Verordnung sowie den zugehörigen Leitlinien eine praktische Umsetzungsanleitung veröffentlicht, die den Inhalt und Fragen zu Umsetzung dieser Transparenzpflichten erläutert. Der Bundesverband Kooperierender Mittelstand (BKM) klärt für Sie auf.

Art. 50 KI-Verordnung: Rechtsgrundlage

Grundsätzlich unterscheidet die KI-Verordnung hier zwischen Pflichten für Anbieter (geregelt in Art. 50 Abs. 1 & 2) und Betreiber (geregelt in Art. 50 Abs. 3 & 4) von KI-Systemen.

Der Anbieter (provider) ist die natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3 KI-Verordnung). Betroffen von den Transparenzpflichten nach Art. 50 Abs. 1 & 2 sind typischerweise Hersteller von LLM-Chatbots wie OpenAI, Claude oder Mistral, aber auch Unternehmen, die bestehende LLM-Systeme mit ihren Unternehmensdaten erweitern und unter ihrer eigenen Handelsmarke herausbringen. 

Dies betrifft im Übrigen auch Chatbots oder virtuelle Assistenten, die in eigenen Websites implementiert sind. Gästen auf der Seite muss somit klar sein, dass sie mit einer KI und nicht mit einem Menschen kommunizieren.

Zur Rolle des „Betreibers“ (Deployer)

Ein Betreiber (deployer) ist laut Verordnung grundsätzlich diejenige natürliche oder juristische Person, die ein KI-System in eigener Verantwortung verwendet. Ergänzt ein Unternehmen ein bereits bestehendes generatives KI-System mit eigenen Trainingsdaten und nimmt dieses unter seinen eigenen Namen in Betrieb, wird dieses Unternehmen selbst zum Anbieter des neuen Systems. Dies bedeutet jedoch nicht zwangsläufig, dass das Unternehmen sämtliche technischen Transparenzmechanismen eigenständig entwickeln muss. Baut das neue KI-System auf einem bestehenden generativen Basismodell auf, sieht der Code of Practice vor, dass der ursprüngliche Anbieter die erforderlichen technischen Kennzeichnungsmechanismen möglichst bereits bereitstellt, sodass nachgelagerte Anbieter diese übernehmen und in ihrem eigenen System weiterverwenden können.

Die Guidelines stellen zur Rolle des Betreibers zusätzlich klar: Entscheidend ist, wer den Einsatz des KI Systems tatsächlich kontrolliert. Beschäftigte handeln regelmäßig für ihr Unternehmen, externe Agenturen können hingegen selbst Betreiber sein. Für die praktische Umsetzung sollte das veröffentlichende Unternehmen dennoch in jedem Fall prüfen, dass erforderliche Kennzeichnungen vor der Veröffentlichung vorhanden und sichtbar sind.

KI-Kennzeichnungspflichten für Betreiber

Die Kennzeichnungspflichten für Betreiber sind insbesondere in Art. 50 Abs. 4 KI-Verordnung normiert (Auch Art. 50 Abs. 3 AI Act enthält Informationspflichten für Betreiber von Emotionserkennungs- und biometrischen Kategorisierungssystemen. Da solche Systeme für die meisten Unternehmen jedoch keinen typischen KI-Anwendungsfall darstellen dürften, konzentriert sich dieser Abschnitt auf die für die betriebliche Praxis regelmäßig relevanteren Kennzeichnungspflichten nach Art. 50 Abs. 4 AI Act.).

Dieser besagt, dass

• KI-generierte oder -manipulierte „Deepfakes“ in Form von Bild-, Audio- oder Videoinhalten sowie

• KI-generierte oder – manipulierte Texte, deren Zweck darin besteht, die Öffentlichkeit über Angelegenheiten vom öffentlichen Interesse zu informieren, als solche gekennzeichnet werden müssen. 

Bei dieser Kennzeichnungspflicht reicht es nicht aus, auf die maschinenlesbaren Markierungen der Anbieter abzustellen. Betreiber müssen folglich unter bestimmten Voraussetzungen KI-generierte Inhalte mit eigenen Kennzeichnungen versehen.

