Art. 50 KI-VO: Transparenzpflichten für KI-Systeme und KI-generierte Inhalte

Art. 50 KI-VO gilt seit dem 2. August 2026

Die Transparenzpflichten des Art. 50 KI-VO gelten grundsätzlich seit dem 2. August 2026. Eine wichtige, aber eng begrenzte Übergangsregel betrifft ausschließlich die technische Pflicht aus Art. 50 Abs. 2 KI-VO. Wurde ein generatives KI-System bereits vor dem 2. August 2026 in Verkehr gebracht, muss der Anbieter dessen Ausgaben erst ab dem 2. Dezember 2026 maschinenlesbar markieren und technisch erkennbar machen. Die übrigen Pflichten, insbesondere die Information über die Interaktion mit einem KI-System, die Hinweise bei Emotionserkennung sowie die Offenlegung von Deepfakes und bestimmten KI-Texten, werden durch diese Schonfrist nicht pauschal verschoben.

Art. 50 KI-VO verfolgt ein einfaches Grundprinzip: Menschen sollen erkennen können, wann sie unmittelbar mit einer KI kommunizieren oder wann ihnen Inhalte begegnen, deren künstlicher Ursprung für ihre Bewertung relevant ist. Die Verordnung unterscheidet dabei zwischen Transparenz auf technischer Ebene und Transparenz gegenüber Menschen. Maschinenlesbare Metadaten oder Wasserzeichen sollen die technische Nachverfolgbarkeit ermöglichen. Sichtbare, hörbare oder anderweitig wahrnehmbare Hinweise sollen dagegen verhindern, dass Personen einen KI-generierten Inhalt irrtümlich für authentisch halten.

Wichtig ist zugleich, was Art. 50 KI-VO nicht leistet. Eine Kennzeichnung macht einen Inhalt nicht automatisch rechtmäßig. Datenschutzrecht, Urheberrecht, Persönlichkeitsrechte, Wettbewerbsrecht, Verbraucherschutz, Arbeitsrecht und vertragliche Vorgaben gelten daneben fort. Ein irreführendes KI-Produktbild wird nicht dadurch zulässig, dass daneben „KI-generiert“ steht. Transparenz ist gewissermaßen das Etikett auf der Verpackung, nicht die behördliche Zulassung des Inhalts.

Anbieter oder Betreiber: Die Rolle entscheidet

Die Absätze 1 und 2 des Art. 50 KI-VO richten sich an Anbieter. Die Absätze 3 und 4 verpflichten Betreiber. Diese Unterscheidung ist für Unternehmen entscheidend.

Anbieter ist, vereinfacht gesagt, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Ein Unternehmen kann deshalb auch dann Anbieter sein, wenn es das zugrunde liegende Modell nicht selbst programmiert hat. Wer beispielsweise eine fremde KI über eine Programmierschnittstelle in einen eigenen, gebrandeten Kundenassistenten integriert und diese Lösung als eigenes Produkt oder eigene Funktion bereitstellt, kann in die Anbieterrolle hineinwachsen. Wer dagegen lediglich ein fertiges KI-Werkzeug eines Dritten im eigenen Betrieb verwendet, ist regelmäßig Betreiber.

Betreiber ist die natürliche oder juristische Person, die ein KI-System in eigener Verantwortung beruflich nutzt. Typische Betreiber sind Unternehmen, Behörden, Vereine oder Selbstständige, die mit einem Bildgenerator Kampagnenmaterial erstellen, mit einem Sprachmodell Texte veröffentlichen oder ein System zur biometrischen Kategorisierung einsetzen. Beschäftigte handeln dabei grundsätzlich für die Organisation. Die rechtliche Verantwortung liegt regelmäßig nicht bei der einzelnen Person, die den Prompt eingegeben hat. Rein private, nicht berufliche Nutzung fällt dagegen grundsätzlich nicht unter den Betreiberbegriff.

In der Praxis können beide Rollen zusammenfallen. Entwickelt ein Unternehmen einen eigenen KI-Assistenten, stellt ihn unter eigener Marke bereit und nutzt ihn zugleich im Kundenservice, können Anbieter- und Betreiberpflichten nebeneinander bestehen. Daher sollte die Rollenprüfung nicht allein nach der Bezeichnung im Vertrag erfolgen. Maßgeblich sind die tatsächliche technische Gestaltung, das Branding, die Kontrolle über das System und die Art seiner Bereitstellung.

