KI-Verordnung: Die neuen Transparenzpflichten nach Art. 50 KI-VO – Was ab dem 2. August 2026 gilt

In unserer Blog-Reihe zur KI-Verordnung (EU 2024/1689) haben wir bereits die Förderung der KI-Kompetenz nach Art. 4 KI-VO, die Verbote riskanter KI-Praktiken sowie die freiwilligen Verhaltenskodizes und die nationale Umsetzung in Deutschland behandelt. Nun rückt der nächste Meilenstein in den Fokus: Am 2. August 2026 werden die besonderen Transparenzpflichten nach Art. 50 KI-VO anwendbar.

Für viele Unternehmen ist dies der erste unmittelbare Berührungspunkt mit der KI-VO, denn die Vorschrift betrifft nicht nur Anbieter, sondern auch Unternehmen, die KI im eigenen Geschäftsbetrieb einsetzen, etwa im Kundenservice, Marketing, Recruiting oder in der Unternehmenskommunikation.

Die KI-VO unterscheidet grundlegend zwischen Anbietern und Betreibern. Anbieter im Sinne des Art. 3 Nr. 3 KI-VO ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt. Betreiber im Sinne des Art. 3 Nr. 4 KI-VO ist demgegenüber, wer ein KI-System in eigener Verantwortung verwendet, ohne es selbst entwickelt zu haben. Ein Unternehmen kann dabei zugleich Anbieter und Betreiber sein, etwa wenn es ein KI-System für den eigenen Geschäftsbetrieb entwickeln lässt und es dort auch einsetzt.

Dieser Beitrag erläutert (1) den Anwendungsbereich und die vier Fallgruppen des Art. 50 KI-VO, (2) das Verhältnis zu anderen Vorschriften, (3) den maßgeblichen Zeitplan und die Bedeutung des Digital Omnibus, (4) die Rolle des Code of Practice und der Kommissionsleitlinien, (5) die Durchsetzung sowie (6) konkrete Handlungsfelder für Unternehmen.

Regelungszweck: Erkennbarkeit statt Täuschung

Art. 50 KI-VO verfolgt ein klares Ziel: Betroffene Personen sollen erkennen können, wann sie mit einem KI-System interagieren und wann Inhalte künstlich erzeugt oder manipuliert wurden.

Die Norm adressiert damit die Verwechslungs- und Täuschungsgefahr, die von KI-Systemen ausgeht, deren Ausgaben von natürlichen Personen wahrgenommen werden. Anders als die Hochrisiko-Regelungen der KI-VO knüpft Art. 50 nicht an eine bestimmte Risikoklasse an, sondern an vier typisierte Anwendungsszenarien. Ein Verstoß gegen Art. 50 KI-VO begründet für sich gesehen noch keinen rechtswidrigen Inhalt; umgekehrt gewährleistet die Einhaltung der Pflichten nach Art. 50 KI-VO noch nicht die Rechtmäßigkeit des Inhalts.

Die vier Fallgruppen des Art. 50 KI-VO

Art. 50 KI-VO bildet ein abgestuftes System, das sich teils an Anbieter, teils an Betreiber richtet. Die Unterscheidung ist für die Compliance-Planung entscheidend, weil ein Unternehmen zugleich Anbieter und Betreiber sein kann.

1. Art. 50 Abs. 1 (Anbieterpflicht bei interaktiven Systemen): Anbieter von KI-Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, etwa Chatbots oder virtuelle Assistenten, müssen sicherstellen, dass die betroffenen Personen darüber informiert werden, dass sie mit einem KI-System und nicht mit einem Menschen kommunizieren. Zu beachten ist dabei eine wichtige Präzisierung: Die Pflicht trifft den Anbieter nicht selbst als Informationsgeber, sondern verpflichtet ihn dazu, das System so zu konzipieren und zu entwickeln, dass die Nutzer informiert werden. Umgeht ein Betreiber diesen Mechanismus, trifft den Anbieter dafür kein Vorwurf. Ausgenommen sind Fälle, in denen die KI-Interaktion für eine angemessen informierte, aufmerksame und verständige Person aus den Umständen offensichtlich ist, sowie gesetzlich zur Strafverfolgung zugelassene Systeme.

