Seit dem 2. August 2026 ist die KI-Verordnung mit wichtigen Ausnahmen weitgehend anwendbar — einzelne Regelungsbereiche galten bereits seit 2025, die zentralen materiellen Anforderungen der Abschnitte 1 bis 3 des Kapitels III für Hochrisiko-Systeme greifen nach der Omnibus-Verschiebung erst 2027 beziehungsweise 2028. In den Wochen vor dem Stichtag hat sich in der deutschsprachigen Beratungslandschaft ein Bild ergeben, das in der Qualität weit auseinandergeht — und die Trennlinie verläuft an einer einzigen Frage: Wer schuldet was?
Die belastbaren Mandantenhinweise, Verbandsinformationen und Fortbildungsangebote trennen Anbieter und Betreiber, unterscheiden zwischen maschinenlesbarer Markierung und für Menschen wahrnehmbarer Offenlegung und benennen die Ausnahmen. Die schwachen reduzieren den Stichtag auf eine Kennzeichnungspflicht für das eigene Büro: ein Hinweis am Chatbot, ein Zusatz unter dem KI-Bild, ein dokumentierter Schulungsnachweis — und die Sache sei erledigt. Beide Lesarten werden derzeit nebeneinander vertrieben und erreichen teils dieselben Adressaten.
Der Unterschied ist keine Geschmacksfrage. Die zweite Lesart ist in Teilen falsch, in Teilen an den falschen Adressaten gerichtet, und sie verfehlt genau den Punkt, an dem Artikel 50 für Betreiber kritischer Infrastruktur tatsächlich relevant wird. Denn die Norm verlangt an ihrer technisch anspruchsvollsten Stelle nicht nur eine sichtbare Beschriftung. Sie verlangt ein maschinenlesbares Herkunftssignal, das künstlich erzeugte oder manipulierte Inhalte detektierbar machen soll.
Der 2. August hat Artikel 50 nicht geschaffen. Er hat ihn anwendbar gemacht.
Zur Einordnung gehört zunächst, was fünf Tage vorher geschah. Am 24. Juli 2026 wurde die Digital-Omnibus-Verordnung zur KI im Amtsblatt veröffentlicht 📎, am 27. Juli trat sie in Kraft — nach ihrem Erwägungsgrund 46 ausdrücklich am dritten statt am zwanzigsten Tag, „aus Gründen der Dringlichkeit“, weil der 2. August zu nahe war. Sie verschiebt den Geltungsbeginn der Abschnitte 1 bis 3 des Kapitels III auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und auf den 2. August 2028 für in regulierte Produkte eingebettete Systeme nach Anhang I.
Zwei Dinge daran werden in der öffentlichen Rezeption übersehen. Erstens: Der von der Kommission im November 2025 vorgeschlagene Bereitschafts-Trigger, der diese Daten an die Verfügbarkeit harmonisierter Normen gekoppelt hätte, ist im Endtext gestrichen. Es sind unbedingte Kalenderdaten. Wer seine Planung auf eine weitere Verschiebung stützt, stützt sie auf ein neues Gesetzgebungsverfahren. Zweitens: Am 27. Juli ändert sich der Text der KI-Verordnung, aber nicht alles Geänderte wird gleichzeitig durchsetzbar. Ausdrücklich ab diesem Datum anwendbar sind allein die Artikel 102 bis 110. Für alles andere gilt weiterhin der Fahrplan des Artikels 113, kapitelweise. Diese Unterscheidung arbeitet Nicola Fabiano in seiner Analyse des Amtsblatttexts sauber heraus 📎, und sie ist der Grund, warum die meisten Zusammenfassungen dieser Wochen auseinanderlaufen.
Artikel 50 sitzt in Kapitel IV und ist seit dem 2. August 2026 anwendbar. Er wurde durch den Omnibus nicht verschoben. Hier lohnt eine Unterscheidung, die in der Berichterstattung durchgehend verwischt wird: Das Sanktionskapitel der Verordnung ist bereits seit dem 2. August 2025 anwendbar — mit Ausnahme des Artikels 101, der die unmittelbaren Geldbußen der Kommission gegen Anbieter von GPAI-Modellen regelt und erst seit dem 2. August 2026 gilt. Am Stichtag wurde also nicht das Sanktionsregime eingeschaltet. Was sich geändert hat, ist, dass die Transparenzpflichten des Artikels 50 seit diesem Tag überhaupt erst als Verhaltenspflichten gelten und ein Verstoß gegen sie folglich erstmals begangen und verfolgt werden kann. Die Veränderung liegt damit nicht in einer kurzfristig neu geschaffenen Kennzeichnungspflicht, sondern im Beginn der Anwendbarkeit einer bereits 2024 beschlossenen Norm.
Artikel 50 bündelt fünf Transparenzregelungen für zwei Adressatengruppen.
Artikel 50 ist keine einheitliche Norm, sondern bündelt fünf unterschiedliche Pflichtenkomplexe. Sie verteilen sich auf zwei Adressatengruppen, und diese Verteilung entscheidet darüber, wer überhaupt etwas tun muss.
