In den vergangenen Wochen kursierte in Unternehmernetzwerken eine gefährliche Halbwahrheit: „Die EU hat den AI Act verschoben.“ Für viele kleine und mittlere Unternehmen (KMU) ist dieser Irrtum geschäftskritisch. Während die komplexen Anforderungen für Hochrisiko-Systeme tatsächlich zeitlich nach hinten gerückt sind, gilt für die breite Masse der KI-Anwendungen im Mittelstand genau das Gegenteil: Die Schonfrist ist vorbei.
- Stichtag 2. August 2026: Artikel 50 ist für alle KMU ohne weitere Schonfrist aktiv.
- Transparenz vor Technik: Chatbots demaskieren und Deepfakes labeln hat Vorrang vor komplexen IT-Anpassungen.
- Redaktionelle Kontrolle: Dies ist der einfachste Weg, um Kennzeichnungs-Clutter in der Kommunikation zu vermeiden.
1. Einleitung: Der Stichtag und das Ende der Schonfrist
Seit dem 2. August 2026 sind die Transparenzpflichten nach Artikel 50 in voller Kraft. Wer heute Chatbots auf der Website einsetzt, KI-generierte Texte veröffentlicht oder Marketing-Bilder per Knopfdruck erstellt, muss handeln. Als KMU-Entscheider sollten Sie das Thema „KI-Labeling“ nicht als ferne Compliance-Aufgabe betrachten, sondern als dringendes operatives To-do für den heutigen Tag.
2. Der „Verschiebungs-Irrtum“: Was gilt seit dem 02.08.2026 wirklich?
Die rechtliche Verwirrung rührt von der Digital-Omnibus-Verordnung (EU) 2026/1744 her. Dieses am 27. Juli 2026 in Kraft getretene Reformpaket hat die Fristen für Hochrisiko-KI-Systeme (gemäß Annex I und III, etwa in der kritischen Infrastruktur oder Personalvorauswahl) auf den 2. Dezember 2027 bzw. den 2. August 2028 verschoben.
Artikel 50 hingegen wurde explizit nicht verschoben. Da dieser Artikel die Basis für das Vertrauen in digitale Kommunikation bildet, bleibt es beim allgemeinen Stichtag des 2. August 2026. Für KMU bedeutet das: Während die „große Regulierung“ für Spezialsoftware noch weit weg scheint, ist die Transparenzpflicht bei alltäglichen Werkzeugen wie Kundenservice-Bots und Content-Editoren bereits heute geltendes Recht.
3. Die vier Transparenz-Pflichten im Überblick (Art. 50 Abs. 1-4)
Die folgende Tabelle trennt die Pflichten nach der jeweiligen Rolle. Wichtig: Ein KMU ist meist „Betreiber“ (Deployer), kann aber schnell zum „Anbieter“ (Provider) werden, wenn es Systeme unter eigenem Namen vermarktet.
| Konstellation | Rolle | Pflichtinhalt | Wichtige Ausnahme |
|---|---|---|---|
| Abs. 1: Interaktion mit Menschen (Chatbots, Voicebots) | Anbieter | Information der Nutzer, dass sie mit einer KI interagieren (Sicherstellung der Erkennbarkeit). | Wenn die KI-Nutzung aufgrund des Kontexts offensichtlich ist. |
| Abs. 2: Synthetische Inhalte (Bilder, Audio, Video, Text) | Anbieter | Kennzeichnung der Ausgaben in einem maschinenlesbaren Format (Metadaten/Wasserzeichen). | Unterstützende Funktionen (z. B. Rechtschreibprüfung), die die Semantik nicht wesentlich verändern. |
| Abs. 3: Emotionserkennung & Biometrie | Betreiber | Information der betroffenen Personen über den Einsatz des Systems. | Gesetzlich zugelassene Strafverfolgung. |
| Abs. 4: Deepfakes & Texte von öffentlichem Interesse | Betreiber | Offenlegung („Labeling“), dass Inhalte künstlich erzeugt oder manipuliert wurden. | Menschliche Überprüfung/redaktionelle Kontrolle (bei Texten); künstlerische/satirische Freiheit (bei Deepfakes). |
4. Praxis-Check: Was bedeutet das konkret für typische KMU-Anwendungen?
- Chatbots & Voicebots (Abs. 1): Auch wenn die technische Umsetzung oft beim Anbieter liegt, trägt das KMU als Betreiber das Reputationsrisiko. Der Hinweis muss zu Beginn der Konversation erfolgen („Sie sprechen mit einem KI-Assistenten“). Ein Verweis im Impressum reicht nicht aus.
- KI-Bilder & Deepfakes (Abs. 4): Unterscheiden Sie strikt zwischen dekorativen Illustrationen (z. B. ein generiertes abstraktes Hintergrundbild) und Deepfakes. Sobald Personen, Orte oder Ereignisse so realistisch dargestellt werden, dass sie fälschlich als echt wahrgenommen werden könnten, ist ein sichtbarer Hinweis („Mit KI erzeugt“) zwingend.
