Die Transparenzpflichten nach Art. 50 des EU AI Acts: Was Ihr Unternehmen jetzt betrifft

Die wichtigsten Fakten auf einen Blick

Wir erklären Ihnen in diesem Artikel, welche Maßnahmen Sie als Unternehmen jetzt umsetzen müssen.

Je nach Fallgruppe treffen die Pflichten sowohl KI-Anbieter als auch die Unternehmen, die KI-Systeme einsetzen (Betreiber / Deployers). Eine strukturierte Prüfung aller KI-Anwendungen, die im unternehmerischen Kontext im Einsatz sind, ist nun keine Option für Firmen mehr, sondern eine regulatorische Pflicht.

Der regulatorische Hintergrund & warum August 2026 der Wendepunkt ist

Der EU AI Act als Ganzes ist bereits seit dem 1. August 2024 in Kraft, doch die Anforderungen laufen gestaffelt an. Mit dem Stichtag 2. August 2026 ist nun eine kritische Phase in Kraft getreten: Die Transparenzpflichten nach Artikel 50 EU AI Act werden verbindlich. Das bedeutet, dass Unternehmen, die bis dahin ihre KI-Nutzung nicht dokumentiert und Transparenz-Mechanismen nicht implementiert haben, in ein Compliance-Risiko geraten.

Die Formulierung des Gesetzes ist dabei bewusst detailliert, da es keine allgemeine Kennzeichnungspflicht für jede KI-Nutzung gibt. Stattdessen konzentriert sich der Gesetzgeber auf vier spezifische Fallgruppen, in denen Transparenz für den Schutz von Bürger:innen und Verbraucher:innen essentiell ist. Diese Präzision ist sowohl eine Chance als auch eine Herausforderung, da Unternehmen nun exakt verstehen müssen, wann die Pflicht greift und wann nicht.

Die Transparenzpflichten aus Art. 50 EU AI Act sind seit dem 2. August 2026 verbindlich, mit einer Ausnahme: Generative KI-Systeme, die vor diesem Datum bereits im Einsatz waren, dürfen die maschinenlesbare Markierung bis 2. Dezember 2026 nachrüsten. Alle anderen Anforderungen, wie die Chatbot-Offenlegung, Deepfake-Kennzeichnung, öffentliche Texte, sind ohne Übergangsfrist fällig. Unternehmen sollten daher zeitnah handeln.

Die vier Hauptkategorien der Transparenzpflichten

Kategorie 1 | Direkte Interaktion mit Menschen (Anbieter:in-Pflicht)

Die erste Fallgruppe betrifft KI-Systeme, die direkt mit natürlichen Personen interagieren. Wenn ein KI-System eine direkte Konversation mit einem Menschen führt, müssen die Nutzer:innen von den Anbieter:innen darüber informiert werden, dass sie mit einer Künstlichen Intelligenz interagieren. Das betrifft insbesondere Chatbots, Voicebots, virtuelle Assistenten und KI-Avatare sowie automatisierte Dialogsysteme.

Eine Kennzeichnung ist nicht erforderlich, wenn es für eine angemessen informierte Person offensichtlich ist, dass es sich um eine KI handelt. Das könnte beispielsweise bei einem eindeutig als solchem designten Virtual Assistant der Fall sein, der nicht als menschlicher Support ausgegeben wird.

Für Unternehmen bedeutet das: Wenn Sie einen Chatbot im Kundenservice einsetzen, muss dieser proaktiv offenbaren, dass ein automatisiertes System antwortet, nicht erst nach mehreren Austauschschritten, sondern bereits bei der ersten Interaktion.

Vermeiden Sie Folgendes:

Kategorie 2 | Synthetische Inhalte: Text, Bild, Audio, Video (Anbieter:in-Pflicht)

Die zweite Kategorie erfasst alle KI-Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen. Wenn ein generatives KI-Tool Inhalte produziert, müssen diese Ausgaben maschinell lesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein. Dies ist eine deutlich strengere Anforderung als nur eine sichtbare Kennzeichnung. Sie verlangt auch die technische Nachverfolgbarkeit der Herkunft.

Diese Kategorie betrifft praktisch jeden Unternehmensbereich. Speziell Teams, die mit generativen KI-Tools bspw. Produktbeschreibungen, KI-generierte Bilder, KI-Audios für Videos oder automatisierte Texte generieren.

Die Kennzeichnung muss nicht nur für die externe Kommunikation erfolgen, sondern überall dort, wo synthetische Inhalte erzeugt und weitergegeben werden. Auch intern zwischen Abteilungen.