Für die Praxis besonders relevant ist, wer als Anbieter gilt: Anbieter ist nicht nur, wer ein System selbst entwickelt, sondern auch, wer es entwickeln lässt. Rechtsanwaltskanzleien, Behörden oder Unternehmen, die einen Chatbot für ihre Webseite haben programmieren lassen, sind damit nicht nur Betreiber, sondern zugleich Anbieter im Sinne des Art. 50 Abs. 1 KI-VO i.V.m. Art. 3 Nr. 3 KI-VO und unmittelbar adressiert.

1. Art. 50 Abs. 2 (maschinenlesbare Kennzeichnung synthetischer Inhalte, Anbieterpflicht): Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert erkennbar gekennzeichnet werden. Die Umsetzung muss wirksam, interoperabel, robust und zuverlässig sein; als Techniken kommen insbesondere Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise oder Fingerprints in Betracht. Die Pflicht umfasst nach zutreffender Auslegung nicht nur die maschinelle Kennzeichnung, sondern auch die menschenlesbare Erkennbarkeit als KI-Ausgabe. Eine Kennzeichnung ist entbehrlich, wenn das System nur eine unterstützende Funktion für die Standardbearbeitung ausübt oder den Input nicht wesentlich verändert, wobei entscheidend ist, ob eine Täuschungsgefahr besteht. Dies ist die technisch anspruchsvollste Pflicht und trifft vor allem Anbieter generativer KI.
2. Art. 50 Abs. 3 (Offenlegung bei Emotionserkennung und biometrischer Kategorisierung, Betreiberpflicht): Betreiber entsprechender Systeme müssen die betroffenen Personen über den Einsatz informieren und die einschlägigen Datenschutzvorschriften einhalten, insbesondere die DSGVO. Praxisrelevant ist dies etwa bei der Analyse von Bewerbungsgesprächen oder der Stimmungserkennung im Kundenservice.
3. Art. 50 Abs. 4 (Offenlegung bei Deepfakes und KI-generierten Texten, Betreiberpflicht): Betreiber, die mittels KI Bild-, Audio- oder Video-Deepfakes erzeugen oder manipulieren, müssen die künstliche Herkunft offenlegen. Dabei erfasst der Begriff des Deepfakes nach Art. 3 Nr. 60 KI-VO Inhalte, die wirklichen Personen, Gegenständen, Orten oder Ereignissen ähneln und einer Person fälschlicherweise als echt erscheinen würden. Nach dem Schutzzweck der Norm ist eine weite Auslegung vorzugswürdig, die auch Personen oder Ereignisse einschließt, die nicht real existieren, aber existieren könnten. Die Pflicht gilt nur für berufliche oder gewerbliche Tätigkeiten; die Verwendung im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit ist ausgenommen. Gleiches gilt für KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine Ausnahme besteht, wenn der Text einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Endverantwortung für die Veröffentlichung trägt. Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke gilt eine eng gefasste Ausnahme, die jedoch nicht von der Transparenz an sich befreit, sondern lediglich eine weniger invasive Form der Kennzeichnung erlaubt, die den Werkgenuss nicht beeinträchtigt.

Verhältnis zu anderen Vorschriften

Art. 50 KI-VO lässt andere Transparenzpflichten aus dem Unionsrecht oder dem nationalen Recht unberührt. Für die deutsche Praxis ist in diesem Zusammenhang § 18 Abs. 3 Medienstaatsvertrag (MStV) relevant: Die Vorschrift verpflichtet Anbieter von Telemedien in sozialen Netzwerken dazu, bei mittels eines Computerprogramms automatisiert erstellten Inhalten den Umstand der Automatisierung kenntlich zu machen. Sie schließt damit eine wichtige Lücke: Art. 50 Abs. 1 KI-VO verpflichtet nur Anbieter interaktiver Systeme, nicht deren Betreiber. Für Betreiber interaktiver KI-Systeme greift insoweit § 18 Abs. 3 MStV ergänzend.

Daneben bleiben weitere Regelwerke anwendbar, etwa der DSA, die AVMD-Richtlinie oder die allgemeinen Regeln des Persönlichkeitsrechts, Deliktsrechts und Strafrechts. Die Hochrisiko-Regelungen der Art. 8 ff. KI-VO gelten neben Art. 50 KI-VO fort, sofern ein KI-System gleichzeitig als Hochrisikosystem einzustufen ist.