Was sind „Deepfakes“?

Wie sich bereits aus dem Wortlaut des Art. 50 Abs. 4 KI-Verordnung ergibt, setzen die Transparenzpflichten für Bild-, Audio- und Videoinhalte voraus, dass der KI-generierte oder manipulierte Inhalt als „Deepfake“ einzustufen ist. Gerade an dieser Stelle schaffen die Guidelines wichtige Klarheit, welche Inhalte konkret unter den Begriff des Deepfakes fallen.

Der AI-Act definiert Deep Fakes als „KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die realen (1) Personen, Objekten, Orten, Einrichtungen oder Ereignissen (2) ähneln (3) und einer Person fälschlicherweise als authentisch oder wahrheitsgemäß erscheinen würden (4)“. Hieraus ergeben sich vier kumulative Kriterien, die die Guidelines konkretisieren.

Transparenzpflichten für KI-generierte oder -manipulierte Texte

Die zweite Offenlegungspflicht gilt für KI-generierte bzw. -manipulierte Texte. Konkret verlautet der AI-Act die Pflicht, „wer ein KI-System einsetzt, das Text generiert oder manipuliert, der zu dem Zweck veröffentlicht (1) wird, die Öffentlichkeit (2) über Angelegenheiten von öffentlichem Interesse (3) zu informieren, muss offenlegen, dass der Text künstlich generiert oder manipuliert wurde.“

Doch selbst, wenn die Voraussetzungen für eine Kennzeichnungspflicht zutreffen, muss diese nicht zwangsläufig erfolgen: Eine Ausnahme greift, wenn eine hinreichende menschliche Überprüfung oder redaktionelle Kontrolle des veröffentlichten Textes besteht, und zugleich eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt. Unternehmen sollten hierfür einen angemessenen internen Prozess einrichten, der eine verlässliche Prüfung und Freigabe der Texte sicherstellt.

Wie kennzeichne ich KI-generierte Inhalte?

Wie genau die obenstehenden Kennzeichnungen aussehen können, sind dem im Juni erschienenen „Code of Practice“ zu den Transparenzpflichten nach Art. 50 KI-Verordnung zu entnehmen. Die Einhaltung des Verhaltenskodexes ist zunächst freiwillig. Seine Befolgung bietet Unternehmen jedoch einen unionsweit anerkannten und vergleichsweise rechtssicheren Weg, die Einhaltung ihrer Transparenzpflichten gegenüber den zuständigen Behörden darzulegen.

Bei visuellen Deepfakes etwa können künftig Betreiber von KI-Systemen ein europäisches Label (zu finden unter diesem Link) verwenden, auf dem in verschiedenen Variationen der Schriftzug AI zu sehen ist. Dieses kann skaliert oder farblich angepasst werden, solange es eindeutig identifizierbar bleibt und die Proportionen erhalten bleiben. Es muss direkt in den Inhalt eingebettet werden und mindestens zu Beginn der Deepfake-Sequenz angezeigt werden. Bei Werbeunterbrechungen muss es überdies wiederholt eingeblendet werden – es empfiehlt sich jedoch, das Label dauerhaft gut sichtbar im entsprechenden Video zu platzieren.

Bei Audio-Deepfakes muss ebenfalls immer ein hörbarer Hinweis erfolgen, dass es sich hierbei um einen KI-generierten Inhalt handelt.

Die Pflicht zur Kennzeichnung von KI-generierten Texten kann durch die Tatbestände einer menschlichen Überprüfung sowie redaktionellen Verantwortung entfallen (s.o.). Greift der Ausnahmetatbestand nicht, erfolgt Kennzeichnung gut sichtbar am Text – etwa über dem Header, neben der Überschrift, am Anfang des Beitrags oder im Vorspann. Auch müssten kurze Abschnitte entsprechend markiert oder eine Offenlegung zu Beginn des Textes erfolgen.