Pflicht zu KI-Kennzeichnung: Das müssen Sie tun

Laut der Bitkom-Studie „Künstliche Intelligenz 2025“ setzen 36 Prozent der deutschen Unternehmen bereits KI ein. Seit dem 2. August 2026 müssen sie das in bestimmten Fällen auch sichtbar machen. An diesem Tag sind die Transparenzpflichten des EU AI Act wirksam geworden: konkret Artikel 50 der KI-Verordnung (EU) 2024/1689. Wer einen Chatbot auf seiner Website betreibt, Deepfakes veröffentlicht oder KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung publiziert, muss seitdem offenlegen, dass KI im Spiel ist. Die Pflicht gilt für alle Unternehmen, unabhängig von ihrer Größe. Hier erfahren Sie, ob Ihr Betrieb betroffen ist, welche Ihrer Anwendungen eine Kennzeichnung brauchen und mit welchen vier Schritten Sie Bußgelder vermeiden.

Das klingt zunächst nach einem Thema für Juristen und Konzerne. Tatsächlich trifft die neue KI-Kennzeichnungspflicht aber vor allem den Mittelstand. Denn gerade dort wird KI pragmatisch eingesetzt: ein Übersetzungstool hier, ein Textgenerator dort, vielleicht ein Chatbot im Kundenservice. Oft ohne zentrale Steuerung, ohne Dokumentation und ohne die Frage, ob das regulatorische Konsequenzen hat.

KI-Kennzeichnung seit August 2026

Die Verordnung unterscheidet mehrere Szenarien, in denen Transparenz gegenüber den Nutzern Pflicht ist. Drei davon betreffen den typischen KMU-Alltag unmittelbar.

1. Chatbots und KI-gestützte Interaktion. Wenn ein Mensch mit einem KI-System interagiert (etwa über einen Chatbot auf Ihrer Website oder ein automatisiertes Antwortsystem), muss erkennbar sein, dass keine echte Person antwortet. Das gilt unabhängig davon, ob das System selbst entwickelt oder eingekauft wurde.
2. KI-Texte zu Themen von öffentlichem Interesse. Wer KI-generierte Texte veröffentlicht, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, etwa Nachrichten, politische Berichterstattung, Gesundheits- oder Finanzinformationen, muss das offenlegen. Produktbeschreibungen oder ein Firmenblog über die eigenen Produkte fallen in der Regel nicht darunter. Die maschinenlesbare Markierung in den erzeugten Dateien ist Sache der Anbieter der KI-Werkzeuge, nicht der Unternehmen, die sie nutzen.
3. Deepfakes. Wer künstlich erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte veröffentlicht, die realen Personen, Orten oder Ereignissen ähneln und echt wirken, muss diese eindeutig als künstlich kennzeichnen. Bei künstlerischen, satirischen oder fiktionalen Werken genügt ein dezenter Hinweis.

Für KI-Texte gibt es eine wichtige Ausnahme: Prüft ein Mensch den Text vor der Veröffentlichung und übernimmt er die redaktionelle Verantwortung, entfällt die Kennzeichnungspflicht. Das Sprachmodell als Entwurfshelfer zu nutzen und den Text anschließend selbst zu überarbeiten, zu prüfen und freizugeben, ist also weiterhin ohne Kennzeichnung möglich, vorausgesetzt, die menschliche Kontrolle ist tatsächlich gegeben. Für Deepfakes gilt diese Ausnahme nicht.

Hochrisiko-KI

Neben den Transparenzpflichten benennt der EU AI Act eine zweite, deutlich strengere Kategorie: die sogenannte Hochrisiko-KI. Darunter fallen KI-Systeme, die in sensiblen Bereichen eingesetzt werden und erhebliche Auswirkungen auf Menschen haben können.

Für den Mittelstand ist vor allem ein Bereich relevant: automatisierte Personalentscheidungen. Wer KI-gestützte Tools einsetzt, um Bewerbungen vorzusortieren, Kandidaten zu bewerten oder Mitarbeiterleistungen zu analysieren, arbeitet möglicherweise mit einem Hochrisiko-KI-System im Sinne des Anhangs III der KI-Verordnung. Für solche Systeme gelten deutlich schärfere Pflichten: ein dokumentiertes Risikomanagement, technische Dokumentation, menschliche Aufsicht und eine Konformitätsbewertung. Anders als die Transparenzpflichten greifen sie erst ab dem 2. Dezember 2027.

