KI Kennzeichnungspflicht: Was Unternehmen vor dem Stichtag 2. Dezember 2026 klären sollten

• Die KI Kennzeichnungspflicht nach Artikel 50 der KI-Verordnung (EU) 2024/1689 gilt seit dem 2. August 2026.
• Anbieter generativer KI-Systeme, die vor dem 2. August 2026 auf den Markt kamen, müssen ihre Ausgaben laut der Änderungsverordnung (EU) 2026/1744 bis zum 2. Dezember 2026 maschinenlesbar kennzeichnen.
• Unternehmen, die KI nur einsetzen, müssen vor allem Deepfakes sowie KI-Texte zu Themen von öffentlichem Interesse offenlegen, außer ein Mensch hat den Text redaktionell geprüft und verantwortet ihn.
• Bei Verstößen gegen Artikel 50 sieht Artikel 99 Geldbußen in Millionenhöhe oder von bis zu 3 Prozent des weltweiten Jahresumsatzes vor, für KMU gilt der niedrigere Wert.
• In Deutschland ist die Bundesnetzagentur seit dem 29. Juli 2026 zentrale Anlaufstelle für die KI-Verordnung und bietet einen KI-Service-Desk an.

Die KI Kennzeichnungspflicht steht in Artikel 50 der europäischen KI-Verordnung (EU) 2024/1689, dem EU AI Act. Sie gilt seit dem 2. August 2026 und soll sicherstellen, dass Menschen erkennen, wann sie mit einer KI sprechen oder Inhalte sehen, die eine KI erzeugt oder verändert hat. Die Verordnung gilt unmittelbar in allen Mitgliedstaaten, ein deutsches Umsetzungsgesetz für die Pflichten selbst ist nicht nötig.

Artikel 50 unterscheidet zwei Rollen, die für Ihr Unternehmen ganz unterschiedliche Folgen haben:

• Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt.
• Betreiber setzen ein KI-System in eigener Verantwortung ein, zum Beispiel Microsoft 365 Copilot oder Claude von Anthropic im Arbeitsalltag.

Die meisten mittelständischen Unternehmen sind Betreiber. Wer aber KI in eigene Produkte, Portale oder Chatbots für Kunden einbaut, kann selbst zum Anbieter werden.

Mit der Änderungsverordnung (EU) 2026/1744, dem sogenannten digitalen Omnibus zur KI, hat die EU im Juli 2026 mehrere Fristen des AI Act angepasst. Für die Kennzeichnung gilt laut dem geänderten Artikel 111 Absatz 4: Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Pflicht aus Artikel 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen. Für Systeme, die ab dem 2. August 2026 auf den Markt kamen, gilt die Pflicht bereits.

Für Sie als Unternehmen heißt das: Ab Dezember sollten auch ältere generative KI-Werkzeuge ihre Ergebnisse maschinenlesbar markieren. Wenn Sie eigene KI-Anwendungen anbieten, die vor August 2026 gestartet sind, endet für Sie die Schonfrist.

Andere Termine hat der Omnibus verschoben: Die Pflichten für Hochrisiko-KI nach Anhang III gelten laut Artikel 113 erst ab dem 2. Dezember 2027, für Hochrisiko-KI nach Anhang I ab dem 2. August 2028. Die Transparenzpflichten aus Artikel 50 wurden nicht verschoben.

Pflichten der Anbieter

• Chatbots und KI-Assistenten (Absatz 1): Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass Nutzer erfahren, dass sie mit einer KI kommunizieren. Das entfällt nur, wenn es für eine aufmerksame Person offensichtlich ist.
• Generierte Inhalte (Absatz 2): Ausgaben generativer KI-Systeme, also Texte, Bilder, Audio und Video, müssen maschinenlesbar als künstlich erzeugt erkennbar sein. Ausnahmen gelten unter anderem für reine Hilfsfunktionen bei der Standardbearbeitung und für Systeme, die die Eingaben nicht wesentlich verändern.

Pflichten der Betreiber

• Deepfakes (Absatz 4): Wenn Sie mit KI Bilder, Videos oder Tonaufnahmen erzeugen oder verändern, die echt wirken und reale Personen, Orte oder Ereignisse zeigen, müssen Sie offenlegen, dass sie künstlich erzeugt sind. Bei erkennbar künstlerischen, satirischen oder fiktionalen Werken reicht ein Hinweis, der das Werk nicht stört.
• Texte von öffentlichem Interesse (Absatz 4): KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, müssen gekennzeichnet werden. Das gilt nicht, wenn ein Mensch den Text geprüft oder redaktionell kontrolliert hat und eine Person oder Organisation die redaktionelle Verantwortung trägt.
• Emotionserkennung und biometrische Kategorisierung (Absatz 3): Wer solche Systeme betreibt, muss die betroffenen Personen informieren.

