In der Branche kursiert seit einigen Wochen eine beruhigende Erzählung: „Die Transparenzregeln des EU AI Act wurden auf Dezember verschoben, es besteht kein Grund zur Eile." Diese Wahrnehmung ist falsch – und dieses Missverständnis wird für jede Agentur, die KI-Output auf dem EU-Markt bereitstellt, zu einem ernsthaften Haftungsrisiko. Die Realität lautet: Die allgemeinen Transparenzpflichten nach Artikel 50 des AI Act gelten seit dem 2. August 2026 und wurden nicht verschoben.

In diesem Beitrag behandeln wir mit technischer Genauigkeit, was sich genau geändert hat, welche einzige Ausnahme tatsächlich existiert, warum das eine Agentur im DACH-Raum wie auch außerhalb der EU unmittelbar betrifft und welche konkreten Schritte ein Unternehmen, das Kunden KI ausliefert, heute gehen muss. Das Ziel ist nicht, Panik zu erzeugen, sondern die reale Compliance-Lücke zu schließen, die der Tenor „Entspannen Sie sich, es wurde verschoben" verursacht.

Der Zeitrahmen klar gefasst: was in Kraft ist und was in der Übergangsfrist liegt

Die Quelle der Verwirrung ist, dass zwei verschiedene Sachverhalte unter einer Überschrift vermischt werden. Ziehen wir die Trennlinie sauber:

  • Die allgemeinen Pflichten nach Artikel 50 – Chatbot-Hinweis, Kennzeichnung von Inhalten, Aufklärung über Emotionserkennung, Deepfake-Kennzeichnung – gelten seit dem 2. August 2026 vollumfänglich. Sie wurden nicht verschoben.
  • Die einzige Ausnahme betrifft ausschließlich die Unter-Pflicht zur Wasserzeichen-/maschinenlesbaren Kennzeichnung nach Artikel 50 Abs. 2 und gilt nur für generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Für diese Systeme wurde eine Übergangsfrist bis zum 2. Dezember 2026 eingeräumt, um die Kennzeichnungs-Compliance abzuschließen.

Beachten Sie: Diese Übergangsfrist wurde von sechs auf drei Monate verkürzt. „Es gibt eine Übergangsfrist" bedeutet also nicht „warten Sie in Ruhe ab" – im Gegenteil, der Zeitplan hat sich verengt. Diese Regelung wurde mit dem Digital-Omnibus-Paket formalisiert: Das Europäische Parlament hat am 16. Juni 2026, der Rat der EU am 29. Juni 2026 zugestimmt.

Der entscheidende Punkt ist folgender: Bei jedem generativen KI-System, das nach dem 2. August 2026 in Verkehr gebracht wird, gelten sämtliche Pflichten einschließlich Wasserzeichen/Kennzeichnung vom ersten Tag an. Die Übergangsfrist umfasst ausschließlich bestehende (grandfathered) Systeme. Wenn Sie heute einen neuen Chatbot, eine neue Bildgenerierungs-Pipeline oder einen neuen Sprachassistenten in Betrieb nehmen, schützt Sie keinerlei „Grace Period".

Was sich am 2. August genau geändert hat: vier Pflichtbereiche

Artikel 50 begründet Transparenzpflichten für vier verschiedene Szenarien. Von den Produkten, die Sie Ihren Kunden ausliefern, fällt vermutlich mehr als eines in diese Bereiche.

1. KI-Systeme mit direkter Mensch-Interaktion

KI, die direkt mit einer Person interagiert – Chatbot, Sprachassistent, automatisierte Anruf-/Callsysteme – muss diese Person darüber informieren, dass sie mit einer künstlichen Intelligenz interagiert. Eine Ausnahme greift nur, wenn dies für eine verständige Person aus dem Kontext offensichtlich ist; sich in der Praxis auf diese Ausnahme zu verlassen, ist riskant.

2. KI-generierte oder manipulierte Inhalte

Synthetisch erzeugte oder veränderte Inhalte einschließlich Text, Bild, Audio und Video müssen maschinenlesbar gekennzeichnet und als KI-generiert/-verändert erkennbar sein. Dies ist die technische Pflicht auf Seiten des Anbieters (Provider).

3. Emotionserkennung und biometrische Kategorisierung

Eine Einrichtung, die ein System zur Emotionserkennung oder zur biometrischen Kategorisierung einsetzt, muss die davon betroffenen natürlichen Personen über die Funktionsweise des Systems informieren. Die Pflichten aus der DSGVO gelten dabei parallel weiter.

4. Deepfakes und im öffentlichen Interesse veröffentlichter KI-Text

Ein Betreiber (Deployer), der einen Deepfake erstellt, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Ebenso muss KI-generierter Text, der zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht wird, klar gekennzeichnet werden (abgesehen von begrenzten Ausnahmen wie einer redaktionellen menschlichen Kontrolle).

