Seit dem 2. August 2026 müssen Organisationen im Europäischen Wirtschaftsraum Menschen darüber informieren, wenn sie mit einem KI-System interagieren, wenn ihre Emotionen oder biometrischen Merkmale von einem solchen System kategorisiert werden und wenn Inhalte von KI erzeugt oder manipuliert wurden. Dies sind die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung, und sie sind nun geltendes Recht.

Der EU-Digital-Omnibus, der die KI-Verordnung vor Inkrafttreten dieser Bestimmungen änderte, verschob nur einen engen Teil der Artikel-50-Pflichten. Die überwältigende Mehrheit der Transparenzanforderungen ist bereits vollziehbar. Genau diese Unterscheidung zwischen dem, was aufgeschoben wurde, und dem, was nicht, ist das Detail, das für jedes Unternehmen am wichtigsten ist, das seine Compliance-Pläne noch kalibriert.

Was Artikel 50 tatsächlich verlangt

Artikel 50 stellt drei breite Kategorien von Transparenzpflichten auf. Erstens müssen Organisationen Einzelpersonen offenlegen, wenn diese direkt mit einem KI-System statt mit einem Menschen interagieren. Zweitens müssen Personen informiert werden, wenn Emotionserkennungs- oder biometrische-Kategorisierungssysteme auf sie angewendet werden. Drittens muss offengelegt werden, wenn Inhalte ein Deepfake oder von KI erzeugter oder manipulierter Text von öffentlichem Interesse sind, und zwar die Tatsache, dass sie von KI produziert oder verändert wurden.

Das sind keine abstrakten Prinzipien. Es sind konkrete rechtliche Pflichten, die seit dem 2. August durchsetzbar sind, und sie gelten sowohl für Anbieter, die KI-Systeme entwickeln und auf den EWR-Markt bringen oder in Betrieb nehmen, als auch für Betreiber, die sie tatsächlich nutzen. Die Verantwortlichkeiten sind jedoch unterschiedlich verteilt, je nachdem, auf welcher Seite dieser Trennlinie eine Organisation steht.

Anbieter und Betreiber haben unterschiedliche Pflichten

Nach der KI-Verordnung ist Anbieter die Organisation, die ein KI-System entwickelt hat und auf dem EWR-Markt bereitstellt oder unter eigenem Namen oder eigener Marke in Betrieb nimmt. Betreiber ist die Organisation, die ein solches System in ihrem Betrieb einsetzt. Die Unterscheidung ist nicht immer einfach, insbesondere wenn Unternehmen ihre KI-Tools sowohl selbst entwickeln als auch betreiben, aber die Einordnung ist entscheidend, weil jede Rolle andere Transparenzanforderungen mit sich bringt.

Anbieter tragen die technische Verpflichtung, maschinenlesbare Kennzeichnungen und Erkennungsmechanismen in ihre Systeme einzubauen, damit KI-erzeugte synthetische Audio-, Bild-, Video- oder Textinhalte als solche identifiziert werden können. Betreiber hingegen müssen sicherstellen, dass Personen, die Emotionserkennungs- oder biometrischen-Kategorisierungssystemen ausgesetzt sind, angemessen informiert werden. Betreiber sind auch dafür verantwortlich, offenzulegen, wenn sie Deepfakes oder KI-erzeugte Texte von öffentlichem Interesse veröffentlichen.

Die Kennzeichnungspflicht des Anbieters und die Informationspflicht des Betreibers laufen parallel. Es sind getrennte Pflichten, und die Erfüllung der einen entbindet nicht von der anderen.

Die enge Übergangsfrist

Die einzige Karenzzeit in Artikel 50 betrifft die Anbieter-seitige Pflicht zur maschinenlesbaren Kennzeichnung und Erkennung, und nur für KI-Systeme, die vor dem 2. August 2026 bereits auf dem EWR-Markt waren. Anbieter, die sich auf diese Übergangsfrist berufen, haben bis zum 2. Dezember 2026 Zeit, ihre Systeme konform zu machen. Systeme, die am oder nach dem 2. August auf den Markt kommen, müssen von Tag eins an konform sein.

Entscheidend ist: Die viermonatige Übergangsfrist verschiebt keine Betreiber-Pflichten. Die Anforderungen zu Emotionserkennung, biometrischer Kategorisierung, Deepfakes und KI-Texten von öffentlichem Interesse gelten seit dem 2. August, unabhängig davon, wann das zugrundeliegende KI-System erstmals auf den Markt gebracht wurde. Jede Organisation, die annahm, eine generelle Übergangsfrist gelte für alle Artikel-50-Pflichten, hat die Verordnung falsch gelesen.

Was die Leitlinien der Kommission sagen

Die Europäische Kommission hat zwei Dokumente veröffentlicht, die Organisationen bei der Auslegung von Artikel 50 helfen sollen: die Leitlinien zur Transparenz für Anbieter und Betreiber von KI-Systemen und den Verhaltenskodex zur Transparenz KI-erzeugter Inhalte. Beide bieten einen Rahmen, ersetzen aber keine Einzelfallprüfung. Die Leitlinien beschreiben, wie Transparenz prinzipiell aussehen sollte; der Verhaltenskodex gibt praktischere Hinweise zur Kennzeichnung KI-erzeugter Inhalte. Keines von beiden hat allein Gesetzeskraft, doch sie werden beeinflussen, wie nationale Aufsichtsbehörden die Einhaltung bewerten.

