Was sich geändert hat

Am 20. Juli 2026 hat die Europäische Kommission ihre endgültigen Leitlinien zu den Transparenzpflichten in Artikel 50 des EU-KI-Gesetzes (Verordnung (EU) 2024/1689) veröffentlicht. Das 51-seitige Dokument erscheint 13 Tage bevor diese Pflichten in allen 27 Mitgliedstaaten am 2. August 2026 direkt durchsetzbar werden (Europäische Kommission, Leitlinien zu den Transparenzpflichten).

Dies ist nicht das erste Wort der Kommission zu Artikel 50. Ein Entwurf wurde am 8. Mai 2026 zur öffentlichen Konsultation freigegeben, und der endgültige Text unterscheidet sich vom Entwurf in Punkten, die operativ von Bedeutung sind. Dies betrifft insbesondere die Frage, inwieweit sich ein Anbieter von KI-Systemen auf die Kennzeichnung verlassen kann, die upstream von einem Anbieter von Basismodellen vorgenommen wurde, anstatt eine eigene Lösung implementieren und überprüfen zu müssen (Bird & Bird, erste Eindrücke).

Die vier tatsächlichen Anforderungen von Artikel 50

Artikel 50 besteht nicht aus einer einzigen Regel. Es handelt sich um vier separate Offenlegungspflichten, und Unternehmen behandeln dies oft als eine einfache Aufgabe zur „Hinzufügung eines Chatbot-Disclaimers“, obwohl der Geltungsbereich weitaus größer ist.

• Artikel 50 Absatz 1: Anbieter von interaktiven KI-Systemen (Chatbots, Sprachassistenten, alles, womit eine Person kommuniziert) müssen den KI-Charakter der Interaktion deutlich machen, es sei denn, dies ist für eine angemessen informierte, aufmerksame und umsichtige Person bereits offensichtlich. Eine enge Ausnahme gilt für gesetzlich zugelassene Systeme zur Erkennung, Verhütung, Aufdeckung oder Verfolgung von Straftaten, vorbehaltlich entsprechender Garantien.

• Artikel 50 Absatz 2: Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen diese Ergebnisse in einem maschinenlesbaren Format als KI-generiert oder manipuliert kennzeichnen. Die Leitlinien bestätigen, dass diese Pflicht beim Anbieter des KI-Systems liegt. Dieser kann sich zwar auf eine vom Upstream-Modellanbieter oder einem Drittanbietertool integrierte Kennzeichnung verlassen, muss jedoch nachweisen können, dass die Lösung effektiv, interoperabel, robust und zuverlässig ist.

• Artikel 50 Absatz 3: Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die Personen, die diesen Systemen ausgesetzt sind, darüber informieren.

• Artikel 50 Absatz 4: Betreiber, die Deepfakes oder KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlichen, müssen den künstlichen Ursprung dieser Inhalte offenlegen. Ausnahmen gelten für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke, vorbehaltlich angemessener Vorkehrungen, sowie für Texte, die einer menschlichen Überprüfung unter redaktioneller Verantwortung unterzogen wurden.

Sanktionen bei Nichteinhaltung können bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist, und werden von den nationalen Marktüberwachungsbehörden durchgesetzt (FAQ der Europäischen Kommission zu Artikel 50).

Der Verhaltenskodex und eine Frist in dieser Woche

Neben den Leitlinien gibt es ein separates Instrument: den Verhaltenskodex für die Transparenz von KI-generierten Inhalten, der im Juni 2026 in seiner endgültigen Fassung veröffentlicht und von der Kommission am 9. Juli 2026 als angemessen bewertet wurde. Dies ist ein eigenständiger Kodex, der sich vom Verhaltenskodex für Allzweck-KI unterscheidet, den Modellanbieter im August 2025 unterzeichnet haben. Er richtet sich speziell an die Kennzeichnungs- und Etikettierungspflichten gemäß Artikel 50 Absatz 2 und Absatz 4 (FAQ der Europäischen Kommission zur Unterzeichnung des Kodex).

Die Unterzeichnung verschafft einer Organisation die Konformitätsvermutung bezüglich Artikel 50 Absatz 2 und Absatz 4, wodurch die Beweislast für eine Nichteinhaltung von der des Unternehmens auf die Regulierungsbehörden verlagert wird. Organisationen, die bis zum 27. Juli 2026 um 18:00 Uhr MESZ ein Unterzeichnungsformular einreichen, werden auf der ersten veröffentlichten Liste der Unterzeichner stehen – noch vor dem Inkrafttreten des Gesetzes am 2. August. Die Anmeldung bleibt auch danach fortlaufend möglich, allerdings fehlen spätere Unterzeichner auf der Erstliste und müssen vor allem auf die Konformitätsvermutung verzichten, bis sie hinzugefügt werden.