Absatz 1 verpflichtet den Anbieter: KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen so gestaltet sein, dass die betroffene Person erkennt, dass sie mit einer Maschine spricht — es sei denn, das ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person unter Berücksichtigung der Umstände offensichtlich. Absatz 2 verpflichtet ebenfalls den Anbieter: Wer synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, muss die Ausgaben in einem maschinenlesbaren Format kennzeichnen. Absatz 3 verpflichtet den Betreiber, Personen zu informieren, die einem System zur Emotionserkennung oder zur biometrischen Kategorisierung ausgesetzt sind. Absatz 4 verpflichtet den Betreiber in zwei getrennten Varianten: Deepfakes sind offenzulegen, und KI-generierte oder -veränderte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sind kenntlich zu machen. Nur für die zweite Variante gibt es eine Entlastung, und sie verlangt zwei Dinge kumulativ: eine inhaltliche menschliche Prüfung oder redaktionelle Kontrolle und eine natürliche oder juristische Person, die die redaktionelle Verantwortung trägt. Absatz 5 ergänzt die Form: Die Information muss spätestens bei der ersten Interaktion oder Konfrontation erfolgen, klar und unterscheidbar sein und den Barrierefreiheitsanforderungen genügen. Die Kommission führt die Auslegung dieser Pflichten in einer eigenen FAQ 📎.
Ein Unternehmen, das ChatGPT, Claude, Gemini oder Copilot in eigener Verantwortung beruflich einsetzt, ist in dieser Nutzungskonstellation regelmäßig Betreiber. Für die Gestaltung der Interaktion nach Absatz 1 und die maschinenlesbare Markierung nach Absatz 2 ist bei unveränderter Nutzung grundsätzlich der Anbieter des jeweiligen Dienstes verantwortlich. Wer allerdings einen eigenen Chatbot unter eigenem Namen auf die eigene Website stellt, verlässt diese Konstellation — dazu weiter unten.
Bei der Deepfake-Variante des Absatzes 4 legt die Kommission den Anwendungsbereich in ihren finalen Leitlinien vom 20. Juli 2026 deutlich weiter aus, als viele Betreiber bislang angenommen haben. Der Normtext wurde nicht verschärft; veröffentlicht wurde eine weite Auslegung. Auf eine Täuschungsabsicht kommt es danach nicht an, und das Merkmal des Existierenden wird nicht auf tatsächlich vorhandene Personen oder Gegenstände beschränkt, sondern erfasst auch solche, die plausibel existieren oder hätten existieren können.
Für die Marketing- und Kommunikationspraxis heißt das: Fotorealistische synthetische Models sowie erfundene, aber plausibel real erscheinende Personen, Objekte oder Szenen können nach der Kommissionsauslegung kennzeichnungspflichtige Deepfakes sein, auch wenn kein konkretes reales Vorbild nachgebildet wurde. Maßgeblich bleiben die drei kumulativen Kriterien: hinreichende Ähnlichkeit, tatsächliche oder plausible Existenz des Dargestellten und ein fälschlich authentischer Eindruck. Ausgenommen bleiben offensichtlich unrealistische Darstellungen sowie technische Routineoperationen wie Farbkorrektur, Rauschunterdrückung oder Skalierung, die weder Bedeutung noch Substanz verändern. Die Leitlinien sind nicht bindend, dürften aber der Maßstab sein, an dem sich Marktüberwachung und Gerichte orientieren.
Absatz 3 hat im Büroalltag einen schmalen Anwendungsbereich, und zwar aus einem Grund, der selten mitgenannt wird: Emotionserkennung am Arbeitsplatz ist nach Artikel 5 Absatz 1 Buchstabe f seit dem 2. Februar 2025 verboten, außerhalb der eng gefassten medizinischen und sicherheitsbezogenen Ausnahmen. Was verboten ist, erreicht die Transparenzstufe gar nicht; für die erlaubten Ausnahmefälle bleibt die Informationspflicht dagegen relevant. Wer am Arbeitsplatz Emotionen oder Absichten anhand biometrischer Merkmale wie Stimme, Mimik oder physiologischer Signale ableiten will, hat deshalb kein Kennzeichnungsproblem, sondern ein Verbotsproblem in der obersten Bußgeldstufe. Davon zu unterscheiden ist eine rein textsemantische Sentimentanalyse: Sie fällt nicht allein wegen der Bewertung sprachlicher Inhalte unter die Definition eines Emotionserkennungssystems, weil diese an die Ableitung aus biometrischen Daten anknüpft.
Bleibt die Textvariante des Absatzes 4. Wer Fachbeiträge, Sicherheitshinweise oder Stellungnahmen zu öffentlich relevanten Themen KI-gestützt erzeugt und ohne redaktionelle Kontrolle veröffentlicht, fällt darunter; Werbung, Produktbeschreibungen und interne Kommunikation dagegen nicht. Die Deepfake-Variante kennt ihrerseits eine Ausnahme für erkennbar künstlerische, kreative, satirische oder fiktionale Werke, bei denen die Offenlegung in angemessener Weise erfolgt, ohne die Darbietung zu beeinträchtigen — nach den Leitlinien gilt sie ausdrücklich nicht für Werbeinhalte. Der Anwendungsbereich erfasst Kanzleien, Beratungen und Fachpublikationen unmittelbar. Er erfasst auch diese Publikation: Der Text wird vor Veröffentlichung inhaltlich geprüft, und die redaktionelle Verantwortung ist organisatorisch zugewiesen und über das Impressum nachvollziehbar.
