KI-Transparenzpflichten ab August 2026: Chatbots und Deepfakes rechtssicher kennzeichnen

Ein Behördenchatbot beantwortet rund um die Uhr Fragen zu Anträgen, ein Schulungsvideo nutzt eine künstlich erzeugte Stimme und ein Sicherheitsdienst testet Software zur Emotionserkennung. Ab dem 2. August 2026 reicht es nicht mehr, solche KI-Einsätze nur intern zu kennen. Art. 50 der KI-Verordnung verpflichtet je nach System und Rolle zu klaren Transparenzhinweisen. Wer die Vorgaben früh in Beschaffung, Betrieb und Freigaben einbaut, vermeidet spätere Nacharbeiten und kann die Umsetzung belastbar nachweisen.

Warum August 2026 für die Praxis wichtig ist

Die KI-Verordnung gilt stufenweise. Zentrale Transparenzpflichten aus Art. 50 werden ab dem 2. August 2026 anwendbar. Sie betreffen nicht nur große KI-Plattformen, sondern auch Organisationen, die KI-Systeme im Kundenkontakt, in der Verwaltung, in der Kommunikation oder im Personal- und Sicherheitsumfeld einsetzen.

Art. 50 verfolgt ein einfaches Ziel: Menschen sollen erkennen können,

• ob sie mit einem KI-System interagieren,
• ob Bild-, Ton-, Video- oder Textinhalte künstlich erzeugt oder manipuliert wurden,
• ob sie einem System zur Emotionserkennung oder biometrischen Kategorisierung ausgesetzt sind.

Die Umsetzung ist jedoch nicht einheitlich. Entscheidend ist, ob du als Anbieter, Betreiber oder Nutzer eines Systems handelst. Die KI-Verordnung verwendet dafür vor allem die Begriffe „Anbieter“ und „Betreiber“.

Als Anbieter gilt vereinfacht, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System unter eigener Verantwortung verwendet, soweit die Nutzung nicht rein privat erfolgt. Eine Behörde oder ein Unternehmen, das einen eingekauften Chatbot auf der eigenen Website betreibt, ist regelmäßig Betreiber. Der Softwarehersteller oder Plattformanbieter ist häufig Anbieter.

Chatbots: Menschen müssen die KI-Interaktion erkennen können

Art. 50 Abs. 1 KI-Verordnung richtet sich an Anbieter von KI-Systemen, die unmittelbar mit natürlichen Personen interagieren sollen. Diese Systeme müssen so gestaltet und entwickelt sein, dass betroffene Personen darüber informiert werden, dass sie mit KI kommunizieren.

Das betrifft beispielsweise:

• Chatbots auf Webseiten und in Portalen
• Sprachassistenten in Hotlines
• KI-Avatare im Kundenservice
• digitale Auskunftssysteme in Behörden
• KI-gestützte Bewerbungsassistenten

Der Hinweis muss nicht zwingend lang sein. Er muss aber verständlich, deutlich wahrnehmbar und rechtzeitig platziert sein. Praktisch bewährt sich ein kurzer Hinweis direkt am Einstieg des Chats, etwa: „Du chattest mit einem KI-gestützten Assistenten.“ Bei Sprachsystemen sollte die Information zu Beginn der Unterhaltung erfolgen.

Eine Ausnahme besteht, wenn aus den Umständen und dem Kontext offensichtlich ist, dass eine Person mit KI interagiert. Auf diese Ausnahme solltest du dich nicht leichtfertig verlassen. Ein stilisierter Roboter-Avatar kann im Einzelfall eindeutig wirken. Bei einem Chatfenster mit menschlichem Namen, Foto oder einer realistisch klingenden Stimme ist das Risiko dagegen hoch, dass Nutzende einen menschlichen Ansprechpartner erwarten.

Was Betreiber von Chatbots trotzdem organisieren müssen

Die gesetzliche Designpflicht trifft den Anbieter. Als Betreiber solltest du dich dennoch nicht darauf beschränken, auf die Produktbeschreibung des Herstellers zu vertrauen. Du musst prüfen, ob der Hinweis in deinem konkreten Nutzungskontext tatsächlich sichtbar und verständlich ist.

Halte insbesondere fest:

• welches KI-System eingesetzt wird und wer Anbieter ist
• welche Nutzergruppen mit dem System interagieren
• an welcher Stelle der Hinweis erscheint oder gesprochen wird
• ob der Hinweis bei mobilen Ansichten, Apps und barrierefreien Zugängen funktioniert
• wer Änderungen am Chatbot oder am Hinweis freigibt
• wie du Beschwerden, Fehlhinweise und Ausfälle behandelst

Wenn du KI-Systeme beschaffst, gehören diese Anforderungen in Leistungsbeschreibung und Vertrag. Für die vergaberechtskonforme Beschaffung findest du ergänzende Hinweise in unserem Beitrag KI-Systeme ausschreiben: Vergabe- und Vertragsklauseln zum EU AI Act.

