Diese KI-Kennzeichnungsregeln gelten ab 2. August für Unternehmen

Lutz Riede ist Partner bei Freshfields in Wien. In diesem Gastbeitrag erklärt er, wie sich die Transparenzverpflichtungen für Anbieter und Betreiber von bestimmten KI-Systemen laut Artikel 50 des AI Act der EU gestalten. 

Die KI-VO enthält, neben vielen anderen Bestimmungen, eine Reihe an Transparenzverpflichtungen: Nutzer sollen wissen, ob sie es KI tun haben, Anbieter müssen KI-generierte Inhalte kennzeichnen, besondere Bestimmungen gelten für sogenannte Deepfakes. Ab 2. August müssen diese Transparenzvorschriften beachtet werden, ansonsten drohen Verwaltungsstrafen. Die Europäische Kommission hat mittlerweile Guidelines veröffentlicht, und ein Praxisleitfaden soll die compliance erleichtern. Trotzdem ist die operative Umsetzung der Transparenzregeln eine Herausforderung.

Die nachfolgende Checkliste gibt eine erste Orientierung:

1. Rollenanalyse

Die Pflichten der KI-VO sind rollenspezifisch. Wer die Rollen falsch abgrenzt, riskiert unvorhergesehene Verantwortlichkeiten.

Rollen im Unternehmen identifizieren:

• Anbieter (Provider): Wer entwickelt KI-Systeme oder bringt sie unter eigenem Namen/eigener Marke in Verkehr?
• Betreiber (Deployer): Wer setzt KI-Systeme beruflich in eigener Verantwortung ein?
• Praxis-Falle: Rollenwechsel durch Verwendung von Systemen im eigenen Namen; Verantwortung bei Erstellung von Inhalten durch Dritte (zB Agenturen) klären

2. Überblick über die Transparenzpflichten für Unternehmen

Die KI-VO verlangt ab 2. August 2026 eine Kennzeichnung von spezifischen generativen KI-Systemen spätestens bei der ersten Exposition. Die medial präsente Verschiebung von Pflichten durch den Digital Omnibus betrifft nur die maschinenlesbare Anbieterpflicht für bestehende KI-Systeme. Zur praktischen Umsetzung dient der (freiwillige) Code of Practice (CoP) als maßgebliche Richtschnur, zudem erstellt die Kommission Leitlinien zur weiteren Erläuterung.

A. Chatbots & Emotionserkennung

• Chatbots & Sprachassistenten (Anbieterpflicht) offenlegen:
  Sicherstellen, dass Nutzer spätestens bei der ersten Interaktion wissen, dass sie mit einer KI kommunizieren (Anbieter-Designpflicht). Die Pflicht entfällt nur, wenn die KI-Nutzung für einen verständigen
  Durchschnittsnutzer völlig offensichtlich ist.
• Emotionserkennung (Betreiberpflicht): Falls Systeme zur Analyse von Emotionen oder biometrischen Merkmalen eingesetzt werden, müssen betroffene Personen vorab transparent darüber informiert werden.

B. Technische Kennzeichnung von synthetischem Content

• Maschinenlesbare Markierung (Anbieterpflicht) implementieren: Anbieter generativer Systeme müssen Outputs technisch (z. B. durch Metadaten oder unsichtbare Wasserzeichen) als KI-generiert markieren. Reine Standardbearbeitungen sind davon ausgenommen.

C. Deepfakes bei Bild, Video & Audio

• Weites Deepfake-Verständnis anlegen: Deepfakes betreffen auch Objekte, Kulissen, synthetische Models und rein generative Hintergründe. Es reicht, wenn das Dargestellte real existieren könnte (tatsächliche Existenz ist nicht erforderlich).
• Täuschungsschwelle niedrig ansetzen: Maßstab ist die konkrete Zusammensetzung des Publikums (inkl. vulnerabler Gruppen wie Kinder oder ältere Menschen), nicht der
  Durchschnittsnutzer.
• Marketing-Falle beachten: Die Ausnahme für offensichtlich künstlerische oder kreative Werke greift in der Werbung fast nie, da Kampagnen kommerziellen Zwecken dienen.
• Standardbearbeitungen herausfiltern: Rein technische Bearbeitungen (Farbfilter, Rauschunterdrückung, Freistellen, Cropping) sind frei. Substanzielle Eingriffe (z.B. das
  Hinzufügen neuer Hintergründe mittels KI) lösen die Pflicht aus. Ausgenommen sind physikalisch/biologisch unmögliche Darstellungen, da hier keine Täuschungsgefahr besteht.

D. KI-generierte Texte

• Veröffentlichungszweck prüfen: Die Pflicht greift nur, wenn Text veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Reine Markenwerbung ist frei. Vorsicht gilt bei Graubereichen (CSR Kommunikation, Nachhaltigkeitsberichte, Investoren-Updates).
• Ausnahme „Redaktionelle Kontrolle“ nutzen: Die Kennzeichnungspflicht entfällt komplett, wenn ein Mensch den Text vor Veröffentlichung inhaltlich prüft und die redaktionelle Verantwortung übernimmt.
• Freigabeprozess zwingend dokumentieren: Identität der verantwortlichen Person, Rolle und organisatorische Kontrollmaßnahmen müssen aufgezeichnet werden.

3. Sanktionen

Bei Nichtbeachtung drohen Bußgelder bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes. Die KI-VO gilt zusätzlich zu anderen Gesetzen. Bei KI-Nutzung müssen stets Urheberrecht, Verbraucherrecht. Lauterkeitsrecht, DSGVO und das allgemeine Persönlichkeitsrecht mitgeprüft werden. Gerade bei Verstößen gegen Transparenzpflichten droht auch ein Reputationsschaden.