Muss sich ein Chatbot auf einer Firmenwebsite als KI zu erkennen geben? Ja, seit dem 2. August 2026 verlangt Artikel 50 des EU AI Act (Verordnung (EU) 2024/1689) genau das, und zwar vor oder zu Beginn jeder Unterhaltung. Die Transparenzpflichten sind keine Vorschau mehr, sondern geltendes Recht, das die nationalen Aufsichtsbehörden seit diesem Datum durchsetzen können.
Der Digital Omnibus aus dem Sommer 2026 hat die Fristen für Hochrisiko-KI nach hinten verschoben, Artikel 50 aber ausdrücklich nicht angetastet. Die Transparenzpflichten laufen seit dem 2. August planmäßig. Wer die Verschiebung der Hochrisiko-Fristen mit einer Verschiebung der Transparenzpflichten verwechselt, liegt falsch, die Einordnung steht in unserem Beitrag zu den Hochrisiko-Fristen.
Stand: 2026-08-25. Aktualisiert von der Vorschau auf die geltende Rechtslage: Absatzstruktur von Art. 50 korrigiert, Übergangsfrist bis 2. Dezember 2026 ergänzt.
Was Artikel 50 seit dem 2. August 2026 verlangt
Art. 50 enthält vier Transparenzpflichten. Zwei richten sich an Anbieter, zwei an Betreiber. Diese Zuordnung entscheidet, wer im Einzelfall handeln muss.
Art. 50(1): Anbieter, Kennzeichnung interaktiver KI
Anbieter von KI-Systemen, die direkt mit natürlichen Personen interagieren, müssen diese Systeme so gestalten, dass Nutzer informiert werden, dass sie mit einer KI sprechen. Ausnahme ist nur der Fall, in dem das aus dem Kontext offensichtlich ist, was in der Praxis fast nie zutrifft. Ein Chat-Widget auf einer Unternehmenswebsite ist ohne expliziten Hinweis nicht offensichtlich eine KI.
Lösungen, die die Pflicht nach unserem Verständnis erfüllen:
- Ein sichtbares Label wie KI-Assistent oder Powered by AI am Chat-Fenster
- Eine automatische Begrüßung: Ich bin ein KI-Assistent von Musterfirma, wie kann ich helfen?
- Eine dauerhafte Kennzeichnung im Kopf des Interface, die während der ganzen Sitzung sichtbar bleibt
Ein Hinweis, der nur in der Fußzeile oder in den Nutzungsbedingungen steht, reicht nicht. Die Information muss vor oder zu Beginn der Interaktion beim Nutzer ankommen.
Art. 50(2): Anbieter, maschinenlesbare Markierung generierter Inhalte
Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen deren Ausgaben in einem maschinenlesbaren Format markieren, das als künstlich erzeugt oder manipuliert erkennbar ist. Der Gesetzestext verlangt, dass die technischen Lösungen wirksam, interoperabel, robust und zuverlässig sind, soweit das technisch machbar ist. C2PA-kompatible Metadaten sind derzeit der verbreitetste praktische Standard.
Hier gibt es eine wichtige Übergangsfrist. Für generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, muss die Markierungspflicht laut den Leitlinien der EU-Kommission erst ab dem 2. Dezember 2026 erfüllt sein. Für jedes System, das seit dem 2. August 2026 neu in Verkehr kommt, gilt die Pflicht sofort. Inhalte, die vor dem 2. August erzeugt wurden, müssen nicht rückwirkend markiert werden.
Art. 50(3): Betreiber, Emotionserkennung und biometrische Kategorisierung
Betreiber von Systemen zur Emotionserkennung oder zur biometrischen Kategorisierung müssen die betroffenen Personen über den Einsatz informieren. Diese Pflicht wird im Mittelstand oft übersehen, weil sie nicht am Chatbot hängt, sondern etwa an einer Software, die Bewerbungsgespräche auswertet oder Kunden nach biometrischen Merkmalen sortiert. Wer solche Systeme einsetzt, ist Betreiber im Sinne von Art. 50(3).
Art. 50(4): Betreiber, Deepfakes und Texte von öffentlichem Interesse
Betreiber, die mit KI Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren, die einen Deepfake darstellen, müssen offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Dasselbe gilt für KI-erzeugte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch trägt die redaktionelle Verantwortung und prüft den Inhalt.
Für die meisten KMU ist das die relevante Trennlinie: Ein KI-generierter Blogbeitrag ohne menschliche Redaktion fällt darunter, ein von der Marketingabteilung geprüfter und verantworteter Text in der Regel nicht.
Anbieter oder Betreiber: wer muss was
Das EU-KI-Gesetz unterscheidet zwei Rollen. Anbieter entwickeln ein KI-System und bringen es auf den Markt oder nehmen es in Betrieb. Betreiber nutzen ein KI-System in eigener Verantwortung in einem beruflichen Kontext. Die meisten KMU sind Betreiber, sie kaufen ein fertiges Tool ein oder setzen ein Open-Weight-Modell ein.
Die Zuordnung ist nicht immer eindeutig. Wer ein Open-Weight-Modell über Ollama selbst installiert, mit einem eigenen Chat-Frontend verbindet und in Betrieb nimmt, handelt für dieses System nach unserem Verständnis zugleich als Anbieter und trägt damit die Gestaltungspflicht aus Art. 50(1). Wer dagegen ein fertiges SaaS-Chat-Tool nur bedient, ist reiner Betreiber und muss sicherstellen, dass die vom Anbieter vorgesehene Kennzeichnung tatsächlich aktiv und sichtbar ist. Fehlt sie, liegt die Umsetzung an der Schnittstelle beim Betreiber. Eine Lücke gibt es nicht, verantwortlich ist immer die Partei, die dem Endnutzer am nächsten steht.