Die vier Transparenzpflichten im Unternehmensalltag

Die erste Pflicht betrifft KI-Systeme, die unmittelbar mit natürlichen Personen interagieren. Anbieter müssen solche Systeme so gestalten, dass die betroffenen Personen erkennen, dass sie mit einer KI kommunizieren. Der Hinweis muss spätestens zu Beginn der ersten Interaktion klar, unterscheidbar und barrierefrei erfolgen. Bei einem Chatbot kann eine Formulierung wie „Sie kommunizieren mit einem KI-Assistenten“ genügen. Ein versteckter Hinweis in den Allgemeinen Geschäftsbedingungen oder im Impressum reicht regelmäßig nicht. Nur wenn die KI-Interaktion aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person offensichtlich ist, kann der ausdrückliche Hinweis entfallen. Diese Ausnahme sollte zurückhaltend genutzt und dokumentiert werden.

Die zweite Pflicht betrifft Anbieter generativer KI-Systeme. Erzeugen oder manipulieren diese Systeme Audio-, Bild-, Video- oder Textinhalte, müssen die Ausgaben grundsätzlich in einem maschinenlesbaren Format markiert und als künstlich erzeugt oder verändert technisch erkennbar sein. In Betracht kommen insbesondere Metadaten, digitale Wasserzeichen, kryptografische Herkunftsnachweise oder vergleichbare Verfahren. Die technische Lösung muss wirksam, interoperabel, robust und zuverlässig sein, soweit dies technisch machbar ist.

Ausgenommen sind Systeme, die lediglich bei einer Standardbearbeitung helfen oder Eingabedaten und deren Bedeutung nicht wesentlich verändern. Darunter können etwa eine bloße Rechtschreibkorrektur, Dateikomprimierung, Formatänderung, Rauschunterdrückung oder geringfügige technische Bildoptimierung fallen. Entscheidend ist, ob die KI den Inhalt oder seine Aussage substanziell verändert.

Die dritte Pflicht trifft Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung. Betroffene Personen müssen darüber informiert werden, dass ein solches System eingesetzt wird. Werden dabei personenbezogene Daten verarbeitet, sind zusätzlich die Vorgaben der DSGVO einzuhalten. Unternehmen sollten besonders sorgfältig prüfen, ob der konkrete Einsatz überhaupt zulässig ist. Art. 50 KI-VO ist keine Erlaubnisnorm und setzt Verbote oder strengere Anforderungen an bestimmte KI-Praktiken nicht außer Kraft.

Die vierte Pflicht betrifft Betreiber generativer KI-Systeme. Sie müssen offenlegen, wenn sie Bild-, Ton- oder Videoinhalte erzeugen oder manipulieren, die als Deepfake einzuordnen sind. Außerdem müssen sie bestimmte KI-generierte oder KI-manipulierte Texte kennzeichnen. Für beide Fallgruppen gelten besondere Voraussetzungen und Ausnahmen. Art. 50 Abs. 5 KI-VO verlangt, dass die Information spätestens bei der ersten Konfrontation klar, unterscheidbar und barrierefrei bereitgestellt wird.

Deepfakes und KI-Texte richtig kennzeichnen

Ein Deepfake ist nicht jedes mit KI bearbeitete Bild. Erfasst werden KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und einem Menschen fälschlicherweise als authentisch oder wahrheitsgemäß erscheinen könnten. Eine Täuschungsabsicht ist nicht erforderlich. Entscheidend ist die objektive Wirkung des Inhalts im jeweiligen Kontext.

Für Unternehmen kann das schneller relevant werden als erwartet. Ein synthetisches Video des Geschäftsführers, eine künstlich erzeugte Kundenstimme, ein realistisches Bild eines tatsächlich existierenden Firmengebäudes oder eine KI-Darstellung eines Produkts in einem Zustand, den es so nie gegeben hat, können unter die Offenlegungspflicht fallen. Auch Werbung ist nicht automatisch ausgenommen. Gerade bei realistisch wirkenden Produktbildern muss geprüft werden, ob beim Publikum ein falscher Eindruck über Aussehen, Zustand, Ausstattung oder reale Existenz entsteht.

Nicht jede technische oder kosmetische Bearbeitung löst dagegen eine Deepfake-Pflicht aus. Geringfügige Farbkorrekturen, Rauschminderung, Dateikomprimierung, Beleuchtungsanpassungen oder unbedeutende Hintergrundkorrekturen können außerhalb des Deepfake-Begriffs liegen, wenn sie die Wahrnehmung der Authentizität nicht relevant verändern.

