Stand: 23. August 2026
Nicht jeder Text, der mit künstlicher Intelligenz entstanden ist, braucht ein KI-Label. Nicht jedes bearbeitete Bild ist ein Deepfake. Und nicht jede Automatisierung muss gegenüber Kunden offengelegt werden.
Trotzdem müssen Unternehmen seit dem 2. August 2026 in bestimmten Situationen klar darauf hinweisen, wenn Menschen mit einer KI interagieren oder künstlich erzeugten Inhalten ausgesetzt sind.
Die Herausforderung für kleine und mittlere Unternehmen liegt weniger darin, den Gesetzestext zu kennen. Schwieriger ist die praktische Entscheidung:
Wann unterstützt KI lediglich einen Menschen und wann tritt sie selbst gegenüber Kunden, Beschäftigten oder der Öffentlichkeit auf?
In meinem ersten Beitrag zum EU AI Act für KMU habe ich die wichtigsten Rollen, Fristen und organisatorischen Schritte dargestellt.
Dieser Beitrag geht einen Schritt weiter. Er zeigt anhand typischer Unternehmenssituationen, wann Transparenz notwendig ist und wann nicht.
Kurz gesagt
Eine Kennzeichnung sollte insbesondere geprüft werden, wenn:
- eine KI direkt mit Menschen kommuniziert,
- ein künstlich erzeugtes Bild, Video oder eine Stimme echt erscheinen kann,
- ein ungeprüfter KI-Text über eine Angelegenheit von öffentlichem Interesse veröffentlicht wird,
- Emotionen oder biometrische Merkmale von Menschen analysiert werden.
Entscheidend ist nicht allein, ob irgendwo im Prozess KI verwendet wurde.
Entscheidend ist, was Kunden, Beschäftigte oder andere Personen wahrnehmen und ob sie über den Ursprung einer Interaktion oder eines Inhalts getäuscht werden könnten.
Die richtige Frage lautet nicht: War KI beteiligt?
Inzwischen steckt KI in Textprogrammen, Übersetzungsdiensten, Bildbearbeitung, CRM-Systemen, Telefonanlagen und zahlreichen Büroanwendungen.
Eine pauschale Kennzeichnung jedes KI-Einsatzes wäre deshalb weder praktikabel noch das Ziel des EU AI Acts.
Für die betriebliche Praxis sind vier andere Fragen wichtiger:
- Kommuniziert die KI direkt mit einem Menschen?
- Kann ein künstlich erzeugter Inhalt fälschlich echt erscheinen?
- Wird ein ungeprüfter KI-Text zu einem Thema von öffentlichem Interesse veröffentlicht?
- Werden Menschen einer Emotionsanalyse oder biometrischen Kategorisierung ausgesetzt?
Wenn eine dieser Fragen mit Ja beantwortet wird, sollte der Anwendungsfall genauer geprüft werden.
Die Transparenzpflichten aus Artikel 50 sollen vor allem verhindern, dass Menschen eine Maschine für einen Menschen oder einen künstlich erzeugten Inhalt für ein authentisches Ereignis halten.
Wenn KI direkt mit Menschen kommuniziert
Chatbots: Der Hinweis gehört an den Anfang
Bei einem Kundenservice-Chatbot ist die Situation vergleichsweise eindeutig.
Führt das System einen direkten Dialog mit einer Person, muss diese spätestens zu Beginn der ersten Interaktion erkennen können, dass sie mit einer KI kommuniziert.
Ein praxistauglicher Hinweis kann beispielsweise lauten:
Sie kommunizieren mit unserem KI-Assistenten. Bei Bedarf übernehmen unsere Mitarbeitenden.
Es genügt nicht, den Hinweis an einer schwer auffindbaren Stelle in den Datenschutzinformationen zu verstecken. Er muss klar, verständlich und wahrnehmbar sein.
Eine Ausnahme besteht, wenn für eine durchschnittlich informierte und aufmerksame Person ohnehin offensichtlich ist, dass sie mit einer KI spricht. Die EU-Kommission empfiehlt jedoch, diese Ausnahme eng auszulegen.