Zeitplan: Der 2. August 2026 steht fest

Die Kernpflichten aus Art. 50 Abs. 1, 3 und 4 KI-VO werden am 2. August 2026 anwendbar, 24 Monate nach Inkrafttreten der Verordnung.

Wichtig und in der Praxis häufig missverstanden: Dieser Termin ist durch den sogenannten Digital Omnibus nicht betroffen und steht fest. Während für die Hochrisiko-Regelungen Verschiebungen beschlossen wurden (Anhang-III-Systeme auf den 2. Dezember 2027, Anhang-I-Systeme auf den 2. August 2028), gilt für die Transparenzpflichten der reguläre Stichtag. Viele Unternehmen haben aus der Debatte über den Digital Omnibus fälschlich geschlossen, dass auch Art. 50 verschoben wurde. Das ist unzutreffend.

Für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 gilt eine klar definierte Übergangsfrist bis zum 2. Dezember 2026 für Bestandssysteme, die vor dem Stichtag in Verkehr gebracht wurden. Für neu bereitgestellte Systeme gilt die Pflicht unmittelbar ab dem 2. August 2026.

Leitlinien der Kommission und Code of Practice

Die Kommission hat am 20. Juli 2026 die finalen Leitlinien zu Art. 50 KI-VO veröffentlicht. Sie enthalten eine praktische Auslegung des Anwendungsbereichs, der Begriffsbestimmungen, der Ausnahmen und der übergreifenden Fragen und sind damit als verbindliche Orientierung verfügbar.

Parallel dazu hat die Kommission am 10. Juni 2026 den finalen Code of Practice on Transparency of AI-Generated Content veröffentlicht. Der Kodex konzentriert sich auf Art. 50 Abs. 2 (maschinenlesbare Kennzeichnung) und Art. 50 Abs. 4 (Offenlegung von Deepfakes und KI-Texten). Zu den wichtigsten Elementen gehören ein einheitliches EU-Kennzeichen für KI-generierte Inhalte, eine Klassifizierung zwischen vollständig KI-generierten und KI-unterstützten Inhalten mit jeweils unterschiedlichen Offenlegungspflichten, technische Standards für Wasserzeichen, Metadaten und Provenienz-Tools sowie Leitlinien zur medienspezifischen Kennzeichnung.

Obwohl der Verhaltenskodex freiwillig ist, hat die Kommission klargestellt, dass er zum praktischen Maßstab für die behördliche Bewertung wird. Unternehmen, die ihn unterzeichnen, können damit gegenüber Aufsichtsbehörden nachweisen, dass sie die Anforderungen des Art. 50 KI-VO erfüllen. Für die Interoperabilitätslösung bei Wasserzeichen räumt der Kodex eine zusätzliche Frist bis zum 2. Februar 2027 ein.

Durchsetzung

Verstöße gegen Art. 50 KI-VO fallen unter die Sanktionsregelungen des Art. 99 KI-VO. Es drohen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Kleine und mittlere Unternehmen sowie Startups werden bei der Bußgeldbemessung besonders berücksichtigt.

Neben der behördlichen Durchsetzung ist die privatrechtliche Dimension für Unternehmen von wachsender Bedeutung. Nach zutreffender Auffassung in der Literatur sind Art. 50 Abs. 1, 2 und 4 KI-VO als Schutzgesetze im Sinne des § 823 Abs. 2 BGB einzustufen, da die Vorschriften dem Schutz natürlicher Personen vor Identitätsbetrug und Täuschung dienen. Daneben kommen die Regelungen als Marktverhaltensregeln im Sinne des § 3a UWG in Betracht. Das bedeutet: Unternehmen sind nicht nur aufsichtsbehördlichen Maßnahmen ausgesetzt, sondern auch zivilrechtlichen Schadensersatzansprüchen betroffener Nutzer und wettbewerbsrechtlichen Abmahnungen durch Mitbewerber.

Für die Zuständigkeit der Behörden gilt im deutschen Recht folgendes: Grundsätzlich ist die Bundesnetzagentur als Marktüberwachungsbehörde zuständig. Für Mediendiensteanbieter, die KI zu journalistischen Zwecken oder zu Werbezwecken einsetzen, sind nach dem Entwurf des KI-Marktüberwachungs- und Innovationsförderungs-Gesetzes (KI-MIG-E) die nach Landesrecht zuständigen Behörden vorgesehen. Ob und wie diese Abgrenzung mit den geplanten Änderungen des Medienstaatsvertrags harmoniert, ist derzeit noch nicht abschließend geklärt.

