Seit dem 2. August 2026 ist Artikel 50 der KI-Verordnung (Verordnung (EU) 2024/1689) anwendbares Recht, und wer in Deutschland einen Chatbot betreibt, KI-generierte Inhalte veröffentlicht oder Emotionserkennung einsetzt, kann sich nicht mehr auf "das betrifft nur die großen KI-Anbieter" herausreden. Verstöße reichen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, und in Deutschland gibt es seit dem 29. Juli 2026 mit der Bundesnetzagentur eine eigene Behörde, die genau das prüft.
Wenn Ihr Unternehmen einen Support-Chatbot auf der Website laufen hat, ein KI-Tool für Marketingtexte oder -bilder nutzt oder mit einem Callcenter-System arbeitet, das die Stimmung von Anrufenden auswertet, betrifft Sie mindestens eine der vier Pflichten aus Artikel 50, unabhängig davon, ob Sie das System selbst entwickelt haben oder nur einsetzen. Der bekannteste Fehler dabei: zu glauben, die Pflicht liege automatisch beim Softwareanbieter. Bei zwei der vier Pflichten liegt sie bei Ihnen.
Kurz zusammengefasst
- Artikel 50 KI-VO enthält vier getrennte Transparenzpflichten, zwei davon treffen Anbieter (Chatbot-Kennzeichnung, Kennzeichnung KI-generierter Inhalte), zwei davon treffen Betreiber (Hinweis bei Emotionserkennung/biometrischer Kategorisierung, Kennzeichnung von Deepfakes und KI-Texten zu Angelegenheiten öffentlichen Interesses).
- Seit dem 2. August 2026 gelten alle vier Pflichten; für maschinenlesbare Kennzeichnung bereits im Markt befindlicher generativer KI-Systeme gilt eine Übergangsfrist bis zum 2. Dezember 2026 (Digital-Omnibus-Einigung, Rat der EU, Mai 2026).
- Der freiwillige Code of Practice on Transparency of AI-Generated Content wurde am 10. Juni 2026 veröffentlicht; die EU-Kommission bestätigte ihn im Juli 2026 zusammen mit dem finalen Leitlinien-Dokument vom 20. Juli 2026 als geeigneten Nachweisrahmen für Artikel 50.
- Bußgelder für Verstöße gegen Artikel 50 fallen unter die niedrigere Bußgeldstufe der KI-VO: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes (Art. 99 KI-VO); für KMU gilt der jeweils niedrigere Wert als Obergrenze.
- In Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur zentrale Marktüberwachungsbehörde für die KI-VO (KI-MIG), unabhängig und zusätzlich zu den Landesdatenschutzbehörden, die weiterhin für die DSGVO-Rechtsgrundlage zuständig bleiben.
Was Artikel 50 wirklich regelt und für wen
Artikel 50 KI-VO: die Transparenzvorschrift der KI-Verordnung, die vier unterschiedliche Offenlegungspflichten für KI-Systeme mit direktem Personenkontakt oder öffentlich sichtbarem KI-Output festlegt, unabhängig von der Risikoklasse des Systems nach Anhang III.
Das ist der Punkt, an dem die meisten Unternehmen falsch abbiegen: Artikel 50 hat nichts mit der Hochrisiko-Einstufung nach Anhang III zu tun. Ein Chatbot, der nur Öffnungszeiten beantwortet, ist kein Hochrisiko-System, unterliegt aber trotzdem der Kennzeichnungspflicht aus Artikel 50 Absatz 1. Die vier Pflichten laufen komplett unabhängig von der Risikokaskade des Anhangs III, die für Bewerbermanagement- oder Kreditscoring-Systeme erst am 2. Dezember 2027 greift. Wer sein Compliance-Programm bislang nur auf Hochrisiko-KI ausgerichtet hat, hat Artikel 50 möglicherweise komplett übersehen, obwohl er seit August 2026 bereits gilt.
