Art. 50 KI-VO seit August 2026: Was Rechtsabteilungen jetzt kennzeichnen müssen

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung (Verordnung (EU) 2024/1689) unmittelbar in allen Mitgliedstaaten der Europäischen Union. Wer KI-Systeme entwickelt oder einsetzt, die mit Menschen interagieren oder Inhalte erzeugen, muss diese Tatsache offenlegen und bestimmte Ergebnisse kennzeichnen. In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG, BGBl. 2026 I Nr. 223) in Kraft; die Bundesnetzagentur ist damit zentrale Marktüberwachungs-, Anlauf- und Beschwerdestelle. BaFin und das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) haben den Stichtag in ihren Pressemitteilungen vom 29. Juli 2026 ausdrücklich benannt.

Für Rechtsabteilungen in Deutschland, Österreich und der Schweiz mit EU-Bezug ist das weniger ein juristisches als ein organisatorisches Thema. Die Rechtsfragen des Artikels 50 sind überschaubar. Aufwendig ist die Frage, welche KI-Systeme im eigenen Haus überhaupt laufen und wer für sie antwortet. Dieser Beitrag ordnet beides: was Artikel 50 verlangt, wovon die Pflicht im Einzelfall abhängt, und wie ein Betriebs-Check aussieht, den Sie in wenigen Wochen durchziehen können.

Was ist Artikel 50 der KI-Verordnung?

Artikel 50 der Verordnung (EU) 2024/1689 bildet den Kern der Kennzeichnungspflicht KI in der Transparenzregelung der KI-Verordnung. Er verlangt, dass Menschen erfahren, wenn sie mit einem KI-System interagieren, und dass bestimmte KI-erzeugte Inhalte entsprechend gekennzeichnet werden, ohne etwas zu verbieten oder als Hochrisiko einzustufen. Er gilt seit dem 2. August 2026.

Was Artikel 50 verlangt

Artikel 50 regelt Transparenz, nicht Zulässigkeit. Er verbietet nichts und stuft nichts als Hochrisiko ein. Er verlangt, dass Menschen erkennen können, womit sie es zu tun haben. Vier Konstellationen stehen dabei im Vordergrund.

Erstens die Interaktion. Wer ein KI-System bereitstellt, das unmittelbar mit natürlichen Personen interagiert, muss dafür sorgen, dass diese Personen darüber informiert werden, dass sie mit einem KI-System sprechen. Das gilt nicht, wenn es aus Sicht einer verständigen Person ohnehin offensichtlich ist. Praktisch betrifft das den Dialogassistenten auf der Website, den automatischen Erstkontakt im Serviceposteingang und alles, was sich für den Gegenüber wie ein Gespräch anfühlt.

Zweitens die maschinenlesbare Markierung erzeugter Inhalte. Wer ein KI-System anbietet, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, muss die Ergebnisse in einem maschinenlesbaren Format so markieren, dass sie als künstlich erzeugt oder verändert erkennbar sind. Diese Pflicht trifft die Anbieterseite und ist eine technische, keine redaktionelle: Sie wird im System gelöst, nicht im Text.

Drittens die Offenlegung bei Deepfakes und bei veröffentlichten Texten. Wer ein KI-System einsetzt, um Bild-, Ton- oder Videomaterial zu erzeugen oder zu verändern, das einen Deepfake darstellt, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Ähnliches gilt für KI-erzeugte oder KI-veränderte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, der Inhalt wurde einer menschlichen Prüfung unterzogen und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung dafür.

Viertens die Information bei Emotionserkennung und biometrischer Kategorisierung. Wer solche Systeme betreibt, muss die betroffenen Personen darüber informieren.

Zwei Dinge sind dabei für die Praxis wichtiger, als sie auf den ersten Blick wirken. Die Information muss spätestens bei der ersten Interaktion oder Exposition erfolgen, klar und unterscheidbar — ein Hinweis, der erst in Absatz vier der Datenschutzerklärung auftaucht, erfüllt das nicht. Und die Verordnung kennt Ausnahmen, etwa für unterstützende Funktionen, die die Eingabedaten nicht wesentlich verändern, sowie für gesetzlich zugelassene Zwecke der Strafverfolgung und für künstlerische oder satirische Werke. Ob eine Ausnahme greift, ist eine Einzelfallfrage und sollte dokumentiert beantwortet werden, nicht stillschweigend unterstellt.