Chatbot- und Sprachassistenten-Hinweis: wohin, wie und warum die AGB nicht ausreichen

Genau hier beginnt der häufigste Fehler von Agenturen. Sie nehmen einen Chatbot in Betrieb, fügen den Nutzungsbedingungen (AGB) oder der Datenschutzerklärung den Satz „Teile unserer Leistungen können durch künstliche Intelligenz erbracht werden" hinzu und halten die Compliance damit für erledigt. Das ist unzureichend.

Der Geist von Artikel 50 lautet: Der Hinweis muss in der Interaktion selbst und im jeweiligen Moment wahrnehmbar sein. Die konkreten Kriterien:

  • Eine im Vertrag oder in den AGB versteckte Klausel genügt nicht. Eine Offenlegung, die in einem Dokument vergraben ist, das niemand liest, gilt nicht als „Information des Nutzers".
  • Die vage Bezeichnung „Assistent" genügt nicht. Wenn im Chatfenster nur „Support-Assistent" steht, informiert das den Gegenüber nicht eindeutig darüber, dass er mit einer KI spricht. Die Bezeichnung muss klar zum Ausdruck bringen, dass es sich um ein automatisiertes/KI-basiertes System handelt.
  • Der Hinweis muss zu Beginn der Interaktion erscheinen – vor oder gleichzeitig mit der ersten Nachricht des Nutzers; bei Sprachassistenten muss er zu Beginn des Anrufs akustisch gegeben werden.

In der Praxis besteht die richtige Architektur darin, in die Chatbot-Oberfläche eine dauerhafte und sichtbare Hinweisschicht zu integrieren: eine Formulierung wie „Dieser Chat wird von einer künstlichen Intelligenz geführt", die fest im Chat-Header verankert und in der Begrüßungsnachricht wiederholt wird. Diese Schicht muss kanalunabhängig sein und für Web-Widget, WhatsApp und Sprachkanal jeweils separat umgesetzt werden.

Für Agenturen, die einen Claude-basierten Support-Flow über WhatsApp betreiben, ist diese Hinweisschicht ein kleiner, aber verpflichtender Compliance-Baustein, der der bestehenden Infrastruktur hinzugefügt werden muss. Die technischen Grundlagen dieser Architektur behandeln wir im Beitrag WhatsApp Business Cloud API und Kundensupport mit Claude; die AI-Act-Hinweisschicht in den dort beschriebenen Flow einzufügen, ist ein konkretes Beispiel dafür, wie sich Compliance unsichtbar ausliefern lässt.

Maschinenlesbare Kennzeichnung KI-generierter Inhalte: warum ein Wasserzeichen allein nicht ausreicht

Das zweite große Missverständnis liegt in der Inhaltskennzeichnung. Viele Teams setzen einen sichtbaren Hinweis „Mit KI erstellt" in die Ecke eines Bildes oder fügen der Datei ein Metadaten-Tag hinzu und halten die Sache damit für erledigt. Was Artikel 50 Abs. 2 verlangt, geht tiefer.

  • Ein Metadaten-Wasserzeichen allein reicht nicht. Einfache Metadatenfelder gehen beim Kopieren, bei Screenshots, beim Re-Encoding oder beim Hochladen auf eine Plattform leicht verloren. Die Pflicht verlangt, dass die Kennzeichnung zuverlässig, interoperabel und wirksam ist.
  • Maßstab der Pflicht sind die technische Machbarkeit und die Branchenstandards. Deshalb wird in der Praxis ein auf C2PA / Content Provenance gestützter, kryptografisch signierter, an die Datei gebundener und überprüfbarer Kennzeichnungsansatz gewählt.
  • Die Kennzeichnung muss in die Produktions-Pipeline eingebettet und darf nicht der manuellen Nachkennzeichnung nach der Auslieferung überlassen werden. Jede Pipeline, die Bild, Video und Audio erzeugt, muss die Provenance-Daten automatisch in dem Moment hinzufügen, in dem der Output entsteht.

Die richtige Lösung besteht darin, in Ihren Content-Produktions-Flow eine C2PA-/maschinenlesbare Kennzeichnungs-Pipeline einzubauen: Jeder synthetische Output verlässt die Pipeline mit einem signierten Manifest, das das erzeugende Modell, den Erstellungszeitpunkt und die Bearbeitungshistorie enthält. Das stellt einerseits die AI-Act-Compliance sicher und macht andererseits die Herkunft der Inhalte belegbar – was die Markenglaubwürdigkeit stärkt.

