Transparenzpflichten der EU-KI-Verordnung: Was Sie offenlegen müssen

Die EU-KI-Verordnung (Verordnung 2024/1689) führt den umfassendsten Transparenzrahmen für Künstliche Intelligenz ein, der je verabschiedet wurde. Anders als frühere Verordnungen, die sich primär auf den Datenschutz konzentrierten, legt die KI-Verordnung klare Regeln fest, was offengelegt werden muss, wenn KI-Systeme mit Menschen interagieren, Inhalte erzeugen oder Entscheidungen treffen, die sie betreffen.

Transparenz beschränkt sich nicht auf Hochrisiko-KI-Systeme. Selbst KI-Systeme mit begrenztem Risiko — einschließlich Chatbots, Deepfake-Generatoren und Emotionserkennungstools — unterliegen spezifischen Offenlegungspflichten. Die Nichteinhaltung dieser Anforderungen kann zu Bußgeldern von bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes führen.

Dieser Leitfaden schlüsselt die Transparenzpflichten unter den Artikeln 50 bis 52 der EU-KI-Verordnung auf, erläutert, wer sie einhalten muss, und skizziert praktische Umsetzungsschritte.

Warum Transparenz unter der EU-KI-Verordnung wichtig ist

Die EU-KI-Verordnung basiert auf dem Grundsatz, dass Menschen ein Recht haben zu wissen, wenn sie mit KI interagieren. Dies ist nicht nur eine philosophische Haltung — es ist eine rechtlich durchsetzbare Anforderung. Die Verordnung erkennt an, dass ohne Transparenz Einzelpersonen keine informierte Einwilligung geben, automatisierte Entscheidungen nicht anfechten oder die Grundlage für Ergebnisse, die sie betreffen, nicht verstehen können.

Transparenzpflichten gelten über die gesamte Risikopyramide. Während Hochrisikosysteme den anspruchsvollsten Anforderungen unterliegen (einschließlich technischer Dokumentation, Konformitätsbewertungen und CE-Kennzeichnung), müssen selbst als begrenztes Risiko eingestufte Systeme bestimmte Offenlegungsregeln erfüllen.

Limited Risk

Die meisten Transparenzpflichten fallen unter die Kategorie begrenztes Risiko. Das bedeutet, sie gelten breit für eine Vielzahl von KI-Systemen, die viele Organisationen bereits einsetzen, einschließlich Kundenservice-Chatbots, Content-Generierungstools und KI-gestützte Kommunikationsplattformen.

Artikel 50: Kern-Transparenzanforderungen

Artikel 50 ist die zentrale Bestimmung für die Transparenz von KI-Systemen, die direkt mit natürlichen Personen interagieren. Er legt vier Hauptkategorien von Offenlegungspflichten fest.

1. Offenlegung der KI-System-Interaktion

Wenn ein KI-System zur direkten Interaktion mit natürlichen Personen konzipiert ist, muss der Anbieter sicherstellen, dass das System so gestaltet und entwickelt ist, dass die natürliche Person darüber informiert wird, dass sie mit einem KI-System interagiert. Diese Pflicht gilt, es sei denn, die KI-Natur des Systems ist aus den Umständen und dem Nutzungskontext offensichtlich.

In der Praxis bedeutet dies:

Chatbots müssen sich vor oder zu Beginn eines Gesprächs eindeutig als KI-gestützt identifizieren
Virtuelle Assistenten, die Kundenanfragen bearbeiten, müssen ihre nicht-menschliche Natur offenlegen
KI-gesteuerte Telefonsysteme (einschließlich Stimmklone) müssen Anrufer informieren, dass sie mit einer KI sprechen

Die Ausnahme „offensichtlich aus dem Kontext" ist eng gefasst. Gehen Sie nicht davon aus, dass Nutzer wissen, dass sie mit KI sprechen. Im Zweifelsfall offenlegen. Aufsichtsbehörden werden diese Ausnahme wahrscheinlich streng auslegen.

2. Emotionserkennung und biometrische Kategorisierung

Betreiber von Emotionserkennungssystemen oder biometrischen Kategorisierungssystemen müssen die betroffenen natürlichen Personen über den Betrieb des Systems informieren. Dies umfasst die Information über die Kategorien verarbeiteter personenbezogener Daten und gegebenenfalls den Verarbeitungszweck.