Vermeiden Sie Folgendes:

Kategorie 3 |  Deepfakes und realistische manipulierte Inhalte (Betreiber:in-Pflicht)

Die dritte Kategorie bezieht sich auf Deepfakes. KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die realistisch erscheinen und eine Person, einen Ort, ein Ereignis oder eine Sache authentisch wirken lassen. Wenn KI solche Inhalte erzeugt oder manipuliert, muss von der/dem Betreiber:in offengelegt werden, dass der Inhalt künstlich erzeugt oder manipuliert wurde.

Dies ist eine besonders kritische Kategorie, da Deepfakes erheblichen Missbrauchspotential bergen. Von gefälschten Videoaussagen prominenter Personen bis hin zu manipulierten Nachrichtenberichten. Der Gesetzgeber adressiert hier direkt das Risiko der Desinformation.

Wenn Sie als Unternehmen also Schulungsvideos mit KI-Avataren produzieren oder personalisierte Videobotschaften mit synthetischen Gesichtern erstellen, müssen Sie das eindeutig kennzeichnen.

Vermeiden Sie Folgendes:

Kategorie 4 | KI-Texte zu Angelegenheiten von öffentlichem Interesse

Die vierte Kategorie betrifft KI-generierte oder KI-manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Hierunter fallen wirtschaftliche, politische, gesellschaftliche und wissenschaftliche Themen.

Wenn der Text bereits einer menschlichen redaktionellen Verantwortung und Prüfung unterzogen wurde, entfällt die Kennzeichnungspflicht. Ein von KI verfasster Bericht, der von einem:r Journalist:in oder Redakteur:in vollständig geprüft und redaktionell verantwortet wird, muss nicht pauschal gekennzeichnet werden, sofern diese Prüfung dokumentiert ist.

KI-generierte Marktberichte, Branchenanalysen oder Pressemitteilungen zu wirtschaftspolitischen Themen müssen entweder gekennzeichnet werden oder durch dokumentierte redaktionelle Prüfung die Ausnahme nachweisen.

Vermeiden Sie Folgendes:

ZUSÄTZLICH: Emotionserkennung und biometrische Kategorisierung (Betreiber:in-Pflicht)

Ergänzend zu den vier Hauptgruppen müssen Betroffene von den Betreiber:innen auch informiert werden, wenn KI zur Emotionserkennung oder biometrischen Kategorisierung eingesetzt wird. Dies betrifft beispielsweise KI-Systeme im Bewerbungsprozess, die Gesichtsausdrücke analysieren oder Sicherheitssysteme am Eingang, die Personen nach biometrischen Merkmalen kategorisieren.

Timings und Art der Transparenzhinweise

Die Transparenzhinweise müssen spätestens bei der ersten Interaktion mit dem KI-System oder bei der ersten Wahrnehmung des jeweiligen KI-Inhalts klar, eindeutig und erkennbar bereitgestellt werden. Ein bloßer Hinweis in allgemeinen Nutzungsbedingungen reicht nicht aus. Gefordert ist die Sichtbarkeit im unmittelbaren Nutzungskontext.

Je nach Fallkonstellation treffen die Pflichten Anbieter:innen von KI-Systemen und/oder Betreiber:innen (Deployers). Auch wenn Ihr Unternehmen nicht der/die Hersteller:in des Modells ist, können Sie als deployendes Unternehmen für die Kennzeichnung und Information verantwortlich sein, vor allem bei Veröffentlichungen von Inhalten und bei Nutzerinteraktionen. Das Timing ist ein Kernbestandteil der gesetzlichen Anforderung.

Das Schatten-KI-Problem & warum es ein massives Risiko darstellt

Eine der größten ungenutzten Herausforderungen für Unternehmen liegt nicht in der Regulierung selbst, sondern in der unkontrollierten Nutzung von KI-Tools durch Mitarbeitende. Dieses Phänomen wird häufig als Schatten-KI (Shadow AI) bezeichnet. 

Mitarbeitende nutzen Anthropics Claude, OpenAI's ChatGPT oder andere generative KI-Dienste über private Accounts oder gar über kostenlose Versionen, ohne dass das Unternehmen davon weiß, diese Tools inventarisiert hat oder Kennzeichnungspflichten überhaupt umsetzen kann.

Die globale KPMG-Studie „Trust, attitudes and use of AI: A global study 2025“ (KPMG & University of Melbourne, 2025) zeigte auf, dass bereits im vorangegangenen Jahr 73 Prozent der Beschäftigten weltweit generative KI am Arbeitsplatz, zumeist über frei zugängliche Tools, nutzten.

