EU AI Act Artikel 50: Was ab dem 2. August 2026 für Chatbots und KI-Inhalte gilt

Warum Artikel 50 der Termin ist, den man nicht verschieben kann

Die meisten KI-Compliance-Programme in DACH-Unternehmen sind derzeit auf die Hochrisiko-Frage kalibriert: Fällt unser System unter Anhang III? Brauchen wir ein Risikomanagementsystem, technische Dokumentation, menschliche Aufsicht? Diese Frage ist wichtig — und sie ist genau die Frage, deren Zeitplan die Digital-Omnibus-Verordnung (Verordnung (EU) 2026/1744) verändert hat: Die Hochrisiko-Pflichten gelten nun für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Systeme ab dem 2. August 2028. Der Effekt in der Praxis: Programme werden gestreckt, Budgets verschoben, Entscheidungen vertagt.

Dabei geht ein Termin unter, der weder Anhang III betrifft noch von der Verschiebung der Hochrisiko-Termine erfasst wird. heise online ordnet den 2. August 2026 als den Tag ein, ab dem die Transparenzpflichten nach Artikel 50 des EU AI Act greifen — für Chatbots und KI-generierte Inhalte müssen Unternehmen offenlegen, dass KI im Spiel ist; zugleich diskutiere die EU-Kommission im Rahmen der Digital-Omnibus-Verordnung über mögliche Fristverlängerungen (siehe https://www.heise.de/news/EU-AI-Act-Was-bis-August-2026-in-Unternehmen-erledigt-sein-muss-11289793.html). Diese Verhandlung ist abgeschlossen: Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten; den Anwendungsbeginn von Artikel 50 am 2. August 2026 lässt sie unberührt. Auch die amtliche EUR-Lex-Zusammenfassung zur KI-Verordnung nennt den 2. August 2026 als generellen Anwendungsbeginn der Verordnung, mit den bekannten Vorabterminen für Verbote, Begriffsbestimmungen und KI-Kompetenz seit dem 2. Februar 2025 sowie Governance-Struktur, Sanktionsregeln und GPAI-Pflichten seit dem 2. August 2025 (siehe https://eur-lex.europa.eu/EN/legal-content/summary/rules-for-trustworthy-artificial-intelligence-in-the-eu.html).

Der entscheidende Unterschied zur Hochrisiko-Debatte: Artikel 50 betrifft nicht die exotischen Systeme, sondern die banalen. Fast jedes Unternehmen mit einem Support-Chatbot, einem KI-gestützten Newsletter oder einem generierten Bild in der Kampagne ist Adressat — meist als Betreiber, häufiger als gedacht auch als Anbieter. Und anders als bei Hochrisiko-Pflichten ist die Nichteinhaltung sofort von außen sichtbar: Ein nicht gekennzeichneter Chatbot ist kein Dokumentationsmangel, den man in der Prüfung nachreicht, sondern ein laufender Zustand auf der eigenen Website.

Eine Ausnahme gibt es allerdings, und sie steht nicht in Artikel 50 selbst. Die Verordnung (EU) 2026/1744 hat dem Artikel 111 einen neuen Absatz 4 angefügt: Anbieter von KI-Systemen, einschließlich Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Kennzeichnungspflicht aus Artikel 50 Absatz 2 erst bis zum 2. Dezember 2026 erfüllen. Für Bestandssysteme läuft damit eine eigene Frist, die vier Monate über den allgemeinen Stichtag hinausreicht. Sie gilt ausdrücklich nur für Absatz 2, also für die maschinenlesbare Markierung synthetischer Inhalte durch den Anbieter; die Offenlegungspflichten der Absätze 1, 3 und 4 sind davon nicht erfasst und gelten seit dem 2. August 2026 ohne Übergang. Wer die Frist nutzt, sollte das dokumentieren: Maßgeblich ist, dass das System vor dem 2. August 2026 in Verkehr gebracht wurde; dieser Zeitpunkt gehört mit Nachweis in die Akte. Für Systeme, die teils interaktiv und teils generativ sind, gilt die Übergangsfrist nach den Leitlinien der Kommission nur für die Markierung nach Absatz 2, nicht für die Offenlegung nach Absatz 1.

