Artikel 50 EU AI Act: Transparenzpflichten für Unternehmen

Artikel 50 des EU AI Act ist die Vorschrift, die im Mittelstand am schnellsten spürbar wird. Seit dem 2. August 2026 müssen Unternehmen offenlegen, wenn Menschen mit einer KI sprechen, und bestimmte KI-erzeugte Inhalte kennzeichnen. Betroffen sind genau die Anwendungen, die inzwischen Alltag sind: Chatbots auf der Website, Sprachagenten in der Telefonzentrale, KI-erzeugte Bilder und Videos, Analysen von Kundengesprächen.

In der öffentlichen Debatte ist das untergegangen, weil der Digital Omnibus im Sommer 2026 große Teile der Hochrisiko-Pflichten nach hinten verschoben hat. Aus „der AI Act wurde verschoben“ leiten viele ab: „uns betrifft vorerst nichts“. Das ist ein Trugschluss. Die Transparenzpflichten aus Artikel 50 sind unverändert anwendbar.

Dieser Leitfaden zeigt, welche vier Pflichten Artikel 50 enthält, wen sie treffen, welche acht typischen Szenarien im Mittelstand betroffen sind und wie Sie die Umsetzung in fünf Schritten belegbar machen. Laut der Bitkom-KI-Studie vom 14. September 2026 nutzen inzwischen 57 % der Unternehmen ab 20 Beschäftigten KI, 72 % davon im Kundenservice. Zugleich sehen sich nur 37 % vom AI Act betroffen. Diese Lücke ist das eigentliche Risiko.

Artikel 50 gilt seit dem 2. August 2026. Der Digital Omnibus hat die Anwendbarkeit dieser Transparenzpflichten nicht verschoben, sondern nur die Pflichten für Hochrisiko-Systeme und eine eng begrenzte Übergangsfrist für die maschinenlesbare Markierung von Altsystemen.

Konkret bedeutet das für die Praxis:

• Neue generative KI-Systeme müssen ihre Ausgaben seit dem 2. August 2026 maschinenlesbar markieren (Art. 50 Abs. 2). Diese Pflicht trifft die Anbieter der Systeme.
• Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben für diese Markierung Zeit bis zum 2. Dezember 2026.
• Hinweis- und Kennzeichnungspflichten für Betreiber (Art. 50 Abs. 1, 3 und 4) gelten ohne Übergangsfrist.

Wer ChatGPT, Claude oder Gemini in eigene Kundenprozesse einbettet, ist mindestens Betreiber und häufig zugleich Anbieter eines eigenen KI-Systems. Welche Pflicht greift, hängt von dieser Rolle ab.

Artikel 50 ist kurz, enthält aber vier eigenständige Pflichten, die unterschiedliche Rollen treffen. Die saubere Trennung ist die Grundlage jeder belastbaren Umsetzung. Die KI-Verordnung nennt die Rollen Anbieter (wer ein System entwickelt oder unter eigenem Namen in Verkehr bringt) und Betreiber (wer es unter eigener Verantwortung einsetzt).

Die meisten Mittelständler sind Betreiber. Sobald ein Unternehmen ein bestehendes Modell wesentlich anpasst, unter eigenem Namen anbietet oder als eigenes Produkt veröffentlicht, kann es zugleich in die Anbieterrolle rutschen, etwa bei einem White-Label-Chatbot oder einem eigenen Sprachagenten. Die Rollenfrage gehört deshalb an den Anfang jedes KI-Projekts, nicht in die Nacharbeit.

Die folgende Übersicht ordnet die häufigsten KI-Anwendungen den vier Pflichten zu. Sie ersetzt keine Einzelfallprüfung, zeigt aber, wo die Pflichten typischerweise liegen.

Die Europäische Kommission hat am 20. Juli 2026 die finalen Leitlinien zu den Transparenzpflichten angenommen. Ergänzend beantwortet die Kommission in einer FAQ vom 24. Juli 2026 die Fragen, die in der Praxis am häufigsten auftauchen. Drei Punkte sind für Unternehmen besonders wichtig.

1. Offensichtlichkeit ist eng auszulegen. Der Hinweis nach 50(1) entfällt nur, wenn eine angemessen informierte und aufmerksame Person aus dem Kontext erkennt, dass sie mit einer KI spricht. Dass ein Chatbot auf einer Serviceseite läuft, genügt dafür in der Regel nicht. Der Hinweis muss zu Beginn der ersten Interaktion erscheinen, nicht versteckt in den Nutzungsbedingungen.

2. Unternehmenskommunikation fällt in der Regel nicht unter 50(4). Nach der FAQ der Kommission erfasst die Kennzeichnungspflicht Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, etwa Politik, Gesundheit, Umwelt oder Verbraucherschutz. Allgemeine Unternehmenskommunikation und Pressemitteilungen gehören in der Regel nicht dazu.

3. Redaktionelle Verantwortung entlastet. Wird ein KI-erzeugter Text vor der Veröffentlichung von Menschen geprüft und übernimmt jemand die redaktionelle Verantwortung, entfällt die Kennzeichnungspflicht nach 50(4). Diese Schwelle ist hoch: Ein kurzes Überfliegen genügt nicht. Wer sich darauf stützt, sollte den Freigabeprozess dokumentieren.

