Die kurze Antwort
Artikel 50 der EU-KI-Verordnung ist seit dem 2. August 2026 vollständig durchsetzbar. Er verpflichtet Anbieter von KI-Systemen zu drei Kernpflichten: Chatbots und interaktive KI müssen Nutzer proaktiv über ihre nicht-menschliche Natur informieren; Anbieter von Deepfake-Systemen müssen die KI-Herkunft offenlegen; und synthetische Bilder, Videos und Audiodateien müssen maschinenlesbare Markierungen tragen. Die EU-Kommission veröffentlichte am 31. Juli 2026 — dem Vortag des Stichtags — offizielle Leitlinien zur Umsetzung von Artikel 50.
Für Teams im DACH-Raum, die KI-Funktionen in Software-Produkte integrieren oder KI-gestützte Kommunikationstools betreiben, sind diese Anforderungen nicht optional. Die EU AI Act Compliance geht über reine Dokumentationspflichten hinaus: Artikel 50 stellt technische Designanforderungen, die von Anfang an in Produkte eingebaut werden müssen, nicht nachträglich.
Was Artikel 50 konkret verlangt
Artikel 50 der EU-KI-Verordnung trägt die Überschrift "Transparenzpflichten für bestimmte KI-Systeme" und enthält drei operative Pflichten, die für unterschiedliche Systemtypen gelten. Alle drei sind seit dem 2. August 2026 vollständig anwendbar.
Die erste Pflicht betrifft interaktive KI-Systeme — also Chatbots, KI-gestützte Kundendienst-Interfaces, virtuelle Assistenten und vergleichbare Konversationssysteme. Deren Anbieter müssen sicherstellen, dass natürliche Personen, die mit diesen Systemen interagieren, klar darüber informiert werden, dass sie mit einer KI kommunizieren. Die Information muss spätestens zu Beginn der Interaktion erfolgen und darf nicht in Allgemeinen Geschäftsbedingungen vergraben werden. Die Offenlegungspflicht entfällt nur dann, wenn der KI-Charakter des Systems für eine durchschnittliche Person ohne vernünftigen Zweifel erkennbar ist — ein hoher Standard, der die meisten heutigen Chatbots nicht erfüllen.
Die zweite Pflicht gilt für Anbieter von KI-Systemen zur Erzeugung oder Manipulation von Bild-, Audio- oder Videoinhalten, die als real wahrgenommen werden können — im Regulierungskontext kurz "Deepfakes". Solche Systeme müssen Ausgaben mit maschinenlesbaren Markierungen versehen, die eindeutig auf die KI-Herkunft hinweisen. Dabei verlangt die Verordnung einen dualen Ansatz: Wasserzeichen, die in den Inhalt selbst eingebettet sind, kombiniert mit signierten Metadaten, die die Herkunft extern nachweisbar machen. Für reinen Text gelten diese technischen Anforderungen nicht — hier reicht die inhaltliche Offenlegung.
Die dritte Pflicht betrifft Betreiber von KI-Systemen, die Gesichts-, Emotions- oder biometrische Daten verarbeiten: Diese müssen die betroffenen Personen informieren, dass sie unter Beobachtung stehen. Für viele HR-Tech- und Sicherheitslösungen im DACH-Markt ist das eine unmittelbar relevante Anforderung.
Wer betroffen ist
Artikel 50 richtet sich primär an Anbieter von KI-Systemen — also Unternehmen, die KI-Produkte entwickeln und auf dem Markt bereitstellen — sowie an Betreiber, die solche Systeme im eigenen Namen einsetzen. Die Verordnung gilt extraterritorial: Wer ein KI-System in der EU anbietet oder dessen Ausgaben im EU-Raum genutzt werden, fällt in den Anwendungsbereich, unabhängig vom Unternehmenssitz. Für DACH-Teams bedeutet das: Ein Schweizer Softwarehaus, das einen KI-gestützten Chatbot für einen deutschen Endkunden entwickelt, steht genauso in der Pflicht wie ein Berliner Startup.
Praktisch relevant ist die Abgrenzung zwischen Anbieter und Betreiber. Wer eine Drittanbieter-KI über eine API einbindet und dem Endnutzer als eigenes Produkt präsentiert, gilt als Betreiber — und trägt damit die Transparenzpflicht gegenüber dem Nutzer, auch wenn er die KI nicht selbst entwickelt hat. Das betrifft viele SaaS-Produkte im DACH-Raum, die ChatGPT, Claude oder vergleichbare Modelle als Backend nutzen. Die Integration generativer KI in eigene Produkte erzeugt also nicht nur technische, sondern unmittelbar rechtliche Anforderungen an die Nutzerkommunikation.