Wer den eigenen Stand grob einordnen will, bevor er ein Programm aufsetzt, kann mit dem kostenlosen AI-Act-Quick-Check beginnen — er sortiert Rollen und Risikoklasse in wenigen Minuten. Die vollständige Systematik der Verordnung, von den vier Risikostufen bis zu den sechs Rollen in der Wertschöpfungskette, steht im EU AI Act Compliance Guide.

Die vier Pflichten aus Artikel 50 — und wer sie jeweils trägt

Artikel 50 der KI-Verordnung ist mit „Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme" überschrieben, und diese Doppelung im Titel ist die halbe Miete: Zwei der vier Pflichten treffen den Anbieter, zwei den Betreiber. Wer diese Zuordnung verwechselt, baut die Kontrolle an der falschen Stelle — und wundert sich, warum der Softwarelieferant sie nicht liefert.

Pflicht 1 (Artikel 50 Absatz 1) trifft den Anbieter: KI-Systeme, die zur direkten Interaktion mit natürlichen Personen bestimmt sind, müssen so gestaltet sein, dass die betroffenen Personen informiert werden, dass sie mit einem KI-System interagieren. Der Verordnungstext nimmt die Fälle aus, in denen dies aus Sicht einer „angemessen informierten, aufmerksamen und verständigen" natürlichen Person unter Berücksichtigung der Umstände und des Nutzungskontexts offensichtlich ist (siehe https://www.artificial-intelligence-act.com/Artificial_Intelligence_Act_Article_50.html).

Pflicht 2 (Artikel 50 Absatz 2) trifft ebenfalls den Anbieter, ausdrücklich auch Anbieter von KI-Systemen mit allgemeinem Verwendungszweck: Wer synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, muss sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die technischen Lösungen müssen laut Artikel 50 wirksam, interoperabel, robust und zuverlässig sein, soweit dies technisch durchführbar ist — unter Berücksichtigung der Besonderheiten und Grenzen der Inhaltsarten, der Implementierungskosten und des allgemein anerkannten Stands der Technik.

Pflicht 3 (Artikel 50 Absatz 3) trifft den Betreiber: Wer ein Emotionserkennungssystem oder ein System zur biometrischen Kategorisierung einsetzt, muss die davon betroffenen natürlichen Personen über den Betrieb des Systems informieren und die personenbezogenen Daten im Einklang mit der DSGVO verarbeiten. Diese Pflicht steht also nicht allein — sie ist datenschutzrechtlich verzahnt.

Pflicht 4 (Artikel 50 Absatz 4) trifft ebenfalls den Betreiber und zerfällt in zwei Teile. Erstens: Wer mit einem KI-System Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake darstellen, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Zweitens: Wer mit einem KI-System Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss diese künstliche Erzeugung ebenfalls offenlegen.

Quer über alle vier Pflichten liegt Artikel 50 Absatz 5: Die Information muss den betroffenen natürlichen Personen klar und erkennbar spätestens zum Zeitpunkt der ersten Interaktion oder Exposition bereitgestellt werden und den geltenden Barrierefreiheitsanforderungen entsprechen. Absatz 6 stellt klar, dass diese Pflichten die Anforderungen aus Kapitel III — also die Hochrisiko-Pflichten — unberührt lassen und andere Transparenzpflichten aus Unions- oder nationalem Recht nicht verdrängen. Artikel 50 ist damit additiv, nicht alternativ.

Was das konkret für ein normales DACH-Unternehmen bedeutet

Die Rollenlogik der KI-Verordnung führt in der Praxis regelmäßig zu Überraschungen. Ein Mittelständler, der einen Chatbot eines Anbieters einkauft und ihn auf der eigenen Website betreibt, ist Betreiber — die Offenlegungspflicht aus Absatz 1 richtet sich formal an den Anbieter, der das System entsprechend zu gestalten hat. Sobald derselbe Mittelständler den Bot aber unter eigenem Namen und eigener Marke ausrollt oder wesentlich verändert, kann er nach der Systematik der Verordnung selbst in die Anbieterrolle rutschen. Diese Rollenverschiebung ist die häufigste stille Fehlannahme in Artikel-50-Projekten.