Deepfake: Kennzeichnung „auch ohne Absicht"

Bei der Deepfake-Pflicht ist die Feinheit, die Agenturen übersehen, folgende: Die Kennzeichnungspflicht hängt nicht von einer Täuschungsabsicht ab. Auch ein realistisches synthetisches Bild/Video, das Sie für eine Kampagne zu vollkommen legitimen, humoristischen oder kreativen Zwecken erzeugt haben, fällt unter die Definition eines Deepfakes, sofern es einer realen Person/einem realen Ort/einem realen Ereignis ähnelt – und die künstliche Natur des Inhalts muss klar offengelegt werden.

Das betrifft Werbe- und Content-Agenturen unmittelbar: mit KI erzeugte „realistische" Werbebilder, synthetische Moderatoren in Produktdemos, mit Stimmklonung erstellte Voiceovers – alles fällt in den Anwendungsbereich. Die Offenlegung muss bei der ersten Darstellung des Inhalts und in wahrnehmbarer Form erfolgen. Zudem ist zu betonen: Open-Source-Modelle sind keine Ausnahme, und dass ein System nicht hochriskant ist, nimmt Sie nicht aus dem Anwendungsbereich von Artikel 50 heraus. Die Transparenzpflichten erfassen – unabhängig von der Risikoklassifizierung – nahezu jeden, der synthetische Inhalte erzeugt.

Warum das eine Agentur außerhalb der EU betrifft: extraterritorialer Anwendungsbereich

Die häufigste und gefährlichste Annahme lautet: „Wir sitzen außerhalb der EU, eine EU-Verordnung bindet uns nicht." Das ist falsch. Der AI Act hat eine extraterritoriale Wirkung. Ausschlaggebend ist nicht, wo Ihr Unternehmen niedergelassen ist, sondern wo der KI-Output genutzt wird.

  • Wenn Sie für Kunden, die auf dem EU-Markt tätig sind, Chatbots, KI-Inhalte oder Deepfakes erzeugen, sind Sie im Anwendungsbereich.
  • Besonders Agenturen mit Sitz außerhalb der EU, die den deutschen (DE) Markt bedienen, sind das typische Beispiel: Der Kunde ist in der EU, der Endnutzer ist in der EU, der Output wird in der EU genutzt. Dass die Agentur etwa in Istanbul oder Zürich sitzt, begründet keine Befreiung.
  • Wenn der Output oder das Ergebnis des Systems von Personen innerhalb der EU genutzt wird, beseitigt die Tatsache, dass die Produktion außerhalb der EU stattfindet, die Pflicht nicht.

Der Satz „Wir sind nicht in der EU" ist also keine Verteidigung, sondern ein Risikoindikator. Eine Agentur, die heute KI-Output auf dem EU-Markt bereitstellt, muss die Compliance-Verantwortung tragen – entweder selbst oder gemeinsam mit ihrem Kunden.

Anbieter oder Betreiber? Die Abgrenzung Provider vs. Deployer muss im Vertrag geklärt werden

Der AI Act verteilt die Pflichten auf zwei Rollen, und in der Beziehung zwischen Agentur und Kunde ist häufig unklar, wem diese Rollen zufallen. Diese Unklarheit ist im Fall einer Prüfung oder Beschwerde die teuerste Lücke.

  • Anbieter (Provider): die Partei, die das KI-System entwickelt/in Verkehr bringt. Technische/produktionsseitige Pflichten wie die maschinenlesbare Kennzeichnung von Inhalten liegen überwiegend hier.
  • Betreiber (Deployer): die Partei, die das KI-System in eigener Verantwortung einsetzt. Nutzungsseitige Pflichten wie der Chatbot-Hinweis, die Deepfake-Offenlegung oder die Aufklärung über Emotionserkennung liegen überwiegend hier.

Wenn eine Agentur einen Chatbot entwickelt und dem Kunden ausliefert, ist in den meisten Szenarien die Agentur Anbieter und der Kunde Betreiber; betreibt die Agentur das System jedoch im eigenen Namen, können sich die Rollen ändern. Deshalb muss in jedem Agentur-Kunden-Vertrag klar festgehalten werden, wer für welche Pflicht aus Artikel 50 verantwortlich ist. Bei der Wahl, wem Sie welche Lösung anbieten, bestimmt diese Rollenverteilung die technische Architektur und die Verantwortungsgrenzen zugleich; einen ähnlichen Entscheidungsrahmen können Sie sich analog zu unserem Ansatz im Vergleich von Individualsoftware und Standardsoftware vorstellen.

Bußgeldtabelle: der Preis der Non-Compliance

Das für Transparenzverstöße nach Artikel 50 vorgesehene Bußgeld ist erheblich:

  • 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Dieses Bußgeld ist sowohl für eine kleine Agentur als auch für einen großen Unternehmenskunden abschreckend; und die umsatzbasierte Berechnung kann bei großen Unternehmen die 15 Millionen Euro leicht übersteigen. Compliance ist kein „Nice-to-have", sondern eine geschäftliche Notwendigkeit.