Technische Anforderungen: Wasserzeichen und Metadaten
Die technischen Anforderungen von Artikel 50 gehen über eine einfache Beschriftung hinaus. Die am 31. Juli 2026 von der EU-Kommission verabschiedeten Leitlinien konkretisieren zwei komplementäre Ansätze, die zusammen eingesetzt werden müssen.
Das erste Element sind eingebettete Wasserzeichen. Diese werden direkt in den Inhalt selbst eingeschrieben — bei Bildern als unsichtbare Veränderung auf Pixelebene, bei Audiodateien als unhörbares Signal im Frequenzspektrum, bei Videos auf Frame-Ebene. Ziel ist es, dass die Markierung auch dann erkennbar bleibt, wenn der Inhalt aus dem ursprünglichen Kontext herausgelöst, komprimiert oder leicht bearbeitet wird. Reine Datei-Metadaten genügen nicht, weil diese beim Speichern oder Teilen häufig verloren gehen.
Das zweite Element sind signierte Metadaten. Diese werden extern gespeichert und enthalten kryptographisch gesicherte Informationen über Entstehungszeitpunkt, eingesetztes KI-System und Anbieter. Damit können Plattformen, Regulatoren und Dritte die Herkunft unabhängig vom Inhalt selbst nachprüfen. Der Standard C2PA (Coalition for Content Provenance and Authenticity), an dem unter anderem Adobe, Microsoft und Google beteiligt sind, gilt als technische Referenzarchitektur für diese Anforderungen und ist bereits in mehrere marktgängige Tools integriert.
Für Entwicklerteams bedeutet das konkret: Die Kennzeichnung muss in die Generierungspipeline selbst eingebaut werden — als Schritt nach der Erzeugung des Inhalts, aber noch bevor er den Endnutzer erreicht. Eine nachträgliche Markierung auf Plattformebene reicht nach dem Wortlaut der Verordnung nicht aus, wenn der Anbieter des erzeugenden Systems die Markierung hätte direkt vornehmen können.
Ausnahmen und Übergangsfrist
Die Kennzeichnungspflicht nach Artikel 50 kennt einige klar definierte Ausnahmen. Erkennbar satirische oder fiktionale Inhalte — etwa KI-generierte Karikaturen oder offensichtlich überzeichnete Darstellungen — sind ausgenommen. Gleiches gilt für KI-generierte Texte, die von einer für den redaktionellen Inhalt verantwortlichen natürlichen Person inhaltlich geprüft und genehmigt wurden, bevor sie veröffentlicht werden. Diese Ausnahme ist für Medienhäuser und Content-Marketing-Teams relevant, die KI als Drafting-Tool nutzen, aber alle Inhalte vor Veröffentlichung redaktionell freigeben.
Ebenfalls ausgenommen sind Inhalte, die ausschließlich zum persönlichen, privaten Gebrauch erstellt wurden und nicht öffentlich zugänglich gemacht werden. Die Privatsphären-Ausnahme ist eng ausgelegt: Sobald Inhalte in sozialen Netzwerken oder anderen öffentlichen Kanälen geteilt werden, greift die Pflicht wieder.
Für Systeme, die bereits vor dem 2. August 2026 im Markt waren, sieht die Verordnung eine Übergangsfrist bis zum 2. Dezember 2026 vor. Kleinere Updates an bestehenden Modellen lösen keine neue Fristberechnung aus; erst wesentliche Versionsänderungen werden wie neue Systeme behandelt. Wer heute noch keine Kennzeichnungsfunktion in seinem Produkt hat, sollte diese Frist als harte Planungsgrenze behandeln, nicht als Komfortspielraum.
Bundesnetzagentur als zuständige Behörde
Mit dem nationalen KI-Durchführungsgesetz, das der Bundestag verabschiedet hat, wurde die Bundesnetzagentur als zentrale Marktüberwachungsbehörde für die EU-KI-Verordnung in Deutschland bestimmt. Sie übernimmt damit eine Rolle, die mit der Durchsetzung des Telekommunikations- und Energierechts vergleichbar ist — nur dass der regulatorische Gegenstand nun KI-Systeme sind.
