Deepfakes, Chatbots & Co. – Die neuen Transparenzpflichten der KI-VO
Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 der Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-VO). Durch Einhaltung der Pflichten soll es Menschen ermöglicht werden, zu erkennen, wenn sie mit einem KI-System interagieren oder wenn ihnen mit KI erzeugte oder manipulierte Inhalte begegnen. Damit will der europäische Gesetzgeber insbesondere Täuschung, Desinformation und Manipulation entgegenwirken und das Vertrauen in die neue Technologie sowie in die digitale Kommunikation allgemein stärken.
Der in Art. 50 KI-VO enthaltene Pflichtenkatalog unterscheidet zwischen Anbietern und Betreibern von KI-Systemen. Anbieter sind gemäß Art. 3 Nr. 3 KI-VO natürliche oder juristische Personen, Behörden, Einrichtungen oder sonstige Stellen, die ein KI-System entwickeln oder entwickeln lassen und es entgeltlich oder unentgeltlich unter ihrem eigenen Namen oder eigener Handelsmarke in Verkehr bringen bzw. in Betrieb nehmen. Betreiber nach Art. 3 Nr. 4 KI-VO sind all diejenigen, die ein KI-System in eigener Verantwortung verwenden, wobei rein persönliche, nicht berufliche Nutzungen vom Betreiber-Begriff ausgenommen sind. Für beide Gruppen gelten unterschiedliche Pflichten, die im Folgenden getrennt erläutert werden.
Art. 50 KI-VO: Welche Transparenzpflichten gelten für Anbieter?
Für Anbieter regeln Art. 50 Abs. 1 und 2 KI-VO zwei unterschiedliche Transparenzpflichten. Die erste betrifft KI-Systeme, die unmittelbar mit Menschen interagieren. Typisches Beispiel ist ein KI-basierter Chatbot auf einer Website. Der Anbieter muss das System so gestalten, dass die betroffene Person darüber informiert wird, dass sie mit einem KI-System kommuniziert. Der Hinweis muss spätestens bei der ersten Interaktion erfolgen, sodass er schon zu Beginn der Unterhaltung gut sichtbar erscheinen muss.
Eine solche Information ist ausnahmsweise entbehrlich, wenn der Umstand, dass die Interaktion mit einem KI-System erfolgt, für eine angemessen gut informierte, aufmerksame und verständige Person offensichtlich ist. Darauf sollten sich Anbieter jedoch nur mit Zurückhaltung verlassen: Nicht immer ist ohne Weiteres für Menschen erkennbar, dass die von einem Chatbot generierten Antworten nicht von einem Menschen, sondern in Wirklichkeit von einer KI stammen. Eine weitere Ausnahme gilt unter bestimmten Voraussetzungen für Systeme, die gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten zugelassen sind.
Art. 50 Abs. 2 KI-VO richtet sich an Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen oder manipulieren. Dies umfasst die heute weit verbreiteten und bekannten generativen KI-Systeme. Anbieter solcher Systeme müssen die Ausgaben in einem maschinenlesbaren Format kennzeichnen und sicherstellen, dass sie als künstlich erzeugt oder verändert erkannt werden können. Kennzeichnung und Detektion bilden eine zusammengehörige technische Lösung. Die KI-VO gibt dabei nicht vor, wie konkret diese Pflicht technisch umzusetzen ist. In Betracht kommen etwa digital signierte Metadaten, Wasserzeichen, kryptografische Herkunftsnachweise oder – nach Auffassung der EU-Kommission beim derzeitigen Stand der Technik regelmäßig erforderlich – eine Kombination solcher Verfahren. Die Lösung muss, soweit technisch machbar, wirksam, interoperabel, robust und zuverlässig sein. Nicht unter die Transparenzpflicht fallen insbesondere bloße KI-gestützte „Standardbearbeitungen“, worunter etwa kleinere Korrekturen von Grammatik, Lesbarkeit oder Format eines Textes, aber auch Übersetzungen verstanden werden, sowie andere Bearbeitungen, welche den Inhalt nicht wesentlich verändern, wie z.B. die Entfernung von Staub von Bildern oder die Farbanpassung bzw. Veränderung der Auflösungen von Videos. Sobald jedoch ein vorbestehender Text etwa umgeschrieben wird, sodass sich dessen Stil, Struktur und Inhalt ändern, muss eine entsprechende Kennzeichnung vom Anbieter vorgenommen werden.