Der Support-Chatbot ist der klarste Fall. Wenn Nutzende beim ersten Kontakt nicht erkennen können, dass sie mit einer Maschine schreiben, greift Absatz 1. Der Verordnungstext lässt die Ausnahme für Offensichtlichkeit zu — aber „offensichtlich" ist ein Maßstab, der aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person zu bewerten ist, nicht aus Sicht des Produktteams. Ein Bot mit menschlichem Vornamen, Profilbild und Tippanimation ist das Gegenteil von offensichtlich.

KI-generierte Marketingtexte und Bilder sind der Fall, der Marketing-Teams unterschätzen. Absatz 2 richtet sich an den Anbieter des generierenden Systems — die Kennzeichnung entsteht also in aller Regel beim Modell- oder Toolanbieter, nicht im Unternehmen. Das entlastet aber nicht automatisch: Sobald Bildmaterial ein Deepfake im Sinne von Absatz 4 darstellt oder ein Text veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, entsteht eine eigenständige Betreiberpflicht im Unternehmen.

KI-Voice-Agents und synthetische Avatare kombinieren beides. Der Voice-Agent im Servicecenter fällt unter Absatz 1 (Interaktion mit natürlichen Personen) und erzeugt zugleich synthetisches Audio im Sinne von Absatz 2. Ein synthetischer Avatar, der einen realen Menschen nachbildet, betrifft zusätzlich die Deepfake-Regel aus Absatz 4. Wer solche Formate produktiv einsetzt, braucht die Kennzeichnung an drei Stellen: im System, im Ausgabeartefakt und in der veröffentlichten Darstellung.

Für die telefonische Variante lohnt sich der Blick über den reinen Compliance-Akt hinaus: Ein KI-Telefonassistent im Kundenkontakt wirft zusätzlich datenschutzrechtliche Fragen — von der Datenminimierung im Gespräch über Aufbewahrungsfristen für Transkripte bis zur Frage, wann ein Mensch übernehmen muss. Wie sich Transparenz, Datenschutz und sichere Betriebsprozesse für KI-Telefonie konkret aufsetzen lassen, zeigen wir in der Praxisperspektive KI-Telefonassistenten im Unternehmen — mit Governance-Rahmen und Go-live-Checkliste. Einen Praxisblick aus Anbieterperspektive liefert auch der Beitrag der Telfo GmbH zu KI-Telefonassistenten im AI-Act-Kontext.

Stellenanzeigen und Pressetexte sind der Grenzfall, der sauber geklärt werden muss. Die Textregel aus Absatz 4 knüpft an die Veröffentlichung zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse an. Eine klassische Stellenanzeige ist das typischerweise nicht; eine Pressemitteilung zu einem Standortschluss, einer Rückrufaktion oder einer Sicherheitslage kann es sehr wohl sein. Wichtig ist außerdem: Für KI-erzeugten Text greift die Ausnahme, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Das ist eine Prozess-, keine Technikfrage — und sie ist nur belastbar, wenn die redaktionelle Verantwortung tatsächlich benannt und dokumentiert ist.

Ein separater Hinweis zur Bewerberauswahl: Automatisierte Vorsortierung von Bewerbungen ist kein Artikel-50-Thema, sondern kann laut heise online die strengeren Anforderungen an Hochrisiko-KI-Systeme nach Anhang III auslösen — mit Pflichten zu Risikomanagement, technischer Dokumentation und menschlicher Aufsicht. Wer Artikel 50 abhakt und den HR-Anwendungsfall damit für erledigt hält, verwechselt zwei Regime.