Bemerkenswert ist, dass die Beratungsqualität genau an diesem Absatz auseinandergeht. Es gibt Darstellungen, die ihn vollständig und mit beiden kumulativen Ausnahmebedingungen behandeln — einem tatsächlichen Prozess menschlicher Prüfung oder redaktioneller Kontrolle und einer natürlichen oder juristischen Person, die die redaktionelle Verantwortung für die Veröffentlichung trägt —, wobei eine bloße Rechtschreibkorrektur nicht genügt und auch eine zweite KI als Prüfinstanz nicht ausreicht. Und es gibt Darstellungen, die ihn übergehen und stattdessen eine allgemeine Kennzeichnungspflicht für alles postulieren, was nach außen sichtbar wird. Die zweite Gruppe erzeugt Aufwand ohne Rechtsgrund und lässt die Pflicht, die tatsächlich besteht, unbearbeitet. Dass die Entlastung an tatsächlich getragene Verantwortung geknüpft ist und nicht an ein Formular, ist im Übrigen dieselbe Konstruktion, die ich für die Zuständigkeitsgrenze beim KI-Einsatz im SOC beschrieben habe 📎: Der Gesetzgeber akzeptiert den Verzicht auf die Offenlegung nur dort, wo eine verantwortliche Stelle die Veröffentlichung wirklich redaktionell kontrolliert und für sie einsteht.
Es gibt eine Konstellation, in der die Anbieterpflichten doch beim Unternehmen landen, und sie ist die eigentliche Falle. Hier lohnt eine Unterscheidung, die in vielen Darstellungen verschwimmt. Anbieter ist nach der Begriffsbestimmung in Artikel 3 Nummer 3 bereits, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt. Das gilt für jedes System, unabhängig von der Risikoklasse, und kann insbesondere einen eigenen Support-Chatbot auf der Unternehmensseite erfassen. Die bloße Nutzung oder Konfiguration eines unveränderten fremden Dienstes genügt dafür nicht. Artikel 25 regelt daneben den engeren Fall, dass ein Betreiber, Händler oder Einführer durch Namensaufdruck, wesentliche Änderung oder Zweckänderung zum Anbieter eines Hochrisiko-Systems wird. Wer einen internen Assistenten auf einer fremden API aufsetzt und als Unternehmenswerkzeug ausrollt, sollte beide Wege prüfen und nicht nur den zweiten.
Der Omnibus hat an Artikel 25 eine Klausel ergänzt, die bisher wenig diskutiert wurde: Die Kooperationspflicht des Erstanbieters gegenüber dem neuen Anbieter entfällt, wenn der Erstanbieter eindeutig festgelegt hat, dass sein System nicht in ein Hochrisiko-System umgewandelt werden darf. Wer auf eigener Integration aufbaut, sollte die Nutzungsbedingungen des vorgelagerten Anbieters daraufhin lesen. Die Klausel betrifft ausschließlich den Hochrisikokontext.
Ein Herkunftssignal ist noch keine Herkunftskette.
Hier wird die Norm für unsere Leserschaft interessant. Absatz 2 verlangt nicht primär eine für Menschen wahrnehmbare Offenlegung. Er verlangt eine maschinenlesbare Markierung, die die Detektion künstlich erzeugter oder manipulierter Inhalte ermöglicht. Die technische Lösung muss wirksam, interoperabel, robust und zuverlässig sein, soweit dies technisch machbar ist.
Das ist keine bloße Kommunikationsaufgabe. Es ist eine Architekturanforderung aus derselben Problemfamilie wie die Frage, die ich in dieser Reihe unter dem Begriff Execution Provenance Control entwickelt habe 📎: Wie lässt sich technisch feststellen, dass eine Ausgabe künstlich erzeugt oder manipuliert wurde? Artikel 50 Absatz 2 gibt darauf eine begrenzte Antwort und verankert eine solche Teilantwort nun ausdrücklich im europäischen KI-Recht. Er verlangt ein maschinenlesbares und technisch belastbares Herkunftssignal — aber keine Beweiskette über Modell, Identität, Autorität, Eingaben und Verarbeitungsschritte. Wer daraus eine vollständige Provenienzarchitektur ableitet, liest mehr in die Norm hinein, als dort steht.
Diese Pflicht hat eine Grenze, die häufig übersehen wird: Wo die KI lediglich eine unterstützende Funktion für die Standardbearbeitung erfüllt oder die vom Betreiber bereitgestellten Eingabedaten nicht wesentlich verändert, greift Absatz 2 nicht. Eine automatische Belichtungskorrektur ist kein kennzeichnungspflichtiger Eingriff.