KI-generierte Inhalte: Zwei Kennzeichnungsebenen unterscheiden

Bei Bild, Ton, Video und Text ist die Rechtslage differenzierter, als der Begriff „KI-Kennzeichnung“ vermuten lässt. Art. 50 unterscheidet zwischen einer technischen Kennzeichnung durch den Anbieter und einer Offenlegung durch den Betreiber.

Technische Kennzeichnung durch Anbieter

Anbieter von KI-Systemen, einschließlich Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgaben maschinenlesbar kennzeichnen. Die Inhalte sollen als künstlich erzeugt oder manipuliert erkennbar und möglichst technisch feststellbar sein.

Gemeint sind beispielsweise Metadaten, technische Signale oder andere geeignete Verfahren. Die KI-Verordnung verlangt dabei, dass die Lösung wirksam, interoperabel, robust und zuverlässig ist, soweit dies technisch machbar und unter Berücksichtigung der Besonderheiten und Grenzen verschiedener Inhalte angemessen ist.

Für dich als einkaufende oder einsetzende Stelle folgt daraus: Frage den Anbieter konkret, wie diese Kennzeichnung erfolgt, welche Formate unterstützt werden und wann Kennzeichnungen verloren gehen können. Gerade beim Export, Zuschnitt, Screenshot, erneuter Komprimierung oder Weiterverarbeitung von Medien können technische Informationen verschwinden.

Ein bloßer Vertragssatz wie „Der Anbieter erfüllt die KI-Verordnung“ genügt nicht. Verlange eine nachvollziehbare technische Beschreibung und prüfe die Funktion mit Testdateien.

Sichtbare Offenlegung bei Deepfakes

Eine zusätzliche Pflicht trifft Betreiber, die ein KI-System einsetzen, um Deepfakes zu erzeugen oder zu manipulieren. Sie müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.

Ein Deepfake liegt nicht bei jedem KI-generierten Bild vor. Gemeint sind Bild-, Ton- oder Videoinhalte, die bestehenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und fälschlich authentisch oder wahr erscheinen würden. Ein fotorealistisches Video einer Person, die eine nie gehaltene Rede zu halten scheint, ist ein typischer Fall.

Die Offenlegung muss klar und unterscheidbar erfolgen. Sie darf nicht in schwer lesbaren Bildunterschriften, langen Nutzungsbedingungen oder versteckten Metadaten verschwinden. Bei einem Video bietet sich ein Hinweis am Anfang und bei Bedarf ein dauerhafter, gut lesbarer Hinweis im Bild an. Bei Audioinhalten muss die Kennzeichnung so gestaltet sein, dass sie vor oder zu Beginn des Inhalts wahrgenommen werden kann.

Für künstlerische, kreative, satirische oder fiktionale Werke gilt ein abgestufter Maßstab. Die Offenlegung darf in einer angemessenen Weise erfolgen, die Darstellung und Genuss des Werks nicht beeinträchtigt. Auch hier entfällt die Pflicht nicht automatisch. Ein unaufdringlicher, aber erkennbarer Hinweis ist regelmäßig der bessere Weg.

KI-Text zu Themen von öffentlichem Interesse

Art. 50 enthält außerdem eine besondere Regel für KI-generierte oder KI-manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Betreiber müssen offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde.

Davon kann abgesehen werden, wenn der Text einer menschlichen Überprüfung oder redaktionellen Kontrolle unterliegt und eine natürliche oder juristische Person die redaktionelle Verantwortung übernimmt. Diese Ausnahme verlangt mehr als einen oberflächlichen Blick auf einen automatisch erzeugten Entwurf. Die verantwortliche Redaktion muss tatsächlich kontrollieren, ob Inhalt, Einordnung und Veröffentlichung vertretbar sind.

Für Behörden ist diese Regel etwa relevant, wenn KI Texte für öffentliche Warnungen, Informationsseiten oder Pressekommunikation erstellt. Dokumentiere dann, wer geprüft hat, was geprüft wurde und wer die Veröffentlichung freigegeben hat.

Emotionserkennung und biometrische Kategorisierung: Hinweis vor dem Einsatz

Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen betroffene Personen informieren, wenn diese dem System ausgesetzt sind.

Emotionserkennung soll Emotionen oder Absichten einer Person auf Grundlage biometrischer Daten erkennen oder ableiten. Biometrische Kategorisierung ordnet Personen anhand biometrischer Daten Kategorien zu. Dazu können je nach System etwa Merkmale aus Gesicht, Stimme oder Bewegungsmustern verarbeitet werden.