• Support-Chatbot auf Website oder in Messenger → Art. 50 Abs. 1 (Anbieterpflicht, Betreiber muss sie durchsetzen)
• KI-generierte Marketingtexte und Kampagnenbilder → Art. 50 Abs. 2 beim Toolanbieter; Deepfake-Regel Abs. 4 im Unternehmen prüfen
• KI-Voice-Agent im Servicecenter → Abs. 1 und Abs. 2 gleichzeitig
• Synthetischer Avatar mit realem Vorbild → Abs. 1, Abs. 2 und Deepfake-Offenlegung nach Abs. 4
• Pressetext zu Angelegenheiten von öffentlichem Interesse → Abs. 4 Textregel, es sei denn redaktionelle Kontrolle mit benannter Verantwortung
• Emotionsanalyse in Call-Center-Aufnahmen → Abs. 3 Betreiberpflicht plus DSGVO-Prüfung

Die Kennzeichnungsfrage: was „maschinenlesbar und erkennbar" praktisch heißt

Der operativ schwierigste Satz in Artikel 50 steht in Absatz 2: Die Ausgaben müssen in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein. Zwei Eigenschaften, nicht eine. Maschinenlesbar heißt: Ein automatisiertes System muss die Markierung auslesen können. Erkennbar heißt: Die künstliche Herkunft muss feststellbar sein. Ein sichtbarer Hinweis unter dem Bild erfüllt keine der beiden Anforderungen, weil er beim ersten Weiterverwenden — Crop, Repost, Screenshot — verlorengeht und für eine Maschine nie an der Ausgabe hing.

Welche Technik dafür infrage kommt, schreibt die Verordnung bewusst nicht vor. Erwägungsgrund 133 der KI-Verordnung nennt als Beispiele Wasserzeichen, Metadaten-Kennzeichnungen, kryptografische Verfahren zum Nachweis von Herkunft und Echtheit von Inhalten, Logging-Verfahren, Fingerprints oder andere geeignete Techniken — und stellt klar, dass diese Verfahren auf Ebene des KI-Systems oder auf Ebene des Modells implementiert werden können, einschließlich KI-Modelle mit allgemeinem Verwendungszweck, was die Erfüllung für den nachgelagerten Anbieter erleichtert (siehe https://eur-lex.europa.eu/eli/reg/2024/1689/oj).

In der Praxis hat sich für die Kategorie „kryptografischer Herkunftsnachweis" das C2PA-Format mit den sogenannten Content Credentials als verbreitetster Ansatz etabliert: Herkunfts- und Bearbeitungsangaben werden signiert in die Datei eingebettet und lassen sich maschinell prüfen. Die KI-Verordnung nennt dieses oder ein anderes Format nicht namentlich — Artikel 50 verlangt Wirksamkeit, Interoperabilität, Robustheit und Zuverlässigkeit nach dem allgemein anerkannten Stand der Technik, wie er sich in einschlägigen technischen Normen niederschlagen kann. Für die Governance heißt das: Die Wahl der Technik ist eine dokumentierte Entscheidung, kein Zufall. Wer sie nicht begründet festhält, kann später nicht zeigen, dass er den Stand der Technik berücksichtigt hat.

Die zweite praktische Erkenntnis: Kennzeichnung nach Absatz 2 und Offenlegung nach Absatz 4 sind zwei verschiedene Dinge, die zwei verschiedene Zielgruppen bedienen. Absatz 2 adressiert Maschinen — Plattformen, Detektoren, Downstream-Systeme. Absatz 4 adressiert Menschen und verlangt bei Deepfakes eine Offenlegung, die für Betrachtende erkennbar ist. Ein Unternehmen, das nur Metadaten einbettet, erfüllt die Deepfake-Offenlegung nicht; ein Unternehmen, das nur eine sichtbare Fußnote setzt, erfüllt die maschinenlesbare Kennzeichnung nicht. Beide Ebenen sind gefordert, sobald beide Absätze greifen.

