Seit dem 02.08.2026 gilt die KI-Kennzeichnungspflicht – aber der die KI – Verordnung/AI Act (Verordnung (EU) 2024/1689) kennt weit mehr als nur ein „KI-Label“. Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 der europäischen KI-Verordnung. Damit wird eine Frage, die Unternehmen bislang überwiegend freiwillig beantwortet haben, zur gesetzlichen Complianceaufgabe: Wann und wie muss mitgeteilt werden, dass künstliche Intelligenz eingesetzt wurde? Die häufig verwendete Kurzformel, wonach „KI-Inhalte künftig immer gekennzeichnet werden müssen“, ist allerdings nicht zutreffend, denn es gibt weder eine allgemeine Pflicht, jede Verwendung von ChatGPT, Claude, Mistral und Co. offenzulegen, noch muss künftig unter jedem sprachlich überarbeiteten Werbetext der Hinweis „mit KI erstellt“ stehen.
Der AI Act enthält vielmehr ein abgestuftes System verschiedener Transparenz-, Informations-, Mitteilungs-, Dokumentations- und Registrierungspflichten. Entscheidend ist jeweils:
- Welche Art von KI wird eingesetzt?
- Wer ist Anbieter und wer ist Betreiber?
- Welche Personen sind betroffen?
- Welche Wirkung kann das System entfalten?
- Wird lediglich ein Inhalt bearbeitet oder wird eine Entscheidung über einen Menschen vorbereitet?
- Handelt es sich dabei um ein gewöhnliches KI-System, ein Hochrisiko-KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck?
Die eigentliche Herausforderung besteht deshalb also nicht darin, möglichst viele KI-Hinweise anzubringen. Sie besteht vielmehr darin, die richtige Pflicht dem richtigen Akteur und dem richtigen Anwendungsfall zuzuordnen.
I. Die KI-Verordnung verfolgt einen risikobasierten Ansatz
Die Verordnung unterscheidet vereinfacht zwischen vier Ebenen:
1. Verbotene KI-Praktiken
Hierzu gehören insbesondere bestimmte manipulative oder ausbeuterische Anwendungen, bestimmte Formen des Social Scorings sowie einzelne besonders eingriffsintensive biometrische Praktiken.
2. Hochrisiko-KI-Systeme
Hierunter können insbesondere Systeme aus den Bereichen Beschäftigung, Bildung, Kreditwürdigkeitsprüfung, öffentliche Leistungen, kritische Infrastruktur, Migration, Strafverfolgung oder Rechtspflege fallen.
3. KI- Systeme mit besonderen Transparenzpflichten
Dazu gehören beispielsweise Chatbots, generative KI-Systeme, Deepfakes, Emotionserkennungssysteme und Systeme zur biometrischen Kategorisierung.
4. KI-Systeme mit geringem oder minimalem Risiko
Für sie gelten regelmäßig keine besonderen produktspezifischen Pflichten der KI-Verordnung. Andere Vorschriften, etwa aus dem Datenschutz-, Urheber-, Verbraucher- oder Wettbewerbsrecht, bleiben jedoch anwendbar.
Ein KI-System ist nach der Verordnung ein maschinengestütztes System, das für einen in unterschiedlichem Grad autonomen Betrieb ausgelegt ist, nach seiner Inbetriebnahme anpassungsfähig sein kann und aus Eingaben Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet, die physische oder virtuelle Umgebungen beeinflussen können. Damit wird also nicht jede herkömmliche Software automatisch zu einem KI-System. Entscheidend sind vielmehr die Fähigkeit zur Ableitung von Ausgaben sowie ein gewisses Maß an Autonomie.
II. Wichtige Fristkorrektur:
Der AI Act gilt nicht erst und ab heute vollständig. Die Verordnung ist bereits am 1. August 2024 in Kraft getreten. Ihre Vorschriften werden jedoch stufenweise anwendbar:
Seit dem 2. Februar 2025 gelten insbesondere die allgemeinen Bestimmungen, die Verpflichtung zur Sicherstellung ausreichender KI-Kompetenz und die ersten Verbote bestimmter KI-Praktiken.
Seit dem 2. August 2025 gelten insbesondere die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck, Teile der Governance-Struktur und wesentliche Sanktionsbestimmungen.
Ab dem 2. August 2026 gelten nun insbesondere die Transparenzpflichten des Art. 50 KI-VO.