Die Lücke zwischen dem, was die Leitlinien beschreiben, und dem, was ein individuelles System erfordert, ist der Ort, an dem die Compliance-Last tatsächlich liegt. Ein Social-Media-Unternehmen, das Emotionserkennungstools bei nutzergenerierten Videos einsetzt, steht vor anderen praktischen Fragen als eine Bank, die biometrische Kategorisierung bei der Identitätsprüfung nutzt. Jedes System und jeder Anwendungsfall erfordert seine eigene Bewertung.

Die praktischen Schritte, die Organisationen jetzt unternehmen sollten

Die unmittelbare Priorität, laut rechtlicher Analyse von Morgan Lewis, ist die Bestätigung, dass die seit dem 2. August geltenden Artikel-50-Pflichten adressiert wurden. Für Anbieter bedeutet das, sicherzustellen, dass angemessene Hinweise gegeben werden, wenn Einzelpersonen direkt mit KI-Systemen interagieren, und dass die erforderlichen Kennziehungs- und Erkennungsmaßnahmen vorliegen. Wo ein Anbietersystem vor dem 2. August auf dem EWR-Markt war und sich auf die Übergangsfrist beruft, sollte der Anbieter die Grundlage für diesen Rückgriff klar dokumentieren.

Bei Betreibern ist die Arbeit vielfältiger. Sie müssen sicherstellen, dass Personen, die Emotionserkennungs- oder biometrischen-Kategorisierungssystemen ausgesetzt sind, angemessen informiert werden. Sie müssen auch prüfen, wie sie Deepfakes und KI-erzeugte oder manipulierte Texte von öffentlichem Interesse veröffentlichen: wann Offenlegung erforderlich ist, wer dafür verantwortlich ist und wie sie dem Publikum präsentiert wird.

Betreiber, die Drittanbieter-KI-Systeme nutzen, haben eine zusätzliche Aufgabe. Sie sollten vom Anbieter Informationen über dessen Kennzeichnungsvereinbarungen einholen und ob der Anbieter sich auf die Übergangsfrist bis zum 2. Dezember beruft. Ohne diese Informationen kann ein Betreiber nicht sicher sein, dass das von ihm genutzte System die Anbieter-seitigen Pflichten erfüllt, die parallel zu seinen eigenen laufen.

Wo Verantwortung zwischen den Stühlen fallen kann

Die Aufteilung zwischen Anbieter- und Betreiber-Pflichten schafft ein Koordinationsproblem, das die Verordnung nicht vollständig löst. Ein Anbieter mag maschinenlesbare Wasserzeichen in seine KI-erzeugten Bilder einbauen und damit seine eigene Pflicht erfüllen, doch wenn der Betreiber versäumt, dem Endnutzer offenzulegen, dass der Inhalt KI-erzeugt ist, wird der Transparenzzweck von Artikel 50 unterlaufen. Umgekehrt mag ein Betreiber annehmen, der Anbieter habe die technische Kennzeichnung übernommen, nur um festzustellen, dass der Anbieter die Übergangsfrist in Anspruch genommen hat und noch nicht konform ist.

Das ist kein theoretisches Problem. Viele Organisationen werden sowohl Anbieter als auch Betreiber unterschiedlicher KI-Systeme sein, und interne Compliance-Funktionen haben möglicherweise nicht erfasst, welche Systeme unter welche Pflichten fallen. Die stärkere Position, wie die Morgan-Lewis-Analyse anmerkt, ist die, in der eine Organisation erklären kann, welche Informationen von wem, wann und warum bereitgestellt werden. Diese Klarheit erfordert mehr als eine Compliance-Checkliste. Sie erfordert Governance.

Das breitere Durchsetzungsbild

Artikel 50 ist nicht der einzige Teil der KI-Verordnung, der in diesem Jahr in Kraft tritt. Verbotene KI-Praktiken, einschließlich Social Scoring und bestimmter Arten biometrischer Identifizierung, sind seit Februar 2026 verboten. Regeln für Hochrisiko-KI-Systeme, die die schwerste Compliance-Last unter dem Gesetz tragen, gelten ab August 2027. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, einschließlich Transparenz- und Urheberrechtsanforderungen, treten im August 2025 in Kraft.

Der gestaffelte Zeitplan bedeutet, dass die Durchsetzungsaktivität in den kommenden Monaten auf Transparenz und verbotene Praktiken fokussiert sein wird. Nationale Marktüberwachungsbehörden in jedem Mitgliedstaat sind für die Durchsetzung zuständig, und die Europäische Kommission hat angekündigt, zu überwachen, wie einheitlich diese Behörden die Regeln anwenden. Frühe Durchsetzungsmuster werden prägen, wie Unternehmen die weitaus größere Compliance-Aufgabe angehen, die die Hochrisiko-KI-Regeln nächstes Jahr verlangen werden.

Es gibt auch eine Ressourcenfrage. Mehrere Mitgliedstaaten haben ihre nationalen Behörden noch nicht benannt oder Budgets für die KI-Verordnungs-Durchsetzung bereitgestellt. Wo Durchsetzungskapazität dünn ist, kann Compliance zunächst zur Frage der Unternehmenspolitik statt des regulatorischen Drucks werden. Doch diese Rechnung könnte sich schnell ändern, sobald die ersten Durchsetzungsmaßnahmen ergriffen werden.

Organisationen

European Commission · Morgan Lewis