Die vier Pflichten unterscheiden sich außerdem darin, wer sie erfüllen muss: der Anbieter (das Unternehmen, das das KI-System entwickelt oder unter eigenem Namen in Verkehr bringt) oder der Betreiber (das Unternehmen, das ein KI-System im eigenen Geschäftsbetrieb einsetzt, auch wenn es von einem Dritten stammt). Diese Unterscheidung entscheidet, ob die Pflicht bei Ihrem Softwarelieferanten liegt oder bei Ihnen selbst, sobald Sie dessen Produkt einsetzen.
Pflicht 1: Chatbots müssen sich als KI zu erkennen geben (Art. 50 Abs. 1)
Wer betroffen ist: der Anbieter eines KI-Systems, das für die direkte Interaktion mit natürlichen Personen ausgelegt ist, also Chatbots, KI-Agenten, Sprachassistenten und Avatare.
Die Pflicht: Nutzerinnen und Nutzer müssen informiert werden, dass sie mit einem KI-System interagieren, spätestens beim ersten Kontakt. Eine Ausnahme greift nur, wenn dies für eine "hinreichend informierte, aufmerksame und verständige natürliche Person" offensichtlich ist, etwa weil das System offen als "KI-Chatbot" gestaltet und beworben wird (EU-KI-Verordnung, Art. 50 Abs. 1). Eine zweite Ausnahme betrifft KI-Systeme, die gesetzlich zur Aufdeckung, Verhütung oder Untersuchung von Straftaten befugt sind.
Was das praktisch bedeutet: Ein kleiner Hinweis "Sie chatten mit unserem KI-Assistenten" direkt im Chatfenster reicht in der Regel aus, sofern er tatsächlich sichtbar ist und nicht nur in den AGB steht. Problematisch wird es, wenn ein Chatbot bewusst so gestaltet ist, dass er wie ein menschlicher Mitarbeiter wirkt, etwa mit einem Vornamen und Tippverzögerungen, ohne dass die KI-Natur an anderer Stelle klar erkennbar wird. Die Kommission hat dazu am 20. Juli 2026 finale Leitlinien veröffentlicht, die unter anderem konkretisieren, wann eine Kennzeichnung als "offensichtlich" gelten kann und wann nicht.
Pflicht 2: KI-generierte Inhalte müssen maschinenlesbar markiert werden (Art. 50 Abs. 2)
Wer betroffen ist: der Anbieter eines KI-Systems, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt oder manipuliert.
Die Pflicht: Die Ausgaben müssen mit einer wirksamen, zuverlässigen und interoperablen maschinenlesbaren Kennzeichnung versehen werden, die es ermöglicht, den Inhalt als KI-generiert oder -manipuliert zu erkennen. Ausgenommen sind reine Assistenzfunktionen für Standardbearbeitungen (etwa ein KI-gestützter Rechtschreib-Check) sowie Inhalte, deren Eingabedaten nicht wesentlich verändert wurden.
Für Systeme, die bereits vor dem 2. August 2026 im Markt waren, hat der Rat der EU im Rahmen der Digital-Omnibus-Einigung eine Übergangsfrist bis zum 2. Dezember 2026 vereinbart, um die technische Kennzeichnung nachzurüsten (Faegre Drinker, Juli 2026). Diese Frist gilt ausschließlich für die technische Markierungspflicht selbst, nicht für die anderen drei Pflichten aus Artikel 50, die seit dem 2. August 2026 unverändert gelten.
Der Code of Practice on Transparency of AI-Generated Content, den die Kommission am 10. Juni 2026 veröffentlichte, empfiehlt dafür einen mehrschichtigen Ansatz: digital signierte Metadaten kombiniert mit unsichtbaren Wasserzeichen im Inhalt selbst, sodass die Kennzeichnung auch nach einer Weiterverarbeitung erkennbar bleibt. Anbieter, die den Code unterzeichnet haben (Unterzeichnungsfrist war der 22. Juli 2026, 18:00 MEZ), können sich bei der Nachweisführung auf dessen Standardmaßnahmen stützen; das Unterschreiben ersetzt die gesetzliche Pflicht aber nicht, es liefert nur eine anerkannte Orientierung für deren Erfüllung.
