Seit dem 2. August 2026 gilt in der gesamten Europäischen Union die KI-Kennzeichnungspflicht. Chatbots müssen sich als Maschine zu erkennen geben, Deepfakes tragen sichtbare Markierungen und KI-Texte zu öffentlichen Themen werden offengelegt. Wer sich nicht daran hält, zahlt bis zu 15 Millionen Euro Strafe. Die Transparenz-Offensive ist der erste große Durchgriff des AI Act und trifft Anbieter wie Betreiber gleichermaßen.
Was der neue Durchgriff bedeutet
Artikel 50 der EU-KI-Verordnung tritt in Kraft und bringt vier konkrete Pflichten mit sich. Erstens: Jeder Chatbot, jeder KI-Assistent und jeder digitale Avatar muss Nutzer sofort darüber informieren, dass sie mit einer Maschine interagieren. Ein Hinweis im Kleingedruckten reicht nicht. Zweitens: KI-generierte oder KI-bearbeitete Bilder, Videos und Audios brauchen eine sichtbare Kennzeichnung. Drittens: Die Inhalte müssen zusätzlich maschinenlesbar markiert werden, damit automatische Erkennungssysteme sie identifizieren können. Viertens: KI-Texte zu Themen von öffentlichem Interesse kommen nur mit Kennzeichnung ins Netz, es sei denn, ein Mensch hat sie redaktionell geprüft und übernimmt die Verantwortung.
Die EU-Kommission betont, dass 180 Organisationen bereits einen freiwilligen Verhaltenskodex unterzeichnet haben. Dennoch bleibt die Frage, wie die Praxis aussieht, wenn Standards für Wasserzeichen noch nicht endgültig feststehen.
Bundesnetzagentur übernimmt die Kontrolle in Deutschland
In Deutschland fällt die Durchsetzung der Bundesnetzagentur zu. Sie fungiert als zentrale Marktüberwachungsbehörde und koordiniert die Kontrolle aller KI-Systeme, die im deutschen Markt angeboten werden. Dazu gehört ein neues Meldeportal für Verstöße sowie eine vertrauliche Whistleblower-Stelle für Mitarbeiter von KI-Unternehmen. Zuständig für KI-Systeme in EU-Einrichtungen ist der Europäische Datenschutzbeauftragte, während das EU-KI-Amt in Brüssel die Aufsicht über allgemeine KI-Modelle wie ChatGPT, Claude und Gemini übernimmt.
Die Bußgelder sind erheblich. Verstöße gegen Transparenzpflichten kosten bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Wer verbotene KI-Praktiken anwendet, zahlt sogar bis zu 35 Millionen Euro oder 7 Prozent des Umsatzes. Zudem muss die Bundesnetzagentur prüfen, ob große Modelle ausreichend Sicherheitsvorkehrungen gegen Cyberangriffe treffen.
Deepfakes, Wasserzeichen und die technische Realität
Besonders bei Deepfakes wird die Kennzeichnungspflicht konkret. Die EU-Kommission empfiehlt, dass Kennzeichnungen in Videos direkt zu Beginn erscheinen und regelmäßig wiederholt werden. Bei Bildern soll eine dauerhafte Markierung sichtbar sein, ergänzt durch interaktive Elemente wie Hover-Informationen. KI-generierte Podcasts brauchen eine gesprochene Ankündigung zu Beginn.
Das Problem: Viele aktuelle Wasserzeichen-Verfahren halten nicht einmal eine einfache Kompression oder einen Screenshot durch. Das C2PA-Protokoll bietet einen robusteren Ansatz, ist aber noch nicht flächendeckend implementiert. Für bestehende KI-Modelle gilt eine Schonfrist bis Dezember 2026 für die maschinenlesbare Markierung. Danach müssen alle Anbieter nachrüsten.
Hochrisiko-KI verschiebt sich auf 2027 und 2028
Während die Transparenzpflichten jetzt greifen, hat der AI Omnibus die Regeln für Hochrisiko-KI-Systeme aufgeschoben. Anwendungen im Personalmanagement und in der kritischen Infrastruktur müssen erst ab Dezember 2027 die Anforderungen erfüllen. In Produkte eingebettete KI-Systeme haben sogar bis August 2028 Zeit. Für bestehende Systeme gilt eine Übergangsfrist bis Dezember 2026. Zusätzlich werden bis August 2027 regulatorische Sandboxen eingerichtet, in denen Unternehmen neue KI-Anwendungen unter Aufsicht testen können.
Am 2. Dezember 2026 kommen weitere Verbote hinzu, darunter ein Verbot von KI-Systemen, die nicht einwilligungsfähige sexuelle Inhalte oder Kindesmissbrauchsmaterial erzeugen. Kalifornien hat bereits im Vorfeld eine ähnliche Kennzeichnungspflicht eingeführt. Die EU-Regeln gehen jedoch deutlich weiter, weil sie nicht nur Kennzeichnung fordern, sondern auch die technische Nachweisbarkeit sicherstellen wollen.
Was Unternehmen jetzt tun müssen
Für Unternehmen heißt es jetzt: Betroffene KI-Systeme inventarisieren, Chatbots mit klaren Hinweisen versehen und Deepfake-Kennzeichnungen implementieren. Wer KI-Texte zu öffentlichen Themen veröffentlicht, braucht entweder eine redaktionelle Prüfung oder eine maschinenlesbare Markierung. Die Umsetzung sollte nicht isoliert als reines Kennzeichnungsprojekt betrachtet werden, sondern als Teil einer durchgehenden KI-Compliance-Strategie. Die USA hinken bei der KI-Regulierung hinterher, während die EU jetzt den weltweit umfassendsten Rechtsrahmen durchsetzt. Wer in Europa KI anbietet oder einsetzt, kommt an den neuen Pflichten nicht vorbei.
Hinweis: Dieser Artikel wurde mit Unterstützung von Künstlicher Intelligenz erstellt und von einem Menschen redaktionell geprüft.