Dritte Erkenntnis, und sie ist eine Beschaffungsfrage: Weil die Kennzeichnungspflicht aus Absatz 2 den Anbieter des generierenden Systems trifft, ist der wirksamste Hebel für ein Anwenderunternehmen der Vertrag. Fragen Sie Ihre KI-Toolanbieter schriftlich, ob und wie ihre Ausgaben maschinenlesbar gekennzeichnet werden, ob die Markierung robust gegenüber üblichen Verarbeitungsschritten ist und wie sie geprüft werden kann. Die Antworten gehören in dieselbe Lieferantenakte wie Ihre übrigen Drittparteien-Nachweise — dieselbe Logik, die auch NIS2, DORA und der Cyber Resilience Act verlangen und die die Regulierungs-Kollision 2026 im Detail beschreibt.

Nicht zuletzt regelt Artikel 50 Absatz 7 in der seit dem 27. Juli 2026 geltenden Fassung der Verordnung (EU) 2026/1744, dass die Kommission die Ausarbeitung von Praxisleitfäden auf Unionsebene fördert und erleichtert, um die wirksame Umsetzung der Pflichten zur Feststellung, Markierung und Kennzeichnung künstlich erzeugter oder manipulierter Inhalte zu erleichtern. Sie prüft unter weitestgehender Berücksichtigung der Stellungnahme des KI-Gremiums, ob die Befolgung eines solchen Praxisleitfadens angemessen ist, um die Einhaltung der Pflichten aus den Absätzen 2 und 4 zu gewährleisten; nur wenn sie ihn für unangemessen hält, kann sie per Durchführungsrechtsakt gemeinsame Vorschriften festlegen. Eine Genehmigung der Praxisleitfäden per Durchführungsrechtsakt, wie sie die ursprüngliche Fassung vorsah, kennt die Vorschrift nicht mehr.

Für den Verhaltenskodex zur Transparenz KI-generierter Inhalte liegt diese Bewertung vor. Die Kommission hat ihn am 10. Juni 2026 final veröffentlicht und am 8. Juli 2026 festgestellt, dass er die Pflichten aus Artikel 50 Absätze 2, 4 und 5 angemessen abdeckt und ihre wirksame Umsetzung erleichtert; das KI-Gremium hat seine Angemessenheitsbewertung am Folgetag angenommen. Unterzeichner können sich zum Nachweis auf die Maßnahmen des Kodex stützen, ein abschließender Nachweis der Einhaltung ist die Befolgung nach der Stellungnahme der Kommission jedoch nicht. Wer nicht unterzeichnet, muss die Angemessenheit seiner Maßnahmen auf anderem Weg belegen; das bewerten die Marktüberwachungsbehörden im Einzelfall. Ende Juli 2026 hatten rund 190 Organisationen unterzeichnet. Ergänzend hat die Kommission am 20. Juli 2026 ihre Leitlinien zu Artikel 50 veröffentlicht. Für die Planung heißt das: Die technische Detailtiefe liegt mit Kodex und Leitlinien vor. Wer eine dokumentierte, standardnahe Lösung wählt, ist anschlussfähig; wer wartet, hat weder Kennzeichnung noch Begründung (siehe https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content, https://digital-strategy.ec.europa.eu/en/library/commission-opinion-assessment-code-practice-transparency-ai-generated-content und https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems).

• Wasserzeichen im Inhalt selbst (robust gegenüber Re-Encoding, aber nicht gegen jede Bearbeitung)
• Metadaten-Kennzeichnungen in der Datei (leicht umsetzbar, gehen bei Plattform-Uploads häufig verloren)
• Kryptografische Herkunfts- und Echtheitsnachweise (in der Praxis meist C2PA / Content Credentials)
• Logging-Verfahren auf Erzeugerseite (Nachweisführung, ersetzt aber keine Markierung am Artefakt)
• Fingerprints bzw. inhaltsbasierte Erkennungsmerkmale (für nachträgliche Detektion)

Die Ausnahmen — und wo Teams sie über- oder unterdehnen

Artikel 50 enthält präzise formulierte Ausnahmen. Genau deshalb werden sie in der Praxis falsch angewendet: Sie klingen breiter, als sie sind.