Eine klare Grenzlinie gibt es jedoch nicht. Wird etwa der Hintergrund ausgetauscht, eine Person entfernt, ein Gesicht verändert oder ein Produkt wesentlich aufgewertet, kommt es auf Bedeutung, Kontext und Täuschungspotenzial der Änderung an. Im Zweifel ist eine sichtbare Kennzeichnung meist der risikoärmere Weg.

Die Offenlegung muss für Menschen wahrnehmbar sein. Bei Bildern bietet sich ein deutlich sichtbarer Hinweis unmittelbar am Inhalt an. Bei Audioaufnahmen ist ein hörbarer Hinweis erforderlich. Bei Videos kann eine Kombination aus Einblendung und wiederholter Information sinnvoll sein.

Die Europäische Union stellt freiwillig nutzbare Symbole für vollständig KI-generierte, mit KI veränderte oder allgemein KI-bezogene Inhalte bereit. Vorgesehen sind unter anderem die Kennzeichnungen „AI GENERATED“, „AI MODIFIED“ und ein allgemeines „AI“-Symbol. Ihre Nutzung ist nicht zwingend und ersetzt keine Einzelfallprüfung. Auch ein verständlicher deutschsprachiger Hinweis wie „KI-generiert“ oder „Mit KI bearbeitet“ kann geeignet sein.

Der freiwillige europäische Verhaltenskodex konkretisiert Gestaltung und Platzierung. Danach sollte der Hinweis grundsätzlich unmittelbar am Inhalt angebracht, beim ersten Hinsehen erkennbar und nicht hinter einem zusätzlichen Klick, im Impressum oder in einem allgemeinen Bildnachweis verborgen sein. Unternehmen, die sich am Kodex orientieren, können den Nachweis einer ordnungsgemäßen Umsetzung erleichtern. Wer andere Lösungen verwendet, muss gegebenenfalls darlegen können, weshalb diese ebenso wirksam sind.

Für offensichtlich künstlerische, kreative, satirische, fiktionale oder vergleichbare Werke gilt eine Erleichterung. Der künstliche Ursprung muss weiterhin offengelegt werden. Die Information darf aber so gestaltet sein, dass sie Darstellung und Genuss des Werks nicht unangemessen beeinträchtigt. Unternehmen sollten diese Ausnahme nicht vorschnell auf humorvolle Werbung übertragen. Ein kreativer Kampagnenstil macht eine Anzeige noch nicht automatisch zu einem offensichtlich künstlerischen oder satirischen Werk im Sinne der Vorschrift.

Bei Texten ist der Anwendungsbereich enger. Eine Kennzeichnung nach Art. 50 Abs. 4 KI-VO ist nur erforderlich, wenn ein KI-System einen Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.

Eine normale Kunden-E-Mail, eine interne Gesprächszusammenfassung oder eine gewöhnliche Produktbeschreibung fällt deshalb regelmäßig nicht allein aufgrund ihres KI-Ursprungs unter diese besondere Betreiberpflicht. Anders kann es bei automatisierten Presseinformationen, öffentlichen Warnhinweisen, politischen oder wirtschaftlichen Stellungnahmen, Investorinformationen oder Beiträgen zu gesellschaftlich relevanten Themen aussehen.

Die praktisch wichtigste Ausnahme ist die menschliche Überprüfung oder redaktionelle Kontrolle. Eine Kennzeichnung ist nicht erforderlich, wenn der Inhalt einem ernsthaften menschlichen Prüfprozess unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Eine bloße Freigabe per Mausklick genügt nicht. Der Prüfer muss den Inhalt verstehen, Tatsachen und Schlussfolgerungen kontrollieren, erforderliche Änderungen vornehmen können und die Veröffentlichung verantworten. Unternehmen sollten diesen Prozess nachweisbar organisieren, etwa durch festgelegte Prüfschritte, Freigabevermerke und klare Verantwortlichkeiten.

Für ältere Inhalte gilt keine unbegrenzte rückwirkende Kennzeichnungspflicht. Vor dem 2. August 2026 erzeugte oder manipulierte Deepfakes müssen grundsätzlich nicht allein wegen einer späteren Weiterverwendung nachträglich gekennzeichnet werden. Eine erneute KI-Bearbeitung nach diesem Datum ist jedoch neu zu bewerten.

