Was ist die Kennzeichnungspflicht von KI-Inhalten nach Art. 50 KI-Verordnung?
Welche Inhaltstypen kennzeichnungspflichtig sind
Artikel 50 KI-VO erfasst synthetische Inhalte: Text, Bild, Audio und Video müssen als KI-generiert erkennbar und maschinenlesbar gekennzeichnet werden. Für Bild-, Audio- und Videoinhalte gilt diese Pflicht grundsätzlich, sofern keine der in der Verordnung vorgesehenen Ausnahmen greift. Bei Text ist die Regelung enger: Kennzeichnungspflichtig sind KI-generierte oder manipulierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sofern keine menschliche redaktionelle Kontrolle stattgefunden hat. Rein interne Dokumente, Produktbeschreibungen oder KI-unterstützte Texte mit echter redaktioneller Verantwortung einer natürlichen oder juristischen Person sind davon in der Regel nicht erfasst.
Deepfakes als eigener Tatbestand
Deepfakes sind KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die echte Personen, Orte oder Ereignisse täuschend echt darstellen. Für sie gilt eine separate Offenlegungspflicht: Die künstliche Erzeugung oder Manipulation muss klar und sichtbar ausgewiesen werden, nicht nur maschinenlesbar hinterlegt. Das ist ein wesentlicher Unterschied zu sonstigen synthetischen Inhalten. Bei Audioinhalten verlangt die Verordnung darüber hinaus einen hörbaren Hinweis in klarer Sprache zu Beginn des Inhalts, eine Anforderung, die sich aus den Erwägungsgründen und dem Verhaltenskodex vom 10. Juni 2026 ableitet.
Ausnahmen, die viele Unternehmen übersehen
Die KI-Verordnung kennt einige wichtige Ausnahmen. Keine Kennzeichnungspflicht besteht bei der Nutzung durch Strafverfolgungsbehörden zur Aufdeckung von Straftaten. Ebenso entfällt die Pflicht, wenn ein KI-System nur unterstützend tätig ist und die Semantik der Eingabedaten nicht wesentlich verändert. Bei KI-Texten, die unter echter redaktioneller Verantwortung einer natürlichen oder juristischen Person stehen, greift die Pflicht für öffentlichkeitsbezogene Texte ebenfalls nicht. Diese Ausnahmen sind präzise formuliert und gelten nicht pauschal: Ein Unternehmen, das KI-generierte Pressemitteilungen ohne redaktionelle Durchsicht veröffentlicht, kann sich nicht auf redaktionelle Verantwortung berufen.
Anbieter oder Betreiber: Wer trägt welche Pflicht?
Wie die KI-Verordnung Anbieter und Betreiber definiert
Die Unterscheidung ist entscheidend für die Frage, welche Pflichten ein Unternehmen tatsächlich treffen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt. Betreiber ist, wer ein bestehendes KI-System in eigener Verantwortung nutzt, zum Beispiel ein Unternehmen, das ein externes KI-Tool einsetzt, um Inhalte zu erzeugen und zu veröffentlichen.
Welche Pflichten jeweils greifen
Anbieter müssen die technische Infrastruktur für maschinenlesbare Kennzeichnung in ihrem System bereitstellen und KI-Interaktionen für Nutzer erkennbar gestalten. Das schließt typischerweise die Einbettung maschinenlesbarer Metadaten in die Systemausgabe ein. Betreiber hingegen tragen die Pflicht zur Offenlegung gegenüber Dritten: Sie müssen Deepfakes kennzeichnen, KI-generierte Texte zu Fragen von öffentlichem Interesse ausweisen und die Einhaltung dieser Pflichten nachweisbar dokumentieren. Wer einen Chatbot auf seiner Website betreibt, muss außerdem sicherstellen, dass Nutzer vor der ersten Interaktion wissen, dass sie mit einem KI-System kommunizieren.