Für KMU ist ein kurzer Hinweis meistens die bessere Lösung. Er schafft Klarheit, vermeidet Diskussionen und kann zugleich die Erwartungen an die Antwortqualität richtig einordnen.
Praxisbeispiel: Chatbot auf der Unternehmenswebsite
Ein Handwerksbetrieb setzt einen Chatbot ein, der Öffnungszeiten erklärt, Anfragen vorsortiert und Termine vorbereitet.
Sinnvoll sind drei Elemente:
- ein sichtbarer KI-Hinweis beim Start,
- eine klare Grenze dessen, was der Assistent beantworten darf,
- eine einfache Möglichkeit zur Übergabe an einen Menschen.
Der Hinweis allein macht den Chatbot noch nicht zu einer guten Lösung.
Wenn das System bei Beschwerden, Unsicherheiten oder sensiblen Fragen keinen menschlichen Kontakt ermöglicht, bleibt ein erhebliches Qualitätsrisiko.
Voice Agents: Drei Hinweise sauber trennen
Auch bei einem KI-Telefonassistenten muss zu Beginn erkennbar sein, dass kein Mensch das Gespräch führt.
Eine mögliche Formulierung lautet:
Guten Tag, Sie sprechen mit dem KI-Telefonassistenten der Muster GmbH. Ich unterstütze Sie bei Ihrem Anliegen und kann Sie bei Bedarf mit einem Mitarbeiter verbinden.
Damit ist die KI-Interaktion transparent. Eine Erlaubnis zur Aufzeichnung des Telefonats ergibt sich daraus jedoch nicht.
Soll das Gespräch gespeichert oder aufgezeichnet werden, ist dafür grundsätzlich eine gesonderte aktive Einwilligung vor Beginn der Aufnahme erforderlich. Eine bloße Information mit anschließender Widerspruchsmöglichkeit reicht nach der Datenschutzkonferenz in aller Regel nicht aus.
Unternehmen sollten deshalb drei Vorgänge getrennt behandeln:
- Hinweis auf die KI-Interaktion
- Datenschutzinformation über die Verarbeitung
- Aktive Zustimmung, falls das Gespräch aufgezeichnet wird
Auch eine automatisch erzeugte Gesprächszusammenfassung kann personenbezogene Daten enthalten. Unternehmen müssen festlegen, wofür sie verwendet wird, wer sie erhält und wann sie gelöscht wird.
Weniger speichern kann die bessere Lösung sein
Für viele Anwendungsfälle ist es nicht notwendig, das vollständige Gespräch dauerhaft aufzubewahren.
Häufig genügt eine strukturierte Zusammenfassung mit den für die Bearbeitung erforderlichen Angaben. Das reduziert das Datenschutzrisiko und erleichtert die weitere Bearbeitung.
Gleichzeitig muss geprüft werden, ob die Zusammenfassung korrekt ist, bevor daraus eine Bestellung, Terminvereinbarung oder andere verbindliche Handlung entsteht.
KI-Texte: Nicht jeder Entwurf braucht ein Label
Eine häufige Fehlannahme lautet: Sobald ChatGPT, Claude oder ein anderes KI-System bei einem Text geholfen hat, müsse der fertige Beitrag als KI-generiert gekennzeichnet werden.
So pauschal ist das nicht richtig.
Die besondere Kennzeichnungspflicht für Betreiber betrifft Texte, die:
- veröffentlicht werden,
- die Öffentlichkeit informieren sollen,
- Angelegenheiten von öffentlichem Interesse behandeln,
- keine ausreichende menschliche Prüfung oder redaktionelle Kontrolle durchlaufen haben.
Als Themen von öffentlichem Interesse nennt die EU-Kommission unter anderem:
- Politik und demokratische Prozesse,
- öffentliche Verwaltung und Justiz,
- Grundrechte,
- öffentliche Sicherheit,
- Gesundheit,
- Umwelt und Verbrauchersicherheit,
- wirtschaftliche und finanzielle Entwicklungen,
- wissenschaftliche oder kulturelle Entwicklungen von öffentlicher Bedeutung.
Ein automatisch erzeugter Produkttext oder eine intern verwendete Zusammenfassung ist damit nicht automatisch kennzeichnungspflichtig.