Bei Texten kommt es nach den Leitlinien zusätzlich darauf an, wann sie veröffentlicht wurden. Wurde ein Text zwar vor dem Stichtag erzeugt, aber erst danach veröffentlicht, kann die Transparenzpflicht grundsätzlich eingreifen, sofern keine redaktionelle Ausnahme greift. Unabhängig von einer zwingenden Pflicht kann eine freiwillige Nachkennzeichnung sinnvoll sein, wenn dadurch ohne unverhältnismäßigen Aufwand Fehlvorstellungen vermieden werden.

Umsetzung, Haftungsrisiken und Handlungsempfehlungen

Unternehmen sollten Art. 50 KI-VO nicht als isolierte Kennzeichnungsvorschrift behandeln. Erforderlich ist ein Prozess, der von der Beschaffung eines KI-Systems bis zur Veröffentlichung des Outputs reicht. Die größten Risiken entstehen nicht durch spektakuläre Deepfakes. Wesentlich häufiger dürften klare Zuständigkeiten, dokumentierte Freigaben und verbindliche Vorgaben für Marketing, Kommunikation und IT fehlen.

Für eine belastbare Umsetzung empfiehlt sich folgendes Vorgehen:

1. Erfassen Sie alle KI-Systeme, die mit Kunden, Beschäftigten oder der Öffentlichkeit interagieren oder Inhalte erzeugen.
2. Ordnen Sie für jedes System die eigene Rolle als Anbieter, Betreiber oder beides ein.
3. Definieren Sie, welche Ausgaben technisch markiert und welche Inhalte für Menschen sichtbar oder hörbar gekennzeichnet werden müssen.
4. Legen Sie verbindliche Formulierungen, Symbole, Platzierungen und barrierefreie Alternativen fest.
5. Richten Sie für öffentliche KI-Texte einen dokumentierten redaktionellen Prüf- und Freigabeprozess ein.
6. Prüfen Sie Verträge mit KI-Anbietern auf technische Markierungen, Erkennungsmöglichkeiten, Dokumentation und den Erhalt von Metadaten.
7. Schulen Sie Marketing, Kommunikation, Personalabteilung, IT und Compliance anhand konkreter Anwendungsfälle.

Die Orientierung an den Leitlinien der Europäischen Kommission und am freiwilligen Verhaltenskodex ist rechtlich nicht zwingend, bietet aber einen anerkannten Umsetzungsrahmen. Wer hiervon abweicht, sollte nachvollziehbar dokumentieren können, weshalb die eigene Lösung gleichwertig geeignet ist.

In Deutschland übernimmt die Bundesnetzagentur seit dem Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes eine zentrale Rolle als Koordinierungs-, Anlauf- und Beschwerdestelle. Daneben bleiben je nach Branche und Anwendungsbereich weitere Marktüberwachungs- und Fachbehörden zuständig.

Verstöße gegen Art. 50 KI-VO können mit erheblichen Sanktionen verbunden sein. Art. 99 Abs. 4 KI-VO sieht für Unternehmen Bußgelder von bis zu 15 Millionen Euro oder bis zu drei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, wobei grundsätzlich der höhere Betrag maßgeblich ist. Für kleine und mittlere Unternehmen gelten besondere Obergrenzen.

Daneben kommen behördliche Anordnungen, wettbewerbsrechtliche Unterlassungsansprüche, Schadensersatzforderungen, Plattformsanktionen und Reputationsschäden in Betracht. Gerade bei täuschend echten Personen- oder Produktdarstellungen können zudem Persönlichkeitsrechte, Datenschutzrecht und das Verbot irreführender Werbung berührt sein.

Art. 50 KI-VO verlangt keine Warnschilder an jedem KI-gestützten Arbeitsschritt. Die Vorschrift verlangt vielmehr gezielte Transparenz dort, wo Menschen mit KI interagieren oder künstliche Inhalte für echt halten könnten. Wer Rollen, Inhalte und Veröffentlichungswege systematisch prüft, kann die Anforderungen in bestehende Compliance-, Datenschutz- und Freigabeprozesse integrieren.

Unsere Kanzlei unterstützt Unternehmen dabei, KI-Anwendungen rechtlich einzuordnen, interne KI-Richtlinien zu entwickeln und praxistaugliche Kennzeichnungs- und Freigabeprozesse aufzubauen. Angesichts der zahlreichen Abgrenzungsfragen empfiehlt sich insbesondere bei neuen Geschäftsmodellen, realistischen KI-Medien oder automatisierter öffentlicher Kommunikation eine rechtliche Prüfung des konkreten Einsatzes.