Hendrik Witt, LL.M., MBA Rechtsanwalt in Köln bei Witt Legal und David Krstic, Doktorand an der Universität Mannheim und wissenschaftlicher Mitarbeiter bei Witt Legal.
Seit dem 2. August 2026 müssen Unternehmen die Transparenzpflichten des Art. 50 KI-VO einhalten. Lediglich für die Anbieterpflicht zur maschinenlesbaren Kennzeichnung und Erkennbarkeit synthetischer Inhalte nach Art. 50 Abs. 2 KI-VO greift nach Maßgabe des KI-Omnibus eine viermonatige Übergangsfrist zugunsten bereits in Verkehr gebrachter Systeme.
Die Verordnung selbst regelt im Kern das „Ob“ der Transparenz. Das „Wie“ (Technik, Form, Platzierung etc.) ist nur ansatzweise vorgegeben. Die praktische Umsetzung wird deshalb in den Leitlinien vom 20. Juli 2026 und im Code of Practice vom 10. Juni 2026 beschrieben. Bei beidem handelt es sich zwar um unverbindliches Soft Law, vor allem der Code of Practice hat aber große praktische Bedeutung. Seine Unterzeichnung und Einhaltung erleichtern den Nachweis der Erfüllung der Transparenzpflichten erheblich.
Art. 50 KI-VO ist unübersichtlich und systematisch komplex. Zum besseren Verständnis zeigt die folgende Darstellung auf, wer wann wie für Transparenz zu sorgen hat.
Quelle: Witt Legal GmbH & Co. KG
Aus der Darstellung wird deutlich, dass Art. 50 KI-VO Pflichten in Bezug auf bestimmte KI-Systeme und bestimmte KI-Outputs unterscheidet und dabei zwischen Anbieter- und Betreiberpflichten differenziert:
- Die Absätze 1 und 3 setzen am KI-System an (Interaktion mit Menschen; Emotionserkennung und biometrische Kategorisierung).
- Die Absätze 2 und 4 am KI-Output (synthetische Inhalte; Deepfakes; Texte zu Angelegenheiten von öffentlichem Interesse).
- Auch die Adressaten variieren je nach Absatz: Die Absätze 1 und 2 verpflichten den Anbieter, die Absätze 3 und 4 den Betreiber des KI-Systems.
- Absatz 5 regelt einheitlich den Zeitpunkt und die Weise der Information. Diese muss spätestens bei der ersten Interaktion bzw. Aussetzung auf klare, eindeutige und barrierefreie Weise bereitgestellt werden.
Wesentliche Vorgaben bei der Umsetzung der Transparenzpflichten
Die Leitlinien und der Code of Practice konkretisieren Anforderungen an die praktische Umsetzung der Transparenzpflichten. Wesentliche Anforderungen für Unternehmen lassen sich wie folgt kategorisieren:
- Anbieterpflicht bei interaktiven KI-Systemen:
Anbieter müssen KI-Systeme, die für die direkte Interaktion mit Menschen bestimmt sind, so konzipieren, dass die betroffenen Personen über die Interaktion mit einem KI-System informiert werden. Ein angemessener Hinweis (je nach System als (Kombination aus) Text, Grafik, Audio) vor der ersten Interaktion genügt, etwa: „Sie chatten mit einem KI-System.“
Die Pflicht der Offenlegung besteht nicht, wenn die Interaktion mit dem KI-System aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person offensichtlich ist. Dies ist beispielsweise der Fall bei interaktiven Diagnose-Systemen für medizinisches Fachpersonal, bei KI-gesteuerten NPCs in Videospielen oder bei KI-Systemen, die für unternehmensinterne Assistenzzwecke durch geschulte Mitarbeiter genutzt werden. Da die Darlegungs- und Beweislast beim Anbieter liegt und der Hinweis in der Regel trivial umzusetzen ist, empfiehlt es sich, ihn im Zweifel zu erteilen. - Anbieterpflichten bei synthetischen Inhalten:
Synthetische Inhalte sind (abseits eng gefasster Ausnahmen) alle KI-generierten oder KI-gestützt manipulierten Outputs in Audio-, Bild-, Video- und/oder Textform.
Anbieter von KI-Systemen, die solche Inhalte erzeugen, müssen sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Leitlinien unterteilen diese Pflicht dem Wortlaut entsprechend in zwei Elemente: Marking und Detection.