Ein ungeprüfter Beitrag über Gesundheit, Rechtsfragen oder eine wirtschaftspolitische Entwicklung kann dagegen in den Anwendungsbereich fallen.
Menschliche Kontrolle bedeutet mehr als einmal durchlesen
Für Unternehmensblogs ist die Ausnahme bei menschlicher Prüfung besonders wichtig. Sie ist jedoch strenger, als es auf den ersten Blick klingt.
Eine Rechtschreibkontrolle oder ein oberflächliches Lesen genügt nicht.
Die EU-Kommission versteht unter menschlicher Prüfung eine inhaltliche Kontrolle durch eine Person mit ausreichendem Wissen und professionellem Urteilsvermögen.
Eine belastbare redaktionelle Freigabe sollte mindestens diese Fragen beantworten:
- Stimmen die zentralen Tatsachen?
- Sind die Quellen aktuell und vertrauenswürdig?
- Sind Schlussfolgerungen und Empfehlungen nachvollziehbar?
- Wurden Fehler, Auslassungen und Übertreibungen korrigiert?
- Ist klar, wer die Veröffentlichung verantwortet?
Das ist nicht nur eine Compliance-Frage. Es ist eine Frage der Qualität.
Ein KI-System kann einen guten Entwurf erstellen. Die fachliche Linie, Quellenbewertung und Verantwortung dürfen jedoch nicht an das System ausgelagert werden.
Praxisbeispiel: Fachbeitrag für den Unternehmensblog
Ein Beratungsunternehmen lässt einen ersten Entwurf über eine neue Regulierung durch KI erstellen.
Anschließend prüft eine fachkundige Person die Originalquellen, korrigiert die Aussagen, ergänzt praktische Erfahrungen und übernimmt die redaktionelle Verantwortung.
In diesem Fall ist eine pauschale Kennzeichnung wie „Dieser Text wurde mit KI erstellt“ nicht allein deshalb erforderlich, weil KI bei der Ausarbeitung unterstützt hat.
Wird der ungeprüfte Entwurf dagegen automatisiert veröffentlicht, fehlt genau die menschliche Kontrolle, auf die es ankommt.
Autonome Veröffentlichung ist kein eigener Kennzeichnungstatbestand
Auch bei KI-Agenten sollte nicht vorschnell verallgemeinert werden.
Die bloße Tatsache, dass ein Agent etwas automatisch veröffentlicht, löst nicht in jedem Fall eine eigenständige Kennzeichnungspflicht aus.
Entscheidend bleibt, was der Agent tut:
- Interagiert er direkt mit Menschen?
- Veröffentlicht er ungeprüfte Texte zu Angelegenheiten von öffentlichem Interesse?
- Verbreitet er täuschend echte Bilder, Stimmen oder Videos?
- Trifft er Entscheidungen mit Auswirkungen auf Menschen?
Für Unternehmen ist die Automatisierung trotzdem ein wichtiger Risikofaktor.
Je selbstständiger ein System arbeitet, desto wichtiger werden Freigabegrenzen, Protokollierung, Zugriffsrechte und eine klar benannte verantwortliche Person.
Die praktische Regel sollte daher lauten:
Was ohne menschliche Freigabe nach außen geht, braucht engere Grenzen als ein interner Entwurf.
Bilder: Bildbearbeitung ist nicht automatisch ein Deepfake
Auch bei Bildern kommt es nicht allein darauf an, ob KI eingesetzt wurde.
Eine sichtbare Kennzeichnung durch das veröffentlichende Unternehmen wird insbesondere dann relevant, wenn ein Inhalt als Deepfake einzustufen ist.
Dafür müssen nach den aktuellen Leitlinien drei Merkmale zusammenkommen:
- Der Inhalt ähnelt einer bestehenden oder plausibel existierenden Person, einem Objekt, Ort oder Ereignis.
- Die Ähnlichkeit ist ausreichend hoch.
- Der Inhalt kann fälschlich authentisch oder wahr erscheinen.
Das Entfernen eines störenden Gegenstands, eine Farbkorrektur oder die Verlängerung eines neutralen Hintergrunds ist deshalb nicht automatisch ein Deepfake.
