EU AI Act: Stichtag 2. August – Die KI-Kennzeichnung kennt keine Verschnaufpause

Brüssel gewährt im Rahmen einer Überarbeitung des AI Acts der Industrie bei Hochrisiko-KI mehr Zeit. Bei der Pflicht, KI-generierte Bilder, Videos und Texte zu kennzeichnen, bleibt es dagegen beim 2. August 2026. Was Anbieter und Anwender jetzt wissen müssen. Noch bevor die KI-Verordnung vollständig anwendbar ist, rudert der europäische Gesetzgeber bereits in mehreren Punkten zurück. Mit dem sogenannten Digital Omnibus on AI hat die EU-Kommission den Rotstift an ihrem eigenen KI-Gesetz angesetzt. Das Paket, das nicht zuletzt auf die vielen anhaltenden Klagen über zu viel Bürokratie reagiert, soll die Anwendung des Gesetzes vereinfachen und strecken. Mehr Zeit für Hochrisiko-Systeme Das Herzstück der zeitlichen Entlastung betrifft die Regelungen zur Beurteilung von Hochrisiko-KI. Ursprünglich sollten die strengen Pflichten für Hochrisiko-Systeme, von der KI im Bewerbungsverfahren bis zur biometrischen Erkennung, bereits ab dem 2. August 2026 greifen. Angesichts der erheblichen damit verbundenen Compliance-Anforderungen kam man berechtigterweise zu dem Schluss, dass kaum ein Unternehmen diese innerhalb der knappen Frist umsetzen kann. Das Ergebnis sind zwei neue Stichtage: Hochrisiko-Systeme nach Anhang III müssen die Vorgaben erst ab dem 2. Dezember 2027 erfüllen, also rund 16 Monate später als geplant. In diesen Bereich fallen beispielsweise die Vorgaben für die Nutzung von KI im Bereich der Personalabteilungen oder bei Bildungsträgern und Versicherungen. Für KI, die als Sicherheitskomponente in regulierten Produkten wie Medizingeräten oder Maschinen steckt, verschiebt sich der Termin vom ursprünglich vorgesehenen 2. August 2027 auf den 2. August 2028. Hinzu kommen kleinere Anpassungen, etwa ein neues Verbot von sogenannten Nudifier-Apps. Die Kennzeichnungspflicht bleibt Bei all dem Aufschub geht eine wichtige Botschaft leicht unter: Die Transparenzpflichten aus Artikel 50 der KI-Verordnung bleiben unverändert. Sie gelten wie geplant ab dem 2. August 2026. Wer einen Chatbot betreibt, KI-Bilder und Texte produziert oder synthetische Videos ausspielt, darf also nicht mit mehr Zeit rechnen und sollte sich schleunigst auf die Anforderungen vorbereiten. Dies gilt insbesondere für die Betreiber von KI-Systemen, also alle Unternehmen oder Freiberufler, die KI im geschäftlichen Umfeld nutzen. Eine einzige zeitliche Änderung für den Bereich Kennzeichnung betrifft die Anbieter generativer Systeme, also die OpenAIs und Anthropics dieser Welt. Diese müssen für eine zusätzliche technische Kennzeichnung von Ergebnissen künstlicher Intelligenz sorgen, haben dazu nun aber bis zum 2. Dezember 2026 Zeit, also vier Monate länger. Wie die Kennzeichnungspflicht für Betreiber wie für Anbieter konkret aussieht, ergibt sich aus dem Code of Practice on Transparency of AI-Generated Content, den das KI-Büro der EU am 10. Juni 2026 nach langen Diskussionen endlich in finaler Fassung vorgelegt hat. Der Verhaltenskodex ist kein Gesetz, niemand muss sich an ihn halten. Wer ihn umsetzt, steht gegenüber den Aufsichtsbehörden aber auf der sicheren Seite. Die Behörden werten die Umsetzung als Beleg dafür, dass ein Anbieter oder Betreiber die Transparenzpflichten erfüllt. Eine hundertprozentige Garantie ist das trotzdem nicht. Landet ein Streit vor Gericht, kann ein Richter eine konkrete Kennzeichnung anders beurteilen als der Kodex. Was Anbieter technisch leisten müssen Der Kodex unterscheidet zwei Welten. Anbieter generativer KI nach Artikel 50 Absatz 2 müssen ihre Ausgaben für ChatGPT und Co. maschinenlesbar markieren, und zwar grundsätzlich in zwei Schichten. Dazu stellt der Kodex allerdings nüchtern fest, dass derzeit keine einzelne Technik alle vier gesetzlichen Anforderungen zugleich erfüllt, nämlich Wirksamkeit, Interoperabilität, Robustheit und Zuverlässigkeit der Kennzeichnung. Die erste Schicht