Loading
Der Praxisleitfaden zu Artikel 50: Europas Transparenzregeln für KI
·9 Min. Lesezeit
Die meisten Organisationen, die sich durch die Compliance-Anforderungen der KI-Verordnung (Verordnung (EU) 2024/1689) arbeiten, haben ihre Zeit bislang mit der Risikoklassifizierung verbracht: Sie versuchen zu bestimmen, welche ihrer Systeme in die verbotenen oder hochriskanten Kategorien fallen. Sie haben zudem geklärt, was das für Dokumentation, Konformitätsbewertung und Marktzugang bedeutet.
Am 2. August 2026 ist Artikel 50 der KI-Verordnung in Kraft getreten und markiert damit den nächsten großen Schritt in der europäischen Regulierung künstlicher Intelligenz. Artikel 50 führt die Verordnung dorthin, wo Menschen KI tatsächlich begegnen: in die direkte Interaktion mit KI-Systemen und in die Inhalte, die diese erzeugen.
Die Vorschrift reicht nun in ganz gewöhnliche kommerzielle Tätigkeit hinein. Nicht in experimentelle Anwendungen oder Einsätze an der technologischen Grenze, sondern in Kundenservicekanäle, Prozesse der Inhalteerstellung und redaktionelle Abläufe, die die meisten Organisationen bereits betrieben, bevor Compliance zur Pflicht wurde. Doch Artikel 50 behandelt diese Anwendungen nicht einheitlich. Was ein Unternehmen tun muss, hängt davon ab, wie die KI eingesetzt wird und ob das Unternehmen das System selbst gebaut hat oder das eines anderen einsetzt.
Die KI-Verordnung umfasst 445 Seiten. Eine Frage kehrt darin immer wieder: Wer hat die KI gebaut, und wer setzt sie ein. Die Unterscheidung zwischen Anbieter und Betreiber bestimmt, wie die Verordnung Verantwortung zuweist.
Ein Unternehmen, das sein eigenes KI-System entwickelt und in Verkehr gebracht hat, ist Anbieter. Ein Unternehmen, das das System eines anderen im eigenen Betrieb nutzt, ist Betreiber. In der Praxis sind die meisten Organisationen ab einer gewissen Größe beides zugleich, je nach betrachtetem System: Ein Unternehmen, das ein eigenes Werkzeug für Kundendaten gebaut hat und sein Marketingteam zugleich mit einem lizenzierten Bildgenerator arbeiten lässt, steht dann gleichzeitig in beiden Positionen, mit unterschiedlichen Pflichten in jeder.
Nach Artikel 50 ersetzt keine der beiden Pflichtenreihen die andere. Was der Anbieter baut und was der Betreiber ausliefert, sind zwei verschiedene Dinge, und Artikel 50 behandelt sie entsprechend. Wenn ein Unternehmen also einen Chatbot von einem Dritten lizenziert und ihn seinen Kunden vorsetzt, kann es nicht davon ausgehen, dass der Lieferant sich um alles gekümmert hat. Anders gesagt: Der Kauf der Technologie überträgt nicht die Pflicht. Das Unternehmen bleibt verantwortlich für das, was seine Kunden tatsächlich sehen und hören.
Ausgangspunkt in der Praxis ist die Interaktion selbst. Artikel 50 Absatz 1 gilt für KI-Systeme, die direkt mit natürlichen Personen interagieren. Verlangt wird, dass der Person mitgeteilt wird, dass sie es mit einem KI-System zu tun hat, es sei denn, dies ist aus den Umständen bereits offensichtlich. Die Pflicht liegt beim Anbieter, sie in das System einzubauen, und beim Betreiber, sie korrekt umzusetzen. Der Hinweis gehört an den Anfang der Interaktion, nicht vergraben in Allgemeinen Geschäftsbedingungen oder in eine Datenschutzerklärung, die der Nutzer kaum gelesen haben dürfte.