Kurz vor diesem Datum wurden die Anwendungsfristen für das Hochrisiko-Regime allerdings nochmals geändert. Die zentralen Vorschriften für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III gelten nun grundsätzlich ab dem 2. Dezember 2027.
Für produktbezogene Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 und Anhang I ist der 2. August 2028 maßgeblich.
Die Aussage, die KI-Verordnung gelte seit dem 2. August 2026 „vollständig“, ist deshalb nicht mehr richtig. Unternehmen sollten allerdings auch die später anwendbaren Hochrisiko-Pflichten bereits jetzt in ihre Beschaffungs-, Vertrags- und Dokumentationsprozesse einbeziehen. Wer heute ein komplexes KI-System einführt, wird es regelmäßig nicht erst Ende 2027 technisch und organisatorisch neu aufsetzen wollen.
III. Wer ist Anbieter und wer ist Betreiber?
Die Unterscheidung zwischen Anbieter und Betreiber ist für die Transparenzpflichten zentral. Anbieter ist vereinfacht gesagt, wer ein KI-System oder KI-Modell entwickelt oder entwickeln lässt und es unter dem eigenen Namen oder der eigenen Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist demgegenüber grundsätzlich die natürliche oder juristische Person, Behörde oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet. Die rein persönliche, nicht berufliche Nutzung ist ausgenommen. Ein Unternehmen, das einen Chatbot für seinen Kundenservice einkauft, ist daher auch regelmäßig dessen Betreiber (und haftet damit grundsätzlich auch dafür wenn dieses fehlerhaft programmiert ist und Umgehung seines Einsatzzweckes verärgerte Kunden möglichst nicht zu einem Mitarbeiter durchdringen zu lassen, Anleitungen zum Bombenbauen gibt. #Störerhaftung) Das Unternehmen, das den Chatbot entwickelt und bereitstellt (LimeConnect, Zendesk und Co.), ist grundsätzlich dessen Anbieter.
Wer ein fremdes System jedoch wesentlich verändert, unter eigener Marke anbietet oder dessen Zweckbestimmung so verändert, dass daraus ein Hochrisiko-KI-System wird, kann selbst in die Anbieterrolle hineinwachsen.
Diese Rollenverteilung ist wichtig, weil Art. 50 KI-VO zwei unterschiedliche Transparenzebenen kennt:
Der Anbieter muss das System technisch so gestalten, dass Transparenz ermöglicht wird. Der Betreiber muss in bestimmten Fällen gegenüber den tatsächlich betroffenen Personen offenlegen, dass KI eingesetzt oder ein Inhalt künstlich erzeugt wurde. Eine unsichtbare technische Markierung durch den Anbieter ersetzt deshalb nicht automatisch einen sichtbaren Hinweis durch den Betreiber.
IV. Chatbots und KI-Assistenten müssen sich zu erkennen geben
Nach Art. 50 Abs. 1 KI-VO müssen Anbieter sicherstellen, dass KI-Systeme, die unmittelbar mit natürlichen Personen interagieren, so konzipiert und entwickelt werden, dass die betroffenen Personen darüber informiert werden, dass sie mit einem KI-System kommunizieren. Das betrifft insbesondere:
- Chatbots auf Unternehmenswebseiten,
- KI-gestützte Kundenservice-Systeme,
- Sprach- und Telefonassistenten,
- virtuelle Berater,
- digitale Avatare sowie
- autonome KI-Agenten mit unmittelbarem Kundenkontakt
Eine gesonderte Mitteilung ist nur dann entbehrlich, wenn für eine angemessen informierte, aufmerksame und verständige Person aufgrund der Umstände und des Nutzungskontexts ohnehin offensichtlich ist, dass sie mit einer KI interagiert. Die Information muss spätestens bei der ersten Interaktion klar und eindeutig erteilt werden. Außerdem müssen die geltenden Anforderungen an die Barrierefreiheit eingehalten werden.
Ein Hinweis, der ausschließlich in den Allgemeinen Geschäftsbedingungen, der Datenschutzerklärung oder im Impressum versteckt ist, dürfte regelmäßig nicht genügen.
Eine mögliche Formulierung lautet:v„Sie kommunizieren mit einem KI-gestützten Assistenzsystem.“ Bei Sprachsystemen sollte der Hinweis grundsätzlich auch akustisch erfolgen. Bei einem Avatar kann auch eine sichtbare Einblendung erforderlich sein.
