KI Kennzeichnungspflicht nach EU AI Act

Artikel 50 EU AI Act unterscheidet vier Kategorien: Erstens müssen interaktive KI-Systeme wie Chatbots offenlegen, dass Nutzer mit einer KI kommunizieren (Art. 50 Abs. 1). Zweitens müssen Anbieter von KI-Systemen, die synthetische Inhalte erzeugen (Bilder, Audio, Video), diese maschinenlesbar als KI-generiert kennzeichnen (Art. 50 Abs. 2). Drittens müssen Betreiber Deepfakes als manipulierte Inhalte kennzeichnen (Art. 50 Abs. 4). Viertens müssen KI-generierte Texte zu öffentlich relevanten Themen als solche offengelegt werden. Die Pflichten gelten ab dem 2. August 2026.

Artikel 13 betrifft Hochrisiko-KI-Systeme und verlangt umfassende technische Dokumentation, verständliche Gebrauchsanweisungen und Angaben zu Leistungsmerkmalen und Einschränkungen. Artikel 50 betrifft KI-Systeme mit beschränktem Risiko und regelt primär die Kennzeichnungspflicht: Nutzer müssen erfahren, dass sie mit einer KI interagieren, und KI-generierte Inhalte müssen als solche erkennbar sein. Die Art.-13-Pflichten richten sich an Anbieter von Hochrisiko-Systemen, die Art.-50-Pflichten an Anbieter und Betreiber von Chatbots, generativen KI-Systemen und Deepfake-Tools.

Verstöße gegen die Transparenzpflichten nach Artikel 50 EU AI Act können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Bei schwerwiegenden Verstößen gegen verbotene KI-Praktiken (Art. 5) steigen die Strafen auf bis zu 35 Millionen Euro oder 7 % des Umsatzes. Zuständig für die Durchsetzung in Deutschland wird die im KI-MIG (KI-Durchführungsgesetz) festgelegte Marktüberwachungsbehörde sein.

Ja, Artikel 50 Absatz 4 sieht Ausnahmen vor: Deepfakes müssen nicht gekennzeichnet werden, wenn sie offensichtlich satirisch, künstlerisch oder fiktiv sind und für einen durchschnittlichen Betrachter erkennbar keine echte Darstellung darstellen. Auch bei redaktionell überprüften Inhalten, bei denen eine natürliche oder juristische Person die Verantwortung übernimmt, kann die Kennzeichnungspflicht entfallen. Für Strafverfolgungszwecke und bestimmte behördliche Nutzungen gelten ebenfalls Sonderregelungen.

Anbieter von KI-Systemen müssen sicherstellen, dass synthetische Inhalte in einem maschinenlesbaren Format als KI-generiert erkennbar sind. Dazu gehören Wasserzeichen, Metadaten-Einbettung und kryptografische Verfahren. Der EU AI Office erarbeitet aktuell einen Code of Practice, der technische Standards für die Kennzeichnung festlegt, die finale Version wird voraussichtlich im Juni 2026 veröffentlicht. Die Kennzeichnung muss wirksam, zuverlässig und interoperabel sein und dem Stand der Technik entsprechen.

Der EU AI Act unterscheidet klar zwischen Anbietern (Entwicklern) und Betreibern (Nutzern) von KI-Systemen. Anbieter generativer KI-Systeme müssen die technische Infrastruktur für die maschinenlesbare Kennzeichnung bereitstellen. Betreiber, die KI-Systeme einsetzen, sind für die sichtbare Offenlegung gegenüber Nutzern verantwortlich, etwa die Chatbot-Kennzeichnung auf ihrer Website oder die Deepfake-Kennzeichnung bei veröffentlichten Inhalten. Beide Seiten tragen Pflichten.

Der EU AI Act erkennt den Schutz von Geschäftsgeheimnissen ausdrücklich an (Erwägungsgrund 78). Unternehmen können vertrauliche Informationen gegenüber Behörden offenlegen, ohne dass diese öffentlich werden. Die Gebrauchsanweisungen für Hochrisiko-KI nach Art. 13 müssen relevante Informationen enthalten, aber keine proprietären Algorithmen im Detail preisgeben. In der Praxis bedeutet das: Transparenz über Funktionsweise und Grenzen des Systems ja, Offenlegung des Quellcodes nein.