Anbieter oder Betreiber: Wovon Ihre Pflicht abhängt

Der häufigste Fehler bei der ersten Befassung mit Artikel 50 ist die Annahme, das Thema betreffe nur Softwarehersteller. Die Verordnung unterscheidet zwischen Anbietern und Betreibern, und beide Rollen kommen im selben Haus vor — oft am selben Tag.

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet. Ein Unternehmen, das ein zugekauftes System einsetzt, ist zunächst Betreiber. Es kann aber in die Anbieterrolle rutschen, etwa wenn es das System unter eigenem Namen bereitstellt oder es wesentlich verändert.

Diese Zuordnung entscheidet über die Art der Pflicht. Die maschinenlesbare Markierung erzeugter Inhalte liegt bei der Anbieterseite. Die Offenlegung gegenüber der konkret betroffenen Person liegt typischerweise bei der Betreiberseite, also bei Ihnen. Daraus folgt eine sehr konkrete Aufgabe für die Rechtsabteilung: Prüfen Sie, was Ihre Anbieter vertraglich zusagen. Wenn Ihr Anbieter die Markierung nicht leistet, können Sie sie in der Regel nicht nachholen — Sie können nur entscheiden, ob Sie das System weiterhin für diesen Zweck einsetzen. Die entsprechende Zusage gehört daher in den Vertrag oder in die Auftragsverarbeitungs- und Leistungsanlagen, nicht in ein späteres Prüfprotokoll.

Der Betriebs-Check für die Rechtsabteilung

Der praktische Teil beginnt nicht mit einer Richtlinie. Er beginnt mit einer Liste, und diese Liste existiert in den meisten Häusern noch nicht — nicht aus Nachlässigkeit, sondern weil die betroffenen Systeme selten als KI-Projekt eingeführt wurden. Sie kamen als Zusatzfunktion in einer bereits genutzten Anwendung, als Testlauf im Marketing, als kleine Verbesserung im Bewerbungsprozess. Genau diese Bestandssysteme sind der Kern des Themas.

Ein Ablauf, der sich bewährt hat, umfasst sechs Schritte.

1. Bestand erheben. Fragen Sie fachbereichsweise ab, wo heute ein KI-System eine Person außerhalb der Rechtsabteilung erreicht: Website, Kundenservice, Marketing, Personalgewinnung, Vertrieb, interne Portale. Fragen Sie dabei nicht nach „KI”, sondern nach Funktionen: automatische Antworten, Textvorschläge, Zusammenfassungen, Bild- oder Videobearbeitung, Sprachausgabe, Bewertung von Freitextangaben. Der Begriff „KI” führt in Fachbereichen verlässlich zu falschen Verneinungen.

2. Rolle zuordnen. Halten Sie je System fest, ob Sie Anbieter oder Betreiber sind, und woraus sich das ergibt. Notieren Sie den Anbieter, die Vertragsgrundlage und die Person, die den Einsatz fachlich verantwortet.

3. Auslöser prüfen. Klären Sie je System, welche der vier Konstellationen einschlägig ist: Interaktion mit Personen, Erzeugung synthetischer Inhalte, Deepfake oder veröffentlichter Text, Emotionserkennung oder biometrische Kategorisierung. Häufig ist es keine, und auch dieses Ergebnis gehört dokumentiert.

4. Hinweis formulieren und platzieren. Wo eine Pflicht besteht, entscheiden Sie über Wortlaut, Zeitpunkt und Ort. Der Hinweis muss vor oder bei der ersten Interaktion sichtbar sein, in der Sprache des Angebots, und er darf nicht in allgemeinen Bedingungen verschwinden. Ein kurzer, verständlicher Satz ist besser als eine juristisch vollständige Passage, die niemand liest.