Nutzt ein Unternehmen ein System eines externen Anbieters, trifft die technische Gestaltungspflicht zwar primär den Anbieter. Der Betreiber sollte dennoch auch selbst kontrollieren, ob der Hinweis tatsächlich angezeigt wird, ob er versehentlich deaktiviert werden kann und wer vertraglich für die rechtmäßige Ausgestaltung verantwortlich ist.
V. Generative Systeme müssen maschinenlesbare Kennzeichnungen ermöglichen
Art. 50 Abs. 2 KI-VO verpflichtet Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, ihre Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert erkennbar zu machen (dies merken Sie bspw. wenn Sie bei Linkedin ChatGPT Bilder hochladen, die automatisch gekennzeichnet werden). In Betracht kommen dabei insbesondere:
- Metadaten,
- digitale Wasserzeichen,
- Herkunftsnachweise,
- kryptografische Signaturen oder
- andere technische Erkennungsmechanismen.
Diese Lösungen müssen, soweit technisch möglich, wirksam, interoperabel, belastbar und zuverlässig sein. Die technische Kennzeichnungspflicht gilt nicht, wenn ein System lediglich eine unterstützende Standardbearbeitung ausführt oder die eingegebenen Daten beziehungsweise deren Aussagegehalt nicht wesentlich verändert.
Eine bloße Rechtschreibkorrektur, Formatierung, Schärfung eines Bildes, Rauschunterdrückung oder gewöhnliche Tonoptimierung führt deshalb nicht automatisch zu einer Kennzeichnungspflicht.
Anders kann es sein, wenn ein System neue Bildbestandteile einfügt, Personen hinzuerfindet, Stimmen nachbildet, Aussagen verändert oder einen vollständig neuen Text erzeugt.
Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, besteht insoweit eine begrenzte Übergangsfrist. Die Anbieter müssen die technische Markierungs- und Erkennungspflicht des Art. 50 Abs. 2 KI-VO spätestens ab dem 2. Dezember 2026 erfüllen.
Diese Übergangsfrist gilt jedoch nur für die technische Kennzeichnung durch Anbieter. Sie stellt keine allgemeine Schonfrist für die Offenlegung von Deepfakes, Emotionserkennung oder veröffentlichten KI-Texten dar.
VI. Emotionserkennung und biometrische Kategorisierung
Art. 50 Abs. 3 KI-VO verpflichtet Betreiber von Emotionserkennungssystemen und Systemen zur biometrischen Kategorisierung, die davon betroffenen natürlichen Personen über den Betrieb des Systems zu informieren. Emotionserkennung bedeutet dabei nicht lediglich, dass ein Nutzer selbst eine Stimmung auswählt. Gemeint sind Systeme, die Emotionen oder Absichten aus biometrischen Daten ableiten sollen, beispielsweise aus Gesichtsausdruck, Stimme, Körperhaltung oder anderen körperbezogenen Merkmalen.
Biometrische Kategorisierung betrifft Systeme, die Personen auf Grundlage biometrischer Daten bestimmten Kategorien zuordnen.
Die Mitteilungspflicht besteht zusätzlich zu den datenschutzrechtlichen Anforderungen. Das bedeutet insbesondere, dass die Information nach Art. 50 KI-VO keine Rechtsgrundlage für die Verarbeitung personenbezogener oder biometrischer Daten ersetzt. Eine offene Information darüber, dass ein System Emotionen analysiert, macht dessen Einsatz daher noch nicht automatisch rechtmäßig.
Unternehmen müssen dabei zusätzlich prüfen:
- Liegt eine tragfähige Rechtsgrundlage nach der DSGVO vor?
- Werden besondere Kategorien personenbezogener Daten verarbeitet?– Ist eine Datenschutz-Folgenabschätzung erforderlich?
- Ist der Einsatz im konkreten Bereich möglicherweise bereits nach Art. 5 KI-VO (Verbotene Praktik bspw. bei Arbeitnehmern) verboten?
VII. Deepfakes müssen offengelegt werden
Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die als Deepfake einzuordnen sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden und auch die Verwender müssen dies beim Hochladen der Bilder auf Social Media ggf. kennzeichnen. Ein Deepfake ist ein durch KI erzeugter oder manipulierter Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und fälschlicherweise als echt oder wahrheitsgemäß erscheinen kann. Nicht jedes KI-Bild ist damit automatisch ein Deepfake.
