AI Act ab 2. August: Transparenz vor Hochrisiko

Am 2. August 2026 greifen die Transparenzpflichten nach Artikel 50 der KI-Verordnung. Die Europäische Kommission beginnt über das AI Office mit nationalen Behörden die Durchsetzung der Transparenz- und GPAI-Pflichten. Für CIO, CDO und Digitalverantwortliche in DACH-Großorganisationen zählt das vor allem als Deployer-Pflicht bei Chatbots, Agenten und öffentlichkeitswirksamem KI-Content.

VerwandtKI-Verordnung: bis zu 3 Prozent vom Konzernumsatz  /  Model-Harness statt Modell-Ehe: Wer steuert die KI-Kette?

Transparenz greift vor der Hochrisiko-Welle

Laut Pressemitteilung IP/26/1714 der Europäischen Kommission starten AI Office und nationale Behörden am 2. August 2026 die Durchsetzung des AI Act. Am selben Tag greifen die Transparenzpflichten aus Artikel 50. Für Digitalverantwortliche verschiebt sich der operative Druck damit nach vorn: Viele Organisationen betreiben bereits Kundenchatbots, interne Agenten, Emotionserkennung oder öffentlichkeitswirksame KI-Texte und fallen als Deployer unter die neuen Regeln, bevor die zentrale Hochrisiko-Compliance greift.

Was sind Transparenzpflichten nach Artikel 50? Artikel 50 der KI-Verordnung verlangt, dass Menschen erkennen können, wenn sie mit einer KI sprechen oder KI-erzeugte Inhalte sehen. Dazu zählen Hinweise bei Chatbots, maschinenlesbare Kennzeichnung synthetischer Medien und Offenlegung bei Deepfakes. Die Pflichten gelten für Anbieter und Betreiber.

Der AI Omnibus hat die Anwendung der Hochrisiko-Regeln – unter anderem zu Anhang III – auf den 2. Dezember 2027 verschoben. Für Hochrisiko-KI in regulierten Produkten gilt der 2. August 2028. Transparenz und GPAI-Durchsetzung bleiben jedoch auf dem August-2026-Fahrplan. Wer die Verschiebung als Puffer für das gesamte Portfolio missversteht, riskiert Lücken genau dort, wo Aufsicht und Marktüberwachung zuerst ansetzen.

Zusätzlich gelten ab dem 2. Dezember 2026 neue Verbote zu KI-Systemen, die nicht-einvernehmliche sexuell explizite Inhalte und Missbrauchsmaterial erzeugen. Der Fahrplan bis 2028 ist damit gestaffelt: zuerst Transparenz und GPAI, dann weitere Verbote, später Hochrisiko. Portfolio-Steuerung heißt hier, Stichtage den konkreten Use Cases zuzuordnen statt auf ein einziges Compliance-Datum zu warten.

Deployer-Rolle trifft CIO und CDO direkt

Deployer im Sinne des AI Act sind laut Kommissions-FAQ zu Artikel 50 natürliche oder juristische Personen, Behörden, Agenturen oder sonstige Stellen, die ein KI-System unter ihrer Autorität nutzen. Ausgenommen ist die rein private nicht-berufliche Nutzung. Die juristische Person bleibt Deployer, auch wenn Freelancer oder Contractor die Systeme betreiben. Für DACH-Großorganisationen bedeutet das: Auslagerung an Agenturen, Shared-Service-Center oder IT-Dienstleister entbindet nicht von der Deployer-Verantwortung, solange die Systeme unter der eigenen Autorität laufen.

Die Pflicht, Interaktion mit KI offenzulegen, greift nur bei vier kumulativen Kriterien: Es handelt sich um ein KI-System, es liegt echte Zweiweg-Interaktion vor, die KI kommuniziert direkt und die Gegenstelle sind natürliche Personen. Rein hintergrundseitige Prozesse oder reine Maschinen-zu-Maschinen-Kommunikation fallen danach außerhalb dieser Offenlegungspflicht. Die Abgrenzung ist für Inventar und Rollenklärung entscheidend, weil sie bestimmt, welche Chatbots, Voicebots und Agenten-Interfaces im Scope von Artikel 50 Absatz 1 liegen.

Provider- und Deployer-Rollen können in einer Lieferkette nebeneinander liegen. Wer Modelle einkauft, sie in eigene Kanäle einbettet und unter eigener Marke betreibt, ist oft Deployer – und muss Kennzeichnung, Redaktionsprozesse und Nachweise steuern, auch wenn der Modell-Anbieter eigene GPAI-Pflichten erfüllt. Rollenklärung mit Einkauf, Legal, Marketing und Kundenkanälen gehört damit auf die Agenda der Digitalverantwortlichen, bevor Aufsichtsfragen eintreffen.

Kennzeichnung verlangt mehr als einen Disclaimer

Nach Angaben der Kommission müssen Chatbots und andere interaktive KI-Systeme, die unter Artikel 50 fallen, kenntlich machen, dass Nutzerinnen und Nutzer mit einer KI interagieren. Deepfakes sind zu labeln; KI-generierte oder -veränderte Inhalte brauchen maschinenlesbare Markierungen. Nutzer müssen von Beginn der ersten Interaktion klar und unterscheidbar sowie barrierearm informiert werden. Die Ausnahme, wonach die KI-Natur „offensichtlich“ sei, ist eng auszulegen – optische Nähe zu menschlichen Interfaces ersetzt die Offenlegung nicht.