Im Transparenzkapitel gewährt der Omnibus genau eine Erleichterung, und sie liegt hier. Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben nach dem neuen Artikel 111 Absatz 4 bis zum 2. Dezember 2026 Zeit, ihre Verfahren anzupassen. Vier Monate für die Implementierung interoperabler Markierung sind knapp. Neue Systeme erhalten keine Übergangsfrist.
Für KRITIS-Betreiber folgt daraus eine Frage, die in den kurzgefassten Umsetzungsempfehlungen dieses Sommers selten auftaucht. Sie lautet nicht: Haben wir einen Hinweis am Chatbot? Sie lautet: Können wir zum Prüfungszeitpunkt feststellen, welche Ausgaben in unseren Systemen maschinell erzeugt wurden — und stützen wir uns dabei auf eine Markierung, die der Anbieter des jeweiligen KI-Systems tatsächlich setzt, oder auf die Annahme, dass er es tut? Wichtig ist die saubere Trennung: Aus Absatz 2 folgt für den Betreiber keine eigene Markierungspflicht; Normadressat ist der Anbieter des erzeugenden Systems. Die Frage ist eine Governance-Ableitung. Ein regulierter Betreiber braucht belastbare Lieferantennachweise dann, wenn die Funktionsfähigkeit der Markierung für seine eigene Risikosteuerung, Publikationspraxis oder Aufsichtskommunikation relevant wird. Das ist dieselbe strukturelle Lücke, die ich für die Sichtbarkeit im SOC beschrieben habe 📎: Was nicht erfasst wird, kann der Prüfer nicht bestätigen — unabhängig davon, wo die Pflicht formal liegt.
Die praktische Konsequenz ist eine Lieferantenfrage, keine Marketingfrage. Sie gehört in denselben Fragenkatalog, den § 30 Absatz 2 Nummer 4 BSIG für Lieferantenpflichten ohnehin nahelegt, und sie schließt an die Prüfkriterien an, die ich für Delegationsketten in agentischen Systemen formuliert habe 📎.
Seit Juni gibt es einen Umsetzungspfad. Wer ihn nicht geht, muss die Angemessenheit selbst belegen.
Diese Lieferantenfrage lässt sich seit wenigen Wochen konkret stellen, und das ist der Teil, der in der Debatte um den Stichtag fast vollständig untergegangen ist. Am 10. Juni 2026 hat die Kommission den Code of Practice zur Transparenz KI-generierter Inhalte veröffentlicht 📎, erarbeitet von unabhängigen Sachverständigen in einem vom AI Office moderierten Multi-Stakeholder-Verfahren. Er deckt die Absätze 2, 4 und 5 des Artikels 50 ab und zerfällt in zwei unabhängig zeichenbare Abschnitte 📎: Abschnitt 1 richtet sich an Anbieter und regelt Markierung und Detektion, Abschnitt 2 an Betreiber und regelt die Kennzeichnung von Deepfakes und öffentlichkeitsbezogenen Texten.
Zwei Eigenschaften machen ihn für die Beschaffung relevant. Erstens ist er freiwillig, aber nicht folgenlos: Wer über andere Mittel erfüllen will, muss deren Angemessenheit darlegen, und das bewerten die Marktüberwachungsbehörden im Einzelfall. Zweitens erfasst er die Signatare namentlich. Für die Aufnahme in die Liste der Erstunterzeichner war der 22. Juli 2026 gesetzt; eine Zeichnung danach bleibt jederzeit möglich. Wie vollständig die Liste zum Stichtag war und welche Anbieter Abschnitt 1 tatsächlich gezeichnet haben, sollte man vor der Verwendung im Lieferantengespräch am aktuellen Stand der Kommission prüfen — der Prozess läuft noch. Wer nicht zeichnet, verstößt damit nicht automatisch gegen die Norm.
Damit verschiebt sich die Frage an den Anbieter des jeweiligen KI-Systems — das kann der Modellanbieter sein, ebenso aber ein Downstream-Anbieter der aufsetzenden Anwendung — von einer technischen Zusicherung zu einer überprüfbaren Tatsache. Sie lautet nicht mehr nur: Setzt ihr maschinenlesbare Markierungen? Sie lautet: Habt ihr Abschnitt 1 gezeichnet, für welches konkrete System gilt die Erklärung, und wenn nicht gezeichnet, welchen alternativen Nachweis stellt ihr für Anfragen der jeweils zuständigen Marktüberwachungsbehörde bereit? Hinzu kommt die Frage, welche Konvertierungs-, Export- oder Verarbeitungsschritte die Markierung beeinträchtigen können. Das lässt sich in ein Lieferantenaudit und in einen Vertrag schreiben.
Für die Betreiberseite hat die Kommission zusätzlich einen Satz frei verfügbarer EU-Icons bereitgestellt 📎, der integraler Bestandteil von Abschnitt 2 ist. Die Verwendung der Icons ist optional, die Kennzeichnungspflicht ist es nicht, und die Icons allein begründen keine Rechtskonformität — die Verantwortung für eine den Anforderungen genügende Offenlegung bleibt beim Betreiber. Ich halte den pragmatischen Wert trotzdem für hoch: Ein standardisiertes Symbol ist im Streitfall leichter zu verteidigen als eine selbst formulierte Fußzeile.