Ein offensichtlich fantastisches Bild eines Bürogebäudes auf dem Mond oder aus meinem letzten Beitrag mit mir als Stürmer im Fußballstadion wird regelmäßig nicht als echte Fotografie verstanden werden. Anders kann es aussehen bei:
- einer künstlich erzeugten Videoansprache einer realen Person,
- einer täuschend echt nachgebildeten Stimme,
- einer manipulierten Aufnahme eines tatsächlichen Ereignisses,– einem vermeintlichen Foto eines realen Produkts mit nicht vorhandenen Eigenschaften,
- einer Darstellung eines tatsächlich existierenden Gebäudes mit Schäden, die nie eingetreten sind, oder
- einem virtuellen Influencer, der wie eine reale Person erscheint.
Die Offenlegung muss spätestens beim ersten Kontakt mit dem Inhalt klar und eindeutig erfolgen. Sie darf sich nicht nur in unsichtbaren Metadaten befinden.8. Kunst, Satire und Fiktion sind nicht vollständig ausgenommen. Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke sieht Art. 50 Abs. 4 KI-VO eine Erleichterung vor.
Die Kennzeichnungspflicht entfällt aber nicht vollständig.
Die Offenlegung darf vielmehr in einer Weise erfolgen, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt.
Denkbar sind Hinweise:
- im Abspann,
- in der Bildbeschreibung,
- im Begleittext,
- in den technischen Informationen zum Werk.
Auch eine kreative Werbekampagne ist daher nicht automatisch von der Offenlegungspflicht befreit. Entscheidend bleibt, ob ein täuschend echter Eindruck erzeugt wird und ob die künstliche Erzeugung in geeigneter Weise offengelegt wurde.
IX. Müssen mit KI erstellte Texte gekennzeichnet werden?
Die Antwort sehen Sie durch die Kennzeichnung dieses Artikels (kleiner Scherz ;). Die praktisch wichtigste Antwort lautet: Nicht jeder KI-Text muss gekennzeichnet werden.
Die Offenlegungspflicht betrifft nur Texte, die durch ein KI-System erzeugt oder manipuliert und veröffentlicht werden, um die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse zu informieren. Dazu können insbesondere gehören insbesondere:
- politische und gesellschaftliche Entwicklungen,
- öffentliche Verwaltungsmitteilungen
- öffentliche Sicherheit
- Gesundheit,– Umwelt- und Verbraucherschutz
- wirtschaftliche oder finanzielle Entwicklungen sowie
- wissenschaftliche oder kulturelle Fragen von öffentlicher Bedeutung
Eine interne E-Mail, ein gewöhnlicher Werbeslogan, eine private Nachricht, ein lustiger Informationsbeitrag eines oberfränkischen Rechtsanwalzs 😀 oder eine rein beschreibende Produktinformation wird daher nicht allein deshalb kennzeichnungspflichtig, weil bei ihrer Erstellung KI verwendet wurde.
Anders kann es bei einem weitgehend automatisch erzeugten Beitrag über eine neue Rechtslage, Gesundheitsrisiken, politische Entwicklungen oder wirtschaftliche Prognosen aussehen.
X. wichtige Ausnahme: menschliche Prüfung und redaktionelle Verantwortung
Selbst ein KI-generierter Text über eine Angelegenheit von öffentlichem Interesse muss nicht gekennzeichnet werden, wenn zwei Voraussetzungen erfüllt sind:
der Inhalt ist einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen worden sein.
eine natürliche oder juristische Person übernimmt die redaktionelle Verantwortung für die Veröffentlichung .Eine rein formale Kontrolle genügt nicht. Wer einen Text lediglich öffnet, kurz überfliegt oder Rechtschreibfehler korrigiert, übernimmt noch keine ausreichende inhaltliche Kontrolle. Erforderlich ist vielmehr eine tatsächliche Prüfung, insbesondere von: Tatsachenbehauptungen, Quellen, rechtlichen Aussagen, Schlussfolgerungen, Auslassungen und möglichen Fehlinterpretationen.
Die prüfende Person muss befugt und fachlich in der Lage sein, den Inhalt zu ändern, zurückzuweisen oder vollständig neu zu verfassen. Entscheidend ist deshalb nicht, welchen prozentualen Anteil die KI am Text hatte. Entscheidend ist, ob ein Mensch den Inhalt tatsächlich geprüft, die Veröffentlichung bewusst freigegeben und die redaktionelle Verantwortung übernommen hat.