Die Offensichtlichkeitsausnahme in Absatz 1 gilt, wenn die KI-Interaktion aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person unter Berücksichtigung der Umstände und des Nutzungskontexts offensichtlich ist. Überdehnt wird sie regelmäßig mit dem Argument „das weiß doch heute jeder". Der Maßstab ist aber kontextbezogen und nicht statistisch: Ein Widget mit der Aufschrift „KI-Assistent" ist offensichtlich; ein Bot, der sich mit menschlichem Namen meldet und Tippverzögerungen simuliert, ist es nicht — auch nicht im Jahr 2026.

Die Assistenzausnahme in Absatz 2 ist die zweite Überdehnungszone. Die Kennzeichnungspflicht gilt laut Verordnungstext nicht, soweit die KI-Systeme eine unterstützende Funktion für die Standardbearbeitung ausüben oder die vom Betreiber bereitgestellten Eingabedaten beziehungsweise deren Semantik nicht wesentlich verändern. Rechtschreibkorrektur, Formatanpassung, Entrauschen eines Fotos: unterstützende Standardbearbeitung. Ein Prompt, aus dem ein vollständiger Text oder ein neues Bild entsteht: keine unterstützende Funktion. Die Grenze verläuft an der wesentlichen Veränderung von Eingabedaten oder Semantik — und wer sie für sich in Anspruch nimmt, sollte pro Werkzeug festhalten, warum.

Die Kunst- und Satireausnahme in Absatz 4 wird umgekehrt regelmäßig unterschätzt — und zugleich falsch verstanden. Bildet der Inhalt Teil eines offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder analogen Werks oder Programms, beschränken sich die Transparenzpflichten dieses Absatzes darauf, das Vorhandensein solcher erzeugten oder manipulierten Inhalte in geeigneter Weise offenzulegen, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt. Wichtig: Die Pflicht entfällt nicht, sie wird in ihrer Form abgeschwächt. Und sie greift nur bei offensichtlich künstlerischen Werken — nicht bei einem humorvoll gemeinten Werbespot.

Die Redaktionsausnahme für KI-erzeugten Text in Absatz 4 ist die einzige Ausnahme, die ein Unternehmen aktiv herstellen kann: Sie gilt, wenn der KI-erzeugte Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Das ist gestaltbar — aber nur, wenn Review-Schritt und Verantwortungsträger im Freigabeprozess real existieren und nachweisbar sind. Ein Vier-Augen-Prinzip, das nur im Wiki steht, trägt nicht.

Die Strafverfolgungsausnahmen schließlich, die in den Absätzen 1 bis 4 jeweils für gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten befugte Systeme vorgesehen sind, betreffen Behörden und ihre Auftragnehmer — nicht ein Unternehmen, das Betrugsversuche im eigenen Shop erkennt. Diese Verwechslung kommt vor und ist teuer, weil sie eine komplette Kontrolllücke rechtfertigt.

Zehn-Punkte-Umsetzung mit Owner — eingebettet, nicht als neues Silo

Die folgende Checkliste ist bewusst so geschnitten, dass jeder Punkt genau einen Owner hat. Der häufigste Umsetzungsfehler bei Artikel 50 ist nicht fehlendes Wissen, sondern geteilte Verantwortung: Produkt hält es für ein Legal-Thema, Legal für ein Produkt-Thema, Marketing merkt gar nicht, dass es betroffen ist.

Ebenso wichtig ist, wo diese Kontrollen leben. Artikel 50 erzeugt keine neue Managementsystem-Familie. Die Kennzeichnungsentscheidung ist eine dokumentierte technische Entscheidung — sie gehört ins Architektur- und Change-Regime. Die Lieferantenfrage nach Kennzeichnungsfähigkeit gehört in die bestehende Drittparteien-Bewertung. Die redaktionelle Verantwortung gehört in den Content-Freigabeprozess. Der Nachweis gehört ins vorhandene Nachweis-Repository des ISMS beziehungsweise der KI-Governance. Wer für Artikel 50 ein eigenes Register, eigene Policies und eigene Reviews aufsetzt, produziert einen Parallelbetrieb, der spätestens beim nächsten Audit widersprüchliche Stände liefert.