Ein Hinweis kann beispielsweise an einem Zugang, auf einem Bildschirm, in einer App oder vor Beginn einer digitalen Prüfung erfolgen. Er muss klar erkennen lassen,

• dass ein entsprechendes KI-System eingesetzt wird
• welche Art von Erkennung oder Kategorisierung stattfindet
• wer das System betreibt
• wo weiterführende Informationen erhältlich sind

Die Transparenzpflicht macht einen Einsatz nicht automatisch zulässig. Datenschutzrecht, arbeitsrechtliche Grenzen, Antidiskriminierungsrecht und die Verbote bestimmter KI-Praktiken bleiben eigenständig zu prüfen. Bei biometrischen Daten liegt häufig eine Verarbeitung besonderer Kategorien personenbezogener Daten vor. Deshalb sind Rechtsgrundlage, Zweckbindung, Erforderlichkeit, Speicherfristen und technische Schutzmaßnahmen besonders sorgfältig zu bewerten.

Bei komplexen KI-Anwendungen ist oft auch eine Datenschutz-Folgenabschätzung erforderlich. Wie du diese Prüfung bei dialogorientierten Systemen strukturierst, erläutern wir im Beitrag DSFA für KI-Chatbots und KI-Agenten: Wann sie erforderlich ist und wie Sie vorgehen.

So dokumentierst du die Umsetzung belastbar

Art. 50 verlangt nicht ausdrücklich ein bestimmtes Formular. Ohne Dokumentation kannst du jedoch weder Zuständigkeiten noch die tatsächliche Umsetzung zuverlässig belegen. Lege deshalb ein KI-Transparenzblatt pro System oder Einsatzszenario an.

Prüffeld	Was du dokumentieren solltest
System und Zweck	Produktname, Version, Fachverfahren, konkreter Einsatzzweck
Rollen	Anbieter, Betreiber, interne fachliche und technische Verantwortliche
Betroffenengruppe	Bürgerinnen und Bürger, Kundschaft, Beschäftigte, Bewerbende oder Öffentlichkeit
Transparenzpflicht	Chatbot-Hinweis, maschinenlesbare Kennzeichnung, Deepfake-Offenlegung oder Hinweis zur biometrischen KI
Umsetzung	Wortlaut, Ort, Zeitpunkt, Anzeigeform und barrierefreie Alternative
Nachweis	Screenshots, Testprotokolle, Vertragsunterlagen, Freigaben und Änderungsverlauf
Kontrolle	Prüfrhythmus, verantwortliche Stelle, Verfahren bei Fehlern oder Updates

Binde Datenschutz, Informationssicherheit, Kommunikation, Fachbereich und Beschaffung früh ein. Gerade bei extern betriebenen Cloud- oder Plattformlösungen müssen die Informationen aus Vertrag, Produktdokumentation und tatsächlicher Konfiguration zusammenpassen. Ergänzend empfehlen wir unseren Beitrag Cloud und Datenschutz: DSGVO, Drittland, Schrems II.

Checkliste für die Umsetzung bis August 2026

• Erfasse alle Chatbots, Sprachassistenten und KI-Avatare mit direktem Personenkontakt.
• Prüfe, ob KI Bild-, Ton-, Video- oder Textinhalte erzeugt oder verändert.
• Trenne technische Kennzeichnungspflichten des Anbieters von Offenlegungspflichten des Betreibers.
• Identifiziere Deepfake-Szenarien und definiere sichtbare, verständliche Hinweise.
• Prüfe Veröffentlichungsprozesse für KI-generierte Texte zu Themen von öffentlichem Interesse.
• Erfasse Systeme zur Emotionserkennung und biometrischen Kategorisierung gesondert.
• Lege Zuständigkeiten für Freigabe, Tests, Änderungen und Nachweise fest.
• Ergänze Vergabeunterlagen und Verträge um überprüfbare Transparenzanforderungen.
• Schule die zuständigen Teams zu Rolle, Kennzeichnung und Dokumentation.

Die Transparenzpflichten sind kein isoliertes Kommunikationsthema. Sie gehören in dein KI-Governance-Modell, in Datenschutzprüfungen, Vertragsmanagement und die praktische Systemkonfiguration. Besonders wichtig ist eine klare Rollenverteilung: Der Anbieter muss seine Systeme entsprechend gestalten, der Betreiber muss die eigenen Einsatzfälle rechtssicher offenlegen und dokumentieren.

Damit Fachbereiche die Anforderungen einheitlich anwenden können, brauchen sie außerdem nachweisbare KI-Kompetenz. Welche Schulungen, Verantwortlichkeiten und Nachweise dafür sinnvoll sind, zeigen wir in KI-Kompetenz nach Art. 4 KI-Verordnung: Schulungen, Nachweise und Verantwortlichkeiten richtig organisieren. Passende Seminare und Termine findest du bei uns auf cmt.de.