Pflicht 3: Emotionserkennung und biometrische Kategorisierung müssen offengelegt werden (Art. 50 Abs. 3)
Wer betroffen ist: der Betreiber eines Systems zur Emotionserkennung oder biometrischen Kategorisierung, also das Unternehmen, das ein solches System im eigenen Betrieb einsetzt, unabhängig davon, wer es entwickelt hat.
Die Pflicht: Betroffene Personen müssen darüber informiert werden, dass sie einem solchen System ausgesetzt sind. Zusätzlich muss die Verarbeitung mit der DSGVO, der Verordnung (EU) 2018/1725 für EU-Institutionen und der Richtlinie (EU) 2016/680 für Strafverfolgung vereinbar sein.
Das betrifft in der Praxis mehr Unternehmen, als der Begriff "Emotionserkennung" vermuten lässt: Callcenter-Software, die aus der Tonlage von Anrufenden Frustration oder Zufriedenheit ableitet, Kamerasysteme im Einzelhandel, die Alter oder Stimmung von Kundinnen und Kunden schätzen, oder HR-Tools, die Video-Interviews auf emotionale Reaktionen analysieren, fallen alle darunter. Diese Systeme sind fast nie als Hochrisiko-KI nach Anhang III eingestuft, unterliegen aber trotzdem der Offenlegungspflicht aus Artikel 50 Absatz 3, weil diese unabhängig von der Risikoklasse gilt.
Was das praktisch bedeutet: Der Hinweis muss vor oder spätestens bei der ersten Interaktion erfolgen, nicht erst nachträglich in einer Datenschutzerklärung, die niemand liest, bevor er anruft. Für ein Callcenter reicht ein kurzer Hinweis in der Warteschleifenansage; für eine Kamera im Ladengeschäft ein deutlich sichtbares Piktogramm am Eingang, ergänzt um eine ausführlichere Erklärung in der Datenschutzerklärung.
Pflicht 4: Deepfakes und KI-Texte zu öffentlichen Angelegenheiten müssen gekennzeichnet werden (Art. 50 Abs. 4)
Wer betroffen ist: der Betreiber, der ein KI-System einsetzt, um Deepfakes zu erzeugen oder KI-generierte Texte zu Angelegenheiten öffentlichen Interesses zu veröffentlichen.
Die Pflicht: Bild-, Audio- oder Videoinhalte, die wie eine echte Person, ein echtes Objekt, einen echten Ort, eine echte Einrichtung oder ein echtes Ereignis wirken und fälschlich als authentisch erscheinen, müssen als künstlich erzeugt oder manipuliert offengelegt werden. Dasselbe gilt für KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
Wichtig für die Praxis: Diese Pflicht gilt unabhängig davon, ob eine Täuschungsabsicht vorlag. Ein realistisch wirkendes KI-Video, das erkennbar als Werbeparodie gedacht war, aber ohne begleitenden Hinweis veröffentlicht wird, fällt trotzdem unter die Kennzeichnungspflicht, wenn es wie eine echte Aufnahme wirkt. Zwei Ausnahmen mildern das ab: Bei künstlerischen, kreativen, satirischen oder fiktionalen Werken reicht eine Offenlegung "in angemessener Weise", die den Kunst- oder Unterhaltungscharakter des Werks nicht beeinträchtigt (Erwägungsgrund 134 KI-VO). Und Texte, die von einer natürlichen oder juristischen Person mit redaktioneller Verantwortung menschlich überprüft wurden, sind ausgenommen, solange diese Person die inhaltliche Verantwortung trägt.
Die eine Frage, die über allen vier Pflichten steht: Anbieter oder Betreiber?