Entscheidend ist: Ein Übersetzungstool hat andere Pflichten als ein Bewerbungsfilter. Wer seine KI-Anwendungen nicht sauber klassifiziert, riskiert entweder unnötigen Aufwand oder empfindliche Bußgelder.

Der EU AI Act staffelt die Bußgelder in drei Stufen. Am härtesten werden verbotene KI-Praktiken geahndet (etwa manipulatives Social Scoring): bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In die mittlere Stufe fallen alle übrigen Pflichtverstöße, und zwar sowohl gegen die Transparenzpflichten als auch gegen die Anforderungen an Hochrisiko-Systeme: bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Wer Behörden falsche oder irreführende Angaben macht, zahlt bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt dabei jeweils der niedrigere der beiden Werte. Seit dem 27. Juli 2026 gilt das in den beiden unteren Stufen auch für kleine Midcap-Unternehmen, also für viele Mittelständler oberhalb der KMU-Grenze.

Was Sie im Unternehmen tun sollten

Die Klassifizierung klingt zunächst komplex, lässt sich jedoch in vier einfache Schritte herunterbrechen.

1. Eine KI-Inventur. Listen Sie alle Anwendungen auf, in denen KI zum Einsatz kommt, nicht nur die offensichtlichen wie ChatGPT oder ein Chatbot, sondern auch KI-Funktionen, die in Ihrer bestehenden Software eingebettet sind. Das Textvorschlags-Feature in Ihrem E-Mail-Programm, die automatische Kategorisierung in Ihrem CRM, der Bildgenerator, mit dem Ihre Marketingabteilung Social-Media-Grafiken erstellt. Gehen Sie abteilungsweise vor: Vertrieb, Marketing, Personal, IT, Kundenservice, Werkstatt und Produktion.
2. Ordnen Sie jede Anwendung einer Risikoklasse zu. Die entscheidende Frage lautet: Hat das KI-System erhebliche Auswirkungen auf die Rechte oder die Sicherheit von Menschen? Ein Chatbot, der Produktfragen beantwortet, fällt unter die Transparenzpflichten: er braucht eine Kennzeichnung, aber kein Risikomanagement-System. Ein Tool, das Bewerbungen vorsortiert, kann dagegen als Hochrisiko-KI gelten. Die Bundesnetzagentur ist seit dem 29. Juli 2026 die zuständige nationale Aufsichtsbehörde und bietet dazu Orientierungshilfen.
3. Dann definieren Sie Kennzeichnungsstandards. Für die betroffenen Anwendungen legen Sie fest, wie die Kennzeichnung konkret aussieht: ein sichtbarer Hinweis für den Nutzer („Dieser Text wurde mit KI-Unterstützung erstellt“). Die maschinenlesbare Markierung in den Dateien liefern die Anbieter der KI-Werkzeuge. Orientierung geben die Leitlinien der EU-Kommission zu Artikel 50 vom Juli 2026.
4. Der vierte Schritt betrifft die Verantwortlichkeiten. Jemand im Unternehmen muss für die KI-Compliance zuständig sein. Das muss keine eigene Stelle sein, aber eine klare Zuordnung: Wer prüft neue KI-Tools vor der Einführung? Wer stellt sicher, dass Kennzeichnungen eingehalten werden? Wer beobachtet die regulatorische Entwicklung?

Warum jetzt reagieren?

Seit dem 27. Juli 2026 ist die Digital-Omnibus-Verordnung zur KI in Kraft. Sie verschiebt vor allem die Pflichten für Hochrisiko-KI: Systeme nach Anhang III, etwa im Personalbereich, müssen die Anforderungen erst ab dem 2. Dezember 2027 erfüllen. Bei der Transparenz gibt es nur eine kurze Übergangsfrist: Anbieter generativer KI-Werkzeuge, die schon vor dem 2. August 2026 auf dem Markt waren, müssen die maschinenlesbare Markierung bis zum 2. Dezember 2026 nachrüsten. Der Hinweis bei Chatbots und die Kennzeichnung von Deepfakes gelten ohne Aufschub.