Beim Marking genügt eine maschinenlesbare Kennzeichnung. Sichtbare Labels sind nicht geschuldet, aber als ergänzende Maßnahme zulässig. ErwGr. 133 KI-VO nennt als verfügbare Kennzeichnungslösungen Wasserzeichen, Metadatenidentifizierungen, kryptografische Methoden zum Nachweis der Herkunft und Authentizität des Inhalts, Protokollierungsmethoden und Fingerabdrücke. Theoretisch könnte eine einzelne technische Lösung genügen, sofern diese zuverlässig, wirksam, interoperabel und belastbar ist. Da nach derzeitigem Stand der Technik aber kein technisches Verfahren existiert, das für sich genommen diese Anforderungen erfüllt, sollen (abseits enger Ausnahmen) mehrere Ansätze kombiniert werden. Der Code of Practice sieht insofern vor, dass mindestens digital signierte Metadaten und ein unsichtbares Wasserzeichen einzusetzen sind, sofern es sich nicht um Text mit weniger als 200 Tokens handelt. Ergänzend können Protokollierungsmethoden und Fingerabdrücke genutzt werden. Die Kennzeichnung kann dabei auf System- oder Modellebene implementiert werden, auch der Rückgriff auf Lösungen vorgelagerter Modellanbieter oder Dritter ist zulässig, entbindet aber nicht von der eigenen Nachweispflicht.
Die Detection-Verpflichtung bedeutet, dass den potenziell exponierten Personen auch ein Mittel zur Erkennung der Kennzeichnung verfügbar gemacht werden muss. Bis sich Branchenstandards für öffentlich verfügbare Erkennungslösungen gebildet haben, können Anbieter auf eigene oder von bzw. mit Dritten entwickelte Lösungen zurückgreifen, sofern diese Interoperabilität mit von anderen Anbietern eingesetzten Lösungen gewährleisten. Das Ergebnis, also die Identifikation als KI-generiert oder -manipuliert, muss für den Menschen klar und leicht verständlich dargestellt werden.
Außerdem sollen die Anbieter von KI-Systemen nach dem Code of Practice in ihren Nutzungsbedingungen die vorsätzliche Entfernung oder Manipulation von Metadaten-Kennzeichnungen durch Betreiber und Dritte vertraglich untersagen.
Die Pflicht besteht nicht, soweit die KI-Systeme lediglich eine unterstützende Funktion für die Standardbearbeitung ausführen oder die Eingabedaten bzw. deren Semantik nicht wesentlich verändern. Hierunter fallen unter anderem Rechtschreib- und Grammatikprüfungen, Kompressionen, Formatanpassungen, leichte farbliche Änderungen oder Rauschunterdrückungen. Bis zuletzt war unklar, wie KI-Übersetzungen und -Zusammenfassungen einzuordnen sind. Anders als im Leitlinien-Entwurf vom Mai 2026 werden nun zumindest KI-Übersetzungen von der Transparenzpflicht ausgenommen. - Betreiberpflicht bei Deepfakes:
Deepfakes sind durch KI erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen.
Deepfakes sind vom Betreiber klar und ohne technische Hilfsmittel erkennbar als künstlich erzeugt oder manipuliert auszuweisen. Die Markierung muss für den Menschen wahrnehmbar sein. Für Bild- und Video-Deepfakes werden frei nutzbare EU-Icons bereitgestellt. Das Icon soll grundsätzlich unmittelbar in den Inhalt eingebettet werden und ohne Nutzerinteraktion oder besondere Aufmerksamkeit sofort erkennbar sein. Die Verwendung der EU-Icons begründet für sich genommen noch keine Konformität, bietet aber einen einheitlichen, praktikablen Umsetzungspfad. Bei reinen Audio-Deepfakes kann Transparenz naturgemäß nicht durch ein Bild-Icon gewährleistet werden, sodass ein hörbarer Hinweis umzusetzen ist. Künftig soll ein Audio-Pendant zu den bildlichen EU-Icons entwickelt werden. Bei Video- oder Audio-Deepfakes ist der Hinweis nach Möglichkeit in regelmäßigen Abständen zu wiederholen, mindestens aber nach (Werbe-)Unterbrechungen.
Bei Deepfakes, die Teil eines offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werks oder Programms sind, ist die Transparenzpflicht eingeschränkt. Hier genügt eine Offenlegung, die die Darstellung und den Genuss des Werks nicht beeinträchtigt. Manche Details sind trotz Leitlinien und Code of Practice nach wie vor unklar: Was bedeutet in diesem Zusammenhang Kunst, Kreativität, Satire oder Fiktion? Wann ist der entsprechende Charakter offensichtlich? Inwiefern handelt es sich bei offensichtlich fiktionalen Werken überhaupt noch um Deepfakes? Wo verläuft die Grenze zwischen ausreichender Offenlegung und Beeinträchtigung des Werkgenusses? Betreiberpflicht bei Texten zu Angelegenheiten von öffentlichem Interesse:
KI-generierte oder -manipulierte Texte, die veröffentlicht werden, um über Angelegenheiten von öffentlichem Interesse zu informieren, sind so zu kennzeichnen wie Deepfakes, also durch ein gut sichtbares EU-Icon unmittelbar vor bzw. am Text. „Angelegenheiten von öffentlichem Interesse“ ist denkbar weit zu verstehen. Hierunter fallen alle wirtschaftlichen, finanziellen, politischen, wissenschaftlichen oder kulturellen Entwicklungen auf regionaler, nationaler und internationaler Ebene. Die Betreiberpflicht trifft daher nicht nur öffentliche Stellen und die Medienwirtschaft. Sie gilt beispielsweise auch bei durch oder mithilfe von KI erstellten Unternehmensberichten, sofern diese veröffentlicht werden und Informationen für Investoren enthalten.