<table>
<tr><th>Pflicht</th><th>Artikel</th><th>Zuständig</th><th>Gilt seit</th></tr>
<tr><td>Chatbot-/KI-Interaktions-Kennzeichnung</td><td>Art. 50 Abs. 1</td><td>Anbieter</td><td>2. August 2026</td></tr>
<tr><td>Maschinenlesbare Kennzeichnung KI-generierter Inhalte</td><td>Art. 50 Abs. 2</td><td>Anbieter</td><td>2. August 2026 (Bestandssysteme: Übergangsfrist bis 2. Dezember 2026)</td></tr>
<tr><td>Hinweis bei Emotionserkennung/biometrischer Kategorisierung</td><td>Art. 50 Abs. 3</td><td>Betreiber</td><td>2. August 2026</td></tr>
<tr><td>Kennzeichnung von Deepfakes und KI-Texten zu öffentlichen Angelegenheiten</td><td>Art. 50 Abs. 4</td><td>Betreiber</td><td>2. August 2026</td></tr>
</table>
Ein Unternehmen kann bei ein und demselben KI-System in beiden Rollen zugleich stecken: Wer einen fremden Chatbot-Baukasten lizenziert und mit eigenem Branding auf der Website einbindet, kann je nach Vertragsgestaltung selbst zum Anbieter werden, statt nur Betreiber zu bleiben. Prüfen Sie das für jedes eingesetzte KI-System einzeln, nicht pauschal für "unsere KI-Tools" als Gruppe.
Der Code of Practice und die Frist vom 22. Juli 2026
Die Kommission veröffentlichte den Code of Practice on Transparency of AI-Generated Content am 10. Juni 2026 und lud Anbieter zur freiwilligen Unterzeichnung ein. Unternehmen, die unterzeichnen wollten, mussten das ausgefüllte Formular bis 18:00 Uhr MEZ am 22. Juli 2026 einreichen. Am 20. Juli 2026 bestätigten Kommission und KI-Gremium (AI Board) den Code offiziell als geeigneten Nachweis für die Einhaltung der Artikel-50-Pflichten und veröffentlichten gleichzeitig die finale Fassung ihrer Leitlinien zu den Transparenzpflichten (Faegre Drinker, Juli 2026).
Wichtig für Unternehmen, die selbst nichts unterzeichnet haben: Der Code richtet sich in erster Linie an Anbieter generativer KI-Systeme, nicht an jedes Unternehmen, das ein KI-Tool nur einsetzt. Wer als Betreiber ein KI-System eines Drittanbieters nutzt, profitiert indirekt, wenn dieser Anbieter unterzeichnet hat, weil dessen Kennzeichnungstechnik dann bereits dem anerkannten Standard entspricht. Wer ein Tool eines nicht unterzeichnenden Anbieters einsetzt, muss selbst genauer prüfen, ob dessen Kennzeichnung den gesetzlichen Anforderungen tatsächlich entspricht, weil die nationalen Behörden bei Nicht-Unterzeichnern genauer hinschauen.
Bußgelder und Durchsetzung: Was bei einem Verstoß gegen Artikel 50 tatsächlich passiert
Verstöße gegen die Transparenzpflichten aus Artikel 50 fallen unter Artikel 99 Absatz 4 KI-VO und damit in die mittlere Bußgeldstufe der Verordnung: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist niedriger als die Höchststrafe für verbotene KI-Praktiken nach Artikel 5 (bis zu 35 Millionen Euro oder 7 Prozent), aber deutlich über dem, was viele Unternehmen bei einer "reinen Kennzeichnungspflicht" erwarten würden. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge als Obergrenze, nicht der höhere.
In Deutschland kommt seit dem 29. Juli 2026 eine zweite, eigenständige Zuständigkeitsebene hinzu: Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das der Bundestag am 11. Juni 2026 verabschiedete, wurde die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung in Deutschland. Sie betreibt dafür eine eigene KI-Marktüberwachungskammer für Hochrisikosysteme und ein zentrales Beschwerdeportal für Bürgerinnen und Bürger. Verstöße gegen bestimmte Mitwirkungs- und Auskunftspflichten gegenüber der Bundesnetzagentur selbst, unabhängig vom eigentlichen KI-VO-Verstoß, können zusätzlich mit bis zu 50.000 Euro geahndet werden.
