EU AI Act Article 50: Transparenzpflicht für KI einfach erklärt

Was ist Article 50 des EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende KI-Gesetz. Innerhalb dieser Verordnung ist Article 50 der Paragraf, der sich ausschließlich mit Transparenzpflichten befasst [1].

Die Kernaussage: Wer KI-Systeme entwickelt oder einsetzt, muss dafür sorgen, dass Menschen wissen, wann sie mit einer KI interagieren — und wann Inhalte von einer KI erzeugt wurden.

Das klingt simpel, hat aber weitreichende Konsequenzen. Denn Article 50 betrifft nicht nur Chatbots wie ChatGPT oder Claude. Er gilt für jedes System, das:

• direkt mit Menschen interagiert (Chatbots, Sprachassistenten, KI-Telefonsysteme)
• Texte, Bilder, Audio oder Video erzeugt (generative KI)
• Emotionen erkennt oder Menschen in biometrische Kategorien einteilt
• Deepfakes oder synthetische Medien erzeugt

Article 50 steht im Kapitel IV des AI Act — dem Abschnitt über „Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme“. Er ist damit Teil der Pflichten, die unabhängig von der Risikoeinstufung gelten. Selbst wenn dein KI-System nicht als Hochrisiko eingestuft wird, musst du Article 50 trotzdem einhalten [2].

Was fordert Article 50 konkret?

Article 50 enthält sieben Absätze: vier davon begründen Pflichten (Abs. 1–4), Abs. 5 regelt die Form der Information, Abs. 6 das Verhältnis zu anderen Pflichten und Abs. 7 Praxisleitfäden der Kommission. Hier die vier Kernanforderungen im Detail:

1. Kennzeichnung von KI-Interaktionen (Art. 50 Abs. 1)

Wenn ein KI-System direkt mit Menschen interagiert, müssen die Anbieter sicherstellen, dass die betroffene Person darüber informiert wird, dass sie mit einer KI interagiert. Das gilt zum Beispiel für:

• Chatbots auf Webseiten — müssen klar als KI erkennbar sein
• KI-Telefonsysteme — der Anrufer muss wissen, dass er mit einer KI spricht
• Virtuelle Assistenten — müssen sich als KI identifizieren

Ausnahme: Die Information entfällt, wenn es aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts offensichtlich ist, dass sie mit einer KI interagiert. Wann das zutrifft, ist eine Einzelfallfrage — im Zweifel lieber kennzeichnen [3].

2. Maschinenlesbare Markierung von KI-Inhalten (Art. 50 Abs. 2)

Anbieter von KI-Systemen, die synthetische Inhalte erzeugen (Text, Bild, Audio, Video), müssen sicherstellen, dass die Outputs maschinenlesbar als KI-generiert gekennzeichnet werden. Das bedeutet konkret:

• Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise oder Fingerprints in Bildern, Videos und Audio (z. B. Content Credentials nach C2PA als Herkunftsnachweis — gesetzlich nicht vorgeschrieben)
• Metadaten in Textdokumenten und Audiodateien
• Die Kennzeichnung muss robust sein — also nicht trivial entfernbar
• Sie muss interoperabel sein — also systemübergreifend funktionieren

Das Gesetz schreibt keinen bestimmten Standard vor; Erwägungsgrund 133 nennt Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise und Fingerprints. Konkretisiert wird die Pflicht durch den freiwilligen Verhaltenskodex zur Kennzeichnung (veröffentlicht am 10.06.2026) und die Leitlinien der Kommission zu Art. 50 vom 20.07.2026. Der C2PA-Standard (Coalition for Content Provenance and Authenticity) ist ein verbreiteter Industriestandard für Herkunftsnachweise, aber nicht gesetzlich vorgegeben [4].