Also nochmal Glück gehabt für unsere kleine Beitragsserie ^^
Für professionelle Beiträge bedeutet dies: KI darf grundsätzlich als Werkzeug für Recherche, Gliederung, Formulierung oder sprachliche Überarbeitung eingesetzt werden. Wird der Text anschließend fachlich geprüft und redaktionell verantwortet, besteht nicht automatisch eine Pflicht, ihn als KI-generiert zu kennzeichnen.
XI. Neben Art. 50 gibt es eine echte Mitteilungspflicht für besonders leistungsfähige KI-Modelle
Die begrifflich eigentliche „Mitteilungspflicht“ findet sich in Art. 52 KI-VO. Sie betrifft allerdings nicht gewöhnliche Unternehmen, die ChatGPT oder vergleichbare Systeme verwenden, sondern Anbieter besonders leistungsfähiger KI-Modelle mit allgemeinem Verwendungszweck. Ein KI-Modell mit allgemeinem Verwendungszweck ist ein Modell, das ein breites Spektrum unterschiedlicher Aufgaben kompetent erfüllen und in eine Vielzahl nachgelagerter Systeme integriert werden kann. Ein solches Modell wird als Modell mit systemischem Risiko eingestuft, wenn es über Fähigkeiten mit hohem Wirkungsgrad verfügt oder von der Kommission aufgrund seiner Fähigkeiten und Auswirkungen entsprechend eingestuft wird.
Die Verordnung vermutet einen hohen Wirkungsgrad, wenn die kumulierte Menge der für das Training verwendeten Berechnungen mehr als 10²⁵ Gleitkommaoperationen beträgt. Erfüllt ein Modell diese Voraussetzung, muss der Anbieter dies der Kommission unverzüglich, spätestens jedoch innerhalb von zwei Wochen, mitteilen. Die Mitteilung muss die notwendigen Informationen enthalten, um nachzuweisen, dass die Schwelle erreicht wurde. Der Anbieter kann zugleich begründet darlegen, dass das Modell trotz Überschreitung der Schwelle aufgrund seiner besonderen Merkmale ausnahmsweise keine systemischen Risiken aufweist. Die Kommission kann ein Modell außerdem von Amts wegen oder aufgrund einer qualifizierten Warnung des wissenschaftlichen Gremiums als Modell mit systemischem Risiko einstufen. Dokumente und Mitteilungen werden in der Praxis über die dafür vorgesehene EU-Plattform an das Büro für Künstliche Intelligenz übermittelt.
XII. Dokumentationspflichten für Anbieter allgemeiner KI-Modelle
Art. 53 KI-VO verpflichtet Anbieter von KI-Modellen mit allgemeinem Verwendungszweck insbesondere zu vier Maßnahmen.
Technische Dokumentation
Anbieter müssen eine technische Dokumentation des Modells erstellen und aktuell halten. Sie muss insbesondere Informationen über Trainings- und Testverfahren sowie die Ergebnisse der Modellbewertung enthalten. Diese Dokumentation muss dem Büro für Künstliche Intelligenz und den zuständigen nationalen Behörden auf Anfrage zur Verfügung gestellt werden.
Informationen für nachgelagerte Anbieter
Anbieter müssen zudem Informationen und Dokumentation erstellen und aktualisieren und diese Anbietern von KI-Systemen zur Verfügung stellen, die beabsichtigen, das KI-Modell mit allgemeinem Verwendungszweck in ihre KI-Systeme zu integrieren. Diese Informationen müssen die Anbieter von KI-Systemen in die Lage versetzen, die Fähigkeiten und Grenzen des KI-Modells mit allgemeinem Verwendungszweck gut zu verstehen und ihren Pflichten gemäß der KI-VO nachzukommen. Unbeschadet des Schutzes von Rechten des geistigen Eigentums und vertraulicher Geschäftsinformationen müssen die Informationen zumindest die in Anhang XII genannten Elemente enthalten, wie etwa eine allgemeine Beschreibung des Modells, die Aufgaben, die es erfüllen soll, die Architektur und Anzahl der Parameter sowie Informationen über die für das Training verwendeten Daten.