Entscheidend für die Praxis: Die Bundesnetzagentur ersetzt die Datenschutzaufsicht nicht, sie ergänzt sie. Verarbeitet ein Chatbot oder ein Emotionserkennungssystem personenbezogene Daten, was praktisch fast immer der Fall ist, bleibt zusätzlich die zuständige Landesdatenschutzbehörde für die DSGVO-Rechtsgrundlage der Verarbeitung zuständig. Ein Unternehmen, das eine Anfrage der Bundesnetzagentur wie eine gewöhnliche Datenschutzanfrage behandelt und ungeprüft an die interne Datenschutzabteilung weiterleitet, riskiert doppelte Reibungsverluste bei ohnehin knappen Antwortfristen, weil beide Behörden unterschiedliche Zuständigkeiten und unterschiedliche Ansprechpartner im Unternehmen erwarten. Für die vollständige Einordnung, wie sich diese neue KI-Aufsichtsstruktur zu den übrigen deutschen Datenschutzentwicklungen 2026 verhält, lohnt sich unser Überblick zu Datenschutz 2026 und den neuen Fristen für deutsche Unternehmen; dieser Beitrag hier konzentriert sich bewusst allein auf Artikel 50, nicht auf die übrigen 2026er-Entwicklungen.
Wer Kennzeichnungspflichten, Rechtsgrundlagen und Behördenzuständigkeiten für jedes einzelne KI-System nur in verteilten Tabellen mitführt, verliert genau in dem Moment den Überblick, in dem eine der beiden Behörden nachfragt. Ein AI-Governance-Modul, das jedes KI-System automatisch nach Risikoklasse und Transparenzpflicht einordnet und den zugehörigen Nachweis mitführt, verhindert genau diese Lücke zwischen "wir haben theoretisch einen Prozess" und "wir können ihn heute in zehn Minuten belegen".
Der praktische Fahrplan für Unternehmen mit Chatbots, KI-Content oder Emotionserkennung
- Jedes eingesetzte KI-System einzeln der Anbieter- oder Betreiberrolle zuordnen. Ein pauschales "unsere KI-Tools sind konform" ohne diese Zuordnung ist keine belastbare Aussage.
- Für jeden Chatbot prüfen, ob der KI-Hinweis tatsächlich sichtbar ist, nicht nur in den AGB oder einer Datenschutzerklärung, die niemand vor dem ersten Klick liest.
- Bei generativen KI-Tools für Bild, Video, Audio oder Text klären, ob der Anbieter den Code of Practice unterzeichnet hat, und wenn nicht, die technische Kennzeichnung eigenständig gegen die Leitlinien vom 20. Juli 2026 prüfen.
- Emotionserkennung und biometrische Kategorisierung im Kundenkontakt identifizieren, auch wenn sie nicht als solche vermarktet wird, etwa in Callcenter-Analytics oder Kamerasystemen im Handel.
- Zuständigkeiten für Anfragen der Bundesnetzagentur und der Landesdatenschutzbehörde schriftlich trennen, bevor beide Behörden gleichzeitig anfragen, nicht danach.
Wer diese fünf Punkte nur einmalig abarbeitet, statt sie laufend zu pflegen, steht beim nächsten neu eingeführten KI-Tool wieder am Anfang. Die Secure Privacy & AI Governance Platform verknüpft AI-Governance-Modul, Risikomanagement und Vendor-Bewertung in einem Dashboard, sodass jedes neue KI-System direkt bei der Einführung nach Anbieter- oder Betreiberrolle und Transparenzpflicht eingeordnet wird, statt erst bei der nächsten Prüfung nachträglich dokumentiert zu werden.
Häufig gestellte Fragen
Gilt Artikel 50 auch für KI-Tools, die wir nur intern im Unternehmen einsetzen?