„Aus den Umständen offensichtlich" ist enger gefasst, als es zunächst wirken mag. Ein Sprachassistent, der unter einem menschlichen Namen auftritt, oder eine Chatoberfläche im Kundenservice, die einem menschlichen Mitarbeiter nachempfunden ist, fällt nicht unter die Ausnahme. Maßgeblich ist, ob ein aufmerksamer Nutzer es auch ohne Hinweis bereits verstehen würde. Bei der Mehrzahl kommerzieller Einsätze lautet die Antwort, dass er es nicht wüsste, und der Hinweis ist daher erforderlich.
Artikel 50 Absatz 2 wechselt von der Interaktion selbst zu den Inhalten, die ein KI-System erzeugt. Anbieter von Systemen, die synthetisches Audiomaterial, Bilder, Videos oder Texte generieren, müssen sicherstellen, dass diese Ausgaben eine maschinenlesbare Kennzeichnung tragen: Informationen, die in die Datei eingebettet oder mit ihr verknüpft sind und sie als künstlich erzeugt oder manipuliert ausweisen.
Das ist kein für den Nutzer sichtbares Label. Es ist ein technischer Mechanismus, der die gewöhnliche Verbreitung überdauern soll: das Herunterladen, erneute Hochladen, Komprimieren einer Datei oder ihren Durchlauf durch eine Plattform. Innerhalb der technischen Grenzen des jeweiligen Formats soll die Kennzeichnung diese Reise überstehen. Der Verhaltenskodex der Kommission zur Transparenz von KI-Inhalten Verhaltenskodex zur Transparenz von KI-Inhalten behandelt, wie dieses Rahmenwerk funktionieren soll, und NicFabs Analyse des Kodex bietet einen brauchbaren Durchgang durch die technische Provenienzseite.
Für Anbieter lässt sich die daraus folgende Prüfpflicht leicht unterschätzen. Es geht nicht darum, ob die Kennzeichnung in der Datei vorhanden ist, die das System verlässt, sondern ob sie die Reise übersteht, die die Datei tatsächlich durch Formate, Plattformen und Verarbeitungsketten nimmt. Für Organisationen, die KI-erzeugtes Material von Lieferanten erhalten und es vor der Veröffentlichung bearbeiten, umschreiben oder neu kodieren, ist die Frage, ob die Kennzeichnung beim Ausspielen des Inhalts noch intakt ist, nicht allein Sache des Lieferanten.
Artikel 50 Absatz 4 rückt zwei Kategorien für Betreiber in den Blick.
Die erste sind Deepfakes: KI-erzeugte oder manipulierte Bilder, Audio- oder Videoinhalte, die für eine echte Darstellung von etwas gehalten werden könnten, das gar nicht stattgefunden hat: eine reale Person, die etwas sagt, was sie nie gesagt hat, oder etwas tut, was sie nie getan hat. Verwendet ein Unternehmen solches Material in seiner öffentlichen Kommunikation, muss es den künstlichen Charakter des Inhalts gegenüber dem Publikum offenlegen. Der Betreiber muss die Offenlegung auch dann vornehmen, wenn der Anbieter die Datei bereits mit einer technischen Kennzeichnung versehen hat.
Die zweite betrifft KI-erzeugten oder manipulierten Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Ein Unternehmen, das solche Inhalte veröffentlicht, muss den KI-Ursprung offenlegen, es sei denn, der Text hat eine echte menschliche redaktionelle Prüfung durchlaufen, bei der eine Person oder Organisation die redaktionelle Verantwortung für das Ergebnis übernimmt.
Diese redaktionelle Ausnahme verlangt mehr Prüfung, als die Formel „Human in the Loop" nahelegt. Die am 20. Juli 2026 angenommenen Leitlinien der Kommission, von Bird & Bird kurz nach Veröffentlichung zusammengefasst, stellen darauf ab, ob der Prüfer die Zeit und die Gelegenheit hatte, vor der Veröffentlichung inhaltliche Änderungen vorzunehmen. Eine Redakteurin, die einen generierten Entwurf übernommen, Abschnitte überarbeitet, die Faktenbasis unabhängig geprüft und vor dem Erscheinen des Textes echtes Urteilsvermögen ausgeübt hat, übt tatsächliche redaktionelle Kontrolle aus. Wer einen generierten Artikel vor dem Klick auf „Veröffentlichen" kurz überflogen hat, tut das nicht. Die Organisation, die sich auf die Ausnahme beruft, sollte nachweisen können, was die Prüfung tatsächlich umfasste.