3. Kennzeichnung KI-generierter Inhalte

Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Anforderung hat zwei Komponenten:

Maschinenlesbare Kennzeichnung: Ausgaben müssen Metadaten oder Wasserzeichen enthalten, die eine automatische Erkennung ihrer KI-generierten Natur ermöglichen
Menschengerichtete Offenlegung: Wenn KI-generierte Inhalte veröffentlicht werden, müssen Betreiber offenlegen, dass der Inhalt von KI erzeugt oder manipuliert wurde

Die Anforderung der maschinenlesbaren Kennzeichnung gilt für Anbieter (die das KI-System entwickeln), während die menschengerichtete Offenlegungspflicht für Betreiber gilt (die das System zur Erzeugung und Veröffentlichung von Inhalten nutzen).

4. Deepfake-Offenlegung

Die Verordnung widmet Deepfakes besondere Aufmerksamkeit. Jede Person, die ein KI-System einsetzt, das Bild-, Audio- oder Videoinhalte erzeugt oder manipuliert, die einen Deepfake darstellen, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Diese Offenlegung muss klar und unterscheidbar spätestens bei der ersten Veröffentlichung des Inhalts erfolgen.

Begrenzte Ausnahmen bestehen für:

Inhalte für legitime künstlerische, satirische oder fiktive Zwecke, sofern Schutzmaßnahmen für Rechte Dritter bestehen
Strafverfolgungsaktivitäten, bei denen die Offenlegung die öffentliche Sicherheit gefährden würde

Artikel 50 in der Praxis: Wer muss was tun

Das Verständnis der Transparenzpflichten erfordert die Unterscheidung zwischen Anbietern und Betreibern:

Rolle	Pflicht	Beispiel
Anbieter	Systeme für Transparenz gestalten	Offenlegungsmechanismen in die Chatbot-Oberfläche einbauen
Anbieter	Maschinenlesbare Inhaltskennzeichnung implementieren	C2PA-Metadaten oder Wasserzeichen zu generierten Bildern hinzufügen
Betreiber	Nutzer über KI-Interaktion informieren	„Sie chatten mit einem KI-Assistenten" anzeigen
Betreiber	KI-generierte Inhalte offenlegen	KI-verfasste Artikel oder Bilder als KI-generiert kennzeichnen
Betreiber	Betroffene der Emotionserkennung benachrichtigen	Beschilderung über Gesichtsanalyse in Einzelhandelsräumen anbringen

Benötigen Sie Hilfe bei der Verfolgung der Transparenz-Compliance?

Ctrl AI bietet nachverfolgbare Ausführungsnachweise für jede KI-Interaktion — und erleichtert so den Nachweis der Transparenz-Compliance gegenüber Aufsichtsbehörden.

Learn About Ctrl AI

Artikel 52: Transparenz für Hochrisiko-KI-Systeme

Hochrisiko-KI-Systeme unterliegen zusätzlichen Transparenzanforderungen über Artikel 50 hinaus. Diese sind hauptsächlich in den Artikeln 13 und 14 detailliert beschrieben, aber Artikel 52 erweitert die Transparenzpflichten auf bestimmte Hochrisiko-Anwendungsfälle.

Gebrauchsanweisungen

Anbieter von Hochrisiko-KI-Systemen müssen Betreibern klare, umfassende Gebrauchsanweisungen bereitstellen. Diese müssen umfassen:

Identität und Kontaktdaten des Anbieters
Merkmale, Fähigkeiten und Grenzen des KI-Systems
Das Leistungsniveau bei Genauigkeit, Robustheit und Cybersicherheit
Bekannte oder vorhersehbare Umstände, die zu Risiken führen können
Maßnahmen zur menschlichen Aufsicht und deren Umsetzung
Erwartete Lebensdauer des Systems und Wartungsanforderungen

Protokollierung und Rückverfolgbarkeit

Hochrisiko-KI-Systeme müssen automatisch Protokolle erzeugen. Diese Protokolle müssen detailliert genug sein, um die Überwachung des Systembetriebs zu ermöglichen und die Marktüberwachung zu erleichtern. Betreiber müssen diese Protokolle für einen dem Verwendungszweck angemessenen Zeitraum aufbewahren, mindestens jedoch sechs Monate, sofern nicht durch geltendes Recht anders geregelt.

Anforderungen an die Protokollaufbewahrung interagieren mit den DSGVO-Grundsätzen der Datenminimierung. Organisationen müssen die Protokollierungspflichten der KI-Verordnung mit der DSGVO-Anforderung in Einklang bringen, personenbezogene Daten nicht länger als nötig zu speichern. Dies erfordert eine sorgfältige Datengovernance-Planung.