Ein Beispiel aus dem Alltag: Ein Handwerksbetrieb mit 30 Beschäftigten kauft ein Buchungs-Widget mit KI-Chat ein und bindet es auf der Website ein. Als Betreiber muss er prüfen, ob das Widget den KI-Hinweis von sich aus zeigt. Zeigt es ihn nicht, kann er sich nicht auf den Anbieter herausreden, sondern muss den Hinweis selbst ergänzen, etwa über eine sichtbare Beschriftung im eigenen Seitenlayout. Die Pflicht wandert dorthin, wo die Kontrolle über die Anzeige liegt.
Lokale LLMs: kein Freifahrtschein
Ein weit verbreiteter Irrtum lautet, wer KI lokal auf eigener Hardware betreibe, sei von Art. 50 befreit, weil keine Daten das eigene Netz verlassen. Nach unserem Verständnis des Reglements ist das falsch.
Art. 50 knüpft seine Pflichten an die nutzer-gerichtete Interaktion an, nicht an den Ort der Inferenz. Wenn Ihr lokal laufendes Modell über ein Web-Interface mit Kunden oder Mitarbeitern kommuniziert, löst das die Kennzeichnungspflicht aus, unabhängig davon, ob der Server in Frankfurt oder in Ihrem Keller steht.
Die gute Nachricht: Für Betreiber lokaler KI-Infrastruktur ist die Umsetzung strukturell einfacher. Sie kontrollieren die Oberfläche und können sie heute ändern. Kein SaaS-Update abwarten, kein Support-Ticket, keine Vertragsklausel nachverhandeln. Eine Kennzeichnung in Open WebUI oder einem eigenen Frontend lässt sich an einem Nachmittag einbauen.
Praxis-Checkliste
Basierend auf unserem Verständnis von Art. 50 und den Leitlinien der EU-KI-Behörde:
Schritt 1: Bestandsaufnahme. Listen Sie jedes System, in dem eine KI direkt mit Menschen kommuniziert oder Inhalte für die Öffentlichkeit erzeugt: Chat-Widgets, E-Mail-Autoresponder mit KI-Texten, Telefonbots, interne Helpdesks, HR-Assistenten, Dokumenten-Suche mit Antwortfunktion.
Schritt 2: Kennzeichnung je Kontaktpunkt. Sichtbares Label, automatische erste Nachricht oder beides. Die Offenlegung muss vor oder zu Beginn jeder Sitzung erfolgen.
Schritt 3: Inhaltsworkflows prüfen. Erzeugt Ihr Unternehmen KI-Texte, -Bilder, -Audios oder -Videos zur externen Veröffentlichung? Dann greifen Art. 50(2) und 50(4). Beachten Sie die Frist bis 2. Dezember 2026 für Systeme, die vorher schon liefen.
Schritt 4: Emotionserkennung und Biometrie prüfen. Setzen Sie Software ein, die Emotionen erkennt oder Personen biometrisch kategorisiert? Dann informieren Sie die betroffenen Personen, Art. 50(3).
Schritt 5: Maßnahmen dokumentieren. Art. 50 schreibt keine explizite Dokumentationspflicht vor, aber ein Nachweis, welche Systeme wann geprüft und angepasst wurden, ist bei behördlichen Kontrollen wertvoll. In Deutschland sind bis zur Benennung einer nationalen KI-Aufsicht die Datenschutzaufsichtsbehörden der Länder involviert.
Sanktionen
Verstöße gegen die Transparenzpflichten können nach unserem Verständnis des Sanktionenrahmens mit Geldbußen von bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für KMU dürften die nationalen Behörden verhältnismäßige Maßstäbe anlegen, die Pflicht selbst ist aber real und seit dem 2. August durchsetzbar.
Der Compliance-Vorteil lokaler KI
Wer auf lokale KI-Infrastruktur setzt, hat bei Art. 50 die Oberhand: keine Abhängigkeit vom Release-Zyklus eines Cloud-Anbieters, volle Kontrolle über die Schnittstelle, keine intransparenten Zwischenschichten. Während SaaS-Kunden warten, bis ihr Anbieter die Kennzeichnung einbaut, können Sie als lokaler Betreiber sofort handeln.
Wir prüfen Ihre KI-Systeme gegen die Anforderungen aus Art. 50 und setzen die nötige Kennzeichnung mit Ihnen um. Sprechen Sie mit uns über Ihren Stack.
Häufige Fragen
Muss ein Chatbot auf meiner Firmenwebsite sich als KI zu erkennen geben?
Ja. Seit dem 2. August 2026 verlangt Art. 50(1) EU AI Act, dass Nutzer vor oder zu Beginn der Unterhaltung erfahren, dass sie mit einem KI-System sprechen. Ein Chat-Widget gilt ohne ausdrücklichen Hinweis nicht als offensichtlich, ein sichtbares Label oder eine automatische erste Nachricht erfüllt die Pflicht.
Gilt Art. 50 auch für lokal auf eigener Hardware betriebene KI?
Ja. Art. 50 knüpft an die nutzer-gerichtete Interaktion an, nicht an den Ort der Inferenz. Ob das Modell in einem Rechenzentrum oder auf einem Mac Studio im eigenen Serverraum läuft, ist für die Kennzeichnungspflicht ohne Belang.
Bis wann muss KI-generierter Text oder ein KI-Bild maschinenlesbar markiert sein?
Für Systeme, die seit dem 2. August 2026 in Verkehr gebracht werden, gilt die Markierungspflicht nach Art. 50(2) sofort. Für generative Systeme, die schon vor diesem Datum auf dem Markt waren, greift laut den Leitlinien der EU-Kommission eine Übergangsfrist bis zum 2. Dezember 2026.