Für KI-Texte gilt jedoch eine Redaktionsausnahme: Eine Offenlegung der KI-Verwendung ist nicht erforderlich, wenn der Text einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Die Überprüfung bzw. Kontrolle darf aber nicht oberflächlich oder rein formal sein, sie muss insbesondere über eine Rechtschreib- und Grammatikprüfung hinausgehen und mindestens einen Faktencheck umfassen. Es empfiehlt sich, das Prüfverfahren nachweisbar zu dokumentieren.
Bedeutung für private Nutzer und Plattformen
Wer ein KI-System ausschließlich im Rahmen einer persönlichen, nicht beruflichen Tätigkeit nutzt, ist kein „Betreiber“ und deshalb von den Transparenzpflichten nicht adressiert.
Auch die Plattformen, auf denen KI-Inhalte verbreitet werden, adressiert Art. 50 KI-VO nicht unmittelbar.
Beide Gruppen werden aber mittelbar in die Transparenzarchitektur eingebunden: Die Leitlinien halten Plattformen, Suchmaschinen und andere Akteure in der Verbreitungskette ausdrücklich dazu an, die vom Anbieter implementierten Kennzeichnungen zu erhalten und ihre Identifikation zu ermöglichen. Nach dem Code of Practice sollen Anbieter generativer KI in ihren Nutzungsbedingungen die vorsätzliche Entfernung oder Manipulation von Metadaten-Kennzeichnungen durch Betreiber und Dritte vertraglich untersagen.
Hier besteht ein Zusammenspiel mit dem DSA: Sehr große Online-Plattformen und Suchmaschinen können als Teil ihrer Risikominderungspflichten dafür Sorge zu tragen haben, dass Deepfakes auffällig gekennzeichnet sind (Art. 35 Abs. 1 S. 2 lit. k DSA). Die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 KI-VO kann es ermöglichen, Deepfakes zu erkennen, um sie anschließend zu kennzeichnen, sofern dies nicht bereits betreiberseitig geschehen ist.
Handlungsempfehlungen und Risiken bei fehlender Compliance
Für die praktische Umsetzung der Pflichten nach Art. 50 KI-VO kommt für Unternehmen ein dreistufiges Vorgehen in Betracht: Erstens prüfen, ob ein transparenzpflichtenauslösendes System oder ein transparenzpflichtenauslösender Output vorliegt. Zweitens die eigene Rolle (Anbieter, Betreiber oder Nicht-Adressat) richtig einordnen. Drittens die Umsetzung an den Leitlinien und am Code of Practice orientieren, deren Einhaltung trotz fehlender Rechtsverbindlichkeit und verbleibender Unklarheiten jedenfalls gute Argumente für die Compliance mit Art. 50 KI-VO geben dürfte.
Verstöße gegen die Transparenzpflichten laufen Gefahr, zügig von Aufsichtsbehörden und Kunden oder anderen Marktakteuren identifiziert zu werden. Anbietern und Betreibern drohen bspw. erhebliche Bußgelder (bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes) oder andere behördliche Maßnahmen, Forderungen nach Schadensersatz oder Unterlassung von Kunden oder Wettbewerbern und nicht zuletzt Reputationsschäden im Umgang mit KI.
Die Leitlinien sind abrufbar unter:
https://ec.europa.eu/newsroom/dae/redirection/document/131215
Der Code of Practice ist abrufbar unter:
https://ec.europa.eu/newsroom/dae/redirection/document/129555
Die EU-Icons stehen zum Download bereit unter:
https://ec.europa.eu/newsroom/dae/redirection/document/129546 (SVG) bzw.
https://ec.europa.eu/newsroom/dae/redirection/document/129547 (PNG)
| Hendrik Witt, LL.M., MBA ist Rechtsanwalt in Köln bei Witt Legal. David Krstic ist Doktorand an der Universität Mannheim und wissenschaftlicher Mitarbeiter bei Witt Legal. |