5. Nachweis sichern. Halten Sie fest, wer welche Einordnung wann getroffen hat und auf welcher Grundlage. Die Verordnung verlangt für Artikel 50 keine förmliche Dokumentation in der Form, wie sie für Hochrisikosysteme vorgesehen ist. In einer Auseinandersetzung mit einer Aufsichtsbehörde oder einem Wettbewerber ist der Unterschied zwischen „wir haben das geprüft” und einem datierten Vermerk mit Namen aber erheblich. ASD.Digital Solutions hat einen vergleichbaren Schritt bereits vollzogen: aus Einschätzungen, die je nach Bearbeiter schwankten, wurde eine strukturierte, dokumentierte Entscheidungslogik.

6. Wiedervorlage festlegen. Bestimmen Sie, wer die Liste pflegt und wann sie erneut angefasst wird — mindestens bei jeder neuen Anwendung, bei jedem Anbieterwechsel und bei jeder wesentlichen Funktionsänderung eines bestehenden Systems.

Der Schritt, an dem solche Vorhaben am häufigsten scheitern, ist nicht der erste, sondern der sechste. Eine einmal erhobene Liste ist nach zwei Quartalen überholt, wenn ihre Pflege an einer Person und an deren Kalender hängt. Wo Offenlegung und Dokumentation als fester Schritt in dem Prozess liegen, der ohnehin läuft (als eigener Knoten, der erledigt sein muss, bevor es weitergeht), überlebt sie den Personalwechsel. Mit e! lassen sich solche Abläufe, einschließlich der wiederkehrenden Prüfung selbst per Zeitplan, ohne Programmierung selbst bauen und ändern.

Wer zuständig ist, und was bei Verstößen droht

Ansprechpartner in Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur. Sie ist nach dem KI-MIG zentrale Marktüberwachungsbehörde sowie Anlauf- und Beschwerdestelle für die KI-Verordnung. Daneben besteht eine sektorale Fachaufsicht: Im Finanzbereich überwacht die BaFin KI-Systeme, die in direktem Zusammenhang mit regulierter Finanztätigkeit stehen. KI im Personalmanagement bleibt ausdrücklich bei der Bundesnetzagentur — eine Zuordnung, die für Rechtsabteilungen mit Bewerbungssystemen unmittelbar relevant ist.

Der Sanktionsrahmen der Verordnung selbst steht in Artikel 99. Verstöße gegen die Transparenzpflichten des Artikels 50 sind dort mit Geldbußen von bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bewehrt, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Wie die Behördenpraxis in Deutschland aussehen wird, ist im Herbst 2026 noch offen; die Aufsichtsarchitektur ist erst wenige Wochen alt.

Realistisch betrachtet ist das Bußgeld für die meisten Häuser nicht das erste Risiko. Wahrscheinlicher ist, dass die Frage von außen kommt — von einer Kundin, einem abgelehnten Bewerber, einem Wettbewerber oder einer Verbraucherorganisation. Wer dann innerhalb eines Tages sagen kann, welche Systeme im Einsatz sind, wer sie verantwortet und warum ein Hinweis gegeben oder nicht gegeben wurde, behält die Sache in der Hand. Wer erst mit der Erhebung beginnt, verhandelt bereits unter Druck.

Häufig gestellte Fragen

Seit wann gilt Artikel 50 der KI-Verordnung?

Die Transparenzpflichten aus Artikel 50 der Verordnung (EU) 2024/1689 sind seit dem 2. August 2026 anwendbar. Dieses Datum ergibt sich aus der gestuften Anwendbarkeit der Verordnung und wurde sowohl von der BaFin als auch vom BMDS in ihren Pressemitteilungen vom 29. Juli 2026 ausdrücklich benannt. Die Verordnung selbst ist bereits 2024 in Kraft getreten; ihre Pflichten greifen jedoch in mehreren Stufen. Für Rechtsabteilungen bedeutet das: Systeme, die vor dem 2. August 2026 eingeführt wurden, sind nicht ausgenommen, sondern fallen ebenso unter die Transparenzpflichten, sobald sie eine der geregelten Konstellationen erfüllen.

Muss unsere Rechtsabteilung jeden KI-generierten Text kennzeichnen?

