KI-Kennzeichnungspflicht ab August 2026

Seit Sonntag muss sich synthetischer Inhalt zu erkennen geben. Die deutsche Aufsichtsbehörde dahinter ist vier Tage älter als die Pflicht selbst.

Seit gestern ist ein Chatbot, der nicht sagt, dass er ein Chatbot ist, ein Rechtsverstoß. Am 2. August 2026 sind die Transparenzregeln der europäischen KI-Verordnung wirksam geworden, und damit die Pflicht, KI-Inhalte kenntlich zu machen. Das betrifft nicht nur die großen Anbieter aus Kalifornien. Es betrifft auch den Handwerksbetrieb, der seine Produktfotos generieren lässt, den Verein mit dem KI-Assistenten auf der Startseite und jede Agentur, die synthetische Stimmen in Werbespots einsetzt.

Wer die Regeln reißt, riskiert Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Was die KI-Kennzeichnungspflicht konkret verlangt

Artikel 50 der KI-Verordnung erfasst vier Situationen, und die Pflichten sind dabei auf zwei Rollen verteilt. Anbieter bauen und liefern die Systeme. Betreiber sind alle, die diese Systeme beruflich einsetzen – also die überwiegende Mehrheit der Unternehmen, Behörden und Organisationen.

Anbieter müssen zweierlei sicherstellen: Systeme, die direkt mit Menschen interagieren, müssen offenlegen, dass sie KI sind. Und alles, was ein generatives System ausgibt – Text, Bild, Ton, Video –, muss maschinenlesbar markiert sein. Der im Juni von der EU-Kommission veröffentlichte Verhaltenskodex zur Transparenz KI-generierter Inhalte verlangt dafür in der Regel zwei Schichten gleichzeitig: digital signierte Metadaten und ein unsichtbares Wasserzeichen im Inhalt selbst. Ein einzelnes Wasserzeichen reicht nicht. Anbieter müssen außerdem ein Werkzeug bereitstellen, mit dem sich diese Markierung überprüfen lässt – grundsätzlich kostenlos.

Betreiber trifft die sichtbare Pflicht. Deepfakes – also täuschend echt wirkende Bilder, Videos oder Tonaufnahmen – müssen als KI-erzeugt gekennzeichnet werden, spätestens beim ersten Kontakt. Der Kodex sieht dafür ein standardisiertes EU-Icon mit dem Kürzel „AI” vor, das in mehreren Mitgliedstaaten auf Verständlichkeit getestet wurde. Bei Videos muss das Label zu Beginn erscheinen und regelmäßig wiederholt werden, etwa nach Werbeunterbrechungen. Bei reinen Audioinhalten braucht es einen hörbaren Hinweis am Anfang.

Für Texte gilt eine engere Regel, die in der Debatte oft falsch wiedergegeben wird: Kennzeichnungspflichtig sind nur Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Und selbst dann greift die Pflicht nicht, wenn der Text eine echte redaktionelle Prüfung durchlaufen hat und eine Person oder Organisation die redaktionelle Verantwortung trägt. Wer KI nur zum Korrekturlesen einsetzt, fällt ohnehin heraus – reine Hilfsfunktionen wie Rechtschreibkorrektur sind ausgenommen. Die Kommission hat am 20. Juli Leitlinien nachgeschoben, die diese Abgrenzungen mit Beispielen unterlegen.

Eine praktische Atempause gibt es: KI-Systeme, die vor dem 2. August bereits auf dem Markt waren, müssen die maschinenlesbare Markierung erst ab dem 2. Dezember 2026 erfüllen.

Was der Digital Omnibus verschoben hat – und was eben nicht

Wer in den vergangenen Monaten gelesen hat, die EU habe ihre KI-Regeln entschärft, hat nur die halbe Nachricht bekommen. Verschoben wurden die Pflichten für Hochrisiko-Systeme: Für eigenständige Anwendungen nach Anhang III gilt jetzt der 2. Dezember 2027, für KI als Sicherheitsbauteil in regulierten Produkten der 2. August 2028. Der Grund war handfest – technische Normen und Aufsichtsstrukturen waren schlicht nicht fertig.

