KI-Kennzeichnung im AI Act: Was seit dem 2. August 2026 für Unternehmen gilt

Das Wichtigste in Kürze

• Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung, des AI Act. Der Digital-Omnibus zur KI, in Kraft seit dem 27. Juli 2026, hat sie nicht verschoben.
• Der 2. Dezember 2026 ist keine allgemeine Frist. Bis dahin haben nur Hersteller generativer KI Zeit, deren Systeme schon vor dem 2. August 2026 auf dem Markt waren, und nur für die maschinenlesbare Markierung der Ergebnisse (Art. 111 Abs. 4).
• Wer KI im Betrieb nutzt, ist „Betreiber“ und muss vor allem zwei Dinge offenlegen: täuschend echte KI-Bilder, -Videos und -Tonaufnahmen (Deepfakes) und veröffentlichte KI-Texte zu Themen von öffentlichem Interesse. Texte sind frei, wenn ein Mensch sie inhaltlich geprüft hat und jemand die redaktionelle Verantwortung trägt.
• Vieles muss nicht gekennzeichnet werden: Werbetexte ohne Aussagen zu Gesundheit, Sicherheit oder Nachhaltigkeit, von Menschen geprüfte Kundenmails, interne Texte, offensichtlich unrealistische Bilder und KI-Hintergründe hinter echten Produkten, solange sie nicht täuschen.
• Verstöße gegen Artikel 50 können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes kosten. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag (Art. 99 Abs. 4 und 6). In Deutschland überwacht seit dem 29. Juli 2026 die Bundesnetzagentur.
• 13,52 Prozent der deutschen Unternehmen mit mindestens 10 Beschäftigten erzeugten 2025 mit KI Bilder, Videos oder Ton, also genau die Inhalte, bei denen die Kennzeichnung zählt. Im EU-Schnitt waren es 9,55 Prozent (Eurostat).

Was der AI Act regelt und was der Omnibus geändert hat

Der AI Act. Die KI-Verordnung, Verordnung (EU) 2024/1689, ist seit dem 1. August 2024 in Kraft und gilt in Stufen. Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz, seit dem 2. August 2025 die Regeln für KI-Modelle mit allgemeinem Verwendungszweck wie die großen Sprachmodelle. Am 2. August 2026 begann die allgemeine Geltung, dazu gehören die Transparenzpflichten in Artikel 50. Sie sollen verhindern, dass Menschen durch KI getäuscht werden: Wer mit einer Maschine spricht oder ein künstlich erzeugtes Bild sieht, soll das erkennen können (Erwägungsgrund 133).

Der Digital-Omnibus zur KI. Im November 2025 schlug die Kommission vor, den AI Act zu vereinfachen und Fristen zu verschieben. Ihre Begründung steht heute im Gesetz selbst, in Erwägungsgrund 2 der Verordnung (EU) 2026/1744:

„… haben die verzögerte Ausarbeitung von Normen … sowie die verzögerte Einrichtung der Governance- und Konformitätsbewertungsrahmen auf nationaler Ebene zu einem höheren Befolgungsaufwand geführt als erwartet.“

Rat und Parlament einigten sich am 7. Mai 2026. Das Parlament stimmte am 16. Juni 2026 zu, mit 423 Ja-Stimmen, 57 Nein-Stimmen und 174 Enthaltungen. Die Verordnung erschien am 24. Juli 2026 im Amtsblatt und trat am 27. Juli 2026 in Kraft, sechs Tage bevor Artikel 50 zu gelten begann. Einen zweiten Omnibus, der Datenschutzregeln betrifft, verhandelt die EU getrennt.

Was gegenüber dem ersten Entwurf geändert wurde.

• Übergang für die maschinenlesbare Markierung: Die Kommission wollte Herstellern bestehender Systeme sechs Monate geben, bis zum 2. Februar 2027, das Parlament drei. Beschlossen wurden vier Monate, bis zum 2. Dezember 2026.
• Hochrisiko-KI: Statt eines gleitenden Beginns, abhängig von technischen Normen, gelten feste Termine, der 2. Dezember 2027 und der 2. August 2028.
• KI-Kompetenz: Die Kommission wollte die Pflicht der Unternehmen streichen. Sie bleibt, aber weicher.
• Neu sind zwei Verbote: KI-Systeme, die ohne Zustimmung intime Darstellungen echter Personen erzeugen, und Systeme für Darstellungen sexuellen Kindesmissbrauchs. Sie gelten ab dem 2. Dezember 2026.
• An den Pflichten in Artikel 50 Absatz 1 bis 6 hat der Omnibus kein Wort geändert. Neu gefasst ist nur Absatz 7: Die Kommission prüft, ob Praxisleitfäden für die Kennzeichnung ausreichen.