Anders sieht es aus, wenn eine reale Person scheinbar an einem Ort gezeigt wird, an dem sie nie war, oder wenn ein nicht stattgefundenes Ereignis wie eine echte Aufnahme dargestellt wird.
Praxisbeispiel: KI-Bild in der Unternehmenskommunikation
Ein Unternehmen veröffentlicht eine offensichtlich illustrative Darstellung einer futuristischen Fabrik. Das Publikum erwartet keine dokumentarische Aufnahme. Eine sichtbare Deepfake-Kennzeichnung ist deshalb regelmäßig nicht erforderlich.
Zeigt das Bild dagegen den Geschäftsführer täuschend echt bei einer Veranstaltung, an der er nie teilgenommen hat, kann der Eindruck eines authentischen Ereignisses entstehen.
Dann sollte die künstliche Erzeugung klar offengelegt werden.
Avatare und künstliche Stimmen
Ein erkennbar stilisierter Avatar wird normalerweise nicht mit einem realen Menschen verwechselt. Bei einem fotorealistischen Avatar mit geklonter Stimme kann das anders sein.
Unternehmen sollten dabei nicht nur fragen, wie realistisch der Avatar technisch ist. Ebenso wichtig sind Einsatzumfeld und Erwartung des Publikums.
Ein virtueller Moderator in einer klar als Simulation gestalteten Lernumgebung wird anders wahrgenommen als ein vermeintlich echtes Kundentestimonial.
Besonders kritisch sind:
- künstliche Aussagen realer Personen,
- täuschend echte Kundenstimmen,
- realistisch nachgebildete Beschäftigte,
- vermeintlich dokumentarische Videos,
- Avatare, die ihre künstliche Identität im Gespräch nicht offenlegen.
Wenn der Avatar zusätzlich mit Menschen interagiert, kommt zur möglichen Deepfake-Kennzeichnung noch der Hinweis auf die KI-Interaktion hinzu.
Technische Markierung und sichtbarer Hinweis sind nicht dasselbe
Im AI Act existieren zwei unterschiedliche Ebenen der Transparenz.
Aufgabe des Anbieters
Anbieter generativer KI-Systeme müssen künstlich erzeugte oder manipulierte Inhalte grundsätzlich so markieren, dass ihr Ursprung maschinenlesbar erkannt werden kann.
Dazu können eingebettete Herkunftsinformationen oder andere technische Verfahren gehören.
Aufgabe des Betreibers
Das Unternehmen, das einen Deepfake oder einen erfassten Text veröffentlicht, muss den betroffenen Menschen einen klar wahrnehmbaren Hinweis geben.
Eine unsichtbare technische Markierung ersetzt daher nicht automatisch das sichtbare oder hörbare Label.
Für ein KMU, das einen fertigen KI-Dienst verwendet, bedeutet das:
- Prüfen Sie, welche technischen Markierungen der Anbieter unterstützt.
- Verlassen Sie sich bei einer eigenen Offenlegungspflicht nicht allein darauf.
- Definieren Sie, wo ein sichtbarer oder hörbarer Hinweis erscheinen muss.
Emotionserkennung nicht übersehen
Weniger bekannt ist die Transparenzpflicht für Systeme zur Emotionserkennung und biometrischen Kategorisierung.
Betroffene Personen müssen über den Betrieb solcher Systeme informiert werden. Das kann beispielsweise Systeme betreffen, die aus Gesicht, Stimme oder Verhalten vermeintliche Emotionen oder bestimmte persönliche Merkmale ableiten.
Solche Anwendungen sind nicht mit einer gewöhnlichen Kundenanalyse gleichzusetzen. Sie berühren sensible Daten und können weitere Verbote, Datenschutzanforderungen oder arbeitsrechtliche Grenzen auslösen.
Für KMU lautet die vernünftige Vorgehensweise:
Nicht zuerst testen und später rechtlich einordnen, sondern vor dem Einsatz Zweck, Daten, Zuverlässigkeit und Zulässigkeit prüfen.