Zu unterscheiden bleibt der Code von den Leitlinien der Kommission zu Artikel 50, die nach einem Entwurf vom 8. Mai 2026 und einer Konsultation bis zum 3. Juni am 20. Juli 2026 final veröffentlicht wurden (C(2026) 5054 final). Die Leitlinien decken die Norm insgesamt ab, der Code beschränkt sich auf die drei genannten Absätze und ersetzt weder die Verordnung noch die Leitlinien. Beide sind rechtlich unverbindlich — dürften aber zu den zentralen Maßstäben gehören, an denen Marktüberwachung und Gerichte die Angemessenheit eigener Lösungen beurteilen.
Artikel 4 ist eine Pflicht. Er schreibt nur kein Zertifikat vor.
Ein zweites Muster verdient Erwähnung, weil es die Anreizstruktur dieses Themas offenlegt. In auffallend vielen Beratungs- und Fortbildungsangeboten wird die KI-Kompetenz nach Artikel 4 nicht nur als Rechtspflicht dargestellt — das ist sie —, sondern mit einem bestimmten Umsetzungsprodukt gleichgesetzt: Pflichtschulung, Zertifikat, Kompetenznachweis, auditfeste Teilnehmerdokumentation. Vereinzelt wird sogar die Teilnahme an einer einzelnen Veranstaltung als Erfüllung der Pflicht für ein ganzes Jahr angeboten.
Der Normtext trägt diese Gleichsetzung nicht. Artikel 4 verpflichtet Anbieter und Betreiber seit der Änderung durch den Omnibus dazu, unter Berücksichtigung der vorhandenen technischen Kenntnisse, der Erfahrung, der Aus- und Fortbildung sowie des jeweiligen Nutzungskontexts Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz ihrer Beschäftigten und der sonstigen für sie tätigen Personen unterstützen. Ausdrücklich nicht verlangt wird, für eine einzelne Person ein bestimmtes Kompetenzniveau zu garantieren. Die Kommission hat zur Auslegung eine eigene FAQ veröffentlicht 📎 und stellt dort klar, dass weder ein bestimmtes Zertifikat noch ein bestimmtes Schulungsformat vorgeschrieben ist — sich allein auf Bedienungsanleitungen zu stützen, genügt allerdings ebenso wenig.
Schulung ist deshalb eine naheliegende und häufig sinnvolle Umsetzungsmaßnahme, aber nicht notwendig die einzig zulässige. Je nach System, Aufgabe und Risiko können auch anwendungsbezogene Leitlinien, Einweisungen, Nutzungsregeln, betreute Erprobung oder rollenspezifische Unterweisungen Teil eines angemessenen Ansatzes sein. Für Hochrisiko-KI-Systeme bleiben daneben die besonderen Anforderungen an die Qualifikation des mit der menschlichen Aufsicht betrauten Personals bestehen.
Was in der Vermarktung regelmäßig unterschlagen wird, ist die Aufsichtsseite — und zwar in beide Richtungen. Artikel 4 ist seit dem 2. Februar 2025 anwendbar, aber er taucht im besonderen Bußgeldkatalog des Artikels 99 Absatz 4 📎 nicht auf. Daraus folgt jedoch nicht, dass die Norm folgenlos wäre: Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten, für Verstöße gegen die Verordnung Sanktionen und andere Durchsetzungsmaßnahmen vorzusehen, ausdrücklich einschließlich Verwarnungen und nicht-monetärer Maßnahmen. Die Kommission weist darauf hin, dass Aufsicht und Durchsetzung des Artikels 4 bei den nationalen Marktüberwachungsbehörden liegen. Eine Behörde kann also sehr wohl prüfen, ob überhaupt angemessene Maßnahmen ergriffen wurden. Offen ist, welche Maßnahmen im Einzelfall genügen und welche Rechtsfolge das deutsche Vollzugsrecht an einen isolierten Verstoß knüpft.
Auch Dokumentation bleibt sinnvoll. Sie macht die Auswahl und Durchführung angemessener Maßnahmen belegbar. Sie ist aber etwas anderes als die Behauptung, Artikel 4 schreibe ein bestimmtes Zertifikat, ein Schulungsregister oder ein standardisiertes Fortbildungsprogramm vor.
Der Marktfehler liegt daher nicht darin, Schulungen anzubieten. Er liegt darin, ein konkretes Beratungsprodukt mit dem vollständigen gesetzlichen Tatbestand gleichzusetzen — dasselbe Muster, das ich an anderer Stelle als Compliance-Theater beschrieben habe 📎: formal erfüllte Anforderungen ohne Bezug zur operativen Realität.
Die Durchsetzung läuft über mehrere Kanäle, nicht über einen.