Die Hilfen kamen spät. Den Code of Practice zur Kennzeichnung KI-erzeugter Inhalte, einen freiwilligen Praxisleitfaden, legten unabhängige Fachleute am 10. Juni 2026 vor. Die Kommission bewertete ihn am 8. Juli 2026 als geeignet. Ihre Leitlinien zu Artikel 50 billigte sie am 20. Juli 2026, 13 Tage bevor die Pflichten galten. Förmlich angenommen werden sie erst, wenn alle Sprachfassungen vorliegen. Eine deutsche Fassung gibt es nach unserem Stand vom 5. Oktober 2026 noch nicht. Verbindlich sind die Leitlinien ohnehin nicht, verbindlich auslegen kann den AI Act nur der Europäische Gerichtshof (Rn. 5). Wir zitieren sie trotzdem oft, weil die Behörden nach ihnen prüfen werden. „Rn.“ meint die nummerierten Absätze der Leitlinien.

Warum das viele betrifft. KI ist im Mittelstand angekommen. In einer Umfrage des Digitalverbands Bitkom unter 603 Unternehmen ab 20 Beschäftigten setzte 2026 erstmals die Mehrheit KI ein, 2024 war es jedes fünfte. 37 Prozent erwarten, als Anwender vom AI Act betroffen zu sein.

Wer unter Artikel 50 fällt

Anbieter und Betreiber. Der AI Act unterscheidet zwei Rollen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen anbietet, etwa den Bildgenerator oder den Chatbot. Betreiber ist, wer es nutzt. Artikel 3 Nummer 4 lautet:

„‚Betreiber‘ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet;“

Wer ein fertiges KI-Werkzeug im Betrieb nutzt, ist also Betreiber. Wer einen Chatbot selbst baut und unter eigener Marke auf die Website stellt, kann zugleich Anbieter sein (Rn. 11, 15).

Die Pflichten im Überblick.

Die technische Arbeit liegt damit beim Hersteller: Er markiert die Ergebnisse und baut den Hinweis in den Chatbot ein. Dein Teil als Nutzer ist die sichtbare Kennzeichnung nach Absatz 4.

„Beruflich“ ist schnell erreicht. Ausgenommen ist nur die rein private Nutzung, etwa die KI-Weihnachtskarte oder die Hausaufgabe (Rn. 19, 20). Wer regelmäßig wirtschaftlichen Nutzen zieht oder selbstständig arbeitet, nutzt KI beruflich, auch als Freiberufler oder im Nebengewerbe.

Wer kein Betreiber ist. Mitarbeitende, die nach Weisung mit KI arbeiten, sind keine eigenen Betreiber, Betreiber ist das Unternehmen (Rn. 14). Ein Unternehmen, das eine Agentur beauftragt und nicht bestimmt, ob und wie sie KI einsetzt, ist ebenfalls kein Betreiber, die Agentur schon. Plattformen und Hosting-Dienste, die nur Inhalte anderer verbreiten, sind keine Betreiber (Rn. 16, 17).

Was ein Deepfake ist. Artikel 3 Nummer 60 lautet:

„‚Deepfake‘ einen durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde;“

Die Leitlinien prüfen vier Merkmale: eine deutliche Ähnlichkeit, mit etwas, das es gibt oder geben könnte, mit Personen, Dingen, Orten oder Ereignissen, und der Eindruck, es sei echt (Rn. 113). Eine Täuschungsabsicht ist nicht nötig, und Fotorealismus allein entscheidet nicht (Rn. 114). Maßstab ist das Publikum, mit dem man vernünftigerweise rechnen muss, auch Kinder, Ältere und Menschen mit wenig Erfahrung im Netz (Rn. 115). Kleine Bearbeitungen wie Licht, Farbe, Rauschen oder ein neuer Hintergrund machen aus einem Bild keinen Deepfake (Rn. 116).

Deepfakes sind nach den Beispielen der Kommission etwa das KI-Video eines Influencers in der Werbung, ein realistischer KI-Avatar des Geschäftsführers, der den Mitarbeitenden gratuliert, die geklonte Stimme eines Podcast-Moderators und ein KI-Produktbild, das das Produkt besser aussehen lässt als in Wirklichkeit. Keine Deepfakes sind eine Sphinx, die über den Eiffelturm fliegt, Mäuse, die in einer Käsewerbung über die beste Sorte streiten, und ein echtes Auto vor einem KI-Hintergrund, solange die Anzeige nicht über das Auto täuscht.

Welche Texte gemeint sind. Artikel 50 Absatz 4 Unterabsatz 2 lautet:

„Betreiber eines KI-Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde. Diese Pflicht gilt nicht, wenn … die durch KI erzeugten Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und wenn eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung der Inhalte trägt.“

Drei Merkmale müssen zusammenkommen (Rn. 131). Veröffentlicht ist ein Text, wenn ihn eine unbestimmte, größere Zahl von Menschen lesen kann; private Korrespondenz, auch berufliche, und interne Texte sind es nicht. Der Text soll informieren. Und sein Thema ist von öffentlichem Interesse: Politik, Verwaltung, Justiz, Gesundheit, Umwelt, Verbrauchersicherheit, aber auch wirtschaftliche und finanzielle Entwicklungen, über die öffentlich gestritten wird. Gekennzeichnet werden muss nach den Beispielen der Kommission etwa ein KI-bearbeiteter Bericht mit Anlegerinformationen auf der Website eines börsennotierten Unternehmens. Nicht darunter fallen KI-Romane, Werbe- und Produkttexte ohne Aussagen zu Gesundheit, Sicherheit oder Nachhaltigkeit und die Empfehlung einer Beraterin an ihren Mandanten.

