Transparenzpflichten der EU-KI-Verordnung: Was Sie offenlegen müssen

Die EU-KI-Verordnung (Verordnung 2024/1689) führt den umfassendsten Transparenzrahmen für Künstliche Intelligenz ein, der je verabschiedet wurde. Anders als frühere Verordnungen, die sich primär auf den Datenschutz konzentrierten, legt die KI-Verordnung klare Regeln fest, was offengelegt werden muss, wenn KI-Systeme mit Menschen interagieren, Inhalte erzeugen oder Entscheidungen treffen, die sie betreffen.

Transparenz beschränkt sich nicht auf Hochrisiko-KI-Systeme. Selbst KI-Systeme mit begrenztem Risiko — einschließlich Chatbots, Deepfake-Generatoren und Emotionserkennungstools — unterliegen spezifischen Offenlegungspflichten. Die Nichteinhaltung dieser Anforderungen kann zu Bußgeldern von bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes führen.

Dieser Leitfaden schlüsselt die Transparenzpflichten unter den Artikeln 50 bis 52 der EU-KI-Verordnung auf, erläutert, wer sie einhalten muss, und skizziert praktische Umsetzungsschritte.

Was sich im Juli 2026 geändert hat

Für die Transparenzpflichten hat sich nichts verschoben. Artikel 50 gilt seit dem 2. August 2026 und ist durchsetzbar. Verschoben wurden die Hochrisikopflichten des Kapitels III Abschnitte 1 bis 3 — auf den 2. Dezember 2027 (Anhang III) beziehungsweise den 2. August 2028 (Anhang I) — sowie die Frist für die nationalen Reallabore.

Mit der Verordnung (EU) 2026/1744 („Digital-Omnibus zur KI"), in Kraft seit dem 27. Juli 2026, wurde die KI-Verordnung erstmals geändert. Betroffen sind drei Fristen:

Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III: statt 2. August 2026 nun 2. Dezember 2027
Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1 in Verbindung mit Anhang I (Produkte und Sicherheitsbauteile): statt 2. August 2027 nun 2. August 2028
Betriebsbereitschaft der nationalen KI-Reallabore nach Artikel 57: statt 2. August 2026 nun 2. August 2027

Diese Verschiebung ist unbedingt. Der ursprünglich vorgeschlagene Auslöser, der die Fristen an die Verfügbarkeit harmonisierter Normen geknüpft hätte, wurde von den Mitgesetzgebern gestrichen.

Nicht verschoben wurde der allgemeine Geltungsbeginn: Die KI-Verordnung gilt seit dem 2. August 2026, und die Durchsetzung durch das KI-Büro und die nationalen Behörden hat an diesem Tag begonnen. Artikel 50 steht in Kapitel IV und ist von der Verschiebung nicht erfasst — Chatbot-Offenlegung, Deepfake-Kennzeichnung und maschinenlesbare Markierung synthetischer Inhalte gelten jetzt.

Neu sind zwei Verbote in Artikel 5, die ab dem 2. Dezember 2026 gelten: KI-Systeme, die ohne Einwilligung realistische intime Bilddarstellungen identifizierbarer Personen erzeugen oder manipulieren (Artikel 5 Absatz 1 Buchstabe ba), sowie KI-Systeme, die Material über sexuellen Kindesmissbrauch erzeugen oder manipulieren (Artikel 5 Absatz 1 Buchstabe bb). Bis zum selben Datum läuft die neue Übergangsfrist des Artikels 111 Absatz 4: Generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die maschinenlesbare Kennzeichnungspflicht des Artikels 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen.

Warum Transparenz unter der EU-KI-Verordnung wichtig ist

Die EU-KI-Verordnung basiert auf dem Grundsatz, dass Menschen ein Recht haben zu wissen, wenn sie mit KI interagieren. Dies ist nicht nur eine philosophische Haltung — es ist eine rechtlich durchsetzbare Anforderung. Die Verordnung erkennt an, dass ohne Transparenz Einzelpersonen keine informierte Einwilligung geben, automatisierte Entscheidungen nicht anfechten oder die Grundlage für Ergebnisse, die sie betreffen, nicht verstehen können.

Transparenzpflichten gelten über die gesamte Risikopyramide. Während Hochrisikosysteme den anspruchsvollsten Anforderungen unterliegen (einschließlich technischer Dokumentation, Konformitätsbewertungen und CE-Kennzeichnung), müssen selbst als begrenztes Risiko eingestufte Systeme bestimmte Offenlegungsregeln erfüllen.