Die zentrale Anlaufstelle steht seit wenigen Tagen fest, die Zuständigkeit damit aber noch nicht abschließend. Mit dem Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes am 29. Juli 2026 übernimmt die Bundesnetzagentur die Rolle als zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle 📎. Die Aufsicht folgt einem hybriden Modell: In vollharmonisierten Produktbereichen bleiben die etablierten Fachbehörden zuständig, die Bundesnetzagentur koordiniert und ist dort Marktüberwachungsbehörde, wo bisher keine Zuständigkeit bestand. Die Bundesregierung beschreibt das als bewusst schlanke Vollzugsarchitektur 📎; die staatsrechtliche Einordnung, dass Deutschland die Benennungsfrist vom 2. August 2025 deutlich verfehlt hat, ist andernorts dokumentiert 📎.
Für Verstöße gegen Artikel 50 greift die mittlere Sanktionsstufe: bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Der Omnibus hat die Stufen nicht verändert, sondern zwei Dinge ergänzt: eine Deckelung für kleine Midcap-Unternehmen auf den jeweils niedrigeren Wert, beschränkt auf die Bußgeldstufen der Absätze 4 und 5 des Artikels 99, und die ausdrückliche Klarstellung, dass die Mitgliedstaaten neben Geldbußen auch Verwarnungen und nicht-monetäre Maßnahmen vorsehen können. Die verbreitete Aussage, eine Verwarnung sei nicht vorgesehen, ist damit überholt.
Neben der behördlichen Aufsicht steht in Deutschland eine zweite, private Durchsetzungsschiene im Raum, die in der europarechtlichen Betrachtung regelmäßig fehlt: das Wettbewerbsrecht. Sollte Artikel 50 als Marktverhaltensregel im Sinne des § 3a UWG eingeordnet werden, könnten Kennzeichnungsverstöße unter den weiteren Voraussetzungen des UWG — Aktivlegitimation, konkretes Wettbewerbsverhältnis, geschäftlicher Zusammenhang — auch von Mitbewerbern oder anspruchsberechtigten Verbänden verfolgt werden. Diese Einordnung ist vertretbar, aber nicht gesichert; Rechtsprechung zu Artikel 50 liegt bislang nicht vor. Angesichts der weiten Deepfake-Auslegung und der etablierten deutschen Abmahnpraxis halte ich das Risiko dennoch für praktisch ernst zu nehmen.
Die dritte Ebene betrifft nicht die meisten Betreiber, verdient aber Aufmerksamkeit, weil sie im deutschsprachigen Raum kaum diskutiert wird. Die neuen Artikel 75a bis 75d verleihen dem AI Office ein Instrumentarium, das dem kartellrechtlichen Verfahrensmodell entlehnt ist: Untersuchungen von Amts wegen, Vor-Ort-Prüfungen mit Betretungsrecht, die Befugnis zur Versiegelung von Räumlichkeiten, Büchern und Aufzeichnungen, verbindliche Verpflichtungszusagen und Zwangsgelder bis zu fünf Prozent des durchschnittlichen Tagesumsatzes pro Tag bei fünfjähriger Verjährung. Wo nationales Recht eine richterliche Genehmigung verlangt, prüft das Gericht nur, ob die Zwangsmaßnahme willkürlich oder unverhältnismäßig ist; die Erforderlichkeit der Untersuchung darf es nicht überprüfen.
Die ausschließliche Zuständigkeit des AI Office wurde dabei von „derselbe Anbieter“ auf „dasselbe Unternehmen“ erweitert und erstreckt sich persönlich auch auf Betreiber innerhalb desselben Unternehmens. Für ein Stadtwerk oder einen Klinikverbund ändert das nichts — dort bleibt die Bundesnetzagentur der Ansprechpartner. Für Konzernstrukturen, in denen Modellentwicklung und -nutzung unter einem Dach liegen, ist es ein Wechsel des Gegenübers.
Ob diese Befugnisse ausgeübt werden können, ist eine andere Frage. Der Ressourcenartikel, den der Omnibus einfügt, steht ausdrücklich unter dem Vorbehalt des Haushaltsverfahrens. Eine Behörde mit Versiegelungsbefugnis braucht einen Apparat, der sie ausüben kann. Ich halte das für den Punkt, an dem sich in den nächsten achtzehn Monaten entscheidet, ob aus dem Text Praxis wird.
Sechs Prüfpunkte. Nicht alle stehen in der KI-Verordnung.
Für Betreiber ergibt sich daraus eine kurze, aber nicht triviale Liste.
Erstens die Rollenklärung. Wo nutzen wir lediglich ein fremdes System als Betreiber, wo sind wir nach Artikel 3 Nummer 3 Anbieter eines eigenen oder unter eigenem Namen in Betrieb genommenen Systems, und wo greift bei einem Hochrisiko-KI-System zusätzlich die besondere Rollenverschiebung nach Artikel 25? Diese Frage entscheidet über den gesamten Pflichtenumfang und lässt sich nicht durch Kennzeichnung ersetzen.