Laut Absatz 5 muss der Hinweis klar und eindeutig spätestens bei der ersten Interaktion oder beim ersten Kontakt mit dem Inhalt erfolgen und barrierefrei sein.

Die Europäische Kommission hat am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Transparenz KI-generierter Inhalte veröffentlicht. Er hat einen Teil für Anbieter (Kennzeichnung und Erkennbarkeit) und einen Teil für Betreiber (Kennzeichnung von Deepfakes und KI-Texten). Betreiber können dafür ein EU-weites Set von Icons nutzen. Bis Ende Juli 2026 hatten sich laut Kommission rund 190 Unternehmen und Organisationen angeschlossen. Ergänzend arbeitet die Kommission an Leitlinien zum Anwendungsbereich von Artikel 50.

In Deutschland ist seit dem Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) am 29. Juli 2026 die Bundesnetzagentur die zentrale Anlaufstelle. Sie nimmt Beschwerden entgegen, überwacht im Rahmen ihrer Zuständigkeit auch die Transparenzpflichten und bietet Unternehmen einen KI-Service-Desk mit einem Online-Werkzeug zur ersten Einschätzung der Risikoklasse.

Die großen Anbieter setzen die technische Kennzeichnung bereits um. Laut Microsoft-Dokumentation tragen Bilder, die mit den Designer-Funktionen in Microsoft Copilot erstellt werden, Herkunftsangaben nach dem offenen Standard C2PA (Content Credentials). Auch alle Bilder aus den Bildmodellen von Azure OpenAI in Microsoft Foundry enthalten laut Microsoft automatisch solche Content Credentials. Wie Anthropic Texte und Dateien von Claude markiert, haben wir in unserem Beitrag zum Claude Wasserzeichen erklärt.

Wichtig: Die technische Markierung durch den Anbieter ersetzt nicht Ihre eigene Pflicht als Betreiber. Ob ein Deepfake auf Ihrer Website oder ein KI-Text in Ihrer Pressemitteilung offengelegt werden muss, entscheiden Sie selbst.

Aus unserer Beratungspraxis empfehlen wir fünf Schritte:

1. KI-Einsatz erfassen: Halten Sie fest, welche KI-Werkzeuge Inhalte für Website, Social Media, Presse, Vertrieb und Kundenservice erzeugen.
2. Rolle klären: Prüfen Sie für jede Anwendung, ob Sie Betreiber oder Anbieter sind. Eigene Chatbots, Kundenportale oder KI-Funktionen in Ihren Produkten verdienen besondere Aufmerksamkeit.
3. Redaktionelle Freigabe festlegen: Regeln Sie, wer KI-Texte vor der Veröffentlichung prüft und verantwortet. Das ist nicht nur gute Praxis, sondern auch die Voraussetzung für die Ausnahme bei Texten von öffentlichem Interesse.
4. Kennzeichnung einheitlich gestalten: Legen Sie fest, wie Sie Deepfakes und gekennzeichnete Inhalte markieren, etwa mit den Icons der EU, und wie Sie Chatbots auf Ihrer Website als KI ausweisen.
5. Mitarbeitende schulen: Die geänderte Pflicht zur KI-Kompetenz aus Artikel 4 verlangt, dass Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern. Eine praxisnahe Claude Schulung kann dafür ein Baustein sein.

Die InSys AG^® leistet keine Rechtsberatung. Klären Sie die rechtliche Einordnung Ihrer Anwendungen mit Ihrer Rechtsberatung und Ihrem Datenschutzbeauftragten. Bei der technischen und organisatorischen Umsetzung unterstützen wir Sie gern.

Die InSys AG^® berät Unternehmen in ihrer Business Unit KI-Beratung beim Einsatz von Microsoft 365 Copilot und Claude von Anthropic: von der Bestandsaufnahme der KI-Werkzeuge über Regeln für KI-Inhalte bis zu eigenen KI-Anwendungen. Mehr dazu finden Sie auf unserer Seite zur KI-Beratung für Unternehmen.