Was das für die meisten österreichischen Unternehmen bedeutet
Die meisten Unternehmen sind Betreiber, nicht Anbieter. Wer ChatGPT, ein Bildgenerierungstool oder ein eigenes integriertes KI-System nutzt, um Inhalte zu erstellen und zu veröffentlichen, trägt die Betreiberpflichten direkt. Die technische Kennzeichnung der Systemausgaben liegt dabei primär beim Anbieter des Tools. Die Kommunikationspflicht gegenüber der Öffentlichkeit und die Dokumentationspflicht verbleiben jedoch beim Betreiber.
Kennzeichnungspflicht für KI-Inhalte erfüllen: Erlaubte Methoden im Überblick
Maschinenlesbare und menschenlesbare Kennzeichnung
Die KI-Verordnung verlangt beides: eine maschinenlesbare Kennzeichnung, damit automatisierte Systeme KI-Inhalte identifizieren können, und eine für Menschen erkennbare Offenlegung. Beide Anforderungen können mit unterschiedlichen Techniken erfüllt werden. Es gibt keine gesetzlich vorgeschriebene Einheitstechnik, aber die Verordnung definiert klare Qualitätsmerkmale: Die Kennzeichnung muss hinreichend zuverlässig, interoperabel, wirksam und belastbar sein, soweit technisch möglich.
Welche technischen Methoden akzeptiert sind
Ausdrücklich genannt werden: sichtbare und unsichtbare Wasserzeichen, digital signierte Herkunftsmetadaten, kryptografische Herkunftsnachweise, Fingerabdrucktechnologien und Protokollierungsmethoden. In der Praxis setzt sich für Metadaten mit digitaler Signatur der Standard C2PA durch, der von einem breiten Branchenkonsortium entwickelt wurde und in einschlägigen EU-Leitfäden als Referenz dient. Der Verhaltenskodex, den die Kommission am 10. Juni 2026 vorgelegt hat, beschreibt einen mehrschichtigen Ansatz: mindestens zwei maschinenlesbare Ebenen, typischerweise eingebettete Metadaten und unsichtbare Wasserzeichen. EU-Icons zur visuellen Kennzeichnung existieren bereits und sind Teil dieses Verhaltenskodex. Sie stehen in drei Varianten zur Verfügung: ein Basis-Icon, eines für vollständig KI-generierte Inhalte und eines für teilweise KI-modifizierte Inhalte. Ihre Verwendung ist derzeit freiwillig und ersetzt die eigentlichen Transparenzpflichten nicht.
Wie Betreiber die Kennzeichnungspflicht von KI-Inhalten technisch umsetzen
Unternehmen müssen jetzt eine vertretbare technische Lösung wählen, keine perfekte. Das konkrete Format, ob Metadatenfeld oder Wasserzeichenstandard, bleibt den laufenden Normierungsprozessen überlassen. Für Websites, auf denen KI-generierte Inhalte veröffentlicht werden, sind mindestens folgende Maßnahmen zu prüfen: Metadaten-Integration in Bild- und Textformate, ein sichtbarer Kennzeichnungshinweis und eine Dokumentation im Redaktionssystem, welche Inhalte mit welchem Tool erstellt wurden.
Fristen und Übergangszeiträume im EU AI Act
Der EU AI Act gilt seit dem 1. August 2024 formal als Unionsrecht. Erste Pflichten, insbesondere verbotene KI-Praktiken, griffen ab dem 2. Februar 2025, weitere Teile ab dem 2. August 2025. Seit dem 2. August 2026 sind die vollständigen Transparenz- und Kennzeichnungspflichten nach Artikel 50 für alle Betreiber anwendbar. Für bestimmte Altsysteme sieht Artikel 50 Absatz 2 eine verlängerte Übergangsfrist bis zum 2. Dezember 2026 vor.
Das gestaffelte Inkrafttreten war kein Puffer zum Abwarten, das zeigt sich heute deutlich. Technische Implementierungen, interne Prozessanpassungen und Mitarbeiterschulungen brauchen Vorlaufzeit. Unternehmen, die KI-Automatisierung aktiv ausbauen, sollten Compliance-Anforderungen beim nächsten Entwicklungsschritt mitdenken, nicht im Nachhinein.