Limited Risk

Die meisten Transparenzpflichten fallen unter die Kategorie begrenztes Risiko. Das bedeutet, sie gelten breit für eine Vielzahl von KI-Systemen, die viele Organisationen bereits einsetzen, einschließlich Kundenservice-Chatbots, Content-Generierungstools und KI-gestützte Kommunikationsplattformen.

Artikel 50: Kern-Transparenzanforderungen

Artikel 50 ist die zentrale Bestimmung für die Transparenz von KI-Systemen, die direkt mit natürlichen Personen interagieren. Er legt vier Hauptkategorien von Offenlegungspflichten fest.

1. Offenlegung der KI-System-Interaktion

Wenn ein KI-System zur direkten Interaktion mit natürlichen Personen konzipiert ist, muss der Anbieter sicherstellen, dass das System so gestaltet und entwickelt ist, dass die natürliche Person darüber informiert wird, dass sie mit einem KI-System interagiert. Diese Pflicht gilt, es sei denn, die KI-Natur des Systems ist aus den Umständen und dem Nutzungskontext offensichtlich.

In der Praxis bedeutet dies:

Chatbots müssen sich vor oder zu Beginn eines Gesprächs eindeutig als KI-gestützt identifizieren
Virtuelle Assistenten, die Kundenanfragen bearbeiten, müssen ihre nicht-menschliche Natur offenlegen
KI-gesteuerte Telefonsysteme (einschließlich Stimmklone) müssen Anrufer informieren, dass sie mit einer KI sprechen

Die Ausnahme „offensichtlich aus dem Kontext" ist eng gefasst. Gehen Sie nicht davon aus, dass Nutzer wissen, dass sie mit KI sprechen. Im Zweifelsfall offenlegen. Aufsichtsbehörden werden diese Ausnahme wahrscheinlich streng auslegen.

2. Emotionserkennung und biometrische Kategorisierung

Betreiber von Emotionserkennungssystemen oder biometrischen Kategorisierungssystemen müssen die betroffenen natürlichen Personen über den Betrieb des Systems informieren. Dies umfasst die Information über die Kategorien verarbeiteter personenbezogener Daten und gegebenenfalls den Verarbeitungszweck.

3. Kennzeichnung KI-generierter Inhalte

Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Anforderung hat zwei Komponenten:

Maschinenlesbare Kennzeichnung: Ausgaben müssen Metadaten oder Wasserzeichen enthalten, die eine automatische Erkennung ihrer KI-generierten Natur ermöglichen
Menschengerichtete Offenlegung: Wenn KI-generierte Inhalte veröffentlicht werden, müssen Betreiber offenlegen, dass der Inhalt von KI erzeugt oder manipuliert wurde

Für generative KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, sieht Artikel 111 Absatz 4 eine Übergangsfrist vor: Die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 muss bis zum 2. Dezember 2026 umgesetzt sein. Für Systeme, die ab dem 2. August 2026 in Verkehr gebracht werden, gilt die Pflicht unmittelbar.

Die Anforderung der maschinenlesbaren Kennzeichnung gilt für Anbieter (die das KI-System entwickeln), während die menschengerichtete Offenlegungspflicht für Betreiber gilt (die das System zur Erzeugung und Veröffentlichung von Inhalten nutzen).

4. Deepfake-Offenlegung

Die Verordnung widmet Deepfakes besondere Aufmerksamkeit. Jede Person, die ein KI-System einsetzt, das Bild-, Audio- oder Videoinhalte erzeugt oder manipuliert, die einen Deepfake darstellen, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Diese Offenlegung muss klar und unterscheidbar spätestens bei der ersten Veröffentlichung des Inhalts erfolgen.

Begrenzte Ausnahmen bestehen für:

Inhalte für legitime künstlerische, satirische oder fiktive Zwecke, sofern Schutzmaßnahmen für Rechte Dritter bestehen
Strafverfolgungsaktivitäten, bei denen die Offenlegung die öffentliche Sicherheit gefährden würde

Von der Offenlegungspflicht zu unterscheiden sind die beiden neuen Verbote des Artikels 5, die ab dem 2. Dezember 2026 gelten und mit der Verordnung (EU) 2026/1744 eingeführt wurden. Sie erfassen KI-Systeme, die ohne Einwilligung realistische intime Bilddarstellungen identifizierbarer Personen erzeugen oder manipulieren, sowie KI-Systeme, die Material über sexuellen Kindesmissbrauch erzeugen oder manipulieren. Bei diesen Inhalten heilt eine Kennzeichnung nichts — die Praxis selbst ist untersagt, und Verstöße fallen in die höchste Bußgeldstufe. Die Kommissionsleitlinien zu verbotenen Praktiken vom 4. Februar 2025 bleiben die maßgebliche Auslegungshilfe zu Artikel 5, gehen auf die beiden neuen Verbote aber noch nicht ein.