Eine einfache Transparenzmatrix für den Unternehmensalltag
Im ersten AI-Act-Beitrag habe ich ein KI-Inventar als Ausgangspunkt empfohlen. Dieses Inventar lässt sich um eine kompakte Transparenzprüfung erweitern.
Für jede nach außen wirkende KI-Anwendung sollten Unternehmen folgende Punkte festhalten:
Anwendung
Welches KI-System wird eingesetzt und wofür?
Kontakt
Kommuniziert das System direkt mit Kunden, Beschäftigten oder anderen Personen?
Inhalt
Erzeugt oder verändert es Texte, Bilder, Stimmen oder Videos?
Authentizität
Könnte der Inhalt fälschlich echt erscheinen?
Öffentlichkeit
Informiert ein erzeugter Text über eine Angelegenheit von öffentlichem Interesse?
Kontrolle
Wer prüft das Ergebnis fachlich?
Verantwortung
Wer darf den Inhalt freigeben, verändern oder ablehnen?
Hinweis
Wo und wie wird die KI-Interaktion oder der künstliche Ursprung offengelegt?
Datenschutz
Welche personenbezogenen oder vertraulichen Daten werden verarbeitet?
Speicherung
Welche Inhalte werden wie lange gespeichert?
Eskalation
Wann übernimmt ein Mensch?
Eine solche Übersicht ist für viele KMU hilfreicher als ein umfangreiches Regelwerk. Sie verbindet Recht, Qualität und Verantwortlichkeit in einem einzigen Arbeitsinstrument.
Was Geschäftsführungen jetzt entscheiden sollten
Für die Umsetzung braucht es nicht zwangsläufig ein neues Großprojekt. Fünf klare Entscheidungen schaffen bereits eine belastbare Grundlage.
1. Welche Systeme dürfen nach außen kommunizieren?
Nicht jedes intern nützliche KI-Werkzeug sollte automatisch Kundenanfragen beantworten oder Inhalte veröffentlichen dürfen.
2. Welche Anwendungen benötigen einen Hinweis?
Legen Sie Standardformulierungen für Chatbots, Voice Agents, Avatare und künstlich erzeugte Medien fest.
3. Was bedeutet menschliche Freigabe?
Bestimmen Sie, welche Inhalte eine fachliche Prüfung benötigen und wer dafür verantwortlich ist.
4. Welche Daten dürfen verarbeitet werden?
Prüfen Sie Anbieter, Vertragsmodell, Auftragsverarbeitung, Speicherfristen, Unterauftragnehmer und mögliche Drittlandübermittlungen.
5. Wann muss ein Mensch übernehmen?
Beschwerden, rechtliche Fragen, sensible Daten, Unsicherheit und verbindliche Entscheidungen sollten nicht ohne klare Eskalationsmöglichkeit bei der KI verbleiben.
Transparenz ist kein Aufkleber, sondern ein Prozess
Der AI Act verlangt nicht, jedes Dokument und jedes Bild mit einem allgemeinen KI-Hinweis zu versehen.
Er verlangt gezielte Transparenz dort, wo Menschen andernfalls über ihren Gesprächspartner oder die Echtheit eines Inhalts getäuscht werden könnten.
Für KMU ergibt sich daraus eine pragmatische Leitlinie:
- Interaktionen offenlegen
- Täuschend echte Inhalte kennzeichnen
- Relevante Veröffentlichungen fachlich prüfen
- Datenverarbeitung getrennt absichern
- Verantwortung eindeutig zuordnen
Richtig umgesetzt ist Transparenz keine zusätzliche Bürokratieschicht.
Sie verbessert die Qualität von KI-Prozessen, verhindert falsche Erwartungen und stärkt das Vertrauen von Kunden und Beschäftigten.
Entscheidend ist nicht, ob irgendwo im Prozess KI verwendet wurde.
Entscheidend ist, ob ein Mensch erkennen kann, womit er es zu tun hat, und ob im Unternehmen jemand die Verantwortung für das Ergebnis übernimmt.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Die konkrete Einordnung hängt vom verwendeten System, dem Einsatzzweck, den verarbeiteten Daten und dem jeweiligen Vertragsmodell ab.