Für die Systeminventur lohnt sich eine Vorarbeit, die viele Organisationen bereits geleistet haben: das KI-Anwendungsfall-Inventar. Wo es fehlt, liefert das AI Use Case Assessment die Struktur, und das AI Readiness Assessment ordnet den organisatorischen Reifegrad ein. Umfang und Preise stehen transparent auf der Pricing-Seite; den vollständigen Katalog finden Sie unter Templates.

1. 1Produkt: KI-Kontaktpunkt-Inventar erstellen. Jeden Punkt erfassen, an dem ein KI-System direkt mit natürlichen Personen interagiert — Website-Chat, In-App-Assistent, Messenger-Bot, Telefon-Voicebot, E-Mail-Autoresponder.
2. 2Legal: Rollen je Kontaktpunkt bestimmen. Für jedes System festhalten, ob das Unternehmen Anbieter oder Betreiber ist, und die Begründung dokumentieren — insbesondere bei White-Label-Ausrollungen unter eigener Marke.
3. 3Produkt: Offenlegung nach Art. 50 Abs. 1 im UI verankern. Hinweis spätestens bei der ersten Interaktion, klar und erkennbar, barrierefrei gemäß Art. 50 Abs. 5 — nicht nur in den AGB oder der Datenschutzerklärung.
4. 4IT-Delivery: Kennzeichnungsfähigkeit der eingesetzten Generierungs-Werkzeuge erheben. Pro Tool dokumentieren, ob Ausgaben maschinenlesbar gekennzeichnet werden, mit welchem Verfahren und wie die Markierung geprüft werden kann.
5. 5IT-Delivery: Technische Kennzeichnungsentscheidung treffen und begründen. Verfahren gemäß den in Erwägungsgrund 133 genannten Kategorien wählen, Robustheit gegenüber üblichen Verarbeitungsschritten testen, Entscheidung versioniert ablegen.
6. 6Marketing: Sichtbare Offenlegung für Deepfake-Inhalte definieren. Für Bild-, Ton- und Videoinhalte, die reale Personen, Objekte oder Ereignisse nachbilden, ein Label-Muster festlegen, das für Betrachtende erkennbar ist.
7. 7Marketing: Redaktionsprozess für KI-erzeugte Texte formalisieren. Review-Schritt, benannte redaktionelle Verantwortung und Protokollierung — die einzige aktiv herstellbare Ausnahme in Art. 50 Abs. 4.
8. 8Legal: Emotionserkennung und biometrische Kategorisierung prüfen. Vorhandene Systeme identifizieren, Hinweispflicht nach Art. 50 Abs. 3 umsetzen und die DSGVO-Rechtsgrundlage sauber dokumentieren.
9. 9IT-Delivery: Lieferantenklauseln nachziehen. Kennzeichnungszusagen, Prüfbarkeit und Änderungsmitteilungen in die bestehende Drittparteien-Bewertung aufnehmen — nicht in einen separaten KI-Vertragsordner.
10. 10Legal: Nachweise ins bestehende Kontroll-Set einhängen. Kennzeichnungsentscheidung, UI-Belege, Freigabeprotokolle und Lieferantenantworten im vorhandenen Nachweis-Repository des ISMS beziehungsweise der KI-Governance ablegen und einem Kontroll-Owner zuordnen.