Strategie zur Einhaltung des Urheberrechts
Anbieter müssen eine Strategie zur Einhaltung des Urheberrechts der Union und damit zusammenhängender Rechte auf den Weg bringen. Dies umfasst insbesondere die Ermittlung und Einhaltung eines gemäß Artikel 4 Absatz 3 der Richtlinie (EU) 2019/790 geltend gemachten Rechtsvorbehalts, auch durch modernste Technologien. Jeder Anbieter, der ein KI-Modell mit allgemeinem Verwendungszweck in der Union in Verkehr bringt, muss diese Pflicht erfüllen, unabhängig davon, in welchem Hoheitsgebiet die urheberrechtlich relevanten Handlungen stattfinden.
Zusammenfassung der Trainingsinhalte
Anbieter müssen eine hinreichend detaillierte Zusammenfassung der für das Training des KI-Modells mit allgemeinem Verwendungszweck verwendeten Inhalte erstellen und veröffentlichen. Diese Zusammenfassung erfolgt nach einer vom Büro für Künstliche Intelligenz bereitgestellten Vorlage. Unter gebührender Berücksichtigung des Schutzes von Geschäftsgeheimnissen und vertraulicher Geschäftsinformationen sollte der Umfang dieser Zusammenfassung allgemein weitreichend und nicht technisch detailliert sein, um Parteien mit berechtigtem Interesse, einschließlich der Inhaber von Urheberrechten, die Ausübung und Durchsetzung ihrer Rechte zu erleichtern
XIII. Drohende Sanktionen
Verstöße gegen die Transparenzpflichten des Art. 50 KI-VO können mit Geldbußen von bis zu 15 Millionen Euro oder bei Unternehmen bis zu drei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden. Maßgeblich ist grundsätzlich der höhere Betrag.
Für Verstöße gegen verbotene KI-Praktiken sieht die Verordnung Geldbußen von bis zu 35 Millionen Euro oder bis zu sieben Prozent des weltweiten Jahresumsatzes vor.
Bei KMU einschließlich Start-ups gilt jeweils der niedrigere Betrag aus dem absoluten Höchstbetrag und dem prozentualen Umsatzbetrag. Bei der Bemessung sind unter anderem zu berücksichtigen:
- Art, Schwere und Dauer des Verstoßes,
- die Zahl der betroffenen Personen,
- das Ausmaß entstandener Schäden,
- der Grad des Verschuldens,
- die wirtschaftliche Größe des Unternehmens,
- die Zusammenarbeit mit den Behörden sowie
- die getroffenen technischen und organisatorischen Maßnahmen.
Neben behördlichen Sanktionen kommen weitere rechtliche Folgen in Betracht.Eine fehlende oder irreführende Kennzeichnung kann insbesondere das Datenschutz-, Persönlichkeits-, Urheber-, Verbraucher- oder Wettbewerbsrecht berühren.Ob einzelne Vorschriften der KI-Verordnung zugleich Marktverhaltensregeln im Sinne des § 3a UWG darstellen, wird voraussichtlich durch die Rechtsprechung weiter geklärt werden müssen. Unternehmen sollten deshalb nicht davon ausgehen, dass Verstöße ausschließlich im Verhältnis zur Aufsichtsbehörde relevant sind.
XIV. Governance und Aufsicht
Auf europäischer Ebene übernimmt das Büro für Künstliche Intelligenz eine zentrale Rolle, insbesondere bei der Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck. Daneben bestehen das Europäische KI-Gremium, ein wissenschaftliches Gremium und nationale Marktüberwachungs- und Notifizierungsbehörden.
In Deutschland hat der Bundestag das KI-Marktüberwachungs- und Innovationsförderungsgesetz beschlossen. Danach soll insbesondere die Bundesnetzagentur eine zentrale Rolle bei der Marktüberwachung, Koordinierung und als Ansprechpartnerin für europäische Institutionen übernehmen, soweit keine speziellere Fachbehörde zuständig ist. Die konkrete Zuständigkeit kann jedoch vom jeweiligen System und Einsatzbereich abhängen. Für medizinische Produkte, Finanzdienstleistungen, Datenschutz, Medien, Strafverfolgung oder andere regulierte Bereiche können spezielle Behörden zuständig bleiben.
