Artikel 50 der KI-Verordnung gilt ab heute: Was sich für Exporteure und Technologieanbieter jetzt ändert

Artikel 50 der Verordnung (EU) 2024/1689, der KI-Verordnung, ist am 2. August 2026 durchsetzbar geworden. Vier Transparenzpflichten gelten jetzt: Anbieter von Chatbots und anderen Systemen, die direkt mit einer natürlichen Person interagieren sollen, müssen offenlegen, dass die Person mit einem KI-System interagiert, sofern dies nicht ohnehin aus dem Kontext offensichtlich ist. KI-generierte oder manipulierte Audio-, Bild-, Video- oder Textinhalte müssen eine maschinenlesbare Kennzeichnung tragen, die sie als künstlich erzeugt oder manipuliert ausweist. Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen müssen die davon betroffenen Personen informieren. Und Deepfake-Inhalte, also Bild-, Audio- oder Videomaterial, das einer realen Person, einem Objekt, einem Ort oder einem Ereignis ähnelt, müssen deutlich als künstlich erzeugt oder manipuliert gekennzeichnet werden.

Die nationalen Marktüberwachungsbehörden haben zum selben Datum ihr Durchsetzungsmandat für diese Pflichten erhalten, und die Möglichkeit, Geldbußen bei Verstößen gegen Artikel 50 zu verhängen, ist damit ebenfalls aktiv geworden. Nichts davon wurde verschoben. Die einzige Ausnahme betrifft Systeme, die bereits vor dem 2. August 2026 auf dem Markt bereitgestellt oder in Betrieb genommen wurden: Für diese bestehenden Systeme gilt für die Pflicht zur maschinenlesbaren Kennzeichnung eine Frist bis zum 2. Dezember 2026 (Verordnung (EU) 2026/1744, Artikel 1 Nummer 39 Buchstabe b, der Artikel 111 Absatz 4 einfügt; Erwägungsgrund 38).

Artikel 50 teilt seine Pflichten nach Rolle auf. Die Absätze 1 und 2 verpflichten Anbieter, also die Organisation, die das KI-System baut, nicht das Unternehmen, das es lediglich nutzt: Anbieter von Systemen, die direkt mit einer Person interagieren sollen, müssen diese Offenlegung in das System einbauen (Absatz 1), und Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, einschließlich Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, müssen diese Ausgabe maschinenlesbar und erkennbar kennzeichnen (Absatz 2). Die Absätze 3 und 4 verpflichten stattdessen Betreiber, also wer auch immer das System einsetzt: Eine Organisation, die ein Emotionserkennungs- oder biometrisches Kategorisierungssystem betreibt, muss die davon betroffenen Personen informieren und ihre Daten nach der DSGVO, der entsprechenden Regelung für EU-Institutionen und der Richtlinie zur Strafverfolgung verarbeiten (Absatz 3), und eine Organisation, die ein System einsetzt, das Deepfakes erzeugt, oder KI-generierten Text zu einem Thema von öffentlichem Interesse veröffentlicht, muss diesen Ursprung offenlegen (Absatz 4).

Drei Ausnahmen ziehen sich durch den Artikel. Die Offenlegung nach Absatz 1 ist nicht erforderlich, wenn die Beteiligung von KI für eine angemessen informierte, aufmerksame und umsichtige Person angesichts der Umstände bereits offensichtlich ist. Alle vier Absätze nehmen Systeme aus, die gesetzlich zur Aufdeckung, Verhütung, Untersuchung oder Verfolgung von Straftaten befugt sind, vorbehaltlich Schutzvorkehrungen für die Rechte Dritter, wobei sich die Ausnahme in Absatz 1 nicht auf Systeme erstreckt, die der Öffentlichkeit zur Anzeige einer Straftat zur Verfügung stehen. Absatz 4 grenzt für zwei Fälle weiter ein: Inhalte, die erkennbar Teil eines künstlerischen, kreativen, satirischen oder fiktionalen Werks sind, müssen ihren künstlichen Ursprung nur so kennzeichnen, dass der Genuss des Werks nicht beeinträchtigt wird, und KI-generierter Text zu Angelegenheiten von öffentlichem Interesse ist ausgenommen, wenn er einer menschlichen Überprüfung unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für seine Veröffentlichung trägt.

Ein separates Gesetzgebungsverfahren, bekannt als Digital Omnibus, ist inzwischen abgeschlossen. Europäische Kommission und Rat erzielten am 7. Mai 2026 eine politische Einigung über das Paket, das Europäische Parlament billigte seine Position am 16. Juni 2026, und die Mitgesetzgeber verabschiedeten den endgültigen Text am 8. Juli 2026 als Verordnung (EU) 2026/1744. Sie wurde am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und trat am 27. Juli 2026 in Kraft. Zu den Änderungen gehört, dass die eigenständige Hochrisiko-Regelung des Anhangs III, die KI-Systeme etwa für Beschäftigungsentscheidungen oder den Zugang zu wesentlichen Dienstleistungen betrifft, auf den 2. Dezember 2027 verschoben wird, und die Hochrisiko-Regelung für in regulierte Produkte eingebettete KI nach Anhang I auf den 2. August 2028.