Sichtbare Offenlegungen und maschinenlesbare Kennzeichnungen sind nicht dasselbe. Beide Anforderungen lassen sich leicht vermengen, doch sie dienen verschiedenen Zwecken.
Die maschinenlesbare Kennzeichnung ist dafür da, dass Plattformen, Moderationswerkzeuge und andere nachgelagerte Systeme KI-erzeugte Inhalte erkennen können. Die Offenlegung hingegen ist für die Person da, die dem Inhalt begegnet. Ein synthetisches Video kann daher beides tragen: eine in die Datei eingebettete technische Kennzeichnung und ein sichtbares Label, das dem Betrachter sagt, was er sieht. Das eine ersetzt das andere nicht.
Für Unternehmen, die KI-erzeugte Inhalte von Lieferanten erhalten und sie dann verarbeiten oder verbreiten, können diese beiden Seiten verschiedene Wege nehmen. Die technische Kennzeichnung durchläuft womöglich mehrere Systeme, bevor der Inhalt das Publikum erreicht, während die Offenlegung immer noch die Person erreichen muss, die ihn sieht. Beides muss berücksichtigt werden.
Der nächste Termin, den man im Blick behalten sollte, ist der 2. Dezember 2026. Während die Transparenzpflichten für Betreiber ab dem 2. August 2026 gelten, haben Anbieter von KI-Systemen, die bereits vor diesem Datum auf dem Markt waren, bis zum 2. Dezember 2026 Zeit, die nach Artikel 50 Absatz 2 vorgeschriebene maschinenlesbare Kennzeichnung umzusetzen. Diese viermonatige Übergangsfrist wurde durch den Digital Omnibus on AI, Verordnung (EU) 2026/1744, eingeführt. Cobalts Zusammenfassung des Digital Omnibus legt die Einzelheiten dar. Das bedeutet, dass die beiden Seiten für einen Teil des Jahres 2026 auf unterschiedliche Fristen hinarbeiten können. Ein Betreiber muss möglicherweise bereits KI-erzeugte Inhalte gegenüber seinem Publikum offenlegen, obwohl der Anbieter noch Zeit hat, die technische Kennzeichnung umzusetzen. Das eine wartet nicht auf das andere.
Beispiel: Ein Hotel nutzt einen KI-Bildgenerator, um ein Werbebild für seine Website zu erstellen. Das Hotel muss ab dem 2. August 2026 offenlegen, dass das Bild KI-generiert ist, auch wenn der Anbieter des Bildgenerators seine maschinenlesbare Kennzeichnung erst zum 2. Dezember 2026 hinzufügen muss.
Der KI-Anbieter kann seinen Sitz in den Vereinigten Staaten, im Vereinigten Königreich oder irgendwo anders haben. Diese Anschrift allein sagt jedoch nichts darüber aus, ob Artikel 50 gilt. Maßgeblich ist, wo das System genutzt wird und wo seine Ausgabe Menschen erreicht. Inhalte, die mit einem KI-Werkzeug außerhalb der EU erstellt werden, können dennoch unter Artikel 50 fallen, wenn sie für europäische Kampagnen produziert oder an Personen in der Union verbreitet werden.
Der grenzüberschreitende Charakter des Prozesses kann das schwerer erkennbar machen. Eine Hotelgruppe könnte etwa Kampagnenbilder mit einem in den USA ansässigen Werkzeug für Häuser in Deutschland und Frankreich erstellen. Ein Lieferant außerhalb der EU könnte Produktinhalte generieren, die anschließend über europäische Märkte veröffentlicht werden. Eine außerhalb der Union tätige Plattform könnte KI-erzeugtes Material generieren oder verbreiten, das letztlich Personen in Mitgliedstaaten angezeigt wird.
Der Standort des Anbieters allein liefert daher nur einen Teil des Bildes. Man muss dem System durch Nutzung und Verbreitung folgen: Wer es nutzt, wo die Ausgabe verwendet oder verfügbar gemacht wird und wer ihr begegnet. Reed Smiths Analyse der territorialen Fragen ist für die grenzüberschreitenden Konstellationen nützlich, in denen diese Linien weniger klar verlaufen.