Wie viele Unternehmen solche Inhalte erzeugen. 13,52 Prozent der deutschen Unternehmen mit mindestens 10 Beschäftigten nutzten 2025 KI, um Bilder, Videos oder Ton zu erzeugen, deutlich mehr als im EU-Schnitt. Für Texte war der Abstand klein.

Typische Fälle. Die Tabelle ordnet ein, was die Leitlinien zu häufigen Fällen sagen. Sie ersetzt keine Prüfung im Einzelfall.

Folgen, die man leicht übersieht.

• Die maschinenlesbare Markierung des Herstellers ersetzt deine sichtbare Kennzeichnung nicht (Rn. 117).
• Wer einen geprüften Text nach der Freigabe noch einmal mit KI umformuliert oder ergänzt, verliert die Ausnahme (Rn. 136).
• Inhalte, die vor dem 2. August 2026 erzeugt und veröffentlicht wurden, musst du nicht nachträglich kennzeichnen. Wer einen vorher erzeugten Text erst jetzt veröffentlicht, muss es (Rn. 154).
• Eine Kennzeichnung macht nichts rechtmäßig, was sonst verboten ist. Urheber-, Persönlichkeits-, Datenschutz- und Wettbewerbsrecht gelten weiter (Art. 50 Abs. 6, Erwägungsgrund 137).
• Es gibt keine Ausnahme für kleine Unternehmen und keine für bestimmte Branchen.

Ab wann was gilt

Woher der 2. Dezember kommt. Artikel 111 Absatz 4, neu eingefügt durch den Omnibus, lautet:

„Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, die vor dem 2. August 2026 in Verkehr gebracht wurden, treffen die erforderlichen Maßnahmen, um Artikel 50 Absatz 2 bis zum 2. Dezember 2026 nachzukommen.“

Die Frist gilt also nur für Hersteller, nur für Systeme, die vor August schon am Markt waren, und nur für die maschinenlesbare Markierung. Den Hinweis im Chatbot schulden auch sie seit dem 2. August 2026 (Rn. 153). Für Betreiber gibt es keine Übergangsfrist. Dass trotzdem oft „Kennzeichnung ab Dezember“ zu lesen ist, liegt auch daran, dass am 2. Dezember 2026 zugleich die beiden neuen Verbote beginnen.

Was nicht darunterfällt

Offensichtliche KI. Der Hinweis im Chatbot entfällt, wenn für einen aufmerksamen Menschen offensichtlich ist, dass er mit einer KI spricht (Art. 50 Abs. 1). Die Kommission legt das eng aus: Es reicht nicht, dass Menschen KI im Allgemeinen kennen (Rn. 45). Offensichtlich ist es etwa bei einem Programmier-Assistenten für Entwickler oder einem internen Assistenten für geschulte Mitarbeitende, nicht aber bei einem Chatbot im Kundenservice.

Standardbearbeitung. Hersteller müssen nicht markieren, wenn die KI nur unterstützt und den Inhalt nicht wesentlich verändert: Rechtschreibung, Grammatik, Übersetzung, Formatierung, Zuschnitt, Farbkorrektur (Art. 50 Abs. 2, Rn. 90 bis 92). Zusammenfassungen, Umschreiben mit neuem Stil oder Sinn, ausgetauschte Gesichter oder eingefügte Personen gelten als wesentliche Änderung. Für deine eigene Offenlegung von Texten steht diese Ausnahme so nicht im Gesetz, dort zählen öffentliches Interesse und menschliche Prüfung. Die Kommission schreibt aber, dass eine Korrektur von Rechtschreibung und Grammatik nicht gekennzeichnet werden muss.

Unrealistisches und Kleinigkeiten. Was erkennbar nicht echt sein kann, ist kein Deepfake. Kleine Bearbeitungen wie Licht, Farbe, Rauschen oder Hintergrund sind es ebenfalls nicht (Rn. 113, 116).

Kunst, Satire, Fiktion. Bei einem offensichtlich künstlerischen, satirischen oder fiktionalen Werk genügt ein Hinweis, der das Werk nicht stört, etwa im Abspann (Art. 50 Abs. 4 Unterabs. 1). Werbung fällt nur in bestimmten Fällen darunter. Ein realistischer KI-Influencer, der ein echtes Produkt testet, gehört nicht dazu (Rn. 119 bis 124).

