EU-AI-Act-Transparenzpflichten (Art. 50) — Chatbots, Deepfakes & Synthetische Inhalte

Die meisten KI-Systeme sind nicht hochriskant — sie fallen unter Art.-50-Transparenzpflichten. Wenn Sie einen Chatbot einsetzen, synthetische Bilder erzeugen oder Emotionserkennung verwenden, erfahren Sie hier genau, was Sie offenlegen und kennzeichnen müssen.

Wer unter Art. 50 fällt (nicht hochriskant)

Der EU AI Act etabliert einen abgestuften Risikorahmen. Die meisten heute eingesetzten KI-Systeme qualifizieren nicht als hochriskant nach Anhang III oder Anhang I — sie fallen in eine von zwei leichteren Kategorien:

• Nur Transparenzpflichten (Art. 50): Chatbots, Deepfake-Generatoren, Systeme für synthetische Inhalte, Emotionserkennungssysteme und biometrische Kategorisierungstools
• Minimales Risiko: Spam-Filter, KI in Spielen, Empfehlungssysteme — nur freiwilligen Verhaltenskodizes unterworfen

Der entscheidende Unterschied zu hochriskanten Anhang-III-Systemen ist, dass nur-Transparenz-Systeme Offenlegung erfordern, keine Konformitätsbewertung, keine technische Dokumentation und keine CE-Kennzeichnung. Die Belastung ist erheblich geringer, aber Nichtkonformität ist immer noch eine ahndbare Straftat mit Bußgeldern bis zu 7,5 Millionen €.

Zu verstehen, welche Stufe Ihr System einnimmt, ist der erste Compliance-Schritt. Das KI-Risikoklassifizierungs-Tool kann Ihnen helfen, zu bestimmen, welche Pflichten gelten.

Art. 50(1) — Konversations-KI und Chatbots

Jedes KI-System, das darauf ausgelegt ist, direkt mit natürlichen Personen zu interagieren, muss den Nutzer darüber informieren, dass er mit einem KI-System interagiert. Die Offenlegung muss:

• Rechtzeitig erfolgen — zu Beginn der Interaktion, bevor ein bedeutungsvoller Austausch beginnt
• Klar und unterscheidbar sein — nicht in Nutzungsbedingungen oder Kleinstdruckfußzeilen vergraben
• Verständlich sein — dem Kontext angepasst, sodass die Person es tatsächlich versteht

Anwendungsbereich: Kundenservice-Bots, virtuelle Assistenten, KI-Telefon-Agenten, in sozialen Medien eingebettete konversations-KI und KI-gestützter Support-Chat auf Websites. Wenn eine menschenorientierte Schnittstelle ein Sprachmodell für den Dialog verwendet, gilt Art. 50(1).

Ausnahme 1: Wenn die KI-Natur aus dem Kontext offensichtlich ist — zum Beispiel ein klar gebrandmarkter KI-Assistent mit einem Roboter-Avatar in einer Produktoberfläche — kann die Offenlegungspflicht als erfüllt angesehen werden. Aber „offensichtlich" ist eine hohe Hürde; implizite UI-Hinweise allein werden wahrscheinlich nicht ausreichen, wenn Nutzer vernünftigerweise glauben könnten, mit einem Menschen zu sprechen.

Ausnahme 2: Systeme, die nach nationalem Recht für Strafverfolgungszwecke zugelassen sind (z. B. verdeckte Ermittlungstools von zuständigen Behörden).

Konformitätsfrist: 2. August 2026 (durch den Digital Omnibus 2026 vom ursprünglichen 2. August 2025 verlängert). Vor dieser Frist eingesetzte Systeme müssen in Konformität gebracht werden — sie werden nicht grandfathered.

Art. 50(2) — Emotionserkennungs-Offenlegung

Anbieter und Betreiber von Emotionserkennungssystemen müssen die natürlichen Personen, deren emotionaler oder psychologischer Zustand inferiert wird, darüber informieren. Dazu gehören Systeme, die Emotionen wie Freude, Ärger, Not, Engagement oder Täuschungsabsicht aus Gesichtsausdrücken, Stimmton, physiologischen Signalen oder Verhaltenshinweisen erkennen, klassifizieren oder bewerten.