Am 10. Juni 2026 hat die Kommission den finalen Code of Practice zur Kennzeichnung KI-erzeugter Inhalte veröffentlicht. Der Kodex ist freiwillig. Die Einhaltung kann gegenüber Behörden als Nachweis dienen, dass die Pflichten aus Art. 50 Abs. 2 erfüllt werden.

Der Kodex beschreibt vor allem vier Elemente:

• Mehrschichtige maschinenlesbare Markierung: mindestens zwei Verfahren, etwa Wasserzeichen und eine Herkunftssignatur in den Metadaten.
• Ein einheitliches EU-Label als sichtbares Symbol für KI-erzeugte Bilder, Audios und Videos, in der jeweiligen Sprachfassung.
• Umsetzung je Medienart: dauerhafte Einblendungen bei Video, sichtbare Labels bei Bildern, hörbare Hinweise bei Audio.
• Bezugsstandards: C2PA-Content-Credentials, digitale Signaturen, Zeitstempel und interoperable Identifikatoren.

Für Betreiber heißt das praktisch: Prüfen Sie, ob die eingesetzten Plattformen Markierung und Herkunftsnachweis unterstützen, und halten Sie im Einkauf fest, wer die Markierung liefert. Bei reinem Text bleibt die maschinenlesbare Markierung technisch schwierig; hier zählt vor allem der dokumentierte Freigabeprozess.

Die KI-Verordnung kennt drei abgestufte Bußgeldrahmen:

• Art. 99 Abs. 3, verbotene Praktiken nach Art. 5: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
• Art. 99 Abs. 4, Verstöße gegen andere materielle Pflichten, darunter Art. 50: bis zu 15 Mio. Euro oder 3 % (Volltext der KI-Verordnung).
• Art. 99 Abs. 5, Falschangaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 %.

Für Verstöße gegen Artikel 50 gilt die mittlere Stufe, grundsätzlich der höhere der beiden Beträge. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt nach Art. 99 Abs. 6 jeweils der niedrigere Betrag. Der Digital Omnibus hat Erleichterungen für kleine Mid-Caps ergänzt; ihre genaue Reichweite ist im Einzelfall zu prüfen (Stand: September 2026).

Hinzu kommen Reputationsschäden, wettbewerbsrechtliche Auseinandersetzungen und bei personenbezogenen Daten unabhängige Bußgelder nach der DSGVO.

Die Pflichten gelten bereits. Wer noch keine Übersicht hat, arbeitet am besten in dieser Reihenfolge: erst wissen, was läuft, dann zuordnen, dann umsetzen und dokumentieren.

Die Schwierigkeit liegt selten im einzelnen Pflichtsatz, sondern in der Breite: viele Werkzeuge, viele Modelle, viele Teams. Wer mehrere Assistenten, Bildgeneratoren und Vendor-Chatbots parallel betreibt, kann die Nachweise kaum je Werkzeug führen. Zwei Dinge helfen: ein zentrales Use-Case-Register als organisatorische Grundlage und eine Plattform, die Modelle, Rechte und Protokolle bündelt.

Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand. Für die Umsetzung von Artikel 50 sind vor allem vier Punkte relevant:

• Betrieb: eine dedizierte Instanz je Kunde in der EU oder im eigenen Tenant, mit DSGVO-konformem Auftragsverarbeitungsvertrag und EU-Datenresidenz.
• Modelle: mehr als 100 Modellvarianten aus zehn Provider-Typen, pro Team steuerbar. Das entkoppelt die eigene Governance vom einzelnen Anbieter, siehe auch die Multi-Modell-Strategie.
• Kontrolle: SSO, Rollen und mehr als 40 Berechtigungen, Audit-Logs sowie Nutzungs- und Kostenanalysen je Team.
• Umsetzung: der Weg von der KI-Potenzialanalyse über einen Proof of Value zur produktiven Lösung und zum systematischen Ausbau, mit 1.200+ Use Cases in 15 Branchen als Erfahrungsgrundlage.

Für Chatbots, die extern eingebettet werden, lässt sich der Hinweis nach 50(1) einmal zentral festlegen, statt ihn in jedem Werkzeug einzeln zu pflegen.

Artikel 50 ist die am meisten unterschätzte Pflicht der KI-Verordnung, weil er weder Hochrisiko- noch Verbotstatbestand ist. Er trifft genau die Anwendungen, die im Mittelstand längst Alltag sind.

Drei Punkte zum Mitnehmen:

1. Die Pflichten gelten bereits. Wer aus der Verschiebung der Hochrisiko-Regeln ableitet, dass nichts zu tun ist, irrt.
2. Der Umfang ist kleiner, als viele denken. Chatbots und Sprachagenten brauchen einen Hinweis, Deepfakes eine Kennzeichnung. Nicht jeder KI-Text ist betroffen, und redaktionelle Verantwortung entlastet.
3. Die Nachweise entstehen im Alltag. Ein Use-Case-Register, ein dokumentierter Freigabeprozess und klare Rollen sind mehr wert als ein Gutachten im Schrank.

Wer Artikel 50 sauber umsetzt, hat zugleich die Grundlage für die Hochrisiko-Pflichten ab Dezember 2027. Den regulatorischen Gesamtüberblick gibt der Compliance-Guide zu DSGVO und EU AI Act, die strategische Einordnung der Leitfaden zu souveräner KI.