Geprüfte Texte. Ein KI-Text zu einem öffentlichen Thema muss nicht gekennzeichnet werden, wenn zwei Bedingungen zusammen erfüllt sind. Erstens hat ein fachkundiger Mensch ihn inhaltlich geprüft, mindestens die Fakten (Rn. 134). Eine Rechtschreibprüfung, eine bloße Redaktionsrichtlinie oder die Prüfung durch eine weitere KI reichen nicht (Rn. 135). Zweitens trägt eine Person die redaktionelle Verantwortung, und ihr Name oder ihre Funktion steht mit Kontakt leicht auffindbar öffentlich, etwa im Impressum (Rn. 138). Einzelne Prüfungen musst du nicht dokumentieren, eine schriftliche Prüfregel mit einer verantwortlichen Person schon (Code, Abschnitt 2, Verpflichtung 4).

Privat, intern, nicht veröffentlicht. Rein private Nutzung, interne Texte, private Korrespondenz und Antworten eines Chatbots, die nur der Fragende sieht, fallen nicht unter die Offenlegung (Art. 2 Abs. 10, Rn. 131). Auch die wissenschaftliche Forschung ist ausgenommen (Art. 2 Abs. 6).

Keine Ausnahme nach Größe. Kleinstunternehmen sind erfasst wie Konzerne. Kleine und mittlere Unternehmen haben nur bei der Höhe der Bußgelder einen Vorteil.

Deine Pflichten ab dem ersten Tag

Wie die Kennzeichnung aussehen muss. Artikel 50 Absatz 5 lautet:

„Die in den Absätzen 1 bis 4 genannten Informationen werden den betreffenden natürlichen Personen spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise bereitgestellt. Die Informationen müssen den geltenden Barrierefreiheitsanforderungen entsprechen.“

Klar ist ein Hinweis nur, wenn man ihn nicht übersehen kann. Ein Satz in den AGB, im Handbuch oder tief in einem Menü genügt nicht (Rn. 142). Der Hinweis gilt für jede Person bei jeder Begegnung. Wer ein Video meist nicht von Anfang an sieht, braucht den Hinweis auch später im Video (Rn. 143). Und er muss für Menschen ohne technische Hilfsmittel wahrnehmbar sein. Auf die unsichtbare Markierung des Herstellers darfst du dich nicht verlassen (Rn. 117).

Chatbots und KI-Agenten. Für Chatbots reicht nach den Leitlinien meist ein deutlicher Hinweis vor dem ersten Austausch (Rn. 40). Nicht genügen ein Hinweis nur in den AGB, ein allgemeines „Assistent“ oder ein Satz wie „Diese Website nutzt KI“ (Rn. 38). Bei Kindern und älteren Menschen und in der Finanz-, Rechts- oder Gesundheitsberatung hält die Kommission Erinnerungen im Verlauf für nötig. KI-Agenten sollen nicht nur sagen, dass sie eine KI sind, sondern auch, in wessen Auftrag sie handeln (Rn. 31). Das steht so nicht im Gesetz, nur in den unverbindlichen Leitlinien.

Code of Practice oder eigener Weg. Der Code ist freiwillig, wer ihn nicht unterschreibt, verstößt nicht gegen den AI Act. Bei Unterzeichnern prüfen die Behörden vor allem, ob sie den Code einhalten (Rn. 147). Wer nicht unterschreibt, soll auf anderem Weg zeigen können, wie er die Pflichten erfüllt, am besten mit einem Abgleich gegen den Code, und muss mit mehr Auskunftsersuchen rechnen (Rn. 148). Betreiber unterschreiben Abschnitt 2. Am 24. September 2026 hatten diesen Abschnitt 192 Organisationen unterschrieben, den Abschnitt 1 für Hersteller 95.

Bußgelder. Artikel 99 Absatz 4 nennt unter Buchstabe g die „Transparenzpflichten für Anbieter und Betreiber gemäß Artikel 50“. Dafür gilt:

„… werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist …“

Für kleine und mittlere Unternehmen kehrt Absatz 6 die Regel um: Es gilt der jeweils niedrigere Betrag. Ein Beispiel: Bei 2 Millionen Euro Jahresumsatz liegt die Obergrenze bei 3 Prozent, also 60 000 Euro. Das ist die Höchstgrenze, keine zu erwartende Summe. Für die Höhe zählen unter anderem Schwere und Dauer, Vorsatz oder Fahrlässigkeit, die getroffenen Maßnahmen und die Zusammenarbeit mit der Behörde (Art. 99 Abs. 7). Eine Bußgeldentscheidung zu Artikel 50 haben wir bis zum 5. Oktober 2026 nicht gefunden.