Was sich nicht geändert hat

Zwei Dinge werden im Zusammenhang mit diesen Neuigkeiten immer wieder miteinander verwechselt, und beide sollten richtiggestellt werden, bevor sie in einer Präsentation für den Vorstand landen.

Die Fristen für Hochrisiko-KI sind weiterhin separat aufgeschoben

Im Rahmen des Digitalen Omnibus zur KI, auf den sich Rat und Parlament am 7. Mai 2026 vorläufig geeinigt haben, wurde die Compliance-Frist für Hochrisiko-KI-Systeme (Artikel 9-15: Personalbeschaffung, Kreditwürdigkeit, Bildung und ähnliche Anwendungsfälle) für eigenständige Systeme vom 2. August 2026 auf den 2. Dezember 2027 und für in regulierte Produkte eingebettete KI auf den 2. August 2028 verschoben (Pressemitteilung des Rates der EU). Diese Verschiebung betrifft Artikel 50 nicht. Die Transparenzpflichten für Chatbots, Deepfakes und synthetische Inhalte verbleiben auf dem ursprünglichen Datum des 2. August 2026. Wenn der Hochrisiko-Arbeitsstrang Ihrer Organisation aufgrund der Omnibus-Verschiebung de-priorisiert wurde, hätte dies für Ihren Transparenz-Arbeitsstrang nicht gelten dürfen.

Die Leitlinien sind kein bindendes Recht

Die Kommission stellt ausdrücklich klar, dass die Leitlinien unverbindlich sind. Nur der Gerichtshof der EU kann das KI-Gesetz selbst rechtsverbindlich auslegen. In der Praxis wird jedoch erwartet, dass die nationalen Marktüberwachungsbehörden und das KI-Büro (sofern es die ausschließliche Zuständigkeit besitzt) den Leitlinien eng folgen werden. Behandeln Sie diese daher als den De-facto-Durchsetzungsstandard, auch wenn sie selbst keine formale Rechtskraft besitzen.

Die zuverlässige Kennzeichnung von Texten ist nach wie vor ein ungelöstes Problem

Die Leitlinien lösen eine reale technische Lücke nicht: Eine robuste, manipulationssichere und maschinenlesbare Kennzeichnung für KI-generierten Text ist im Vergleich zur Wasserzeichenkennzeichnung von Bildern, Audio- und Videodateien nach wie vor nur eingeschränkt möglich. Gehen Sie nicht davon aus, dass ein Anbieter, der eine „Artikel 50 Absatz 2-konforme“ Textkennzeichnung verspricht, ein Problem gelöst hat, das der Markt noch nicht bewältigt hat. Bitten Sie ihn, seine Methode zu demonstrieren.

Fünf Maßnahmen für diese Woche

1. Erstellen Sie eine Übersicht Ihres Bestands bezüglich Artikel 50, unabhängig von Ihrer Risikoklassifizierung

Ihr KI-Inventar erfasst mit ziemlicher Sicherheit bereits die Risikoklassifizierung nach dem Gesetz. Fügen Sie jedem Eintrag ein Flag für Artikel 50 hinzu: Kommuniziert dieses System mit Menschen (50(1)), erzeugt es synthetische Inhalte (50(2)), liest es emotionale oder biometrische Signale (50(3)) oder generiert es Deepfakes bzw. Texte von öffentlichem Interesse (50(4))? Ein gut gepflegtes Inventar macht daraus einen reinen Filtervorgang anstelle eines zeitaufwändigen Discovery-Projekts.

2. Treffen Sie eine Entscheidung zum Verhaltenskodex, bevor das Zeitfenster schließt

Rechtsabteilung und Produktmanagement sollten in dieser Woche gemeinsam entscheiden, ob der Kodex unterzeichnet werden soll. Die Unterzeichnung sichert Ihnen die Konformitätsvermutung hinsichtlich der Kennzeichnungs- und Etikettierungspflichten. Keine Unterzeichnung vorzunehmen ist eine legitime Entscheidung, bedeutet jedoch, dass Sie die volle Beweislast dafür tragen, dass Ihr eigener Ansatz mindestens ebenso effektiv ist – und das unter genauerer Beobachtung durch die nationalen Regulierungsbehörden vom ersten Tag an.