Artikel 50 in der Praxis: Wer muss was tun

Das Verständnis der Transparenzpflichten erfordert die Unterscheidung zwischen Anbietern und Betreibern:

Rolle	Pflicht	Beispiel
Anbieter	Systeme für Transparenz gestalten	Offenlegungsmechanismen in die Chatbot-Oberfläche einbauen
Anbieter	Maschinenlesbare Inhaltskennzeichnung implementieren	C2PA-Metadaten oder Wasserzeichen zu generierten Bildern hinzufügen
Betreiber	Nutzer über KI-Interaktion informieren	„Sie chatten mit einem KI-Assistenten" anzeigen
Betreiber	KI-generierte Inhalte offenlegen	KI-verfasste Artikel oder Bilder als KI-generiert kennzeichnen
Betreiber	Betroffene der Emotionserkennung benachrichtigen	Beschilderung über Gesichtsanalyse in Einzelhandelsräumen anbringen

Benötigen Sie Hilfe bei der Verfolgung der Transparenz-Compliance?

Ctrl AI bietet nachverfolgbare Ausführungsnachweise für jede KI-Interaktion — und erleichtert so den Nachweis der Transparenz-Compliance gegenüber Aufsichtsbehörden.

Learn About Ctrl AI

Artikel 52: Transparenz für Hochrisiko-KI-Systeme

Hochrisiko-KI-Systeme unterliegen zusätzlichen Transparenzanforderungen über Artikel 50 hinaus. Diese sind hauptsächlich in den Artikeln 13 und 14 detailliert beschrieben, aber Artikel 52 erweitert die Transparenzpflichten auf bestimmte Hochrisiko-Anwendungsfälle.

Die in diesem Abschnitt beschriebenen Pflichten stehen in Kapitel III Abschnitte 1 bis 3 und gelten nach der Änderung durch die Verordnung (EU) 2026/1744 erst ab dem 2. Dezember 2027 (Anhang III) beziehungsweise dem 2. August 2028 (Anhang I). Die Pflichten aus Artikel 50 gelten davon unabhängig bereits jetzt — auch für Systeme, die später als hochriskant einzustufen sind. Nicht verschoben wurde außerdem die Registrierungspflicht nach Artikel 49, die in Kapitel III Abschnitt 5 steht und seit dem 2. August 2026 gilt.

Gebrauchsanweisungen

Anbieter von Hochrisiko-KI-Systemen müssen Betreibern klare, umfassende Gebrauchsanweisungen bereitstellen. Diese müssen umfassen:

Identität und Kontaktdaten des Anbieters
Merkmale, Fähigkeiten und Grenzen des KI-Systems
Das Leistungsniveau bei Genauigkeit, Robustheit und Cybersicherheit
Bekannte oder vorhersehbare Umstände, die zu Risiken führen können
Maßnahmen zur menschlichen Aufsicht und deren Umsetzung
Erwartete Lebensdauer des Systems und Wartungsanforderungen

Protokollierung und Rückverfolgbarkeit

Hochrisiko-KI-Systeme müssen automatisch Protokolle erzeugen. Diese Protokolle müssen detailliert genug sein, um die Überwachung des Systembetriebs zu ermöglichen und die Marktüberwachung zu erleichtern. Betreiber müssen diese Protokolle für einen dem Verwendungszweck angemessenen Zeitraum aufbewahren, mindestens jedoch sechs Monate, sofern nicht durch geltendes Recht anders geregelt.

Anforderungen an die Protokollaufbewahrung interagieren mit den DSGVO-Grundsätzen der Datenminimierung. Organisationen müssen die Protokollierungspflichten der KI-Verordnung mit der DSGVO-Anforderung in Einklang bringen, personenbezogene Daten nicht länger als nötig zu speichern. Dies erfordert eine sorgfältige Datengovernance-Planung.

Praktische Schritte zur Erreichung der Transparenz-Compliance

Schritt 1: Inventarisieren Sie Ihre KI-Systeme

Bevor Sie Transparenzpflichten erfüllen können, müssen Sie wissen, welche KI-Systeme Ihre Organisation nutzt. Führen Sie eine gründliche Prüfung durch, die Folgendes abdeckt:

Kundenorientierte Chatbots und virtuelle Assistenten
Content-Generierungstools (Text, Bild, Video, Audio)
Emotionserkennungs- oder biometrische Kategorisierungssysteme
Jedes KI-System, das direkt mit natürlichen Personen interagiert

Schritt 2: Offenlegungsanforderungen klassifizieren

Bestimmen Sie für jedes identifizierte System, welche Transparenzpflichten gelten. Ordnen Sie jedes System den relevanten Bestimmungen von Artikel 50 und gegebenenfalls Artikel 52 zu.