Wer kontrolliert. In Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur zuständig (§ 2 Abs. 1 KI-MIG). Für Medienanbieter, die KI für journalistische oder Werbezwecke nutzen, sind die Landesbehörden zuständig, im Finanzbereich die BaFin. Die Behörden dürfen unangekündigt prüfen, Geschäftsräume betreten, Befugnisse über Schnittstellen aus der Ferne ausüben und Proben auch unter falscher Identität kaufen (§ 11 KI-MIG, Art. 14 Abs. 4 der Verordnung (EU) 2019/1020). Ob sie diese Befugnisse bei bloßen Kennzeichnungsfragen nutzen, ist offen. Beschweren kann sich jeder (Art. 85 KI-VO), und Beschäftigte, die Verstöße melden, sind seit dem 29. Juli 2026 als Hinweisgeber geschützt.

Abmahnungen. Mehrere Kanzleien vertreten, dass ein Verstoß gegen Artikel 50 zugleich wettbewerbswidrig sein kann, sodass Mitbewerber und Verbände abmahnen könnten (§ 3a UWG). Ein Urteil dazu gibt es nach unserem Stand nicht.

So kennzeichnest du im Alltag

Das EU-Symbol. Die Kommission stellt drei Symbole bereit: ein Grundsymbol, eines für vollständig mit KI erzeugte und eines für teilweise mit KI veränderte Inhalte. Kern ist das Kürzel „AI“. Die Symbole sind frei nutzbar, ohne Quellenangabe. Sie sind freiwillig, die Kennzeichnung selbst nicht, und das Symbol allein macht noch nicht rechtssicher. In Tests der Kommission wirkte es besser mit einem kurzen Text daneben, etwa „Mit KI erstellt“ oder „Mit KI bearbeitet“.

Wo der Hinweis hingehört. Der Code of Practice beschreibt für Betreiber:

Für Menschen mit Behinderung gehört der Hinweis in den Alternativtext, lesbar für Screenreader und kontrastreich (Code, Maßnahme 1.1). Bietet eine große Plattform eine eigene KI-Kennzeichnung an, darfst du sie dort nutzen. Auf der eigenen Website, im Newsletter und im Druck kennzeichnest du selbst (Rn. 126).

Ein einfacher Ablauf. Der Code erwartet von Betreibern einen internen Ablauf, der zur Größe passt: wer entscheidet, wie gekennzeichnet wird, wer Texte prüft, wie Mitarbeitende eingewiesen und gemeldete Fehler korrigiert werden (Code, Abschnitt 2, Verpflichtung 2). Für ein kleines Unternehmen reicht eine Seite.

Verträge. Arbeiten Agenturen, Freelancer oder Partner für dich, halte fest, wer KI einsetzt, wer kennzeichnet, wer Texte inhaltlich prüft und dass gekennzeichnete Dateien geliefert und Kennzeichnungen nicht entfernt werden (Rn. 12, 14).

Was es kostet. Eine Kostenschätzung für die Kennzeichnung gibt es weder von der Kommission noch von der Bundesregierung. Die Symbole, der KI-Service-Desk und der „KI-Compliance Kompass“ der Bundesnetzagentur sind kostenlos. Der Aufwand liegt darin, eine Übersicht anzulegen, eine Prüfregel aufzuschreiben und den Hinweis einmal sauber einzubauen.

Wenn du eine Schweizer Firma, Agentur oder Beratung bist

Schweizer Firmen mit Kunden in der EU. Der AI Act gilt nach dem Marktortprinzip auch außerhalb der EU. Artikel 2 Absatz 1 Buchstabe c erfasst Anbieter und Betreiber in einem Drittland, „wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird“. Das Bundesamt für Justiz nennt in seiner rechtlichen Analyse selbst ein Beispiel:

„Als Beispiel kann der Fall eines Schweizer Unternehmens angeführt werden, das seinen Kunden in der EU Texte zustellt, die mit einem KI-System generiert wurden.“

Nach den Leitlinien gilt die Pflicht, wenn ein Schweizer Unternehmen die Verbreitung in der EU selbst vorsieht, etwa mit einer Werbekampagne für Kunden in der EU. Sie gilt nicht, wenn Inhalte auf Wegen in die EU gelangen, die es weder vorhersehen noch steuern kann (Rn. 13). Wie EU-Behörden Betreiber ohne Sitz in der EU tatsächlich erreichen, regelt der AI Act nicht.

Schweizer Recht. In der Schweiz selbst gibt es keine Kennzeichnungspflicht. Das Bundesamt für Justiz schreibt:

„Hinsichtlich der Kennzeichnung von KI-generierten Inhalten enthält das schweizerische Recht grundsätzlich keine Kennzeichnungspflicht.“

Der Bundesrat hat am 12. Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und Gesetze nur dort anzupassen, wo es nötig ist, Bereich für Bereich. Eine allgemeine Regel über alle Bereiche soll es nur in zentralen, grundrechtsrelevanten Feldern wie dem Datenschutz geben. Die Konvention hat er am 27. März 2025 unterzeichnet. Bis Ende 2026 soll eine Vorlage für die Vernehmlassung entstehen, unter anderem zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Nach unserer Abfrage der Daten der Bundesplattform Fedlex vom 5. Oktober 2026 ist diese Vernehmlassung noch nicht eröffnet.