3. Prüfen Sie Ihre Chatbot-Offenlegungen anhand des Maßstabs der „Offensichtlichkeit“, nicht nach Ihrem eigenen Ermessen

Die Ausnahme nach Artikel 50 Absatz 1 gilt nur, wenn der KI-Charakter einer Interaktion für eine angemessen informierte, aufmerksame und umsichtige Person offensichtlich ist, und nicht, wenn dies für das Team, das das System entwickelt hat, offensichtlich ist. Lassen Sie jemanden außerhalb des Projekts Ihre kundenorientierten Chatbots und Sprachschnittstellen testen und weisen Sie auf Stellen hin, die tatsächlich mehrdeutig sind.

4. Fragen Sie jeden GenAI-Anbieter konkret nach der Kennzeichnung der Ausgaben

Fragen Sie bei jedem Tool in Ihrem Stack, das Bilder, Audio, Video oder Text generiert, den Anbieter, ob die Kennzeichnung auf Modellebene oder auf Anwendungsebene erfolgt, ob sie maschinenlesbar ist und ob nachgewiesen werden kann, dass sie robust und interoperabel ist. Die Leitlinien übertragen die Überprüfungspflicht auf den Anbieter des KI-Systems, selbst wenn die Kennzeichnung von einem Upstream-Anbieter übernommen wird. Daher ist die Aussage „Das übernimmt unser Anbieter“ keine vollständige Antwort für Ihre eigene Compliance-Akte.

5. Informieren Sie die Rechts- und Kommunikationsabteilung jetzt über die Definition von Deepfakes, nicht erst nach einem Vorfall

Die Offenlegungspflicht für Deepfakes gemäß Artikel 50 Absatz 4 ist weiter gefasst, als die meisten Nicht-Juristen annehmen. Sie beschränkt sich nicht auf böswillige Fälschungen. KI-retuschierte Mitarbeiterfotos, synthetische Marketingbilder realer Personen und KI-generierte Sprachaufnahmen in Werbeanzeigen können je nach Erstellung und Nutzung unter die Definition fallen. Sorgen Sie dafür, dass sich Rechtsabteilung und Marketing darüber einig sind, was kennzeichnungspflichtig ist, bevor das nächste mit KI bearbeitete Kreativmaterial nach dem 2. August veröffentlicht wird.

Wie Enzai Sie unterstützt

Keine der fünf oben genannten Maßnahmen muss manuell in Tabellenkalkulationen erfolgen. Ein Inventar, das Systeme nach regulatorischen Pflichten und nicht nur nach Risikoklassen taggt, macht aus dem ersten Schritt einen einfachen Bericht statt eines Großprojekts. Enzai’s KI-Inventar bietet für jedes System einen einzigen Datensatz, der den Status gemäß dem EU-KI-Gesetz – einschließlich der Betroffenheit durch Artikel 50 – sowie die Mappings nach ISO 42001 und NIST AI RMF enthält, sodass dieselben Daten alle drei Anforderungen gleichzeitig erfüllen.

Für Teams, die mehrere Frameworks parallel verfolgen – das EU-KI-Gesetz, ISO 42001, NIST AI RMF und eine wachsende Liste von US-Bundesstaatsgesetzen –, ordnet das Compliance Framework von Enzai Kontrollen einmalig zu und nutzt diese für jedes Framework, für das ein System relevant ist, anstatt dieselbe Bewertung für jede Regulierungsbehörde neu durchzuführen. Unsere Lösungsseite zum EU-KI-Gesetz bietet weitere Details dazu, wie dies speziell auf das Gesetz angewendet wird.

Für Organisationen, die bereits über Chatbots hinaus auf autonome Agenten blicken: Dieselbe Logik von Artikel 50 (interagiert dieses System mit Menschen, generiert es Inhalte oder trifft es Entscheidungen, die offengelegt werden müssen) beginnt sich auf agentenbasierte Systeme auszuweiten, deren Transparenzerwartungen derzeit erst noch formuliert werden. Enzai’s Produkt zur Governance agentenbasierter KI wendet dasselbe Inventar- und Kontrollmodell auf Agenten an, die eigenständig agieren, und nicht nur auf Systeme, die Inhalte generieren.

Wenn Sie Arbeitsdefinitionen für die oben genannten Begriffe benötigen, finden Sie in unserem Glossar zur KI-Governance Einträge zu Artikel 50, Deepfake, Konformitätsvermutung und Compliance-Framework.