Dokumentation und Sanktionen: Was Unternehmen jetzt festhalten müssen
Welche Unterlagen Betreiber führen müssen
Betreiber müssen nachvollziehbar dokumentieren, welche KI-Systeme sie einsetzen, welche Inhalte damit erzeugt werden und welche Kennzeichnungsmaßnahmen umgesetzt sind. Die Nähe zur DSGVO-Rechenschaftspflicht ist kein Zufall: Wer bereits ein gepflegtes Verarbeitungsverzeichnis nach Artikel 30 DSGVO führt, kann KI-relevante Prozesse direkt dort integrieren. Zusätzlich empfiehlt sich eine interne Richtlinie zum KI-Einsatz, die festlegt, welche Tools im Unternehmen erlaubt sind, welche Inhalte als KI-generiert zu kennzeichnen sind und wer die redaktionelle Verantwortung trägt.
Welche Strafen bei Verstößen drohen
Der Bußgeldrahmen ist empfindlich. Bei Verstößen gegen die Kennzeichnungspflicht für KI-generierte Inhalte drohen nach Artikel 99 Absatz 4 KI-Verordnung Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, wobei jeweils der höhere Betrag gilt. Bei unrichtigen oder irreführenden Angaben gegenüber Behörden kann ein gesonderter Rahmen von bis zu 7,5 Millionen Euro oder 1 Prozent des Jahresumsatzes greifen. Hinzu kommen reputationsbezogene Risiken: Behörden können festgestellte Verstöße öffentlich machen. In Österreich ist die zuständige nationale Marktüberwachungsbehörde, sowie je nach Sachverhalt die Datenschutzbehörde, als Aufsichtsinstanz einzuplanen.
Technische Umsetzung: Compliance von Beginn an einbauen
Für Websites, die KI-generierte Inhalte veröffentlichen, sind konkrete technische Maßnahmen nötig. Bei Chatbots oder interaktiven KI-Systemen auf der Website muss der KI-Charakter für Nutzer klar erkennbar sein, bevor sie die Interaktion beginnen. Der Hinweis muss unmittelbar und optisch klar abgegrenzt sein: oberhalb des Chatfensters, im ersten Dialogbaustein oder als deutliches Label im Interface. Er muss barrierefrei zugänglich sein und in verständlicher Sprache formuliert werden, keine juristischen Formulierungen, kein Verstecken in Allgemeinen Geschäftsbedingungen oder im Seitenfußbereich.
Compliance nachträglich in bestehende Systeme einzubauen ist aufwendiger und fehleranfälliger als sie von Anfang an mitzudenken. Das gilt besonders für KI-Automatisierungen, die tief in Prozesse integriert sind. Wir entwickeln bei SERVIT KI-gestützte Automatisierungen mit n8n-Workflows und lokalen Sprachmodellen so, dass Datenschutz- und Compliance-Anforderungen strukturell verankert sind. Wer KI-Automatisierung plant oder bestehende Systeme erweitert, sollte diese Fragen von der ersten Anforderungsaufnahme an gemeinsam mit dem Entwicklungspartner besprechen.
Fazit
Die Kennzeichnungspflicht von KI-Inhalten nach dem EU AI Act gilt seit dem 2. August 2026. Wer als Betreiber KI-generierte Texte, Bilder oder Audioinhalte an die Öffentlichkeit bringt, ist unmittelbar betroffen. Die erlaubten technischen Methoden sind flexibel, aber die Pflicht zur maschinenlesbaren und menschenlesbaren Kennzeichnung nach Artikel 50 KI-Verordnung ist eindeutig.
Der sinnvolle nächste Schritt ist eine strukturierte Bestandsaufnahme: Welche KI-Tools sind im Einsatz, welche Inhalte werden damit erstellt und welche davon unterliegen der Kennzeichnungspflicht nach dem EU AI Act? Wer dabei gleichzeitig technische Systeme weiterentwickelt, sollte einen Entwicklungspartner einbeziehen, der Compliance von Beginn an mitdenkt.