Meist nicht direkt, solange die Ausgaben strikt intern bleiben und keinen direkten Kontakt zu externen Personen haben. Sobald ein KI-System aber mit Kundinnen, Bewerbern oder der Öffentlichkeit interagiert oder Inhalte erzeugt, die diese Gruppen zu sehen bekommen, greift die jeweilige Pflicht unabhängig von der Unternehmensgröße.
Was zählt konkret als "maschinenlesbares Format" bei der Kennzeichnung KI-generierter Inhalte?
Der Code of Practice empfiehlt eine Kombination aus digital signierten Metadaten und technisch robusten, möglichst unsichtbaren Wasserzeichen im Inhalt selbst. Entscheidend ist, dass die Kennzeichnung auch nach einer Weiterverarbeitung, etwa einem Screenshot oder einer Konvertierung, technisch erkennbar bleibt, nicht nur ein sichtbarer Text-Hinweis.
Betrifft die Übergangsfrist bis Dezember 2026 alle vier Pflichten aus Artikel 50?
Nein. Die Übergangsfrist bis zum 2. Dezember 2026 gilt ausschließlich für die technische Nachrüstung der maschinenlesbaren Kennzeichnung bei generativen KI-Systemen, die bereits vor dem 2. August 2026 im Markt waren. Die Chatbot-Kennzeichnung, die Offenlegung bei Emotionserkennung und die Deepfake-Kennzeichnung gelten ohne diese Übergangsfrist bereits seit dem 2. August 2026.
Wo genau endet die Ausnahme für Satire und künstlerische Werke?
Die Ausnahme erlaubt bei künstlerischen, kreativen, satirischen oder fiktionalen Deepfakes eine Offenlegung "in angemessener Weise", die den Unterhaltungscharakter nicht stört, etwa durch einen dezenten Hinweis im Abspann statt eines auffälligen Wasserzeichens im Bild. Sie befreit aber nicht vollständig von der Kennzeichnungspflicht; irgendeine Form der Offenlegung bleibt in jedem Fall erforderlich.
Worin unterscheidet sich Artikel 50 von den bestehenden DSGVO-Informationspflichten?
Die DSGVO-Informationspflichten nach Art. 12 bis 14 betreffen die Verarbeitung personenbezogener Daten als solche, während Artikel 50 unabhängig davon greift, ob überhaupt personenbezogene Daten verarbeitet werden. Ein KI-generiertes Bild ohne jeden Personenbezug unterliegt der Kennzeichnungspflicht aus Artikel 50, obwohl die DSGVO hier gar nicht anwendbar wäre.
Was können Betreiber tun, wenn der Anbieter eines KI-Tools die Kennzeichnungspflicht nicht erfüllt?
Betreiber bleiben für ihre eigenen Pflichten aus Artikel 50 Absatz 3 und 4 verantwortlich, unabhängig vom Verhalten des Anbieters, und sollten das bei Vertragsverhandlungen mit KI-Anbietern vertraglich absichern. Bei Pflichten, die den Anbieter selbst treffen (Absatz 1 und 2), sollten Betreiber die Nichteinhaltung der zuständigen Marktüberwachungsbehörde melden, in Deutschland also der Bundesnetzagentur, statt das Risiko unkommentiert weiterzutragen.
Keine dieser vier Pflichten verschwindet mit der Übergangsfrist im Dezember 2026, sie verschiebt lediglich einen einzigen technischen Teilaspekt einer einzigen Pflicht. Die eigentliche Frage für Ihr Unternehmen ist nicht, ob Artikel 50 irgendwann relevant wird, sondern ob Sie heute für jedes eingesetzte KI-System belegen könnten, welche der vier Pflichten greift und wer sie erfüllt. Die Secure Privacy & AI Governance Platform ordnet jedes KI-System automatisch der passenden Transparenzpflicht und Risikoklasse zu und hält den Nachweis über mehrere Rechtsträger und mehr als 60 Regulierungen hinweg aktuell. Vereinbaren Sie eine Demo, um zu sehen, wie sich Ihre eigenen Chatbots, KI-Content-Tools und Emotionserkennungssysteme darin abbilden lassen.