Agenturen. Betreiber ist, wer über den Einsatz der KI entscheidet. Eine Agentur, die für einen Kunden KI-Bilder erzeugt, ist Betreiber, der Kunde nur, wenn er bestimmt, ob und wie sie KI einsetzt (Rn. 14). Haltet fest, wer kennzeichnet, und liefert gekennzeichnete Dateien.

Steuerberater und Berater. Die Empfehlung an einen Mandanten ist kein veröffentlichter Text, auch wenn sie mit KI entstanden ist (Rn. 131). Fachbeiträge, Blogartikel und Posts zu Gesetzen und Steuern sind dagegen von öffentlichem Interesse. Sie sind frei, wenn eine fachkundige Person sie inhaltlich prüft und die Verantwortung im Impressum benannt ist. Die Leitlinien nennen berufliche Prüfketten ausdrücklich als Beispiel für eine menschliche Prüfung (Rn. 134). Ob ein Newsletter an einen großen Mandantenverteiler als veröffentlicht gilt, ist offen.

Was sonst noch kommt: Hochrisiko-KI, KI-Kompetenz, Verbote

Hochrisiko-KI ab Dezember 2027. Ab dem 2. Dezember 2027 gelten strenge Pflichten für KI in Bereichen wie Bewerberauswahl, Leistungsbewertung von Beschäftigten, Bonitätsprüfung von Privatpersonen und Tarifen in der Lebens- und Krankenversicherung (Anhang III). Wer solche Software nutzt, muss sie nach Anleitung einsetzen, durch kompetente Menschen beaufsichtigen lassen, Protokolle mindestens sechs Monate aufbewahren und beim Einsatz am Arbeitsplatz die Beschäftigten und ihre Vertretung vorab informieren (Art. 26). Für KI als Teil regulierter Produkte gilt der 2. August 2028.

KI-Kompetenz. Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, sich um die Kompetenz ihrer Leute kümmern. Bis zum 26. Juli 2026 sollten sie Maßnahmen ergreifen, „um nach besten Kräften sicherzustellen“, dass ihr Personal „über ein ausreichendes Maß an KI-Kompetenz“ verfügt. Seit dem Omnibus lautet Artikel 4 Absatz 1:

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, … Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“

Die Bundesnetzagentur stellt klar, dass weder standardisierte Schulungen noch Zertifikate noch ein KI-Beauftragter vorgeschrieben sind. Ein Bußgeld für Artikel 4 sehen weder der AI Act noch das deutsche Durchführungsgesetz vor. Wer gar nichts tut, kann nach Ansicht der Bundesnetzagentur aber im Schadensfall seine Sorgfaltspflicht verletzt haben.

Verbote. Seit dem 2. Februar 2025 ist unter anderem verboten, mit KI die Gefühle von Beschäftigten am Arbeitsplatz auszuwerten, außer aus medizinischen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f). Ab dem 2. Dezember 2026 kommen die beiden neuen Verbote hinzu. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Unsere Sicht

Dieser Abschnitt ist unsere Meinung, nicht Teil der Rechtslage.

Der Kern ist vernünftig. Wer mit einer Maschine spricht, soll das wissen. Wer ein Foto sieht, soll erfahren, wenn die Person darauf nie existiert hat. Das schützt Menschen vor Täuschung, und für ehrliche Unternehmen ist es keine Last, sondern selbstverständlich.

Die Umsetzung ist es nicht. Die Pflichten gelten seit dem 2. August 2026. Die Leitlinien, die erklären, was sie bedeuten, kamen 13 Tage vorher, auf Englisch und ohne förmliche Annahme. Das deutsche Gesetz, das festlegt, wer kontrolliert, trat vier Tage vorher in Kraft. Die Frist, bis zu der Deutschland seine Aufsichtsbehörden hätte benennen müssen, war schon im August 2025 verstrichen. Der Digitalverband Bitkom schrieb am 31. Juli 2026:

„Die Übergangsfrist hat ihnen faktisch keine Zeit für die Vorbereitung gegeben, weil zentrale Leitlinien und Auslegungshilfen erst vor kurzem veröffentlicht wurden.“

Die Unternehmen merken das. 62 Prozent der deutschen Unternehmen, die KI erwogen und nicht eingeführt haben, nennen unklare rechtliche Folgen als Grund, 60 Prozent Bedenken beim Datenschutz. Beides liegt deutlich über dem EU-Schnitt.