Art. 50 KI-VO: Welche Kennzeichnungspflichten gelten für Betreiber?
Für Betreiber enthält Art. 50 Abs. 3 und 4 KI-VO drei zentrale Transparenzpflichten. Sie betreffen erstens Emotionserkennungs- und biometrische Kategorisierungssysteme, zweitens Deepfakes und drittens bestimmte KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse. Anders als die technischen Anbieterpflichten knüpfen diese Vorgaben an den konkreten Einsatz des KI-Systems und die Veröffentlichung seiner Ergebnisse an.
Nach Art. 50 Abs. 3 KI-VO müssen Betreiber alle betroffenen Personen darüber informieren, wenn sie einem Emotionserkennungssystem oder einem System zur biometrischen Kategorisierung ausgesetzt sind. Emotionserkennungssysteme leiten beispielsweise Gefühle oder Absichten aus biometrischen Daten ab. Biometrische Kategorisierungssysteme ordnen Personen anhand solcher Daten bestimmten Kategorien zu. Die Information ist unabhängig davon erforderlich, ob das System in Echtzeit arbeitet oder Daten erst nachträglich auswertet. Andere rechtliche Vorgaben, insbesondere aus dem Datenschutzrecht und den Verbotstatbeständen der KI-VO, bleiben daneben anwendbar.
Art. 50 Abs. 4 Unterabs. 1 KI-VO verpflichtet Betreiber, Deepfakes, die sie mit einem KI-System erzeugen oder manipulieren und anschließend verbreiten, als künstlich erzeugt oder verändert offenzulegen. Die Kennzeichnung muss für Menschen verständlich und unmittelbar wahrnehmbar sein. Eine nur maschinenlesbare Markierung des Anbieters reicht hierfür nicht aus. Wegen des weiten Deepfake-Begriffs und der zunehmenden Nutzung generativer KI in Marketing, Unternehmenskommunikation, Medien und sozialen Netzwerken dürfte diese Pflicht für viele Unternehmen die praktisch bedeutendste Betreiberpflicht sein.
Eine weitere Pflicht folgt aus Art. 50 Abs. 4 Unterabs. 2 KI-VO. Betreiber müssen offenlegen, wenn ein KI-System Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. „Veröffentlicht“ ist ein Text, wenn er einem unbestimmten, hinreichend großen Kreis nicht miteinander verbundener Leser zugänglich ist, was auch bei einem kostenpflichtigen Abonnement der Fall sein kann. Private Korrespondenz, rein interne Unternehmenskommunikation oder individuelle Beratung fallen typischerweise nicht darunter.
Eine „Angelegenheit von öffentlichem Interesse“ liegt vor, wenn ein Thema für die Gesellschaft auf lokaler, nationaler, europäischer oder internationaler Ebene relevant ist. Dazu zählen etwa Politik, öffentliche Verwaltung und Daseinsvorsorge, Justiz und öffentliche Sicherheit, Gesundheit, Umwelt- und Klimaschutz, Verbrauchersicherheit sowie wesentliche wirtschaftliche, finanzielle, wissenschaftliche, kulturelle oder rechtliche Entwicklungen. Deshalb können etwa Fach-Newsletter, Nachhaltigkeitsberichte und wichtige Informationen für Anleger oder Lieferketten erfasst sein. Gewöhnliche Produktbeschreibungen oder rein absatzbezogene Werbung sind für sich genommen jedoch noch keine Texte von öffentlichem Interesse.
Die Kennzeichnungspflicht entfällt, wenn zwei Voraussetzungen zusammen erfüllt sind: Der Text wurde einer echten menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen, und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung für seine Veröffentlichung. Erforderlich ist eine inhaltliche Prüfung durch fachkundige Personen, was eine Kontrolle der im Text wiedergegebenen Fakten umfasst. Eine bloße Rechtschreibprüfung, ein formales Abzeichnen oder ein rein technischer Freigabeschritt reichen nicht. Wird der freigegebene Text anschließend durch KI substanziell geändert, muss die Prüfung erneut erfolgen.
