EU AI Act: Was der Mittelstand kennzeichnen muss

8 Min. Lesezeit

Am 2. August 2026 wird die KI-Kennzeichnung vom Kann zum Muss. Wer im Mittelstand Chatbots betreibt, KI-Texte veröffentlicht oder synthetische Bilder einsetzt, kann ab diesem Stichtag je nach Anwendungsfall unter Artikel 50 der KI-Verordnung fallen. Die Pflichten sind überschaubar, der Vorlauf ist es nicht.

Verwandt:KI-Vertrauen unter Druck: Anthropic macht verdeckte Eingriffe sichtbar  /  Desertec Reloaded: Was Wüstenstrom für die Energiekosten bedeutet

Warum der August 2026 für den Mittelstand zählt

Die meisten Diskussionen über die KI-Verordnung kreisen um die großen Modellanbieter. Das ist verständlich, geht aber an der Realität vieler mittelständischer Unternehmen vorbei. Niemand im Marketing eines 80-Personen-Betriebs trainiert ein Sprachmodell. Aber sehr viele schreiben Produkttexte mit einem Assistenten vor, bauen einen Service-Chatbot auf die Website oder lassen Kampagnenmotive synthetisch erzeugen. Genau diese Praxis fällt unter Artikel 50.

Der Stichtag ist der 2. August 2026, also 24 Monate nach Inkrafttreten der Verordnung. An diesem Datum werden die Transparenzpflichten anwendbar. Sie betreffen zwei Rollen. Anbieter stellen ein KI-System bereit, Betreiber setzen es ein. Die meisten Mittelständler sind Betreiber. Das klingt nach einer Nebenrolle, ist aber mit eigenen Pflichten verbunden.

Was ist die Betreiber-Rolle? Betreiber im Sinne der Verordnung ist, wer ein KI-System unter eigener Verantwortung verwendet, ohne es selbst entwickelt zu haben. Ein Handelsunternehmen, das einen fertigen Chatbot lizenziert und ihn auf der eigenen Website laufen lässt, ist Betreiber. Es muss die Offenlegung sicherstellen, auch wenn die Technik von einem Dritten kommt.

Die drei Pflichten aus Artikel 50

Artikel 50 bündelt mehrere Transparenzregeln, die für die Praxis im Mittelstand auf drei Kernpflichten hinauslaufen. Sie sind weniger abstrakt, als der Gesetzestext vermuten lässt.

Erstens die Chatbot-Offenlegung. Wer ein KI-System einsetzt, das direkt mit Menschen interagiert, muss diese Personen darüber informieren, dass sie mit einer Maschine sprechen. Das gilt nicht, wenn es offensichtlich ist. Praktisch heißt das: Ein Hinweis am Chat-Einstieg genügt meist, eine versteckte Fußnote nicht.

Zweitens die Kennzeichnung KI-generierter Inhalte. Anbieter generativer Systeme müssen ihre Ausgaben, also Audio, Bild, Video und Text, in maschinenlesbarer Form als künstlich erzeugt oder bearbeitet markieren. Für Betreiber ist die nachgelagerte Frage relevant: Wer veröffentlichte KI-Texte zu Themen von öffentlichem Interesse verbreitet, muss die künstliche Herkunft offenlegen.

Drittens die Deepfake-Pflicht. Synthetische Bilder, Töne oder Videos, die einer realen Person oder Sache ähneln, müssen als künstlich erzeugt oder manipuliert gekennzeichnet werden. Für ein Unternehmen, das KI-Avatare in der Werbung nutzt oder Stimmen synthetisiert, ist das die schärfste der drei Regeln.

Ein Datum, mehrere Fristen

Hier wird es für die Praxis wichtig, weil die Berichterstattung den Eindruck eines einzigen sauberen Stichtags erweckt. Die Kernpflichten aus Artikel 50 werden am 2. August 2026 anwendbar, dieses Datum steht in der Verordnung fest. Daneben gibt es weitere, gestaffelte Fristen: Anforderungen an bestimmte Hochrisiko-Systeme und an vor August 2025 am Markt befindliche Modelle greifen nach den Übergangsregeln der Verordnung erst später, teils bis 2027. Welche Frist für Ihr konkretes System gilt, hängt von dessen Einstufung ab.

Zusätzlich verhandelt die EU im sogenannten Digital Omnibus über Anpassungen einzelner Fristen. Eine formale Annahme und Veröffentlichung im Amtsblatt stand zum Redaktionszeitpunkt aber noch aus. Für mittelständische Anwender lautet die nüchterne Konsequenz: Auf den Transparenz-Stichtag im August sollten Sie sich einstellen, die Detailfristen für Bestands- und Hochrisiko-Systeme im Auge behalten und die finale Fassung im Amtsblatt abwarten.

Wer jetzt schon Inhalte produziert, sollte die Kennzeichnung nicht als spätere Nachrüstung planen, sondern als Bestandteil des Workflows. Eine Pflicht, die man von Anfang an mitdenkt, kostet kaum etwas. Eine, die man im Juli 2026 über hunderte Assets nachzieht, wird teuer.

Was Betreiber konkret tun sollten

Aus der Founder- und Operator-Perspektive ist der Reiz an dieser Regulierung, dass sie sich in kleine, sofort messbare Schritte zerlegen lässt. Kein Folien-Marathon, sondern eine Inventur und vier Handgriffe.

Der erste Schritt ist eine KI-Inventur. Listen Sie auf, wo im Unternehmen generative KI Ausgaben erzeugt, die nach außen gehen: Website-Chat, Newsletter-Texte, Social-Visuals, Produktbeschreibungen, Werbevideos. Diese Liste ist die Grundlage für alles Weitere und in den meisten Mittelstandsbetrieben an einem Nachmittag erstellt.

Der zweite Schritt ist die Offenlegung am Kontaktpunkt. Chatbots bekommen einen klaren Hinweis, dass hier eine KI antwortet. Der dritte Schritt ist eine Kennzeichnungsregel für veröffentlichte Inhalte, etwa ein standardisierter Hinweis bei KI-gestützten Beiträgen. Der vierte Schritt betrifft Lieferanten: Prüfen Sie bei zugekauften KI-Tools, ob deren Ausgaben die maschinenlesbare Markierung bereits mitbringen, denn diese Pflicht liegt beim Anbieter. Steht sie nicht im Vertrag, gehört sie hinein.

Diese vier Handgriffe decken den Großteil der Mittelstandsrealität ab. Sie ersetzen keine Rechtsberatung im Einzelfall, aber sie verhindern, dass der August 2026 zur Hektik wird.

Häufige Fragen

Bildquelle: KI-generiert (Juni 2026), C2PA-Zertifikat im Bild hinterlegt