Art. 50 AI Act: Transparenzpflichten ab 2026

Am 2. August 2026 greift Art. 50 der KI-Verordnung — der Artikel, der die meisten Unternehmen zuerst trifft. Nicht weil er Hochrisiko-Systeme regelt, sondern weil er an gewöhnliche Nutzung anknüpft: an den Chatbot auf der Website, an das generierte Produktbild, an den Text im Newsroom. Vier Pflichten stehen darin, und sie verteilen sich auf zwei verschiedene Rollen. Wer die Rollen verwechselt, erfüllt die falsche Pflicht.

Rechtsgrundlage

Art. 50 VO (EU) 2024/1689

Anwendbar ab

2. August 2026

Pflichten

4, verteilt auf Anbieter und Betreiber

Bußgeldrahmen

bis 15 Mio. € oder 3 % Umsatz

Anbieter oder Betreiber — die Frage vor allen anderen

Art. 50 adressiert zwei Rollen mit unterschiedlichen Pflichten. Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt. Betreiber ist, wer ein solches System unter eigener Verantwortung einsetzt. Die meisten Unternehmen sind Betreiber: Sie kaufen ein Modell ein und nutzen es. Wer allerdings ein fremdes System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden — und schuldet dann die Anbieterpflichten dazu.

Diese Unterscheidung ist keine Formalie, weil sich die Pflichten technisch unterscheiden. Die Anbieterpflicht aus Abs. 2 ist eine Kennzeichnung im Maschinenformat, also etwas, das in der Datei steckt und automatisiert auslesbar ist. Die Betreiberpflicht aus Abs. 4 ist eine Offenlegung gegenüber Menschen, also etwas, das eine Leserin sieht. Ein maschinenlesbares Wasserzeichen erfüllt keine Offenlegungspflicht, und ein sichtbarer Hinweis erfüllt keine Kennzeichnungspflicht.

Die vier Pflichten im Überblick

• Abs. 1 — Interaktion mit KI (Anbieter): Menschen müssen erkennen können, dass sie mit einem KI-System sprechen. Ausnahme: Es ist aus Sicht einer verständigen Person offensichtlich.
• Abs. 2 — Kennzeichnung synthetischer Inhalte (Anbieter): Systeme, die Audio, Bild, Video oder Text erzeugen, müssen ihre Ausgabe maschinenlesbar als künstlich erzeugt oder manipuliert markieren.
• Abs. 3 — Emotionserkennung und biometrische Kategorisierung (Betreiber): Betroffene Personen sind über den Einsatz zu informieren; die Datenschutzvorgaben gelten unberührt daneben.
• Abs. 4 — Deepfakes und Texte von öffentlichem Interesse (Betreiber): Wer solche Inhalte veröffentlicht, muss offenlegen, dass sie künstlich erzeugt oder manipuliert sind.

Dazu kommen zwei Regeln, die leicht überlesen werden. Nach Abs. 5 muss die Information spätestens bei der ersten Interaktion oder Konfrontation vorliegen, klar unterscheidbar sein und die Barrierefreiheitsanforderungen erfüllen — ein Hinweis im Impressum genügt also nicht. Und nach Abs. 6 tritt Art. 50 nicht an die Stelle anderer Pflichten: Die Anforderungen an Hochrisiko-Systeme aus Kapitel III und Vorgaben aus anderem Unions- oder nationalem Recht bleiben daneben bestehen.

Welche Ausnahmen die Verordnung nennt

Die Ausnahmen sind eng und ausdrücklich benannt — sie sind keine Generalklausel für „bei uns ist das anders". Über alle vier Absätze hinweg gilt eine Ausnahme für gesetzlich zugelassene Zwecke der Strafverfolgung. Bei der Kennzeichnung synthetischer Inhalte nach Abs. 2 kommen zwei technische Ausnahmen hinzu: Systeme mit unterstützender Funktion für die Standardbearbeitung und Systeme, die die vom Nutzer bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändern. Wer ein Foto entrauscht, erzeugt keinen synthetischen Inhalt; wer daraus eine andere Szene macht, schon.

Bei Deepfakes nach Abs. 4 gibt es eine abgeschwächte Variante für offenkundig künstlerische, kreative, satirische oder fiktionale Werke: Dort genügt es, das Vorhandensein der künstlichen Erzeugung in geeigneter Weise offenzulegen, ohne die Darstellung oder den Genuss des Werks zu beeinträchtigen. Für Texte von öffentlichem Interesse entfällt die Pflicht, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterlag und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Code of Practice und Leitlinien: was gesichert ist

Abs. 7 sieht vor, dass das KI-Büro Verhaltenskodizes zur Erkennung und Kennzeichnung künstlich erzeugter Inhalte fördert; die Kommission kann Kodizes per Durchführungsrechtsakt billigen oder eigene gemeinsame Regeln festlegen. Auf dieser Grundlage ist der Code of Practice on Transparency of AI-Generated Content entstanden, veröffentlicht am 10. Juni 2026. Er besteht aus zwei Abschnitten — einem für Anbieter zu Kennzeichnung und Erkennung, einem für Betreiber zur Auszeichnung von Deepfakes und Texten von öffentlichem Interesse — und ist ausdrücklich freiwillig: Die Zeichnung erfolgt über ein Formular gegenüber dem KI-Büro. Anhang I stellt ein optionales EU-Symbol in drei Varianten bereit.

Was bei Verstößen droht

Die Bußgeldsystematik der KI-Verordnung ist dreistufig. Verstöße gegen die Verbote aus Art. 5 liegen an der Spitze mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen Pflichten von Akteuren — darunter ausdrücklich die Transparenzpflichten aus Art. 50 — liegen bei bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Behörden liegen bei bis zu 7,5 Mio. € oder 1 %. Für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Werte, nicht der höhere.

Was das praktisch bedeutet

Die Pflicht hängt am einzelnen System und an der eigenen Rolle dabei. Das heißt: Ohne eine Liste der eingesetzten KI-Systeme lässt sich Art. 50 nicht erfüllen, weil niemand sagen kann, welcher Absatz auf welches System zutrifft. Drei Schritte reichen für den Anfang.

• Systeme erfassen: Name, Anbieter, Einsatzbereich, verantwortliche Person — je Tool ein Eintrag, auch für das Abo, das die Marketing-Abteilung nebenbei gebucht hat.
• Rolle je System klären: Betreiber oder Anbieter, und ob eine wesentliche Veränderung vorliegt. Daraus folgt, welcher Absatz greift.
• Ausgabe prüfen: Wo verlässt generierter Inhalt das Haus? Genau dort entsteht die Kennzeichnungs- oder Offenlegungspflicht — nicht am Modell, sondern am Veröffentlichungsweg.

Reguly führt genau diese Liste als KI-Inventar: je System die Einstufung samt dem Auslöser, der sie verursacht hat, dazu die Pflichten mit Artikelbezug und den Nachweis der KI-Kompetenz nach Art. 4. Die Bewertung, ob ein Inhalt unter Abs. 4 fällt, bleibt eine juristische Entscheidung — Reguly macht sie dokumentierbar, nicht überflüssig.