Deepfakes nach der KI-Verordnung: Welche Inhalte müssen gekennzeichnet werden?
Die Kennzeichnungspflicht nach Art. 50 Abs. 4 Unterabs. 1 KI-VO ist besonders praxisrelevant. Aufschluss darüber, wie diese Pflicht umzusetzen ist, geben die am 20. Juli 2026 veröffentlichten Leitlinien der EU-Kommission zur Umsetzung der Transparenzpflichten für bestimmte KI-Systeme gemäß Art. 50 KI-VO. Hiernach ist der Begriff „Deepfake“ weit zu verstehen.
Nach Art. 3 Nr. 60 KI-VO geht es um KI-erzeugte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und fälschlich authentisch oder wahr erscheinen können. Was oft übersehen wird: Der Begriff „existierend“ meint nicht nur etwas, das tatsächlich vorhanden ist: Erfasst werden auch realistisch wirkende Abbildungen etwa von Personen, Produkten, Orten oder Ereignissen, die plausibel existieren oder stattgefunden haben könnten.
Entscheidend ist eine objektive Gesamtbetrachtung. Zu berücksichtigen sind insbesondere der Grad der Ähnlichkeit, die Aussage des Inhalts, sein Einsatzumfeld und das vernünftigerweise vorhersehbare Publikum. Eine Täuschungsabsicht ist nicht erforderlich. Auch vollständig erfundene, aber realistisch wirkende Personen oder Produktdarstellungen können daher Deepfakes sein. Besondere Vorsicht ist geboten, wenn Kinder, ältere Menschen oder andere Gruppen mit geringerer digitaler Erfahrung zum Publikum gehören.
Die Leitlinien der EU-Kommission nennen verschiedene Beispiele für Deepfakes: Deepfakes können etwa ein manipuliertes Bild realer Profifußballer, eine geklonte Podcast-Stimme, ein Video eines scheinbar eine Rede haltenden Politikers, einen realistisch wirkenden synthetischen Unternehmenschef oder Influencer sowie eine KI-generierte Produktabbildung umfassen, die das Produkt besser oder anders erscheinen lässt, als es tatsächlich ist. Auch das Klonen der Stimme einer realen Person oder ein realistischer KI-Avatar für eine Unternehmensbotschaft kann erfasst sein.
Nicht jeder KI-generierte Inhalt ist jedoch ein Deepfake. Ausgenommen sind erkennbar unrealistische Darstellungen, etwa fliegende Fantasiewesen oder sprechende Mäuse. Auch rein technische oder geringfügige Bearbeitungen – beispielsweise Farbkorrekturen, Helligkeitsanpassungen, Rauschunterdrückung, Dateikompression oder unbedeutende Änderungen am Hintergrund – begründen typischerweise keinen Deepfake, solange sie die Wahrnehmung von Echtheit und Wahrheitsgehalt nicht wesentlich verändern. Ebenso kann ein echtes Produkt vor einem KI-generierten Hintergrund gezeigt werden, wenn das Publikum dadurch nicht über Aussehen, Eigenschaften oder Verwendung des Produkts irregeführt wird.
KI-Kennzeichnung: Wie Unternehmen die Transparenzpflichten umsetzen können
Anbieter sollten Transparenz nicht als nachträglichen Hinweis, sondern als Bestandteil ihrer KI-bezogenen Unternehmens-Compliance verstehen. Für generative Systeme bedeutet dies vor allem: geeignete maschinenlesbare Markierungen einbetten und dazu passende Erkennungslösungen bereitstellen.
Anbieter – ebenso wie betroffene Betreiber – können den von der Kommission als angemessen bewerteten Code of Practice on Transparency of AI-Generated Content unterzeichnen. Die Einhaltung seiner Vorgaben erleichtert den Nachweis, dass die Transparenzpflichten nach Art. 50 Abs. 2 und 4 KI-VO erfüllt sind, und entfaltet damit praktisch eine Vermutungswirkung. Aufsichtsbehörden werden bei Unterzeichnern vor allem prüfen, ob sie die zugesagten Maßnahmen tatsächlich umgesetzt haben. Wer dem Code nicht beitritt, muss die Einhaltung der Transparenzpflichten auf andere geeignete Weise nachvollziehbar darlegen.