So erstellen beispielsweise Marketing-Mitarbeitende Texte unter der Nutzung von ChatGPT, Gemini oder Claude, Designer:innen erstellen Mockups mit Midjourney und HR-Manager:innen schreiben Stellenausschreibungen mit KI-Unterstützung. Alles ohne zentrale Sichtbarkeit oder Kontrolle. 48-49 % der Befragten gaben an, sensible Unternehmensdaten in öffentliche KI-Systeme hochzuladen, darunter Finanzzahlen, Vertriebs- und Kundendaten oder sogar urheberrechtlich geschütztes Material (KPMG & University of Melbourne, 2025).

Warum Schatten-KI ein erhebliches Compliance-Risiko ist

Für Unternehmen, die ab dem 2. August 2026 unter Art. 50 AI Act-Verpflichtungen stehen, ist Schatten-KI ein existenzielles Compliance-Risiko:

Fehlende Kennzeichnung: Wenn ein:e Mitarbeitende:r KI-generierte Texte, Bilder oder Videos ohne Wissen des Unternehmens nach außen (etwa auf der Unternehmens-Website, in Social Media oder in der Kundenkommunikation) veröffentlicht, verletzt das Unternehmen potenziell die Transparenzpflichten nach Art. 50 EU AI Act. Der Mitarbeitende tut es in Unkenntnis, aber das Unternehmen trägt die Verantwortung für Inhalte, die unter seinem Namen bzw. von seinen Kanälen veröffentlicht werden. Fehlende Überwachung und unzureichende Governance können zu Bußgeldern führen.

Keine Dokumentation: Ohne zentrales KI-Inventar kann nicht nachgewiesen werden, welche Inhalte KI-generiert sind und welche nicht. Im Fall einer behördlichen Prüfung steht das Unternehmen dann da und kann nicht belegen, dass es die Pflichten erfüllt hat.

Unkontrollierter Datenfluss: Unternehmensdaten werden an externe KI-Dienste übermittelt, ohne dass rechtskonforme Auftragsverarbeitungsverträge vorliegen. Dies kann zu zusätzlichen Bußgeldern führen.

Keine maschinenlesbare Markierung: Private Tools bieten oft keine Möglichkeit, die geforderten technischen Herkunftshinweise oder Metadaten zu integrieren. Selbst wenn ein:e Mitarbeiter:in „KI-generiert" hinzufügt, ist es nicht maschinenlesbar und erfüllt die Anforderung nicht vollständig.

Sicherheitsrisiken: Vertrauliche Unternehmensinformationen können in KI-Trainingsdaten landen, wenn Mitarbeitende diese in öffentliche KI-Modelle eingeben.

Das unterschätzte Risiko der dezentralisierten KI-Nutzung

Ohne zentrale Governance entstehen schnell:

Die Lösung ist eine Zentralisierung statt Verbote

Ein zentraler Schutzmechanismus gegen diese Risiken besteht darin, Mitarbeitenden einen einfachen, datensicheren und vor allem rechtskonformen Zugang zu KI zu bieten. Statt Tools zu verbieten und damit Schatten-KI zu erzeugen, werden in Zukunft Unternehmen im Wettbewerbsvorteil sein, die ihren Mitarbeitenden klare, sichere Möglichkeiten aufzeigen.

NENNA.AI als Lösung durch "Transparenz by Design"

NENNA.AI wurde von Anfang an für den europäischen Regulierungsrahmen konzipiert und adressiert die Transparenz-Anforderungen des Artikels 50 nicht als nachträgliches Feature, sondern als integralen Bestandteil der Plattform-Architektur.

Spezifische Vorteile für die Art. 50-EU AI Act-Compliance:

Nachvollziehbarkeit des KI-Inventars: NENNA.AI schützt über 300 KI-Modelle im Browser. Dabei kann die Nutzung anonymisiert protokolliert werden. Ein KI-Inventar kann so im laufenden Betrieb entstehen, ohne mühsame manuelle Pflege. Dies unterstützt die Erfüllung der Dokumentationspflicht nach Art. 50 EU AI Act, ohne dass eine separate Verwaltungsinfrastruktur aufgebaut werden muss. Ein klarer Compliance-Vorteil gegenüber fragmentierten Tool-Landschaften.