Zweitens die Provenienzfrage in Richtung Lieferant. Setzt der Anbieter des jeweiligen KI-Systems heute maschinenlesbare Markierungen, und wenn nein, zu welchem Datum? Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft die Frist am 2. Dezember 2026 ab. Konkret prüfbar wird das über die Zeichnung von Abschnitt 1 des Code of Practice; wo sie fehlt, gehört der alternative Angemessenheitsnachweis in den Vertrag. Das ist eine Zusicherung wert, keine Annahme.
Drittens Artikel 50 Absatz 4 in der eigenen Publikations- und Bildpraxis. Wo veröffentlichen wir KI-gestützt erzeugte Texte zu Angelegenheiten von öffentlichem Interesse, findet dort eine substanzielle redaktionelle Prüfung statt, und trägt eine natürliche oder juristische Person dafür die Verantwortung? Und, nach der weiten Auslegung der Leitlinien mindestens ebenso dringend: Welche fotorealistischen KI-Bilder veröffentlichen wir, und sind sie für Menschen wahrnehmbar gekennzeichnet?
Viertens die Verbotsebene, die keine Transparenzebene ist. Emotionserkennung am Arbeitsplatz ist untersagt, nicht kennzeichnungspflichtig — von den eng gefassten medizinischen und sicherheitsbezogenen Ausnahmen abgesehen. Zum 2. Dezember 2026 treten außerdem zwei neue Verbote in Artikel 5 hinzu. Sie betreffen keine gewöhnliche Bildproduktion, sondern eng umrissene Inhalte: ohne freiwillige, spezifische, informierte, eindeutige und ausdrückliche Einwilligung erzeugte oder manipulierte realistische intime beziehungsweise sexuell explizite Darstellungen bestimmbarer Personen sowie Systeme zur Erzeugung oder Manipulation von Material des sexuellen Missbrauchs von Kindern. Für Marketingillustrationen folgt daraus kein allgemeines Verbot; relevant werden sie dort, wo bestimmbare Personen synthetisch dargestellt oder verändert werden und Einwilligungs- und Inhaltskontrollen fehlen. In der Beratungspraxis werden sie bislang selten und wenn, dann als ein einzelnes Verbot behandelt.
Fünftens die Zuständigkeitsfrage. Auskunftsersuchen der jeweils zuständigen Marktüberwachungs- oder Fachbehörde lassen sich nur beantworten, wenn eine aktuelle Übersicht über eingesetzte Systeme, Rollen und Zweckbestimmungen existiert. Ein solches Verzeichnis ist keine Rechtspflicht der KI-Verordnung — es ist die Voraussetzung dafür, die Rechtspflichten überhaupt bestimmen zu können. Der Unterschied klingt akademisch, entscheidet aber darüber, ob man das Richtige tut oder nur etwas.
Und ein sechster Punkt, der außerhalb der KI-Verordnung liegt und in der Praxis häufig die härtere Hürde ist: Die Einführung generativer Werkzeuge kann nach § 87 Absatz 1 Nummer 6 BetrVG mitbestimmungspflichtig sein, wenn das konkrete System objektiv geeignet ist, individualisierbare Informationen über Verhalten oder Leistung der Beschäftigten zu erfassen oder auszuwerten; bei zentralen Unternehmensplattformen mit Nutzerprotokollen, Aktivitätsdaten oder Management-Analytics ist diese Schwelle häufig erreicht. Dass nach einer im Oktober 2025 veröffentlichten Bitkom-Erhebung unter 604 Unternehmen ab 20 Beschäftigten in acht Prozent private KI-Zugänge weit verbreitet und in weiteren siebzehn Prozent Einzelfälle sind 📎, ist zuerst ein arbeitsrechtliches und datenschutzrechtliches Problem — und erst in zweiter Linie eines der KI-Verordnung. Erhoben wurde im Sommer 2025; kleinere Betriebe sind in der Stichprobe nicht abgebildet.
Ein Herkunftssignal ist nur so belastbar wie seine Widerstandsfähigkeit.
Bis hierhin ging es darum, was die Norm verlangt. Es lohnt die Gegenfrage, ob der Mechanismus trägt — und an dieser Stelle steht in der Verordnung selbst ein bemerkenswerter Vorbehalt. Absatz 2 verlangt Lösungen, die wirksam, interoperabel, robust und zuverlässig sind, aber nur, soweit dies technisch machbar ist. Genau in diesem Zusatz liegt die Schwachstelle. Eine Markierung, die eine Konvertierung, eine Rekompression oder eine Bildschirmaufnahme nicht übersteht, ist nicht allein deshalb rechtswidrig: Absatz 2 verlangt Robustheit im Rahmen des technisch Machbaren und unter Berücksichtigung von Inhaltstyp, technischen Grenzen, Implementierungskosten und anerkanntem Stand der Technik. Die Widerstandsfähigkeit gegen Entfernung ist dabei ausdrücklich einer der maßgeblichen Gesichtspunkte, ein Anbieter kann sich also nicht schlicht darauf berufen, dass seine Markierung leicht zu entfernen sei. Gerade deshalb aber kann formale Konformität im Einzelfall hinter der Beweiskraft zurückbleiben, die ein Betreiber für seine eigene Sicherheits- und Nachweisarchitektur braucht.