Bei Deepfakes trifft Deployer die Pflicht zur Offenlegung spätestens bei der ersten Exposition. Die Information muss klar und ohne technische Hilfsmittel erkennbar sein; eine rein maschinenlesbare Provider-Markierung genügt dafür nicht. Parallel umfassen Kennzeichnungspflichten laut Kommission unter anderem Bild, Audio und Video bei Deepfakes, Emotionserkennung und biometrische Kategorisierung sowie Text zu Themen von öffentlichem Interesse ohne menschliche redaktionelle Verantwortung. Für Kommunikations-, HR- und Kundenkanäle entsteht daraus ein durchgängiger Redaktions- und Freigabeprozess.

Laut Kanzleianalyse gilt Artikel 50 ab dem 2. August 2026 für alle erfassten Systeme unabhängig vom Markteintrittsdatum. Vor dem Stichtag veröffentlichtes Material muss nicht rückwirkend gelabelt werden. Für Markierung und Detektion bereits am Markt befindlicher Systeme bleibt der operative Fokus auf dem laufenden Output und auf Interfaces, die ab dem Stichtag genutzt werden. Inventar und Freigabeprozesse sollten deshalb nach Live-Systemen und Archivbestand trennen.

GPAI-Durchsetzung und Code of Practice

Das AI Office darf ab dem Stichtag die Regeln für Anbieter von General-Purpose-AI-Modellen durchsetzen, einschließlich systemischer Risiken wie Cyber-Offensive, Kontrollverlust und Manipulation. Alle GPAI-Anbieter müssen bestimmte Informationen dokumentieren und an Behörden sowie Downstream-Anbieter liefern, eine Copyright-Policy vorhalten und eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen. Für Unternehmen, die GPAI-Modelle in Produkte und Prozesse einbinden, wird die Lieferanten-Dokumentation zum Steuerungsinstrument: ohne belastbare Informationen von Upstream steigen Deployer-Risiken im eigenen Portfolio.

Die Kommission hat eine erste Liste mit mehr als 180 Organisationen veröffentlicht, die den Code of Practice on transparency of AI-generated content unterzeichnet haben. Unterzeichner erhalten nach verfügbaren Einordnungen eine gewisse Konformitätsvermutung und eine günstigere Enforcement-Haltung; Nicht-Unterzeichner stehen unter schärferer Prüfung. Für Einkauf und Vendor Management lohnt die Prüfung, ob strategische Anbieter den Kodex mittragen – als Signal für Reife und Kooperationsbereitschaft gegenüber Aufsicht, nicht als Ersatz eigener Deployer-Kontrollen.

Die Durchsetzung der Transparenzregeln und verbotener Praktiken ist zwischen AI Office, nationalen Behörden und dem Europäischen Datenschutzbeauftragten (EDPS) für EU-Institutionen aufgeteilt. Großorganisationen mit EU-weiten Kanälen und gemischten Betriebsmodellen müssen deshalb mit parallelen Ansprechpartnern und Nachweisformaten rechnen. Einheitliche interne Dokumentation spart Reibung, wenn mehrere Behörden denselben Sachverhalt aus unterschiedlichen Rollen betrachten.

Sanktionen und Nachweisbarkeit auf Vorstandsebene

Für Verstöße gegen die Transparenzpflichten drohen Unternehmen laut Kommission Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes – je nachdem, was höher ist. Für EU-Institutionen gilt ein Rahmen bis 750.000 Euro; bei KMU und kleinen Midcaps greift Proportionalität. Konkrete Bußgelder oder Inspektionen unmittelbar nach dem 2. August 2026 sind in den vorliegenden Quellen nicht belegt. Der strategische Punkt für den Vorstand liegt trotzdem klar: Transparenz ist sanktionsbewehrt und ab sofort durchsetzbar, während Hochrisiko-Pflichten zeitlich entzerrt sind.

Nachweisbarkeit heißt inventarisierte Systeme, dokumentierte Rollen (Provider versus Deployer inklusive Dienstleister), freigegebene Kennzeichnungsbausteine und nachvollziehbare Redaktionswege für Deepfakes und öffentlichen KI-Text. Wer Kundeninterfaces, HR-Tools mit Emotionsbezug oder contentstarke Generativsysteme betreibt, braucht eine klare Ownership zwischen Digital, Legal, Compliance, Marketing und den Fachbereichen. Die Aufsicht fragt nach der Autorität über das System – und die liegt bei der Organisation, die es beruflich unter ihrer Kontrolle einsetzt.

Für CIO und CDO in DACH-Großorganisationen ist der August-2026-Stichtag damit kein reines Legal-Thema. Er erzwingt Portfolio-Transparenz, Lieferantensteuerung und Kommunikationsdisziplin, bevor die Hochrisiko-Welle 2027 und 2028 folgt. Wer jetzt Inventar, Rollen und Label-Prozesse schließt, baut die Basis, auf der spätere Hochrisiko-Nachweise aufsetzen können – mit weniger Doppelarbeit und weniger Konflikt zwischen Produktgeschwindigkeit und Aufsichtsfähigkeit.

Häufig gestellte Fragen

Mehr aus dem MBF Media Netzwerk

Bildquelle: KI-generiert (August 2026)