3. Offenlegung von Deepfakes (Art. 50 Abs. 4)

Betreiber (also Unternehmen, die KI-Systeme beruflich einsetzen), die mit einem KI-System Bild-, Ton- oder Videoinhalte erzeugen oder manipulieren, die ein Deepfake sind, müssen offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Ein Deepfake ist ein KI-Inhalt, der existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und fälschlich als echt oder wahrheitsgemäß erscheint (Art. 3 Nr. 60). Zusätzlich müssen Betreiber KI-generierte Texte offenlegen, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren — außer der Text wurde menschlich geprüft bzw. redaktionell kontrolliert und jemand trägt die redaktionelle Verantwortung. Das betrifft zum Beispiel:

• Bilder, die existierenden Personen, Gegenständen, Orten oder Ereignissen ähneln und fälschlich echt wirken
• Videos, in denen Personen Dinge sagen oder tun, die sie nie gesagt oder getan haben
• Audio-Inhalte mit geklonten Stimmen

Die Offenlegung muss klar und eindeutig erfolgen — spätestens zum Zeitpunkt der ersten Interaktion oder Exposition und barrierefrei (Art. 50 Abs. 5). Ein versteckter Disclaimer im Kleingedruckten reicht nicht [5].

Ausnahmen: Ist der Inhalt Teil eines offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder vergleichbaren Werks, beschränkt sich die Pflicht darauf, das Vorhandensein solcher Inhalte in geeigneter Weise offenzulegen, ohne die Darstellung oder den Genuss des Werks zu beeinträchtigen. Eine Ausnahme für wissenschaftliche Forschung enthält Abs. 4 nicht; ausgenommen sind gesetzlich zugelassene Verwendungen zur Strafverfolgung.

4. Emotionserkennung und biometrische Kategorisierung (Art. 50 Abs. 3)

Wer als Betreiber KI-Systeme einsetzt, die Emotionen erkennen oder Menschen in biometrische Kategorien einteilen (z. B. nach Geschlecht oder Alter), muss die betroffenen Personen über den Betrieb des Systems informieren und die Daten DSGVO-konform verarbeiten. Achtung: Biometrische Kategorisierung, die auf Rasse, politische Einstellung, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugung, Sexualleben oder sexuelle Ausrichtung schließt, ist seit 02.02.2025 verboten (Art. 5 Abs. 1 Buchst. g).

Das ist besonders relevant für:

• Personalauswahl — Achtung: Emotionserkennung in Bewerbungsgesprächen ist nicht nur kennzeichnungspflichtig, sondern seit 2. Februar 2025 verboten (Art. 5 Abs. 1 Buchst. f; Ausnahme nur aus medizinischen oder Sicherheitsgründen)
• Werbung, die auf erkannten Emotionen basiert
• Sicherheitssysteme mit biometrischer Kategorisierung

Wen betrifft Article 50?

Article 50 kennt zwei Rollen mit Pflichten — Anbieter und Betreiber. Wer KI rein privat und nicht beruflich nutzt, hat keine Pflichten aus Art. 50:

Praktisches Beispiel: Ein KMU mit KI-Chatbot

Du betreibst einen Online-Shop und setzt einen KI-Chatbot für den Kundenservice ein, den du bei einem Dienstleister einkaufst. In diesem Fall bist du Betreiber (Deployer). Der Chatbot-Hersteller (z. B. Intercom oder Tidio) ist der Anbieter (Provider). Baust du den Bot selbst (z. B. auf einer GPT-API) und nimmst ihn unter eigenem Namen in Betrieb, bist du selbst Anbieter.

Deine Pflichten als Betreiber:

• Prüfen, ob der Chatbot sich als KI zu erkennen gibt — rechtlich ist das Pflicht des Anbieters (Abs. 1), du bindest ihn aber auf deiner Website ein
• Prüfen, ob du Emotionserkennung nutzt oder Deepfakes bzw. KI-Texte zu Angelegenheiten öffentlichen Interesses veröffentlichst — nur dann treffen dich als Betreiber eigene Pflichten (Abs. 3, 4)
• Optional: kurz festhalten, welche Maßnahmen du getroffen hast — Art. 50 verlangt keine Dokumentation, eine Notiz erleichtert aber Rückfragen der Aufsicht

Pflichten des Anbieters:

• Den Chatbot so bauen, dass die KI-Interaktion erkennbar ist
• Technische Mittel zur Kennzeichnung bereitstellen