Daraus folgt eine Umkehrung, die in der Debatte um die Kennzeichnungspflicht kaum vorkommt. Je stärker sich die Öffentlichkeit auf Markierungen verlässt, desto eher kann unmarkierter Inhalt als authentisch wahrgenommen werden. Wer sich der Pflicht entzieht oder eine Markierung entfernt, gewinnt damit nicht nur Unauffälligkeit, sondern einen Vertrauensvorschuss, den es vor der Regulierung nicht gab. Die Markierung wird damit vom Compliance-Artefakt zum Angriffsziel — und zwar mit einem Ertrag, der mit ihrer Verbreitung steigt.
Für Betreiber kritischer Infrastruktur ist das keine medienkritische Randnotiz, sondern eine Bedrohungsannahme. Sie gehört in dieselbe Kategorie wie manipulierte Protokolldaten: ein Nachweismechanismus, dessen Wert davon abhängt, dass ihn niemand still deaktiviert. Belegbare Fälle gibt es dafür naturgemäß noch nicht, dazu ist die Pflicht zu jung. Die Struktur des Problems ist aber jetzt schon absehbar, und sie ist der Grund, warum die Frage nach der Robustheit einer Markierung in den Lieferantenkatalog gehört und nicht in die Marketingabteilung.
Was der Omnibus an Dokumentation nimmt, gibt er an Befugnissen zurück.
Der Omnibus ist als Vereinfachung angekündigt und weitgehend als Entlastung berichtet worden. Das trifft die Dokumentationslasten. Es trifft nicht die Gesamtbilanz. Was tatsächlich stattgefunden hat, ist eine Umverteilung: leichtere Nachweispflichten beim Anwender, zwei neue absolute Verbote, eine neue Rechtsgrundlage für die Verarbeitung sensibler Daten zur Verzerrungserkennung und ein Ermittlungs- und Sanktionsapparat auf Unionsebene, den es vorher nicht gab. Diese Lesart teile ich mit der Einschätzung der usd AG, dass die materiellen Anforderungen unverändert bleiben und nur der Zeitpunkt ihrer Durchsetzung verschoben wurde 📎.
Für israelische Anbieter, die in den deutschen Markt eintreten, folgt daraus ein konkreter Prüfpunkt. Wer ein generatives System oder eine darauf aufsetzende Anwendung in der Union in Verkehr bringt oder in Betrieb nimmt, fällt grundsätzlich als Anbieter in den Anwendungsbereich des Artikels 50 Absätze 1 und 2. Das erfasst auch Unternehmen mit Sitz außerhalb der Union; zusätzlich greift die Verordnung in bestimmten Drittstaatenfällen, wenn die erzeugten Ausgaben in der Union verwendet werden. Die maschinenlesbare Kennzeichnung ist damit keine europäische Sonderauflage, sondern ein Produktmerkmal, nach dem deutsche KRITIS-Beschaffung ab sofort fragen wird oder zumindest fragen sollte. Ich vermute, dass sich hier innerhalb der nächsten Beschaffungszyklen ein Differenzierungsmerkmal entwickelt — belastbare Belege dafür gibt es noch nicht, dazu ist der Zeitraum zu kurz. Wie deutsche Beschaffung technische Zusicherungen bewertet, habe ich an anderer Stelle für den Markteintritt israelischer Anbieter ausgeführt 📎.
Bleibt der Befund, mit dem dieser Text begonnen hat. Der 2. August war nicht der Tag, an dem Artikel 50 neu beschlossen wurde. Er war der Tag, an dem seine bereits 2024 beschlossenen Pflichten anwendbar und Verstöße dagegen erstmals verfolgbar wurden. Wer eine Beratungsleistung zu diesem Thema einkauft, hat einen einfachen Test: Trennt sie Anbieter und Betreiber, unterscheidet sie maschinenlesbare Markierung von für Menschen wahrnehmbarer Offenlegung, und kennt sie Leitlinien und Code of Practice? Wer alle drei Fragen belastbar beantwortet, arbeitet zumindest am richtigen Gegenstand. Wer bei „Hinweis am Chatbot“ stehen bleibt, verkauft eine Kommunikationsaufgabe als Rechtspflicht.
Denn das ist die eigentliche Trennlinie. Kennzeichnen ist eine Kommunikationsaufgabe. Maschinenlesbare Herkunftssignale bereitzustellen ist eine Architekturaufgabe. Artikel 50 verlangt an seiner technisch härtesten Stelle das Zweite — auch wenn dieses Signal für sich genommen noch keinen vollständigen Provenienznachweis bildet. Gerade deshalb braucht die Beschaffung zusätzliche technische und vertragliche Evidenz: Weil die Kennzeichnung eben kein Nachweis ist.
Stand: 3. August 2026. Die Angaben beruhen auf der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt vom 24. Juli 2026. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung; die konkrete Bewertung hängt von System, Einsatzzweck und Rolle im Einzelfall ab.
Anmelden zu unserem Newsletter:
Schreibe einen Kommentar