Artikel 50 sagt Organisationen, was Transparenz verlangt. Der Verhaltenskodex ist der Ort, an dem die Anforderungen konkretere Gestalt annehmen, weil er die praktischen Fragen behandelt, die sich in einer auf dieser Ebene geschriebenen Verordnung nur schwer einzeln klären lassen. Der endgültige Kodex wurde am 10. Juni 2026 veröffentlicht. Er ist freiwillig, aber gleichwohl folgenreich. Eine Organisation, die dem Kodex folgt, profitiert von einer Vermutung der Konformität mit den einschlägigen Pflichten des Artikels 50, nachdem die Europäische Kommission und das KI-Gremium ihn als geeignet zum Nachweis der Compliance bewertet haben. Eine Organisation kann stattdessen einen anderen Ansatz wählen, muss dann aber zeigen, dass ihr Ansatz dasselbe Ergebnis erreicht.
Das ist besonders relevant, sobald KI-erzeugtes Material die geordneten Grenzen eines einzelnen Systems verlässt. Etwa wenn ein Inhalt in einem Werkzeug generiert, in einem anderen bearbeitet, durch eine Publishing-Plattform geführt, in verschiedene Formate umgewandelt und schließlich von einem Dritten verbreitet wird. Die Verordnung begründet die Pflicht, kann aber realistischerweise nicht jede technische Entscheidung entlang dieses Wegs vorschreiben (etwa Verfahren zur Kennzeichnung synthetischer Inhalte, die verwendeten technischen Methoden, wie diese Kennzeichen bei der Verarbeitung oder Verbreitung mit dem Inhalt verbunden bleiben und wie der Ansatz funktioniert, wenn mehrere Systeme, Anbieter oder Lieferanten beteiligt sind).
Der Kodex ist damit die praktische Schicht zwischen der Regel und den Systemen, Werkzeugen und Abläufen, die die Regel zum Funktionieren bringen müssen. Er ist keine zweite Fassung des Artikels 50 und kein eigenständiger Pflichtenkatalog daneben.
Am nützlichsten arbeitet man sich durch Artikel 50, indem man mit dem beginnt, was innerhalb der Organisation ohnehin schon geschieht. Man nimmt die genutzten KI-Werkzeuge und -Systeme, verfolgt, was sie erzeugen, und folgt dieser Ausgabe dann, während sie durch das Unternehmen wandert und schließlich nach außen gelangt.
Für jedes System klären einige wenige Fragen meist das Meiste: Handelt das Unternehmen als Anbieter, als Betreiber oder als beides? Interagiert das System direkt mit Menschen? Erzeugt es Inhalte, und welcher Art? Wer sieht diese Inhalte, und wo? Welcher Teil von Artikel 50 gilt, und an welcher Stelle des bestehenden Ablaufs wird diese Anforderung tatsächlich erfüllt?
Betrachtet man die Organisation auf diese Weise, wird klar, warum ein einzelnes Unternehmen mehrere verschiedene Positionen zugleich einnehmen kann. Es kann einen Chatbot für den Kundenservice lizenzieren, KI-gestützte redaktionelle Inhalte veröffentlichen und in seiner Marketingabteilung ein separates Werkzeug zur Bilderzeugung nutzen. Die Systeme sitzen womöglich in verschiedenen Teams und dienen verschiedenen Zwecken, doch sie begründen unterschiedliche Arten von Pflichten, obwohl sie alle zur selben Organisation gehören.
Die Verordnung wird deutlich handhabbarer, sobald diese Ketten sichtbar sind. Die Schwierigkeit liegt meist nicht darin, Artikel 50 zu lesen, sondern darin, alle Stellen zu finden, an denen er die bestehende Arbeitsweise eines Unternehmens berührt. Genau dabei soll Actify helfen: die KI-Werkzeuge und Anwendungsfälle über Organisationen hinweg zu erfassen, zu bestimmen, welche Pflichten gelten, und die fehlenden Teile in einen klaren, dokumentierten Handlungsplan zu überführen.