Anwendungsbereich: HR-Interview-Analysetools, die das Engagement oder den Stress von Kandidaten bewerten; Kundenstimmungssysteme, die Call-Center-Interaktionen überwachen; Sicherheitsscreeningtools, die behaupten, Täuschungsabsicht zu erkennen; Einzelhandelssysteme, die emotionale Reaktionen auf Produkte verfolgen.

Nicht erfasst: KI-Systeme, die physiologische Zustände ausschließlich für Sicherheitszwecke erkennen — zum Beispiel schläfrige-Fahrer-Erkennungssysteme, die die Augenbewegung überwachen und einen Alarm auslösen, aber keine emotionalen Zustände für andere Verwendungen inferieren oder aufzeichnen. Der Sicherheitszweck-Vorbehalt ist eng; für Profilerstellung zweckentfremdete Systeme verlieren die Ausnahme.

Wenn das Emotionserkennungssystem auch ein hochriskantes System nach Anhang III ist (z. B. Beschäftigungs-Screening), gelten die vollständigen hochriskanten Pflichten zusätzlich zur Art.-50(2)-Offenlegung.

Art. 50(3) — Biometrische Kategorisierungs-Offenlegung

KI-Systeme, die sensible persönliche Attribute inferieren — einschließlich rassischer oder ethnischer Herkunft, politischer Meinungen, Gewerkschaftsmitgliedschaft, religiöser oder philosophischer Überzeugungen oder sexueller Orientierung — aus biometrischen Daten müssen die dem System ausgesetzten Personen informieren.

Diese Pflicht gilt für Systeme, die Personen auf der Grundlage biometrischer Eingaben kategorisieren, unabhängig davon, ob die Kategorisierung der Primärzweck oder eine nachgelagerte Inferenz ist. Ein System, das Gesichtserkennung verwendet, um wahrscheinliche demografische Attribute abzuleiten, löst Art. 50(3) aus, auch wenn sein angegebener Zweck etwas anderes ist.

Wichtige Grenze zu Art. 5: Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden ist nach Art. 5 vollständig verboten, nicht nur offenlegungspflichtig. Wo ein System verboten ist, sind Transparenzpflichten irrelevant — es kann überhaupt nicht rechtmäßig eingesetzt werden. Siehe verbotene Praktiken nach Art. 5 für die vollständige Liste verbotener Systeme.

Art. 50(4) — Kennzeichnung KI-generierter und synthetischer Inhalte

Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte in großem Maßstab generieren oder manipulieren, müssen die Ausgabe technisch kennzeichnen in einem maschinenlesbaren Format. Die Kennzeichnung muss:

• Auf verschiedenen Plattformen und Verifizierungstools erkennbar und interoperabel sein
• Bestehen bleiben, wenn der Inhalt geteilt, neu kodiert oder umverteilt wird
• Dem technischen Standard entsprechen, der vom Europäischen KI-Büro entwickelt wird (der KI-generierter-Inhalts-Herkunftsstandard, manchmal als ATMF bezeichnet)

Anwendungsbereich: Text-zu-Bild-Generatoren (Midjourney, Stable Diffusion, DALL-E-Äquivalente); Video-Synthese und Deepfake-Video-Tools; Sprachklonierungssysteme; KI-Schreibassistenten, die Ausgaben in großem Maßstab produzieren (z. B. automatisierte Nachrichtenerstellung, Marketingkopien in großem Maßstab ohne redaktionelle Überprüfung).

Ausnahme: KI-Systeme, die Inhalte generieren, die einer menschlichen redaktionellen Überprüfung unterzogen wurden, für die ein Mensch die redaktionelle Verantwortung trägt. Ein Journalist, der ein KI-Entwurfs-Tool verwendet, die Ausgabe überprüft und vor der Veröffentlichung wesentlich bearbeitet, fällt für diese spezifische Verwendung außerhalb der Kennzeichnungspflicht. Dasselbe System, das ohne redaktionelle Aufsicht eingesetzt wird, fällt nicht darunter.

Anbieter sollten technische Kennzeichnung auf Infrastrukturebene implementieren — Wasserzeichen, kryptografische Herkunfts-Metadaten oder standardkonforme Inhaltszertifikate — nicht als optionale Funktion, sondern als Standard-Ausgabeverhalten.