Viel Regel für eine einfache Idee. Artikel 50 hat 664 Wörter. Um ihn anzuwenden, braucht man 51 Seiten Leitlinien mit 155 Randnummern und einen Code mit 38 Seiten. In Deutschland teilen sich die Bundesnetzagentur, Landesbehörden, die BaFin und weitere Stellen die Aufsicht. Der Bundesrat sah darin „Doppelstrukturen bei Bund und Ländern“, eine Sachverständige sprach in der Anhörung des Bundestags von „potenziell hundert beteiligten Behörden“. Die Bundesregierung schätzt, dass die Aufsicht die Verwaltung jedes Jahr rund 49 Millionen Euro kostet. Für die Wirtschaft weist sie keinen Aufwand aus, weil die Pflichten aus Brüssel kommen. Mario Draghi schrieb 2024 in seinem Bericht zur Wettbewerbsfähigkeit der EU:

„… we continue to add regulatory burdens onto European companies, which are especially costly for SMEs and self-defeating for those in the digital sectors.“

Auf Deutsch: Wir laden europäischen Unternehmen weiter Regulierungslasten auf, die kleine und mittlere Unternehmen besonders teuer zu stehen kommen und in der Digitalwirtschaft dem eigenen Ziel schaden.

Was das für Daten bedeutet. Für uns ist entscheidend, was eine Regel mit den Daten von Nutzern macht. Hier ist die Nachricht gut. Die Kennzeichnung ist eine Information an das Publikum. Sie verlangt von niemandem, Eingaben zu speichern oder Nutzer zu identifizieren. Der Code stellt das für Hersteller ausdrücklich klar:

„… shall in no way be interpreted as creating a general commitment to log, monitor, or retain prompts for the AI-generated or manipulated content or for user interactions.“

Auf Deutsch: Das darf in keiner Weise als allgemeine Pflicht verstanden werden, Eingaben für KI-erzeugte Inhalte oder den Austausch mit Nutzern zu protokollieren, zu überwachen oder aufzubewahren. Auch die Leitlinien verlangen, dass Angaben über den Urheber eines Inhalts für die Markierung nicht verarbeitet werden (Rn. 94).

Weniger gut ist, was um die Regel herum entsteht: Behörden, die über Schnittstellen aus der Ferne prüfen, unangekündigt Geschäftsräume betreten und unter falscher Identität Proben kaufen dürfen. Für uns als Unternehmen gilt deshalb dieselbe Linie wie bei jedem anderen Gesetz. Wir kennzeichnen, was gekennzeichnet werden muss. Pflichten, die uns dazu bringen würden, Eingaben unserer Nutzer auf Vorrat zu speichern, herauszugeben oder Nutzer zu identifizieren, wollen wir so wenige wie möglich, und wo wir mitreden können, sprechen wir uns dagegen aus. Jede solche Pflicht richtet sich am Ende gegen die Daten der Menschen, die uns vertrauen.

Das Positive. Der Zuschnitt für Nutzer ist enger, als viele fürchten. Kennzeichnen musst du nur, was täuschen kann, und Texte nur, wenn niemand sie geprüft hat. Die technische Last tragen die Hersteller. Kleine und mittlere Unternehmen zahlen höchstens den niedrigeren Betrag. Die Symbole und Hilfen der Behörden sind kostenlos, und wer den Code nicht unterschreibt, verstößt gegen nichts. Der Omnibus hat die Fristen für Hochrisiko-KI verschoben und die Pflicht zur KI-Kompetenz entschärft. Die Berichterstatterin des Parlaments, Arba Kokalari, sagte dazu: „we are pressing the pause button on the AI Act and we are reducing red tape.“

Für dich heißt das: Kennzeichne, was täuschen könnte, lass Texte von einem Menschen prüfen, der dafür geradesteht, und gib dabei nicht mehr Daten preis als nötig.

