EU AI Act Kennzeichnungspflicht: Was ab August 2026 wirklich gilt

Seit dem 2. August 2026 ist die eu ai act kennzeichnungspflicht nach Artikel 50 rechtlich bindend und zwingt Betriebe zur Offenlegung maschinell erzeugter Inhalte. Unternehmen, die Künstliche Intelligenz einsetzen, drohen bei Verstößen empfindliche Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, wie in Artikel 99 der Verordnung unmissverständlich festgelegt ist. Trotz dieser massiven finanziellen Risiken haben sich laut einer Erhebung des Bitkom erst 24 Prozent der deutschen Betriebe substanziell mit dem Regelwerk befasst. Eine breite Mehrheit von 69 Prozent der Unternehmen gibt an, bei der Auseinandersetzung mit dem Gesetz externe Hilfe zu benötigen. Das liegt vor allem daran, dass die Verordnung nicht nur die großen Entwickler von KI-Modellen ins Visier nimmt, sondern explizit auch die Betreiber – also den ganz normalen Mittelständler, der KI-Systeme in seinen Alltag integriert. Privatpersonen sind von den Pflichten ausgenommen, aber jeder gewerbliche Einsatz fällt ab sofort unter die strenge Aufsicht der nationalen Behörden.

Der rechtliche Fahrplan: Von der Kompetenzpflicht zur Sanktion

Die Regulierung kam nicht über Nacht, sondern folgte einem festen Stufenplan, der seit dem Inkrafttreten am 1. August 2024 abläuft. Bereits seit dem 2. Februar 2025 gelten die Verbote für unannehmbare KI-Praktiken nach Artikel 5 sowie die KI-Kompetenzpflicht nach Artikel 4. Ein Jahr später, am 2. August 2025, wurden die allgemeinen Regeln für GPAI-Modelle (General Purpose AI) und der Governance-Rahmen verbindlich, womit auch die hohen Bußgeldstufen scharfgeschaltet wurden. Der 2. August 2026 markiert nun den Stichtag für die Transparenzpflichten nach Artikel 50. Ab diesem Tag können die nationalen Aufsichtsbehörden in Deutschland Verstöße gegen die Kennzeichnungsvorgaben aktiv verfolgen und sanktionieren. Wer jetzt noch auf Übergangsfristen hofft, handelt fahrlässig.

Welche Inhalte nach Artikel 50 zwingend markiert werden müssen

Die Pflicht zur Offenlegung greift immer dann, wenn Nutzer direkt mit einer Maschine interagieren oder wenn Inhalte künstlich erzeugt wurden, die täuschend echt wirken. Artikel 50 Absatz 1 verlangt zwingend, dass Menschen darüber informiert werden müssen, wenn sie mit einem Chatbot oder einem digitalen Assistenten kommunizieren. Noch strengere Vorgaben gelten für sogenannte Deepfakes nach Absatz 4: KI-generierte oder wesentlich veränderte Bilder, Videos und Audioinhalte müssen als solche erkennbar gemacht werden – und zwar sowohl für das menschliche Auge als auch in maschinenlesbarer Form. Eine pauschale Pflicht, jeden mit Systemen wie ChatGPT erstellten Text zu markieren, existiert hingegen nicht. Texte müssen nur dann offengelegt werden, wenn sie Themen von öffentlichem Interesse behandeln, vollständig von einer KI stammen und völlig unverändert veröffentlicht werden. Wer KI lediglich als Assistenz zur Formulierung nutzt und die Ergebnisse redigiert, fällt nicht unter diese spezifische Text-Kennzeichnungspflicht.

Warum der Umsetzungsaufwand in den Betrieben massiv unterschätzt wird

Die Umsetzung der Transparenzvorgaben ist kein reines IT-Projekt, sondern ein massiver Eingriff in bestehende Freigabeprozesse, weshalb 89 Prozent der Unternehmen mit einem hohen Aufwand rechnen. Eine Untersuchung von Deloitte zeigte bereits, dass sich fast die Hälfte der Betriebe (48,6 Prozent) nicht intensiv auf die Umsetzung vorbereitet hatte, während nur 26,2 Prozent tiefer in das Thema eingedrungen waren. Das Problem liegt in der Skalierung: Wenn ein Unternehmen hunderte Produkttexte, Standortseiten oder Kundenanfragen automatisiert verarbeitet, lässt sich die Kennzeichnung und Prüfung nicht mehr manuell über Excel-Listen steuern. Die rechtliche Anforderung verlangt, dass jederzeit nachvollziehbar bleibt, welcher Inhalt von einer Maschine erzeugt, wer ihn freigegeben und ob er die Schwellenwerte für eine Kennzeichnung überschritten hat.

Wie eine integrierte Governance das Haftungsrisiko im Alltag löst

Um die gesetzlichen Vorgaben im Tagesgeschäft zu erfüllen, müssen Risikoklassen, Transparenz und menschliche Aufsicht fest in die Systeme eingebaut sein. In der Praxis geschieht dies über eine zentrale Content- und Kommunikations-Engine, die alle Kanäle – von E-Mail über Chatbots bis zu Social Media – in einem Ticketsystem bündelt. Hier greift eine gestufte Autonomie von Level 0 bis Level 4. Das bedeutet: Das System erzeugt Inhalte oder beantwortet Kundenanfragen, aber nichts feuert ohne entsprechende Freigabe, wenn das Risiko zu hoch ist. Die Governance ist dabei kein nachträgliches Anhängsel, sondern im Standard verankert. Freigaben, Protokolle und Limits sind in jedes Werkzeug eingebaut. Wenn das System beispielsweise Standort- und Indikationsseiten in mehreren Sprachen aktualisiert, ist die menschliche Aufsicht durch den Approval-First-Ansatz gesichert. Das System lernt aus der Annahmequote der menschlichen Kontrolleure und der Live-Performance, während die Datenhoheit durch die Nutzung von EU-Endpunkten gewahrt bleibt.

Der technische Nachweis: Maschinenlesbarkeit und menschliche Aufsicht

Jede Aktion einer KI muss auditierbar bleiben, um bei einer behördlichen Prüfung den Nachweis der Konformität erbringen zu können. Das erfordert eine Architektur, in der Antworten und generierte Inhalte immer mit einem Quellenbezug versehen sind. Ein übergeordnetes Memory-System protokolliert Prozesse, Verhaltensmuster und Feedback-Loops. Wenn ein Chatbot eine Patienten- oder Gästeanfrage beantwortet, kennt er die vollständige Kundenhistorie und dokumentiert den Vorgang. Eskaliert das System eine Anfrage an einen Menschen, bleibt der gesamte Pfad nachvollziehbar. Diese lückenlose Dokumentation schützt Geschäftsführer vor dem Vorwurf des Organisationsverschuldens. Die Technik ordnet sich der Compliance unter: Sensible Daten bleiben im definierten Rahmen, und die Kennzeichnungspflichten werden systemseitig erzwungen, bevor ein Inhalt das Unternehmen verlässt.