Die Bundesnetzagentur errichtet darüber hinaus ein sogenanntes KI-Reallabor: eine regulatorische Sandkastenstruktur, in der Unternehmen neue KI-Produkte unter kontrollierten Bedingungen testen können, ohne unmittelbar alle Pflichten der Verordnung erfüllen zu müssen. Das Reallabor ist ausdrücklich als Innovationsförderinstrument gedacht und soll insbesondere KMU den Einstieg in konforme KI-Entwicklung erleichtern. Unternehmen, die heute noch in einer frühen Entwicklungsphase sind, sollten prüfen, ob das Reallabor für ihr Produkt in Frage kommt.
Ergänzend agieren das EU-Büro für Künstliche Intelligenz (AI Office) auf europäischer Ebene sowie — für Systeme, die personenbezogene Daten verarbeiten — die zuständigen Datenschutzbehörden. In der Praxis bedeutet das: Ein Chatbot, der gleichzeitig die Transparenzpflichten von Artikel 50 und die DSGVO-Anforderungen berührt, kann von zwei verschiedenen Behörden geprüft werden.
Bußgelder und Durchsetzung
Verstöße gegen die Transparenzpflichten nach Artikel 50 können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des vorherigen Geschäftsjahres geahndet werden — je nachdem, welcher Betrag höher ist. Für Unternehmen mit internationalem Umsatz kann der Prozentsatz damit schnell die nominale Obergrenze übersteigen.
Wichtig: Die Bußgeldsystematik der EU-KI-Verordnung ist gestaffelt. Die schwersten Verstöße — verbotene KI-Praktiken nach Artikel 5, etwa biometrische Massenüberwachung oder Social Scoring — werden mit bis zu 35 Millionen Euro oder 7 Prozent des Umsatzes belegt. Verstöße gegen Hochrisiko-Anforderungen (Anhang III) liegen bei 15 Millionen Euro oder 3 Prozent. Transparenzpflichten nach Artikel 50 ordnen sich in dieselbe Kategorie ein wie Hochrisiko-Verstöße. Das ist keine geringe Einordnung.
Die erste Durchsetzungswelle in Deutschland wird erfahrungsgemäß nicht mit Maximalstrafen beginnen — das war auch bei der DSGVO so. Aber der regulatorische Druck auf sichtbare Verstöße ist hoch, weil Artikel-50-Pflichten für Nutzer und Medien leicht nachvollziehbar sind: Wer einen Chatbot öffentlich betreibt, ohne die Nutzer auf dessen KI-Natur hinzuweisen, bietet eine einfach dokumentierbare Verletzung.
Was das für DACH-Softwareteams bedeutet
Für Teams, die KI-Produkte entwickeln oder betreiben, ergeben sich aus Artikel 50 drei konkrete Handlungsfelder.
Erstens: Produkt-Audit. Jeder Chatbot, jede KI-gestützte Kommunikationsfunktion und jedes System zur Erzeugung synthetischer Bild-, Video- oder Audioinhalte muss daraufhin geprüft werden, ob die Kennzeichnungspflichten bereits erfüllt sind. Dabei ist zwischen dem Verhalten des Systems (löst es automatisch eine Offenlegung aus?) und der Nutzerkommunikation (ist die Offenlegung klar und zum richtigen Zeitpunkt?) zu unterscheiden.
Zweitens: Technisches Design. Für Systeme zur Inhaltserzeugung ist die Einbettung von Wasserzeichen und signierten Metadaten kein Feature, das später nachgerüstet werden kann, ohne erheblichen Aufwand. Sie muss als Teil der Generierungspipeline designed werden. Teams, die jetzt neue KI-Produkte entwickeln, sollten C2PA-kompatible Bibliotheken von Anfang an berücksichtigen.
Drittens: Vertragsgestaltung. Wer Drittanbieter-KI über APIs einbindet, muss in den Verträgen mit diesen Anbietern regeln, wer die Kennzeichnungspflicht trägt und wie die technischen Nachweise erbracht werden. Viele API-Anbieter bieten heute schon Wasserzeichen-Funktionen an; die Frage ist, ob diese vertraglich als ausreichend für die Artikel-50-Konformität gilt oder ob eigene Maßnahmen erforderlich sind.
Vier Maßnahmen, die jetzt greifen
- Produkt-Inventar auf Artikel-50-Relevanz prüfen. Erfassen Sie alle KI-Systeme in Ihrem Portfolio, die interaktive Nutzerkommunikation, Bild-/Video-/Audioerzeugung oder biometrische Datenverarbeitung umfassen. Für jedes identifizieren Sie den Systemtyp (Anbieter oder Betreiber) und den aktuellen Offenlegungsstatus.