Fristen und Zeitplan

Der AI Act wurde am 12. Juli 2024 im Amtsblatt veröffentlicht, trat am 1. August 2024 in Kraft und gilt stufenweise. Für Article 50 gilt folgender Zeitplan [6]:

Strafen bei Verstößen

Der AI Act sieht ein dreistufiges Bußgeld-System vor. Für Verstöße gegen Article 50 gilt die mittlere Stufe [7]:

Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6), seit dem Digital-Omnibus ebenso für kleine Midcaps (Abs. 6a). Die Sanktionsvorschriften im Einzelnen legen die Mitgliedstaaten fest (Abs. 1); die genannten Beträge sind Obergrenzen.

Die Durchsetzung erfolgt durch nationale Marktüberwachungsbehörden. In Deutschland ist das seit dem 29. Juli 2026 die Bundesnetzagentur – an diesem Tag trat das KI-Marktüberwachungsgesetz (KI-MIG) in Kraft (Pressemitteilung BNetzA) [8].

Checkliste: Was musst du tun?

Hier ist deine konkrete To-Do-Liste, abhängig von deiner Rolle. Arbeite sie Punkt für Punkt ab — die Pflichten gelten seit dem 2. August 2026.

Für Betreiber (Deployer) — z. B. Unternehmen, die KI einsetzen

Für Anbieter (Provider) — z. B. KI-Entwickler und SaaS-Unternehmen

Praxisbeispiele: Article 50 im Alltag

Beispiel 1: Online-Shop mit KI-Chatbot

Ein E-Commerce-Unternehmen setzt einen KI-gestützten Kundenservice-Chatbot ein. Nach Article 50 muss:

• Der Chatbot sich bei Gesprächsbeginn als KI identifizieren (z. B. „Ich bin ein KI-Assistent von Shop XY“)
• Die Information darf nicht erst im Impressum stehen — sie muss vor oder bei der Interaktion sichtbar sein
• Empfehlung (keine ausdrückliche Pflicht aus Art. 50): Übergibt der Bot an einen menschlichen Mitarbeiter, das ebenfalls kenntlich machen

Beispiel 2: Marketing-Agentur erstellt KI-Bilder

Eine Agentur nutzt Midjourney oder DALL-E, um Produktbilder zu erstellen. Nach Article 50:

• Die maschinenlesbare Markierung (Metadaten/Wasserzeichen) ist Pflicht des Tool-Anbieters (Abs. 2), nicht der Agentur
• Sichtbar offenlegen muss der Betreiber nur, wenn ein Bild ein Deepfake ist: Zeigt es das echte Produkt besser oder anders, als es ist, gilt es laut Kommissions-Leitlinien als Deepfake. Echtes Produkt vor KI-Hintergrund, Freistellen oder Farbkorrektur sind kein Deepfake.
• Kein Deepfake sind Motive, die keinen existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln

Beispiel 3: Content-Team nutzt KI-Texte

Ein Redaktionsteam nutzt GPT oder Claude, um Texte zu schreiben oder zu überarbeiten. Eine Offenlegungspflicht trifft den Betreiber nur bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren — und auch dann nicht, wenn der Text menschlich geprüft bzw. redaktionell kontrolliert wurde und jemand die redaktionelle Verantwortung trägt:

• Vollständig KI-generierte Texte zu Angelegenheiten öffentlichen Interesses ohne redaktionelle Kontrolle: müssen offengelegt werden. Werbe- und Produkttexte fallen laut Leitlinien grundsätzlich nicht darunter
• KI-unterstützte Texte (Mensch schreibt, KI hilft): Wer redaktionell prüft und die Verantwortung trägt, muss nicht offenlegen. Details regeln die Leitlinien der Kommission zu Art. 50 vom 20.07.2026
• Empfehlung: Im Zweifel kennzeichnen. Ein „mit KI-Unterstützung erstellt“-Hinweis schadet nie

Beispiel 4: Deepfake-Video für Social Media

Ein Creator erstellt ein Video, in dem eine prominente Person scheinbar spricht — erzeugt mit KI. Nach Article 50:

• Das Video muss klar und deutlich als künstlich erzeugt markiert sein
• Die Kennzeichnung muss bei der Erstveröffentlichung sichtbar sein (nicht nachträglich hinzugefügt)
• Wer das Video nur teilt, setzt kein KI-System ein und ist insoweit nicht Betreiber nach Art. 50 Abs. 4; die Kennzeichnung beizubehalten ist trotzdem sinnvoll

Article 50 vs. DSGVO: Was ist der Unterschied?