XV. Was Unternehmen jetzt tun sollten
Unternehmen sollten nicht damit beginnen, wahllos jeden KI-Inhalt zu kennzeichnen. Erforderlich ist zunächst eine belastbare Bestandsaufnahme
1. KI-Systeme erfassen
Welche generativen Systeme, Chatbots, Schreibassistenten, Bildgeneratoren, Sprachsysteme, Bewerbermanagementsysteme oder Analysewerkzeuge werden eingesetzt? Dabei sollten auch Systeme erfasst werden, die einzelne Abteilungen ohne zentrale Freigabe nutzen
2. Rollen bestimmen
Ist das Unternehmen Betreiber, Anbieter, Einführer, Händler oder möglicherweise Produkthersteller? Wird ein fremdes System unter eigener Marke angeboten oder wesentlich verändert?
3. Risikokategorie prüfen
Handelt es sich um:
- ein verbotenes System,
- ein Hochrisiko-KI-System,–
- ein System mit Transparenzpflichten oder
- ein System mit geringem Risiko?
4. Art. 50-Anwendungsfälle identifizieren
Interagiert das System direkt mit Menschen?
Erzeugt es synthetische Inhalte?
Werden Emotionen oder biometrische Kategorien erkannt? Werden Deepfakes veröffentlicht?
Werden KI-Texte zu Angelegenheiten von öffentlichem Interesse verbreitet?
5. Menschliche Prüfprozesse festlegen
- Wer prüft KI-generierte Texte fachlich?
- Wer kontrolliert Tatsachen und Quellen?
- Wer darf einen Text zurückweisen oder verändern?
- Wer übernimmt die redaktionelle Verantwortung?
6. Kennzeichnungsmuster vorbereiten
Unternehmen sollten einheitliche Hinweise für Chatbots, Deepfakes, Audioinhalte, Bilder, Videos und ungeprüfte KI-Texte entwickeln.
7. Verträge anpassen
Verträge mit Softwareanbietern, Agenturen und sonstigen Dienstleistern sollten künftig regeln:
- ob KI eingesetzt werden darf,
- wer Anbieter und Betreiber ist,
- wer Inhalte kennzeichnet,
- wer technische Dokumentationen bereitstellt,
- wer Vorfälle meldet und
- wer für fehlerhafte Angaben haftet.
8. Dokumentation aufbauen
Unternehmen sollten nachvollziehbar dokumentieren können, weshalb ein Inhalt gekennzeichnet oder nicht gekennzeichnet wurde.
9. KI-Kompetenz sicherstellen
Mitarbeiter müssen in die Lage versetzt werden, Risiken, Grenzen und typische Fehler der eingesetzten Systeme zu erkennen.
10. Hochrisiko-Pflichten vorbereiten
Auch wenn wesentliche Hochrisiko-Vorschriften erst 2027 oder 2028 gelten, sollten langfristig eingesetzte Systeme bereits heute auf Dokumentation, menschliche Aufsicht, Registrierung, Folgenabschätzungen und Vorfallsmeldungen vorbereitet werden
Zusammenfassung:
Die neue KI-Kennzeichnungspflicht ist weder ein pauschales Verbot ungekennzeichneter KI-Inhalte noch eine bloße Formalität. Sie ist Teil eines deutlich umfassenderen Transparenz- und Informationssystems. Menschen sollen erkennen können, wenn sie mit einer KI interagieren, wenn ihre Emotionen oder biometrischen Merkmale analysiert werden, wenn ihnen täuschend echte künstliche Inhalte präsentiert werden, wenn ungeprüfte KI-Texte den öffentlichen Diskurs beeinflussen sollen oder wenn ein Hochrisiko-KI-System an einer Entscheidung über sie beteiligt ist.
Für Anbieter besonders leistungsfähiger KI-Modelle treten weitere Mitteilungs-, Dokumentations-, Urheberrechts-, Sicherheits- und Vorfallsmeldepflichten hinzu.
Für Unternehmen folgt daraus nicht, dass jeder KI-Einsatz öffentlich gemacht werden muss.Sie müssen aber organisatorisch in der Lage sein, zwischen bloßer technischer Unterstützung, redaktionell verantworteter Nutzung, kennzeichnungspflichtigen synthetischen Inhalten und risikoreichen automatisierten Entscheidungen zu unterscheiden.
Die wichtigste Compliance-Maßnahme ist deshalb nicht das vorsorgliche Etikett unter jedem Text.Sie ist ein funktionierender Prozess, der sicherstellt, dass ein Mensch prüft, ein Verantwortlicher entscheidet und das Unternehmen seine Entscheidung dokumentieren kann.
Dieser Artikel entspricht den Vorschriften zur KI – Kennzeichnung 🙂 Ersetzt aber keine juristische Beratung im Einzelfall.