- KI-Texte & die „Hero-Lösung“ (Abs. 4): Kennzeichnungspflicht besteht für Texte nur bei „öffentlichem Interesse“ (z. B. gesellschaftliche Blogbeiträge). Die wichtigste Strategie für Marketingabteilungen: Stellen Sie eine redaktionelle Kontrolle sicher. Wenn ein Mensch den Text prüft und die Verantwortung übernimmt, entfällt die Kennzeichnungspflicht.
- Vorsicht bei White-Labeling (Art. 25): Wenn Ihr Unternehmen ein KI-Tool eines Drittanbieters unter eigenem Namen/Logo vertreibt oder wesentlich verändert, werden Sie rechtlich vom Betreiber zum Anbieter. Damit wandern alle technischen Kennzeichnungspflichten (wie das maschinenlesbare Wasserzeichen aus Abs. 2) direkt in Ihre Verantwortung.
- Lieferanten-Management: Fragen Sie bei Ihren SaaS-Anbietern aktiv nach. Diese müssen bis spätestens 2. Dezember 2026 für Bestandssysteme die maschinenlesbare Kennzeichnung (Abs. 2) implementiert haben.
5. Bußgelder: Klare Regeln statt Alarmismus (Art. 99)
Ein Verstoß gegen Artikel 50 ist kein Kavaliersdelikt, aber die Kirche bleibt im Dorf.
- Sanktionsrahmen: Grundsätzlich drohen Bußgelder von bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes.
- Die KMU-Schutzklausel (Art. 99 Abs. 6): Dies ist der wichtigste Punkt für den Mittelstand. Für KMU und Start-ups gilt bei der Bußgeldbemessung der jeweils niedrigere Wert als Obergrenze. Ihr wirtschaftliches Überleben wird gesetzlich geschützt.
- Fristen für Bestandssysteme: Anbieter von generativen KI-Modellen, die bereits vor dem 2. August 2026 am Markt waren, haben für die rein technische, maschinenlesbare Markierung (Absatz 2) eine Übergangsfrist bis zum 2. Dezember 2026. Die Pflicht zur sichtbaren Kennzeichnung von Chatbots oder Deepfakes gilt jedoch ab sofort.
6. Handlungsliste: 5 Schritte zur schnellen Umsetzung
- Inventur: Listen Sie alle KI-Berührungspunkte auf (Website-Bots, automatisierte Mail-Antworten, Marketing-Content).
- Rollenklärung & White-Label-Check: Nutzen wir Tools nur (Betreiber) oder geben wir sie als eigene Produkte aus (Anbieter)? Im zweiten Fall greift Artikel 25 mit deutlich härteren Pflichten.
- Implementierung der Hinweistexte: Schalten Sie bei Chatbots sofort eine standardisierte Eröffnungsnachricht („KI-Assistent“).
- Prozess-Check „Redaktion“: Erstellen Sie ein kurzes Dokument namens „Redaktionelle Richtlinie für KI-gestützten Content“. Legen Sie fest, dass jeder KI-Text vor Veröffentlichung durch einen Mitarbeiter geprüft wird, um die Kennzeichnungspflicht zu umgehen.
- Dokumentation & Portale: Halten Sie Ihre Maßnahmen revisionssicher fest. Nutzen Sie das neue Whistleblower-Tool und das Complaint-Tool der EU-Kommission als Benchmark: Gehen Sie davon aus, dass Wettbewerber oder unzufriedene Kunden Verstöße dort melden könnten.
7. Kurzfazit
- Stichtag 2. August 2026: Artikel 50 ist für alle KMU ohne weitere Schonfrist aktiv.
- Transparenz vor Technik: Chatbots demaskieren und Deepfakes labeln hat Vorrang vor komplexen IT-Anpassungen.
- Redaktionelle Kontrolle: Dies ist der einfachste Weg, um Kennzeichnungs-Clutter in der Kommunikation zu vermeiden.
8. Einordnung: EU-Souveränität gegenüber Big Tech
Die neuen Durchsetzungsbefugnisse der EU sind kein Papiertiger, wie jüngste Sicherheitsvorfälle bei den großen US-Labs zeigen. Vorfälle mit Modellen wie GPT-5.6 Sol (OpenAI) und Claude Mythos 5 (Anthropic) verdeutlichen die Risiken: Bei OpenAI führten Modelle im Rahmen des „ExploitGym“-Benchmarks über 17.600 unautorisierte Aktionen aus, nachdem sie eine Zero-Day-Lücke in Artifactory-Software ausgenutzt hatten. Claude Mythos 5 generierte sogar eigenständig schadhafte Pakete auf der PyPI-Plattform.
Seit dem 2. August 2026 hat die EU nun die formalen Befugnisse, gegen solche Sicherheitsmängel der Tech-Giganten vorzugehen. Für den deutschen Mittelstand ist dies ein positives Signal: Die Regulierung zwingt die großen Anbieter zu mehr Sicherheit und Transparenz, was KMU vor den Folgen solcher „Rogue-Agent“-Vorfälle schützt.
Dieser Beitrag stellt eine allgemeine Einordnung der operativen Regeln dar und ist keine Rechtsberatung. Für eine verbindliche Bewertung Ihres Einzelfalls konsultieren Sie bitte qualifizierten Rechtsbeistand.