Praktische Schritte zur Erreichung der Transparenz-Compliance

Schritt 1: Inventarisieren Sie Ihre KI-Systeme

Bevor Sie Transparenzpflichten erfüllen können, müssen Sie wissen, welche KI-Systeme Ihre Organisation nutzt. Führen Sie eine gründliche Prüfung durch, die Folgendes abdeckt:

Kundenorientierte Chatbots und virtuelle Assistenten
Content-Generierungstools (Text, Bild, Video, Audio)
Emotionserkennungs- oder biometrische Kategorisierungssysteme
Jedes KI-System, das direkt mit natürlichen Personen interagiert

Schritt 2: Offenlegungsanforderungen klassifizieren

Bestimmen Sie für jedes identifizierte System, welche Transparenzpflichten gelten. Ordnen Sie jedes System den relevanten Bestimmungen von Artikel 50 und gegebenenfalls Artikel 52 zu.

Schritt 3: Technische Maßnahmen implementieren

Implementieren Sie für KI-generierte Inhalte eine maschinenlesbare Kennzeichnung. Der C2PA-Standard (Coalition for Content Provenance and Authenticity) entwickelt sich zum führenden Ansatz. Für Chatbots und interaktive Systeme bauen Sie Offenlegungsmechanismen direkt in die Benutzeroberfläche ein.

Schritt 4: Nutzergerichtete Offenlegungen verfassen

Erstellen Sie klare, verständliche Hinweise für jede Transparenzpflicht. Vergraben Sie Offenlegungen nicht in langen Nutzungsbedingungen. Die Verordnung verlangt, dass Offenlegungen „klar und unterscheidbar" sind — das heißt, sie müssen auffällig und leicht verständlich sein.

Schritt 5: Alles dokumentieren

Führen Sie Aufzeichnungen über Ihre Transparenzmaßnahmen. Diese Dokumentation wird unerlässlich sein, wenn Aufsichtsbehörden Sie auffordern, die Compliance nachzuweisen.

Zeitplan für die Transparenz-Compliance

Häufige Fehler, die es zu vermeiden gilt

Annehmen, Chatbot-Transparenz sei optional. Wenn Ihr System mit Menschen interagiert und die KI-Natur nicht offensichtlich ist, müssen Sie offenlegen. Die Schwelle für „offensichtlich" ist hoch.

Die maschinenlesbare Anforderung ignorieren. Das bloße Hinzufügen eines Textetiketts zu KI-generierten Inhalten reicht nicht aus. Anbieter müssen eine technische Kennzeichnung implementieren, die eine automatische Erkennung ermöglicht.

DSGVO-Transparenz mit KI-Verordnung-Transparenz verwechseln. Während beide Verordnungen Transparenz verlangen, sind die Anforderungen der KI-Verordnung eigenständig. Die DSGVO-Transparenz konzentriert sich auf die Datenverarbeitung; die Transparenz der KI-Verordnung auf die KI-Natur des Systems und seiner Ausgaben. Sie müssen beide einhalten.

Transparenz als einmalige Aufgabe behandeln. Transparenzpflichten sind fortlaufend. Wenn KI-Systeme aktualisiert werden, müssen Offenlegungen überprüft und überarbeitet werden, um korrekt zu bleiben.

Sanktionen bei Nichteinhaltung

Die Nichteinhaltung von Transparenzpflichten kann zu Verwaltungsgeldbußen von bis zu 15 Millionen EUR oder 3 % des weltweiten Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist. Bei besonders schwerwiegenden Verstößen — wie dem Einsatz von KI-Systemen, die Menschen ohne Offenlegung manipulieren — können die Strafen 35 Millionen EUR oder 7 % des Umsatzes erreichen.

Nationale Marktüberwachungsbehörden werden die Befugnis haben, die Transparenz-Compliance zu untersuchen und Bußgelder zu verhängen. Mehrere EU-Mitgliedstaaten sind bereits dabei, ihre zuständigen Behörden zur Durchsetzung der KI-Verordnung einzurichten oder zu benennen.

Fazit

Transparenz ist einer der am unmittelbarsten umsetzbaren Bereiche der EU-KI-Verordnung. Anders als Hochrisikosystem-Anforderungen, die umfangreiche Konformitätsbewertungen erfordern, können viele Transparenzpflichten durch klares Kommunikationsdesign, technische Inhaltskennzeichnung und gründliche Dokumentation erfüllt werden.

Organisationen sollten nicht bis August 2026 warten, um mit der Vorbereitung zu beginnen. Transparenz von Beginn an in KI-Systeme einzubauen ist sowohl günstiger als auch effektiver als die nachträgliche Anpassung von Offenlegungen nach dem Einsatz. Beginnen Sie mit der Inventarisierung Ihrer KI-Systeme, der Zuordnung der geltenden Pflichten und der Implementierung von Offenlegungsmechanismen jetzt.