Enforcement-Realität: Wer prüft, ab wann — und was ein Verstoß kostet

Die Zuständigkeit für Artikel 50 liegt national. Artikel 70 der KI-Verordnung verpflichtet jeden Mitgliedstaat, mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde als zuständige nationale Behörden zu benennen; die Mitgliedstaaten mussten Informationen darüber, wie diese Behörden und die zentrale Anlaufstelle kontaktiert werden können, bis zum 2. August 2025 auf elektronischem Weg öffentlich zugänglich machen (siehe https://eur-lex.europa.eu/eli/reg/2024/1689/oj). Die EUR-Lex-Zusammenfassung bestätigt, dass die Governance-Gremien — nationale zuständige Behörden sowie das AI Office in der Europäischen Kommission — seit dem 2. August 2025 aktiv sind. Für Artikel-50-Fälle ist damit grundsätzlich die nationale Marktüberwachungsbehörde der Ansprechpartner. Ausschließlich zuständig ist das AI Office nach Artikel 75 Absatz 1 in der Fassung der Verordnung (EU) 2026/1744 für KI-Systeme, die auf einem KI-Modell mit allgemeinem Verwendungszweck desselben Anbieters beruhen (mit Ausnahmen, etwa für KI-Systeme in Produkten nach Anhang I), und für KI-Systeme, die eine sehr große Online-Plattform oder Online-Suchmaschine darstellen oder in eine solche integriert sind; gegenüber Betreibern gilt das nur, wenn diese zugleich Anbieter sind oder zum selben Unternehmen gehören.

Der Bußgeldrahmen ist eindeutig zugeordnet. Artikel 99 Absatz 4 der KI-Verordnung listet in Buchstabe g ausdrücklich die „Transparenzpflichten für Anbieter und Betreiber gemäß Artikel 50" und stellt sie unter Geldbußen von bis zu 15 000 000 EUR oder, im Fall von Unternehmen, bis zu 3 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres — je nachdem, welcher Betrag höher ist. Artikel 50 liegt damit ausdrücklich nicht in der höchsten Sanktionsstufe: Diese ist nach Artikel 99 Absatz 3 der Missachtung der verbotenen Praktiken aus Artikel 5 vorbehalten und beträgt bis zu 35 000 000 EUR oder bis zu 7 Prozent des weltweiten Jahresumsatzes.

Für kleinere Unternehmen dreht sich die Rechenlogik um: Nach Artikel 99 Absatz 6 gilt für KMU einschließlich Start-ups jeweils der niedrigere der beiden Werte — also der niedrigere von Prozentsatz und Festbetrag. Die EUR-Lex-Zusammenfassung formuliert das als verhältnismäßige Geldbußen für kleine und mittlere Unternehmen und Start-ups. Seit dem 27. Juli 2026 gilt dieselbe Deckelung nach dem durch die Verordnung (EU) 2026/1744 eingefügten Artikel 99 Absatz 6a auch für kleine Midcap-Unternehmen, allerdings nur für die Geldbußen nach den Absätzen 4 und 5 und damit gerade für die Artikel-50-Stufe. Die Pflichtenlast selbst reduziert sich dadurch allerdings nicht.

Zur Erwartungshaltung: Der 2. August 2026 ist der Beginn der Anwendbarkeit, nicht der Beginn flächendeckender Prüfungen. Realistisch ist, dass die Marktüberwachung zunächst anlassbezogen tätig wird — auf Beschwerden hin, bei medial sichtbaren Fällen, bei Hinweisen aus anderen Verfahren. Genau das macht Artikel 50 aber unangenehm: Die Pflichten sind von außen prüfbar, ohne dass jemand ins Unternehmen muss. Ein Chatbot ohne Hinweis und ein ungekennzeichnetes Deepfake in der Kampagne sind für jeden Beschwerdeführer sichtbar. Es gibt keine Vorbereitungszeit zwischen Beschwerde und Feststellung.

Weiterführend zum Zeitplan und zu den Änderungen durch die Omnibus-Verordnung empfiehlt sich das Digital-Omnibus-Update; den regulatorischen Gesamtrahmen der Kommission dokumentiert die Kommissionsseite zum Rechtsrahmen für KI (siehe https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai). Und wer im laufenden Jahr ohnehin zwischen mehreren EU-Regelwerken navigiert, sollte die Artikel-50-Kontrollen von Anfang an in das gemeinsame Kontroll-Set legen, statt sie separat zu führen — die Argumentation dazu steht im Quick-Check-Hub und im Beitrag zur Regulierungs-Kollision.