Was du jetzt tun kannst

1. Eine KI-Übersicht anlegen. Liste alle KI-Werkzeuge im Betrieb auf: wofür, wer sie nutzt, was nach außen geht (Text, Bild, Video, Ton) und ob du Anbieter oder Betreiber bist. Für eine erste Einordnung gibt es den kostenlosen „KI-Compliance Kompass“ der Bundesnetzagentur, ausdrücklich ohne verbindliche Bewertung.
2. Bilder, Videos und Ton prüfen. Frag bei jedem KI-Inhalt mit Außenwirkung: Wirkt er wie etwas Echtes? Würde das Publikum ihn für echt halten? Ändert die KI mehr als Licht, Farbe oder Hintergrund? Täuscht er über ein Produkt? Wenn ja, kennzeichnen. Fotorealistische KI-Menschen und geschönte Produktbilder gehören im Zweifel gekennzeichnet, Maskottchen und Illustrationen nicht.
3. Eine Kennzeichnung festlegen. Nimm das EU-Symbol „AI“ und einen kurzen Text wie „Mit KI erstellt“ oder „Mit KI bearbeitet“. Lege fest, wo er steht: Bild oben rechts, Video am Anfang und in Abständen, Text bei der Überschrift, Ton als gesprochener Hinweis. Ergänze den Alternativtext. Mach Vorlagen, damit im Alltag niemand nachdenken muss.
4. Texte zu öffentlichen Themen regeln. Entscheide für Fachbeiträge, Blogartikel und Posts zu Gesetzen, Steuern, Gesundheit oder Verbraucherfragen: Entweder prüft eine fachkundige Person jeden Text inhaltlich, nach der Freigabe ändert keine KI mehr etwas, und die verantwortliche Person steht im Impressum. Oder der Text wird gekennzeichnet.
5. Chatbots und KI-Agenten klären. Frag deinen Dienstleister, ob er den KI-Hinweis eingebaut hat und wer von euch Anbieter ist. Wenn du selbst einen Bot unter eigener Marke betreibst, bist du wahrscheinlich Anbieter. Der Bot nennt sich in der ersten Nachricht eine KI und tritt nicht mit dem Foto und Namen eines Menschen auf.
6. Verträge anpassen. Halte mit Agenturen, Freelancern und Dienstleistern fest, wer KI einsetzt, wer kennzeichnet, wer Texte prüft und dass gekennzeichnete Dateien geliefert und Kennzeichnungen nicht entfernt werden.
7. Einweisen und festhalten. Weise alle ein, die mit KI arbeiten, passend zu ihrer Aufgabe. Halte kurz fest, wann, was und wer. Das ist dein Nachweis für die KI-Kompetenz und, wenn du den Code nicht unterschreibst, auch für die Kennzeichnung.
8. Den Code prüfen und Termine notieren. Entscheide, ob du Abschnitt 2 des Code of Practice unterschreibst. Das geht jederzeit per Formular an das KI-Büro der Kommission. Notiere den 2. Dezember 2026 und, falls du Software für Bewerbungen, Leistungsbewertung oder Bonität nutzt, den 2. Dezember 2027. Als Schweizer Firma beobachte die Vernehmlassung des Bundesrats.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act), Amtsblatt vom 12. Juli 2024
• Konsolidierte Fassung der KI-Verordnung, Stand 27. Juli 2026 (Amt für Veröffentlichungen, ohne Rechtswirkung)
• Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI) vom 8. Juli 2026, Amtsblatt vom 24. Juli 2026
• Kommission: Vorschlag für den Digital-Omnibus zur KI, COM(2025) 836 final (19.11.2025)
• Verordnung (EU) 2019/1020 über Marktüberwachung, Art. 14
• Verordnung (EU) 2016/679 (DSGVO), Art. 83
• Kommission: Leitlinien zu den Transparenzpflichten nach Artikel 50, C(2026) 5054 final (Inhalt gebilligt am 20.07.2026)
• Code of Practice on Transparency of AI-generated Content, Endfassung (10.06.2026)
• Kommission: Stellungnahme C(2026) 4839 final und Bewertung des KI-Gremiums zum Code (08./09.07.2026)
• Kommission: FAQ zu den Transparenzpflichten nach Artikel 50
• Kommission: EU-Symbole zur Kennzeichnung KI-erzeugter Inhalte
• Kommission: Unterzeichner des Code of Practice (Liste vom 24.09.2026)
• Kommission: Pressemitteilung IP/26/1653 zu den Leitlinien (20.07.2026)
• Europäisches Parlament: Pressemitteilung zur Einigung (07.05.2026)
• Europäisches Parlament: Pressemitteilung zur Abstimmung (16.06.2026)
• Wissenschaftlicher Dienst des Europäischen Parlaments (EPRS): Digital Omnibus on AI, PE 782.651 (Juni 2026)
• Gesetz zur Durchführung der KI-Verordnung mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), BGBl. 2026 I Nr. 223
• Bundesregierung: Regierungsentwurf KI-MIG mit Erfüllungsaufwand (Februar 2026)
• Bundesrat: Stellungnahme vom 27.03.2026, BT-Drs. 21/5143
• Deutscher Bundestag: Textarchiv zur Umsetzung der KI-Verordnung (Debatte, Anhörung, Beschluss)
• Bundesnetzagentur: Pressemitteilung „Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung“ (29.07.2026)
• Bundesnetzagentur: KI-Service-Desk mit Transparenzpflichten, KI-Kompetenz und KI-Compliance Kompass
• Eurostat: Use of artificial intelligence in enterprises (Datenbank isoc_eb_ai, Stand 15.06.2026)
• Bundesamt für Justiz: Rechtliche Basisanalyse im Rahmen der Auslegeordnung zu KI (31.08.2024)
• BAKOM: Künstliche Intelligenz, Auslegeordnung und Regulierungsansatz der Schweiz (Bundesrat, 12.02.2025)
• Fedlex: Vernehmlassungen des Bundes (eigene Abfrage am 05.10.2026)
• Mario Draghi: The future of European competitiveness, Teil A (September 2024)
• Bitkom (Verband): „Erstmals nutzt die Mehrheit der Unternehmen KI“ (14.09.2026)
• Bitkom (Verband): „Ab Sonntag greifen weitere Regeln des AI Acts – doch viele Fragen bleiben offen“ (31.07.2026)
• Terhaag & Partner (Kanzlei): KI-Kennzeichnungspflicht ab August 2026
• Lausen Rechtsanwälte (Kanzlei): AI Act Kennzeichnungspflicht, neue Leitlinien 2026