Art. 50 KI-VO: Was Betreiber ab August 2026 tun

5 Min. Lesezeit

Am 2. August 2026 sind die Transparenzpflichten nach Artikel 50 der Verordnung (EU) 2024/1689 anwendbar geworden. Sie treffen viele Mittelständler, die Chatbots, Marketing-KI und Agenturinhalte betreiben.

Verwandt:Fördermittel bremsen den Mittelstand  /  PSD3: Was Finanzchefs jetzt wissen müssen

Artikel 50 gilt ab dem 2. August 2026 verbindlich

Laut Europäischer Kommission greifen die Transparenzverpflichtungen für Anbieter und Betreiber bestimmter KI-Systeme seit dem 2. August 2026. Betroffen sind Systeme in vier Fallgruppen: direkte Interaktion mit natürlichen Personen, maschinenlesbare Kennzeichnung synthetischer Inhalte, Information bei Emotionserkennung und biometrischer Kategorisierung sowie die Kennzeichnung von Deepfakes und bestimmter KI-Texte zu öffentlichen Themen.

Was ist ein Betreiber nach der KI-Verordnung? Betreiber, im Verordnungstext Deployer, sind Unternehmen und Behörden, die ein KI-System unter eigener Verantwortung beruflich einsetzen. Verpflichtet ist die juristische Person; einzelne Beschäftigte unter deren Weisung gelten nicht als eigene Betreiber. Wer einen Chatbot im Kundenservice fahren lässt, fällt darunter.

Nach Angaben der Kanzlei Cooley vom 3. August 2026 gelten die Pflichten grundsätzlich sofort für alle Systeme im Anwendungsbereich, unabhängig vom Zeitpunkt des Inverkehrbringens. Für vor dem Stichtag erzeugte und veröffentlichte Inhalte entfällt die rückwirkende Kennzeichnung. Operativ heißt das: Live-Systeme und neue Publikationen sind priorisiert zu prüfen, Archivbestände aus der Zeit vor dem 2. August 2026 stehen unter einem anderen Druck.

Die Kommission hatte die Leitlinien zu Transparenz KI-generierter Inhalte am 20. Juli 2026 angenommen. Für Geschäftsführung, CFO und Einkauf markiert der Stichtag den Start der Einhaltungspflicht in Verträgen, Prozessen und Kundenkommunikation.

Vier Fallgruppen steuern die Betriebsfolge

Artikel 50 der KI-Verordnung (Verordnung (EU) 2024/1689) ordnet die Transparenzpflichten nach konkreten Nutzungsszenarien. Die erste Gruppe betrifft Systeme mit direkter Interaktion mit Menschen, etwa Kundenservice-Chatbots. Anbieter müssen solche Systeme so gestalten, dass Personen informiert werden, dass sie mit einer KI interagieren, soweit das nicht offensichtlich ist. Laut Kommission-FAQ muss die Information ab Beginn der ersten Interaktion klar und unterscheidbar erfolgen und Barrierefreiheitsanforderungen genügen.

Die zweite Gruppe zielt auf generative Systeme und die maschinenlesbare Markierung synthetischer Audio-, Bild-, Video- und Textinhalte. Hier greift für Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, die Übergangsfrist bis zum 2. Dezember 2026. Einkauf und IT sollten Bestandsverträge und API-Anbindungen entlang dieses Datums kalendern.

Die dritte Gruppe betrifft Emotionserkennung und biometrische Kategorisierung: hier schulden die verantwortlichen Stellen Information an die betroffenen Personen. Die vierte Gruppe adressiert Deepfakes sowie KI-generierte oder manipulierte Texte zu Themen öffentlichen Interesses, sobald sie veröffentlicht und informierend sind. Für die Textfälle entfällt die Kennzeichnung, wenn eine menschliche Prüfung mit redaktioneller Kontrolle und Verantwortung vorliegt.

Viele Mittelständler sind Betreiber und bleiben es

Deployer, im Deutschen Betreiber, sind laut Kommission-FAQ natürliche oder juristische Personen, die ein KI-System unter ihrer Autorität beruflich nutzen. Rein private Nutzung fällt heraus. Für den DACH-Mittelstand ist die Betreiberrolle oft relevanter als die Anbieterrolle: Wer einen Chatbot auf der Website freischaltet, Marketing-KI in Kampagnen einsetzt oder HR- und Analyse-Tools im Tagesgeschäft laufen lässt, handelt typischerweise als Deployer.

Entscheidend für Outsourcing: Eine juristische Person bleibt Deployer, auch wenn Auftragnehmer oder Freelancer das System in ihrem Auftrag und unter ihrer Verantwortung betreiben. Agentur-Setups, Shared-Service-Modelle und Freelancer-Produktion entlasten die Unternehmensverantwortung damit nicht automatisch. Verträge brauchen klare Zuständigkeiten für Hinweise, Kennzeichnung, Freigaben und Nachweisbarkeit.