Dringende Compliance-Checkliste: Inventar + Gap-Analyse

Konkrete Schritte, mit denen Sie heute beginnen:

  1. Erstellen Sie ein KI-Produktinventar. Listen Sie alle KI-Systeme auf, die Sie an Kunden ausliefern und intern nutzen: Chatbots, Sprachassistenten, Bild-/Video-/Audio-Produktions-Pipelines, Kampagnen mit Deepfakes, Werkzeuge zur Emotionserkennung/Biometrie.
  2. Ordnen Sie jedes Produkt den vier Pflichtbereichen zu. Welches Produkt interagiert mit Menschen, welches erzeugt synthetische Inhalte, welches enthält Deepfakes, welches verarbeitet Biometrie?
  3. Führen Sie den Datumstest durch. Wurde das Produkt vor dem 2. August 2026 in Verkehr gebracht? Nur für bestehende generative Systeme gilt bei der Kennzeichnung nach Abs. 2 eine Übergangsfrist bis zum 2. Dezember 2026; der Rest gilt bereits heute.
  4. Führen Sie eine Gap-Analyse durch. Ist der Chatbot-Hinweis in der Interaktion sichtbar oder in den AGB vergraben? Ist die Inhaltskennzeichnung C2PA-basiert und dauerhaft oder handelt es sich um verlorengehende Metadaten? Werden Deepfakes offengelegt?
  5. Aktualisieren Sie die Verträge. Schreiben Sie die Rollen Provider/Deployer und die Pflichtenverteilung in jeden Kundenvertrag.
  6. Richten Sie einen Prüfpfad ein. Wer hat wann welchen Hinweis gesehen, welcher Inhalt wurde wie gekennzeichnet – halten Sie das in einem DSGVO-konformen Audit-Trail fest.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Ihre konkrete Situation sollten Sie eine individuelle Bewertung durch einen Rechtsberater einholen.

Die Architektur, um Compliance unsichtbar auszuliefern

Die Kernaussage lässt sich in einem Satz zusammenfassen: Es genügt nicht, KI zu betreiben; ab dem 2. August 2026 muss man sie rechtskonform ausliefern. Und Sie müssen das tun, während Sie Ihre autonomen Workflows ausbauen. Beim Aufsetzen eines KI-Agenten oder eines Automatisierungs-Flows die Transparenzschicht zu einem natürlichen Bestandteil der Architektur zu machen, ist deutlich gesünder, als sie nachträglich anzuflicken; diese Logik können Sie als Erweiterung der Design-Disziplin verstehen, die wir in unserem Beitrag Was ist ein KI-Agent und autonome Workflows erörtern.

Eine Architektur, die Compliance unsichtbar ausliefert, umfasst folgende Brücken:

  • Chatbot-Hinweisschicht – sichtbare KI-Offenlegung in der Interaktion selbst über Web-, WhatsApp- und Sprachkanäle.
  • C2PA-/maschinenlesbare Content-Kennzeichnungs-Pipeline – ein signiertes, dauerhaftes Provenance-Manifest für jeden synthetischen Output.
  • Compliance-Schicht für bestehenden WhatsApp- + Claude-Support – Hinweis und Protokollierung, die hinzugefügt werden, ohne laufende Flows zu stören.
  • DSGVO-Audit-Trail – ein überprüfbares Protokoll der Hinweis- und Kennzeichnungsereignisse.

Partnerfy: liefert konforme KI unter Ihrer Marke, in Ihrem Namen

Partnerfy ist der unsichtbare Technologiepartner von Agenturen und großen Unternehmen. Die AI-Act-konforme Chatbot-Hinweisschicht, die C2PA-basierte Content-Kennzeichnungs-Pipeline, die Compliance-Aktualisierung der WhatsApp- + Claude-Support-Flows und den DSGVO-Audit-Trail bauen wir als White-Label auf; das Produkt bleibt unter Ihrer Marke und innerhalb Ihrer Kundenbeziehung. Sie bleiben beim Kunden, wir tragen die Compliance-Last. Es genügt nicht, KI zu betreiben; ab dem 2. August muss man sie rechtskonform ausliefern – und das übernehmen wir in Ihrem Namen.

Um die AI-Act-Compliance der KI-Produkte, die Sie ausliefern, gemeinsam zu prüfen, planen Sie ein Gespräch. Lassen Sie uns Ihr Inventar erstellen, die Gap-Analyse gemeinsam durchführen und die Compliance unsichtbar in Ihre Marke einfügen.