Betreiber brauchen vor allem klare interne Kennzeichnungsregeln. Ein Label muss verständlich, deutlich unterscheidbar und spätestens beim ersten Kontakt mit dem Inhalt wahrnehmbar sein. Das freiwillige EU-Icon oder ein gleichwertiges Label kann hierfür genutzt werden; möglich sind etwa Hinweise wie „AI | GENERATED“ oder „AI | MODIFIED“. Bei Bildern sollte das Label in engem räumlichen Zusammenhang stehen. Videos sollten am Anfang und – bei längeren oder unterbrochenen Formaten – wiederholt gekennzeichnet werden. Bei reinen Audioinhalten empfiehlt sich zu Beginn ein kurzer gesprochener Hinweis; bei längeren Formaten können Erinnerungen erforderlich sein.
Bei Texten gehört der Hinweis gut sichtbar an den Anfang, in die Nähe der Überschrift oder in ein einleitendes Impressum. Technische Metadaten allein genügen für Betreiber nicht. Unternehmen sollten außerdem Verantwortlichkeiten, Freigabe- und Korrekturprozesse, den Einsatz externer Agenturen sowie die Sicherung vorhandener Labels vertraglich und organisatorisch regeln.
Art. 50 KI-VO: Seit wann gelten die Transparenzpflichten?
Die Transparenzpflichten des Art. 50 KI-VO gelten nach Art. 113 KI-VO grundsätzlich seit dem 2. August 2026. Eine eng begrenzte Übergangsregel folgt aus dem Digital Omnibus on AI (Verordnung (EU) 2026/1744), der seit dem 27. Juli 2026 in Kraft ist und die KI-VO reformiert.
Für Anbieter generativer KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden, greifen die Markierungs- und Erkennungspflichten aus Art. 50 Abs. 2 KI-VO erst ab dem 2. Dezember 2026.
Bereits vor dem 2. August 2026 erzeugte oder manipulierte Ausgaben müssen grundsätzlich nicht rückwirkend technisch markiert oder als Deepfake gekennzeichnet werden. Auch zuvor veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse benötigen keine nachträgliche Kennzeichnung. Wird ein zuvor erzeugter Text dagegen erst am oder nach dem 2. August 2026 veröffentlicht, ist die Betreiberpflicht grundsätzlich zu beachten.
KI-Compliance: Was Anbieter und Betreiber jetzt beachten müssen
Verstöße gegen Art. 50 KI-VO sind keine Bagatellen. Nach Art. 99 Abs. 4 KI-VO können gegen Anbieter und Betreiber Geldbußen von bis zu 15 Millionen Euro oder bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist; für KMU und kleine Unternehmen mittlerer Kapitalisierung (Small Mid-Caps) gilt jeweils der niedrigere Betrag
KI-Transparenzpflichten: Was Unternehmen jetzt umsetzen sollten
- KI-Systeme erfassen: Unternehmen sollten prüfen, welche KI-Systeme sie anbieten oder in eigener Verantwortung einsetzen und welche Transparenzpflichten nach Art. 50 KI-VO daraus folgen.
- Kennzeichnungspflichten klären: Insbesondere bei Chatbots, Deepfakes und bestimmten KI-generierten Texten müssen Unternehmen prüfen, wann und in welcher Form eine Kennzeichnung erforderlich ist.
- Interne KI-Richtlinien festlegen: Unternehmen sollten dokumentieren, wer die rechtliche Einordnung vornimmt, wann eine Kennzeichnung notwendig ist und wie Freigaben erfolgen.
- Redaktionelle Verantwortung sicherstellen: Bei KI-generierten Texten zu Angelegenheiten von öffentlichem Interesse kann eine qualifizierte menschliche Überprüfung die Kennzeichnungspflicht entfallen lassen
- Mitarbeitende sensibilisieren: Insbesondere Marketing, Kommunikation, HR, Produktentwicklung, Einkauf und Rechtsabteilung sollten wissen, wann KI-generierte Inhalte gekennzeichnet werden müssen.