Art. 50(5) — Betreiberpflicht für Deepfake-Offenlegung

Wenn ein Betreiber ein KI-System verwendet, um Deepfake-Inhalte zu produzieren — synthetische oder manipulierte Bilder, Audio oder Video von realen Personen — muss der Betreiber den Inhalt deutlich als KI-generiert oder -manipuliert kennzeichnen. Die Kennzeichnung muss:

• Sichtbar bei Bild- oder Videoinhalten sein
• Hörbar bei Audioinhalten sein
• So platziert sein, dass sie für das Publikum offensichtlich ist, nicht nur in Metadaten eingebettet

Ausnahmen: Inhalte, die für Satire, Parodie oder künstlerischen Ausdruck produziert werden, bei denen die KI-generierte Natur für das Publikum offensichtlich ist. Kreative, die in klar parodistischen oder satirischen Formaten arbeiten, sollten ihre Absicht dennoch dokumentieren, da Strafverfolgungsbehörden beurteilen werden, ob die KI-Natur im Kontext wirklich offensichtlich war.

Diese Pflicht liegt beim Betreiber — der Organisation oder Einzelperson, die den Inhalt nutzt — nicht nur beim Systemanbieter. Eine Marketingagentur, die ein Drittanbieter-Deepfake-Video-Tool verwendet, ist der Betreiber und trägt die Kennzeichnungspflicht.

Praktische Compliance-Schritte nach Systemtyp

Betreiber, die Drittanbieter-KI-Systeme verwenden, tragen Transparenzpflichten unabhängig davon, ob der Anbieter seine erfüllt hat. Ein Betreiber kann sich nicht auf die Offenlegung des Anbieters als Ersatz für seine eigene verlassen.

Verhältnis zur DSGVO

Art.-50-Transparenzpflichten sind rechtlich unabhängig von DSGVO Art. 22 (automatisierte individuelle Entscheidungsfindung). Dasselbe System kann beide Rahmen gleichzeitig auslösen.

Beispiel: Ein Chatbot, der als erste Stufe eines Kreditantragsverfahrens verwendet wird, muss:

1. Zu Beginn des Gesprächs offenlegen, dass es ein KI-System ist (Art. 50(1))
2. Wenn der Chatbot eine ausschließlich automatisierte Entscheidung mit rechtlichen oder ähnlich bedeutsamen Auswirkungen trifft oder wesentlich dazu beiträgt, muss der Betreiber auch DSGVO-Art.-22-Rechte gewähren — das Recht, nicht der automatisierten Entscheidung unterworfen zu werden, das Recht auf menschliche Überprüfung und das Recht auf eine Erklärung

Organisationen, die KI in regulierten Sektoren einsetzen (Finanzdienstleistungen, Versicherungen, HR), sollten sowohl Art.-50-Pflichten als auch die DSGVO-Art.-22-Anwendbarkeit als Teil derselben Compliance-Überprüfung kartieren. Die Rahmen sind komplementär, nicht gegenseitig ausschließend.

Bußgelder bei Nichtkonformität

Verstöße gegen Art.-50-Transparenzpflichten tragen Bußgelder bis zu 7,5 Millionen € oder 1,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Für KMU und Start-ups ergibt der Prozentanteil im Allgemeinen einen niedrigeren Betrag; für große Unternehmen greift eher der absolute Höchstbetrag.

Die Durchsetzungsbefugnis liegt bei den nach Art. 74 designierten nationalen Marktüberwachungsbehörden und beim EU-KI-Büro für GPAI-Modellanbieter. Aufsichtsmaßnahmen können formelle Ermittlungen, einstweilige Maßnahmen, Aussetzungsanordnungen für den Einsatz und die öffentliche Offenlegung von Erkenntnissen umfassen.

Nächste Schritte

• Verwenden Sie den KI-Risikoklassifizierer, um zu bestimmen, ob Ihr System nur-Transparenz oder hochriskant ist
• Überprüfen Sie verbotene Praktiken nach Art. 5, um zu bestätigen, dass Ihr System nicht in eine verbotene Kategorie fällt, bevor Sie Transparenzpflichten bewerten
• Verfolgen Sie die Veröffentlichung des KI-generierten-Inhalts-Herkunftsstandards des Europäischen KI-Büros für technische Kennzeichnungsanforderungen nach Art. 50(4)