Praktisch bedeutet das für Einkauf und Rechtsabteilung: Leistungsbeschreibungen, SLAs und Freigabeprozesse müssen abbilden, wer den Nutzerhinweis setzt, wer Deepfake- und Textkennzeichnung vor Veröffentlichung prüft und wer die Dokumentation führt. Die Autorität des Unternehmens über den Einsatz bleibt der Anknüpfungspunkt der Pflicht.

Deepfakes und öffentliche KI-Texte verlangen sichtbare Offenlegung

Deepfakes sind laut Kommission-FAQ KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die bestehenden Personen, Objekten, Orten oder Ereignissen ähneln und fälschlich authentisch erscheinen würden. Deployer müssen solche Inhalte spätestens bei der ersten Exposition klar und unterscheidbar offenlegen. Die maschinenlesbare Markierung des Anbieters deckt diese Deployer-Pflicht nicht ab.

Für Marketing, Employer Branding und Social Content ist das eine Prozessfrage: Jede Produktion mit generativen Bild-, Ton- oder Videowerkzeugen braucht eine Freigabestufe, die die Offenlegung vor Veröffentlichung prüft. Allein auf Technik-Tags des Modell-Anbieters zu vertrauen, genügt für die Deployer-Seite nicht.

Bei KI-Texten zu öffentlichen Themen greift die Kennzeichnung, wenn der Text veröffentlicht, informierend und auf Themen öffentlichen Interesses gerichtet ist. Liegt menschliche Prüfung mit redaktioneller Kontrolle und Verantwortung vor, entfällt die Kennzeichnungspflicht. Redaktionen, Pressestellen und Corporate-Communications-Teams sollten die Kontrollkette schriftlich festhalten: wer prüft, wer freigibt, wer die redaktionelle Verantwortung trägt.

Bußgelder, Verhältnismäßigkeit und der Code of Practice

Bei Nichteinhaltung drohen laut Cooley und sinngleich der Kommission-FAQ Geldbußen bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem was höher ist. Für KMU und Small Mid-Caps kann die Verhältnismäßigkeit der Geldbußen berücksichtigt werden. Das relativiert das Risiko, ersetzt aber keine Umsetzung: Aufsicht und Bußgeldrahmen sind ab dem Stichtag wirksam.

Parallel begleitet der freiwillige Code of Practice on Transparency of AI-generated Content die Umsetzung. Laut Europäischer Kommission sind die Art.-50-Pflichten rechtlich verbindlich; der Code bleibt ein freiwilliges Instrument, das Kommission und AI Board als angemessen bestätigt haben. Bis Ende Juli 2026 hatten rund 190 Organisationen unterzeichnet, davon etwa die Hälfte kleine und junge Unternehmen.

Zu den Unterzeichnern zählten laut Kommissionsmeldung vom 31. Juli 2026 in Section 1 unter anderem Aleph Alpha, Anthropic, Google, Meta, Microsoft, Mistral, OpenAI und Synthesia; in Section 2 unter anderem Bulgari, Fastweb, Getty Images, Iberdrola, Lenovo und die Deutsche Lufthansa AG. Für den Mittelstand ist der Code ein Orientierungspunkt bei Anbieterwahl und Vertragsverhandlungen, ersetzt aber keine eigene Deployer-Compliance.

Was Geschäftsführung und Einkauf jetzt priorisieren

Erstens: Inventar aller KI-Systeme mit Personenkontakt, generativer Content-Erzeugung, Emotions- oder Biometriebezug. Zweitens: Rollenklärung pro System – Anbieter, Betreiber oder beides – inklusive Dritter, die unter Unternehmensautorität arbeiten. Drittens: Nutzerhinweise so setzen, dass sie ab der ersten Interaktion klar, unterscheidbar und barrierefrei sind.

Viertens: Deepfake- und Text-Workflows mit Freigabe und Kennzeichnung vor Veröffentlichung. Fünftens: Bestandsverträge und Lieferanten mit Blick auf die Markierungs- und Erkennungspflichten und die Frist bis zum 2. Dezember 2026 für bestimmte generative Alt-Systeme nachziehen. Sechstens: Bußgeldrahmen und Dokumentationspflichten in Risikobericht und Compliance-Kalender aufnehmen.

Wie streng nationale Marktüberwachung in Deutschland, Österreich oder der Schweiz ab Tag 1 prüft, ist in den vorliegenden Quellen nicht mit Fallbeispielen belegt. Für die Betriebsfolge ändert das wenig: Die Pflichten gelten, die Bußgeldrahmen stehen und die Betreiberrolle greift auch bei ausgelagerter Umsetzung.

Häufige Fragen

Bildquelle: KI-generiert (August 2026)