bilden digital signierte Metadaten. In ihnen wird fälschungssicher festgehalten, dass ein Inhalt von KI stammt. Technisch läuft das mutmaßlich auf den Industriestandard C2PA hinaus, auch wenn der Kodex ihn nicht ausdrücklich benennt. Die zweite Schicht ist ein unsichtbares Wasserzeichen, das fest im Inhalt verankert ist und typische Bearbeitungsschritte wie Komprimierung oder Zuschnitt übersteht. Optional dürfen Anbieter zusätzlich auf Fingerprinting oder Logging setzen. Damit niemand die Markierungen ins Leere laufen lässt, müssen Anbieter zugleich kostenlose Werkzeuge zur Erkennung bereitstellen. Bis zum 2. Februar 2027 sollen diese Detektoren zudem interoperabel werden, damit nicht jeder Inhalt gegen jedes proprietäre System geprüft werden muss. Herausfordernde Pflichten für Betreiber Die zweite Welt sind die Betreiber, welche die KI-Inhalte tatsächlich veröffentlichen. Sie trifft nach Artikel 50 Absatz 4 des AI Acts die Pflicht, multimediale KI-generierte Inhalte wie Bilder, Videos oder Musik sichtbar zu kennzeichnen. Gleiches gilt auch für von der Maschine erstellte Texte, soweit diese Themen von öffentlichem Interesse behandeln. Öffentliches Interesse meint gesellschaftlich, politisch oder wirtschaftlich relevante Themen, die sich an die Allgemeinheit richten. Reine Geschäftskommunikation wie Produktbeschreibungen, Marketing-Mails oder interne Berichte fällt nicht darunter und braucht kein Label. Selbst bei Texten von öffentlichem Interesse entfällt die Kennzeichnung, sobald ein Mensch sie redaktionell prüft, freigibt und die Verantwortung trägt. Ein vom Marketing überarbeiteter KI-Blogbeitrag braucht also kein Label, ein vollautomatisch veröffentlichter dagegen schon. Dafür stellt der Kodex ein eigens entwickeltes EU-Icon bereit, das jeder frei verwenden darf. Es zeigt das Kürzel AI und existiert in drei Varianten, darunter ein Label für vollständig generierte Inhalte (AI GENERATED) und eines für nachträglich veränderte Inhalte (AI MODIFIED). Nutzertests zeigten, dass die Kombination aus Symbol und Klartext am besten verstanden wird. Ob es in der Praxis sinnvoll ist, Inhalte noch einmal nach „generated“ und „modified“ zu differenzieren, darf allerdings bezweifelt werden. Vorgaben des EU-KI-Büros zur Kennzeichnung KI-generierter Inhalte. Auch die Platzierung ist genau geregelt. Das Zeichen muss bei der ersten Wahrnehmung erkennbar sein, in den Inhalt eingebettet bleiben und auch ein Weiterteilen oder einen Screenshot überstehen. Bei Videos erscheint es am Anfang und in regelmäßigen Abständen, bei reinem Audio greift ein gesprochener Hinweis, bei Texten steht es nahe der Überschrift. Eine kleine, aber wichtige Ausnahme gibt es noch für den Pressebereich. Hat ein Mensch den KI-Text redaktionell geprüft und trägt eine benannte Person die Verantwortung, entfällt die Kennzeichnungspflicht für veröffentlichte Texte. Pünktlich, aber noch nicht endgültig Bei aller Klarheit der inhaltlichen Vorgaben bleibt ein juristischer Vorbehalt. Der Digital Omnibus ist Stand Juni 2026 immer noch nicht endgültig verabschiedet. Es liegt eine vorläufige politische Einigung vor, die förmliche Bestätigung durch Parlament und Rat steht aber noch aus. Bis dahin gelten die ursprünglichen Fristen rechtlich fort. Wer auf die Verschiebung baut, trägt also ein Restrisiko, sollte das Verfahren wider Erwarten kippen. Für die Kennzeichnung ändert das ohnehin wenig. Sie kommt so oder so am 2. August 2026. Betreiber und Anbieter von KI, die jetzt noch nicht mit der Umsetzung begonnen haben, sollten die verbleibenden Wochen nutzen. Anders als bei der Hochrisiko-KI gewährt Brüssel hier keinen Aufschub. Mehr zu den Pflichten des EU AI Acts erfahrt ihr in unserem Webinar „KI-Verordnung der EU (EU AI Act) – Was jetzt gilt“.

EU AI Act: Stichtag 2. August – Die KI-Kennzeichnung kennt keine Verschnaufpause

heise KI PROKI VERSTEHEN UND ANWENDEN

heise KI PRO
KI VERSTEHEN UND ANWENDEN