- Offenlegungsmechanismus implementieren. Für Chatbots: Prüfen Sie, ob beim ersten Kontakt eine klare, nicht verschleierte Information über den KI-Charakter des Systems erfolgt — nicht nur in den AGB, sondern im Gesprächsinterface selbst. Für Inhaltserzeugungssysteme: Identifizieren Sie, welche C2PA-kompatiblen Bibliotheken oder Anbieter-Features Ihre Pipeline nutzen kann.
- Übergangsfrist als Planungsgrenze setzen. Der 2. Dezember 2026 ist das späteste Datum für bestehende Systeme. Realistisch bedeutet das: technische Umsetzung bis Oktober, Testphase im November. Wer heute noch kein Projekt dafür angesetzt hat, wird die Frist mit üblichem Entwicklungsaufwand nicht halten.
- Dokumentation anlegen. Halten Sie fest, welche Kennzeichnungsmaßnahmen Sie getroffen haben, welche technischen Standards eingesetzt wurden und wie die Nutzerkommunikation gestaltet ist. Diese Dokumentation ist gleichzeitig Nachweis gegenüber der Bundesnetzagentur und Grundlage für spätere Konformitätsbewertungen von Hochrisiko-Systemen.
Häufig gestellte Fragen
Was verlangt Artikel 50 EU AI Act von Unternehmen?
Artikel 50 der EU-KI-Verordnung verpflichtet Anbieter von KI-Systemen zu drei zentralen Transparenzpflichten: Chatbots und andere interaktive KI-Systeme müssen Nutzer darüber informieren, dass sie mit einer KI und nicht mit einem Menschen kommunizieren; Anbieter von Deepfakes und realistischen synthetischen Inhalten müssen die KI-Herkunft offenlegen; und KI-generierte Bilder, Videos und Audiodateien müssen maschinenlesbare Markierungen tragen, die eine automatische Erkennung ermöglichen.
Gilt die Kennzeichnungspflicht auch für bestehende KI-Produkte?
Für Systeme, die bereits vor dem 2. August 2026 im Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Neue Systeme, die nach dem 2. August in Betrieb genommen werden, müssen die Anforderungen sofort erfüllen. Kleinere Updates an bestehenden Modellen setzen die Frist nicht zurück; nur wesentliche Versionsänderungen werden wie neue Systeme behandelt.
Wer ist in Deutschland für die Durchsetzung zuständig?
Der Bundestag hat mit dem nationalen KI-Durchführungsgesetz die Bundesnetzagentur als zentrale Marktüberwachungsbehörde für die EU-KI-Verordnung in Deutschland bestimmt. Die Bundesnetzagentur errichtet zudem ein KI-Reallabor, um Unternehmen beim regulatorisch konformen Testen neuer KI-Systeme zu unterstützen.
Welche Ausnahmen gibt es von der Kennzeichnungspflicht?
Die Kennzeichnungspflicht gilt nicht für erkennbar satirische oder fiktionale Inhalte, für KI-generierte Texte, die von einer für den redaktionellen Inhalt verantwortlichen natürlichen Person genehmigt wurden (typisch für Medienredaktionen), sowie für Inhalte zu rein privatem Gebrauch. Plattformen, die explizit als kreative KI-Tools vermarktet werden, können ebenfalls vereinfachte Offenlegungspflichten haben.
Wie hoch sind die Bußgelder bei Verstößen gegen Artikel 50?
Verstöße gegen die Transparenzpflichten nach Artikel 50 können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes belegt werden — je nachdem, welcher Betrag höher ist. Die Durchsetzung erfolgt durch nationale Behörden, das EU-Büro für Künstliche Intelligenz oder den Europäischen Datenschutzbeauftragten.
Quellen
Europäische Kommission, Vertretung in Deutschland — Stichtag 2.8.2026: Durchsetzung der Vorschriften des KI-Gesetzes und neuer Transparenzanforderungen (31. Juli 2026)
Heise Online — EU guidelines for AI labeling requirements effective from August (20. Juli 2026)
Heise Online — KI-Kennzeichnungspflicht: Was die EU ab August 2026 verlangt (27. Juli 2026)
Heise Online — Bundestag passes AI law: Federal Network Agency becomes central supervisor