Die grundsätzlichen Anforderungen (Transparenz, Kennzeichnung, Dokumentation) sind damit nicht verschwunden, nur zum Teil später fällig. Und die KI-Inventur, die jedes Unternehmen ohnehin braucht, ist unabhängig von regulatorischen Zeitplänen sinnvoll.

Wer nicht weiß, wo in seinem Unternehmen KI zum Einsatz kommt, hat ein Steuerungsproblem, mit oder ohne EU AI Act.

In unserer eigenen Beratungspraxis sehen wir das regelmäßig: Unternehmen, die zum ersten Mal systematisch erfassen, welche KI-Tools in welchen Abteilungen laufen, sind überrascht, wie viel bereits im Einsatz ist. Die Inventur ist deshalb nicht nur Compliance-Pflicht, sondern auch eine strategische Aufgabe.

Was das konkret im Alltag bedeutet

Wenn Sie eine Website mit Chatbot betreiben, brauchen Sie seit dem 2. August 2026 eine Kennzeichnung, die den Nutzer darauf hinweist, dass er mit einer KI spricht. Wenn Ihre Marketingabteilung Produkttexte oder Bilder mit KI-Tools erzeugt, brauchen diese nach der KI-Verordnung in der Regel keine Kennzeichnung. Anders ist es bei Bildern, die reale Personen, Orte oder Ereignisse täuschend echt darstellen, und bei ungeprüften KI-Texten zu Themen von öffentlichem Interesse.

Wenn Sie KI im Bewerbungsprozess einsetzen, sollten Sie jetzt prüfen, ob Ihr Tool unter die Hochrisiko-Kategorie fällt. Falls ja, ist der Aufwand deutlich größer, wenn auch mit mehr Vorlauf: Ab dem 2. Dezember 2027 brauchen Sie eine technische Dokumentation, ein Risikomanagementsystem und nachweisbare menschliche Aufsicht.

Wir setzen in der Ideenfabrik selbst KI in zahlreichen Arbeitsbereichen ein: ob in Paul Pipeline, Toni Tool und andere oder in Softwareprodukten, bis zur internen Wissensorganisation und Datenrestrukturierung. Die Auseinandersetzung mit den Anforderungen des EU AI Act ist für uns deshalb keine theoretische Übung, sondern Tagesgeschäft. Was wir dabei gelernt haben: Die größte Hürde ist nicht die Umsetzung der Kennzeichnung selbst, sondern die Bestandsaufnahme davor. Zu wissen, welche KI-Systeme im Unternehmen laufen, wer sie verantwortet und welche Risikoklasse sie haben, ist die eigentliche Arbeit. Diese Arbeit fällt auch nicht nur einmal an: Jedes neue Tool und jedes Software-Update kann eine neue KI-Funktion mitbringen, deshalb lohnt es sich, Inventur, Einordnung und Zuständigkeiten so aufzusetzen, dass sie laufend gepflegt werden.

Die Pflicht gilt für alle

Seit dem 2. August 2026 gelten die Transparenzpflichten, und die Bundesnetzagentur überwacht ihre Einhaltung. Für die meisten Mittelständler sind sie mit überschaubarem Aufwand umsetzbar. Die Kennzeichnung eines Chatbots ist kein Großprojekt. Die systematische Erfassung aller KI-Anwendungen im Unternehmen dagegen schon, und wer sie noch nicht gemacht hat, sollte jetzt damit beginnen: Ab dem 2. Dezember 2027 kommen für Bewerbungs- und Personal-Tools die Hochrisiko-Pflichten hinzu. Wenn Ihre Inventur, die Risikoklassen und die Zuständigkeiten dann schon dokumentiert sind, ordnen Sie jedes neue Tool an derselben Stelle ein und haben den Nachweis bereit, wenn die Bundesnetzagentur fragt.