Transparenz-Logging als Grundlage für Nachverfolgbarkeit: Interaktionen mit KI-Modellen können in NENNA.AI protokolliert werden. Das schafft eine wichtige Grundlage für Prüfungen durch Behörden und unterstützt Sie bei der Auditierbarkeit. Dies ist nicht nur eine Compliance-Anforderung, sondern auch ein Vertrauenssignal gegenüber Kund:innen und Partner:innen.

Kontrolle statt Schatten-KI: Über eine einzige, zentrale Plattform, NENNA Chat, erhalten Mitarbeitende einen einfachen, datensicheren Zugang zu allen führenden KI-Modellen. Das reduziert den Anreiz, auf unkontrollierte externe Tools auszuweichen. Sensible Daten werden maskiert und gelangen so gar nicht erst an die KI-Modelle. Sie bleiben verschlüsselt in der deutschen Infrastruktur und unterliegen nicht dem Risiko der unkontrollierten Weitergabe. Wenn dennoch externe KI-Tools von Mitarbeiter:innen im Browser genutzt werden, kann NENNA Watch helfen über 300 KI-Modelle im Browser zu schützen. Je nach Unternehmenswunsch können Modelle unternehmensweit gesperrt werden oder einfach geschützt, so dass Prompts und Dokumente anonymisiert werden, bevor sie an diese Tools gesendet werden.

Konfigurierbarer Output und Kennzeichnung: NENNA.AI kann Unternehmen dabei unterstützen, ihre Outputs mit Blick auf Transparenzanforderungen zu gestalten und den manuellen Aufwand für die Kennzeichnung zu reduzieren. Eine solche Implementierung erfordert jedoch spezifische Konfigurationen.

Made-in-Germany-Infrastruktur: Rechtskonformität als Grundvoraussetzung: Die Datenverarbeitung erfolgt verschlüsselt ausschließlich BSI C5-gehostet auf europäischen Servern von Exoscale in Frankfurt am Main. Das ist nicht nur ein Compliance-Feature, sondern ein fundamentaler Unterschied zu US-basierten KI-Diensten. Die DSGVO- und EU AI Act-Konformität ist bei NENNA.AI von Anfang an mitgedacht, nicht nachträglich hinzugefügt. Es findet damit keine Datenübermittlungen an US-Server oder Drittstaaten ohne angemessenes Schutzniveau statt.

Multi-Modell-Ansatz mit einheitlicher Governance-Basis: Ob OpenAI, Claude, Llama, Deep Seek, Mistral oder spezialisierte Domain-Modelle, alle können bei NENNA.AI unter einem einheitlichen Rahmen genutzt werden. Das ermöglicht Unternehmen eine zentrale Governance für den Einsatz verschiedener Modelle und schafft eine Basis für Audit-Trails.

Transparenz als strategischer Vertrauens- & Wettbewerbsvorteil

Transparenz nach Art. 50 EU AI Act ist kein bürokratisches Anhängsel, sondern ein zentraler Vertrauensanker im Umgang mit KI. Wer die Pflichten jetzt strukturiert umsetzt, gewinnt an Rechtssicherheit, stärkt Kunden- und Partnervertrauen und schafft die Basis, KI skalierbar und ohne Reputationsrisiko einzusetzen. Entscheidend ist, ob einer der gesetzlich genannten Fälle vorliegt.

Genau deshalb braucht es einen systematischen Ansatz für den KI-Einsatz, der in die alltäglichen Arbeitsabläufe integriert ist. Ein zentraler Schutzmechanismus ist der Einsatz einer kontrollierten, europäischen KI‑Plattform, die Logging und die Basis für Governance „by design“ mitbringt. NENNA.AI wurde für diesen Anspruch entwickelt: Made‑in‑Germany‑Infrastruktur, DSGVO- und EU‑AI‑Act‑Konformität und 300+ Modelle unter einem vereinheitlichten Rahmen.

Die Lösung liegt in der Zentralisierung und Professionalisierung des KI-Einsatzes. Eine Plattform wie NENNA Chat und unsere Browser Extension NENNA Watch ermöglichen die Prävention von Schatten-KI und eine zentrale Steuerung, mit einer infrastrukturellen Basis, die Compliance nicht als Einschränkung, sondern als native Eigenschaft europäischer KI-Nutzung versteht.

Möchten Sie die KI-Nutzung in ihrem Unternehmen zügig, auditierbar und ohne Risiko von Schatten‑KI umsetzen?

Kontaktieren Sie unser Team für eine unverbindliche Beratung und eine Demo unserer Plattform. Sie unser Team für eine unverbindliche Beratung und eine Demo der Plattform.