Viele Unternehmen fragen sich: „Wir halten die DSGVO schon ein — reicht das nicht?“ Kurze Antwort: Nein.

Wichtig: Beide Verordnungen können gleichzeitig gelten. Wenn dein KI-Chatbot personenbezogene Daten verarbeitet, brauchst du beides — DSGVO-Konformität und AI-Act-Transparenz. Die eine ersetzt die andere nicht [9].

Tools für die Umsetzung

Die gute Nachricht: Du musst Article 50 nicht komplett manuell umsetzen. Es gibt Tools, die helfen:

Kennzeichnung auf Webseiten

Für die KI-Kennzeichnung auf Webseiten gibt es verschiedene Ansätze:

• HTML-Metadaten: Eigene Meta-Tags für KI-generierte Inhalte
• Schema.org-Markup: Structured Data, das KI-Herkunft maschinenlesbar macht
• Sichtbare Labels: Badges oder Hinweistexte im Content

Mein eigenes Open-Source-Projekt NeuralFlow (npm-Package @neuralflow/ai-act, MIT-Lizenz) erzeugt KI-Hinweise als HTML-Snippets und JSON-LD-Markup, die du in deine Webseite einbinden kannst. Wichtig: Damit erfüllst du als Website-Betreiber keine gesetzliche Pflicht — die maschinenlesbare Markierung nach Art. 50 Abs. 2 trifft die Anbieter der KI-Systeme. Es ist ein freiwilliges Transparenzsignal und ersetzt keine Rechtsberatung [10].

Wasserzeichen für Bilder und Video

• C2PA (Content Credentials): Offener Standard von Adobe, Microsoft und anderen. Einige KI-Tools (z. B. Adobe Firefly, DALL-E) integrieren ihn bereits
• Google SynthID: Wasserzeichen-Technologie für KI-generierte Bilder
• IPTC-Metadaten: Standardisierte Bild-Metadaten, die KI-Herkunft dokumentieren

Compliance-Checks

Nutze die AI Act Checkliste für KMU, um systematisch zu prüfen, ob du alle Pflichten einhältst. Der Compliance-Check auf mylurch.com gibt dir einen schnellen Überblick über deinen Status.

Häufige Fragen zu Article 50

Quellen

Über den Autor

Olaf Mergili

Varel. Kein Programmierer, keine Agentur, kein Auftrag dahinter. Was hier steht, stammt aus eigener Praxis — nicht aus Fachliteratur übernommen. LinkedIn

Änderungen: 04.10.2026 – gegen Art. 3, 5 und 50 der Verordnung, Kommissions-Leitlinien zu Art. 50 und zu verbotenen Praktiken, den Verhaltenskodex und den Digital-Omnibus geprüft. Korrigiert: Die frühere Fassung behandelte Art. 50 als Kennzeichnungspflicht für alle KI-Inhalte und alle Unternehmen; tatsächlich treffen Abs. 1 und 2 die Anbieter, Betreiber müssen Deepfakes, bestimmte KI-Texte sowie Emotionserkennung und biometrische Kategorisierung offenlegen. Emotionserkennung im Bewerbungsverfahren ist nach Art. 5 Abs. 1 Buchst. f verboten, nicht nur kennzeichnungspflichtig. Außerdem: sieben statt sechs Absätze, Veröffentlichungs- und Inkrafttretensdatum, KMU-Bußgeldregel, Stand von Leitlinien und Verhaltenskodex, nicht existierende Ausnahmen entfernt, NeuralFlow als freiwilliges Eigenprojekt gekennzeichnet.