Die Transparenzpflichten sind davon nicht berührt. Sie gelten seit Sonntag, in vollem Umfang, und sie hängen nicht am Risikograd eines Systems. Ein Unternehmen kann null Hochrisiko-KI im Haus haben und trotzdem mitten in Artikel 50 stehen, sobald es einen Kundenchat betreibt oder Werbebilder generieren lässt. In den Auswertungen des Compliance-Checkers zur KI-Verordnung sind die Transparenzpflichten der zweithäufigste Grund, warum eine Organisation überhaupt in den Anwendungsbereich fällt.

Bemerkenswert ist auch, wo die Verantwortung liegt. Sie sitzt beim Betreiber, nicht beim Werkzeuglieferanten. Wer ein Tool einkauft, kauft keine Compliance mit. Das ist juristisch sauber, verlagert die Last aber ausgerechnet auf die Akteure mit den wenigsten Ressourcen – auf Mittelständler, Vereine und kommunale Stellen, nicht auf die Konzerne, die die Modelle bauen.

Deutschland hat die Aufsicht vier Tage vor dem Stichtag fertiggestellt

Genau da liegt für mich der eigentliche Punkt. Über die Regeln selbst kann man streiten, aber die Grundidee ist richtig und überfällig: Wer nicht mehr unterscheiden kann, ob ein Bild, eine Stimme oder ein Text von einem Menschen stammt, verliert irgendwann das Vertrauen in alles. Kennzeichnung ist kein Innovationshemmnis, sondern die Bedingung dafür, dass Menschen digitale Angebote überhaupt weiter nutzen.

Nur muss der Staat dann auch liefern. Und da sieht die deutsche Bilanz schwach aus. Die Frist, bis zu der jeder Mitgliedstaat seine Marktüberwachungsbehörde benennen musste, lief am 2. August 2025 ab – Deutschland hat sie verstreichen lassen. Das Gesetz, das die nationale Aufsicht organisiert, das KI-Marktüberwachungs- und Innovationsförderungsgesetz, ist erst am 29. Juli 2026 in Kraft getreten. Vier Tage vor dem Stichtag. Die Bundesnetzagentur wird zentrale Behörde und bekommt zugleich den Auftrag, Unternehmen zu unterstützen – mit einem KI-Service-Desk, Reallaboren und Beratungsangeboten.

Der Rechtswissenschaftler Karsten Löw hat in einer Analyse für die Legal Tribune Online auf eine Schwachstelle hingewiesen, die noch teuer werden kann: Für Bußgeldverfahren verweist das Gesetz auf das Ordnungswidrigkeitenrecht – zuständig sind damit erstinstanzlich die Amtsgerichte. Bei Strafrahmen, die bis zu 35 Millionen Euro oder sieben Prozent des Weltumsatzes reichen, ist das, wie Löw schreibt, „unglücklich”. Im Kartellrecht entscheiden Oberlandesgerichte. Warum ausgerechnet die komplexeste Regulierungsmaterie der kommenden Jahre am Amtsgericht landet, erschließt sich nicht.

Was daraus folgt, ist keine Forderung nach weniger Regulierung, sondern nach besserer Ausführung. Im ersten Jahr sollte die Bundesnetzagentur ihre Kapazitäten in Beratung und klare Handreichungen stecken, nicht in Bußgeldverfahren gegen Betriebe, die die Pflicht schlicht nicht kannten – zumal rund 190 Unternehmen und Organisationen den freiwilligen Kodex bereits unterzeichnet haben und damit zeigen, dass Kooperation funktioniert. Und die Evaluierungsfrist von 18 Monaten, die der Gesetzgeber sich selbst gesetzt hat, sollte er nutzen, um die gerichtliche Zuständigkeit zu korrigieren. Ein Staat, der Regeln später organisiert, als er sie in Kraft setzt, erzeugt weder Vertrauen noch Schutz. Er erzeugt Unsicherheit bei denen, die sich ohnehin an Regeln halten wollen.