Schritt 3: Technische Maßnahmen implementieren

Implementieren Sie für KI-generierte Inhalte eine maschinenlesbare Kennzeichnung. Der C2PA-Standard (Coalition for Content Provenance and Authenticity) entwickelt sich zum führenden Ansatz. Für Chatbots und interaktive Systeme bauen Sie Offenlegungsmechanismen direkt in die Benutzeroberfläche ein.

Schritt 4: Nutzergerichtete Offenlegungen verfassen

Erstellen Sie klare, verständliche Hinweise für jede Transparenzpflicht. Vergraben Sie Offenlegungen nicht in langen Nutzungsbedingungen. Die Verordnung verlangt, dass Offenlegungen „klar und unterscheidbar" sind — das heißt, sie müssen auffällig und leicht verständlich sein.

Schritt 5: Alles dokumentieren

Führen Sie Aufzeichnungen über Ihre Transparenzmaßnahmen. Diese Dokumentation wird unerlässlich sein, wenn Aufsichtsbehörden Sie auffordern, die Compliance nachzuweisen.

Zeitplan für die Transparenz-Compliance

Häufige Fehler, die es zu vermeiden gilt

Annehmen, Chatbot-Transparenz sei optional. Wenn Ihr System mit Menschen interagiert und die KI-Natur nicht offensichtlich ist, müssen Sie offenlegen. Die Schwelle für „offensichtlich" ist hoch.

Die maschinenlesbare Anforderung ignorieren. Das bloße Hinzufügen eines Textetiketts zu KI-generierten Inhalten reicht nicht aus. Anbieter müssen eine technische Kennzeichnung implementieren, die eine automatische Erkennung ermöglicht.

DSGVO-Transparenz mit KI-Verordnung-Transparenz verwechseln. Während beide Verordnungen Transparenz verlangen, sind die Anforderungen der KI-Verordnung eigenständig. Die DSGVO-Transparenz konzentriert sich auf die Datenverarbeitung; die Transparenz der KI-Verordnung auf die KI-Natur des Systems und seiner Ausgaben. Sie müssen beide einhalten.

Transparenz als einmalige Aufgabe behandeln. Transparenzpflichten sind fortlaufend. Wenn KI-Systeme aktualisiert werden, müssen Offenlegungen überprüft und überarbeitet werden, um korrekt zu bleiben.

Sanktionen bei Nichteinhaltung

Die Nichteinhaltung von Transparenzpflichten kann zu Verwaltungsgeldbußen von bis zu 15 Millionen EUR oder 3 % des weltweiten Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist. Bei besonders schwerwiegenden Verstößen — wie dem Einsatz von KI-Systemen, die Menschen ohne Offenlegung manipulieren — können die Strafen 35 Millionen EUR oder 7 % des Umsatzes erreichen.

Nationale Marktüberwachungsbehörden haben die Befugnis, die Transparenz-Compliance zu untersuchen und Bußgelder zu verhängen. Die Durchsetzung der KI-Verordnung hat am 2. August 2026 begonnen. Die Bußgeldrahmen des Artikels 99 wurden durch die Verordnung (EU) 2026/1744 nicht geändert.

Fazit

Transparenz ist einer der am unmittelbarsten umsetzbaren Bereiche der EU-KI-Verordnung. Anders als Hochrisikosystem-Anforderungen, die umfangreiche Konformitätsbewertungen erfordern, können viele Transparenzpflichten durch klares Kommunikationsdesign, technische Inhaltskennzeichnung und gründliche Dokumentation erfüllt werden.

Die Zeit der Vorbereitung ist vorbei: Artikel 50 gilt seit dem 2. August 2026 und wird durchgesetzt. Die Verschiebung der Hochrisikofristen auf den 2. Dezember 2027 und den 2. August 2028 ändert daran nichts — sie verschafft Ihnen Luft bei der Konformitätsbewertung von Hochrisikosystemen, nicht bei der Offenlegung. Wer noch keine Bestandsaufnahme gemacht hat, sollte mit der Inventarisierung der KI-Systeme beginnen, die geltenden Pflichten zuordnen und die Offenlegungsmechanismen umsetzen. Ein konkretes Zwischenziel steht bereits fest: Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, muss die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 stehen.