Handlungsfelder für Unternehmen

Für die Vorbereitung auf den 2. August 2026 ergeben sich fünf zentrale Handlungsfelder:

• Bestandsaufnahme: Erfassen Sie sämtliche KI-Systeme, die unter Art. 50 KI-VO fallen könnten, darunter Chatbots, virtuelle Assistenten, generative Text-, Bild-, Audio- oder Videowerkzeuge, Emotionserkennungs- und Kategorisierungssysteme. Auch KI-Funktionen, die in bestehende Produkte oder Prozesse integriert sind, sowie Systeme, die im Auftrag des Unternehmens von Dritten entwickelt wurden, sind zu berücksichtigen.
• Rollenklärung: Prüfen Sie für jedes System, ob Ihr Unternehmen Anbieter, Betreiber oder beides ist. Haben Sie ein KI-System entwickeln lassen, sind Sie zugleich Anbieter im Sinne des Art. 50 Abs. 1 KI-VO. Von dieser Einordnung hängt ab, welche der vier Fallgruppen einschlägig ist und welche nationalen Ergänzungsregelungen, insbesondere § 18 Abs. 3 MStV, zusätzlich zu beachten sind.
• Technische und kommunikative Umsetzung: Gestalten Sie Hinweistexte für interaktive Systeme, definieren Sie Offenlegungsformate für Deepfakes und KI-Texte und bereiten Sie bei generativen Systemen die maschinenlesbare Kennzeichnung vor, orientiert am Code of Practice. Prüfen Sie dabei, ob ein Beitritt zum Verhaltenskodex für Ihr Unternehmen sinnvoll ist.
• Datenschutzrechtliche Abstimmung: Das Zusammenspiel mit dem Datenschutzrecht ist insbesondere bei Emotionserkennung und biometrischer Kategorisierung nach Abs. 3 zu beachten. Biometrische Daten sind regelmäßig besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, für die erhöhte Anforderungen an die Verarbeitungsgrundlage gelten. Die KI-VO-Kennzeichnung ersetzt die datenschutzrechtlichen Informations- und Zulässigkeitspflichten nicht, sondern tritt neben sie.
• Dokumentation: Halten Sie die Einhaltung der Transparenzpflichten systematisch fest, sowohl als Nachweis gegenüber Aufsichtsbehörden als auch im Hinblick auf mögliche zivilrechtliche Inanspruchnahmen. Angesichts der wettbewerbsrechtlichen Abmahnrisiken sollte die Dokumentation auch die Entscheidung umfassen, ob und warum ein Ausnahmetatbestand in Anspruch genommen wird.

Zusammenfassung

Die Transparenzpflichten nach Art. 50 KI-VO sind die erste Bewährungsprobe der KI-Verordnung in der Breite. Der Stichtag des 2. August 2026 gilt für die Kernpflichten aus Abs. 1, 3 und 4 unverändert; lediglich für die maschinenlesbare Kennzeichnung von Bestandssystemen nach Abs. 2 besteht eine Übergangsfrist bis zum 2. Dezember 2026. Die finalen Leitlinien der Kommission vom 20. Juli 2026 und der Code of Practice vom 10. Juni 2026 liefern die praktische Orientierung. Die Sanktionen von bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes verleihen der Pflicht behördlichen Nachdruck; hinzu treten zivilrechtliche Ansprüche Betroffener und wettbewerbsrechtliche Abmahnrisiken. Da die Kennzeichnungs- und Offenlegungspflichten nicht nur große Tech-Konzerne, sondern gerade auch mittelständische Unternehmen und Kanzleien treffen, sollten die Weichen jetzt gestellt werden.

Melden Sie sich gerne bei uns, wenn Sie Fragen zur Inventarisierung Ihrer KI-Systeme, zur Rollenklärung nach der KI-VO oder zur rechtssicheren Ausgestaltung Ihrer Transparenz- und Kennzeichnungsprozesse haben, auch im Zusammenspiel mit den Anforderungen der DSGVO.

RA Sebastian Schwiering
Wissenschaftlicher Mitarbeiter Jamal Lale LL.M.

*****