Beide Daten sind jetzt rechtlich verbindlich festgelegt, keine Vorschläge mehr: Die Verordnung (EU) 2026/1744 ist in Kraft, und die Pflichten aus Anhang III und Anhang I gelten ab dem 2. Dezember 2027 beziehungsweise dem 2. August 2028, sofern sie nicht vorher erneut geändert werden. Artikel 50 bleibt allerdings nicht unberührt, auch wenn keine seiner Transparenzpflichten verschoben wurde. Die Verordnung (EU) 2026/1744 tut zweierlei mit ihm. Sie fügt einen neuen Artikel 111 Absatz 4 in die KI-Verordnung ein: Anbieter generativer KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben eine viermonatige Übergangsfrist bis zum 2. Dezember 2026, um die Kennzeichnungspflicht nach Absatz 2 zu erfüllen (Artikel 1 Nummer 39 Buchstabe b; die Begründung steht in Erwägungsgrund 38). Und sie ersetzt Artikel 50 Absatz 7 und nimmt der Kommission die stehende Ermächtigung, die Umsetzung der Kennzeichnungs- und Erkennungspflichten per Durchführungsrechtsakt festzulegen; dieser Rechtsakt bleibt nur möglich, wenn ein Verhaltenskodex als unzureichend bewertet wird (Artikel 1 Nummer 20).

Anhang III der KI-Verordnung listet die Kategorien von KI-Einsätzen auf, die das Gesetz als Hochrisiko einstuft, sobald die eigenständige Regelung in Kraft tritt: Beschäftigung und Personalmanagement (Bewerberauswahl, Leistungsbeurteilung, Aufgabenzuweisung), Bonitätsbewertung, bestimmte Bereiche der Versicherungsrisikoprüfung, Bildung (Zugang, Zulassung oder Bewertung) sowie der Zugang zu wesentlichen öffentlichen und privaten Dienstleistungen. Für ein System in einer dieser Kategorien gelten Pflichten, die über die Transparenzpflichten aus Artikel 50 hinausgehen: Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Eintragung in eine EU-Datenbank, unter anderem.

Die Verschiebung durch den Digital Omnibus ist kein Urteil darüber, dass diese Anwendungen weniger riskant wären. Als Grund wird die Bereitschaft der Infrastruktur genannt: Die für die Aufsicht über Hochrisiko-Systeme zuständigen Behörden und die harmonisierten technischen Normen, an denen diese Systeme geprüft werden sollen, standen zum ursprünglich vorgesehenen Termin noch nicht bereit. Eine solche Verschiebung verschafft dieser Infrastruktur zusätzliche Zeit, sie hebt die Pflicht selbst nicht auf, und sie ist inzwischen geltendes Recht nach der Verordnung (EU) 2026/1744, nicht mehr nur ein Vorschlag.

Zwei Punkte sind für alle relevant, die Technologie zwischen dem Mercosur und der EU entwickeln oder exportieren. Erstens reicht Artikel 50 laut eigenem Wortlaut über die EU-Grenzen hinaus: Seine Transparenzpflichten gelten für Anbieter und Betreiber, deren KI-System-Ausgabe in der EU genutzt wird, unabhängig davon, wo der Anbieter oder Betreiber niedergelassen ist. Ein brasilianischer, argentinischer oder anderer Mercosur-Softwareanbieter mit einem auf die EU ausgerichteten Chatbot oder einer Funktion zur Inhaltserzeugung fällt schon heute in den Anwendungsbereich, ebenso ein deutsches Unternehmen, das dessen Werkzeug einsetzt, um mit Kundinnen und Kunden in der EU zu interagieren. Entscheidend ist nicht, wo das System sitzt, sondern wo seine Ausgabe ankommt.

Zweitens ist Artikel 50 ein Beispiel für ein umfassenderes Muster. Über die KI-Verordnung, die EU-Entwaldungsverordnung und den Digitalen Produktpass hinweg macht die EU aus Transparenz und Rückverfolgbarkeit eine Rechtspflicht statt einer freiwilligen guten Praxis, und sie tut dies, indem sie verlangt, dass die zugrunde liegenden Daten strukturiert, maschinenlesbar und als Nachweis verfügbar sind, nicht nur als erzählerische Offenlegung. Die Kennzeichnung KI-generierter Inhalte eines Chatbots, die entwaldungsfreien Geodaten einer Kaffeelieferung und der Materialpass einer Batterie sind unterschiedliche regulatorische Instrumente, folgen aber derselben Richtung: Was früher eine Behauptung war, muss jetzt ein Nachweis sein.