Nein. Artikel 50 verlangt keine flächendeckende Kennzeichnung jedes KI-unterstützt entstandenen Textes. Interne Entwürfe, Aktenvermerke, Recherchenotizen und Schriftsatzvorbereitungen sind von der Offenlegungspflicht für veröffentlichte Texte nicht erfasst. Die Pflicht knüpft an die Veröffentlichung zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse an, und sie entfällt selbst dort, wenn der Inhalt einer menschlichen Prüfung unterzogen wurde und eine identifizierbare Person oder Organisation die redaktionelle Verantwortung trägt. Für die typische Arbeit einer Rechtsabteilung ist der praktisch relevantere Auslöser deshalb nicht der eigene Text, sondern der Kundendialog und die Bewerbungsstrecke.

Was ist der Unterschied zwischen Markierung und Offenlegung?

Die Markierung nach Artikel 50 ist eine technische Pflicht der Anbieterseite: Erzeugte Inhalte müssen in einem maschinenlesbaren Format als künstlich erzeugt oder verändert erkennbar sein, etwa durch eingebettete Kennungen oder Wasserzeichen. Die Offenlegung ist eine kommunikative Pflicht, die typischerweise die Betreiberseite trifft: Der betroffene Mensch muss verstehen, dass er mit einem KI-System spricht oder einen künstlich erzeugten Inhalt sieht. Beide Pflichten können denselben Sachverhalt betreffen und müssen dennoch getrennt geprüft werden. Ein System kann seine Ausgaben technisch korrekt markieren, während der Hinweis an die Nutzerin fehlt, und umgekehrt.

Wer ist in Deutschland zuständig, wenn eine Beschwerde eingeht?

Zentrale Anlauf- und Beschwerdestelle ist die Bundesnetzagentur. Sie ist nach dem KI-MIG, das am 29. Juli 2026 in Kraft getreten ist, Marktüberwachungsbehörde für die KI-Verordnung in Deutschland. Für KI-Systeme im direkten Zusammenhang mit regulierter Finanztätigkeit übernimmt die BaFin die Aufsicht. KI-Systeme im Personalmanagement bleiben bei der Bundesnetzagentur. Praktisch empfiehlt es sich, im Haus vorab zu klären, wer Schreiben einer Aufsichtsbehörde entgegennimmt, wer sachlich antwortet und wer den Systembestand kennt, denn in vielen Organisationen sind das drei verschiedene Rollen.

Genügt ein Hinweis in der Datenschutzerklärung?

In aller Regel nicht. Die Verordnung verlangt, dass die Information spätestens bei der ersten Interaktion oder Exposition erfolgt und dabei klar und unterscheidbar ist. Ein Satz, der nur in einem verlinkten Dokument steht, das die betroffene Person vor dem Gespräch nicht öffnet, erfüllt diese Anforderung nicht. Der Hinweis gehört an die Stelle, an der die Interaktion beginnt, in der Sprache des Angebots und in einer Formulierung, die ohne juristische Vorkenntnisse verständlich ist. Die Datenschutzerklärung bleibt daneben relevant, ersetzt den Hinweis aber nicht.

Wir setzen KI nur intern ein. Betrifft uns Artikel 50 überhaupt?

Möglicherweise nicht, aber die Prüfung lohnt sich trotzdem, und zwar aus zwei Gründen. Erstens ist die Grenze zwischen internem und externem Einsatz in der Praxis unschärfer, als sie in der Planung wirkt: Ein internes System, dessen Ausgaben in Kundenkorrespondenz, Stellenausschreibungen oder Bescheide fließen, wirkt nach außen. Zweitens ist die Bestandsaufnahme, die Artikel 50 erzwingt, ohnehin die Grundlage für die weiteren Stufen der Verordnung, insbesondere für die Einordnung von Hochrisikosystemen. Wer die Liste jetzt erstellt, arbeitet nicht nur für Artikel 50.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 50 und Artikel 99; Anwendungsbeginn der Transparenzpflichten: 2. August 2026
• BaFin, Pressemitteilung vom 29.07.2026 zur KI-Verordnung (Stufenplan): https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Pressemitteilung/2026/pm_2026_07_29_ki_verordnung.html
• BMDS, Pressemitteilung 47/2026 vom 29.07.2026, „Neues KI-Gesetz tritt in Kraft”: https://bmds.bund.de/aktuelles/pressemitteilungen/detail/neues-ki-gesetz-tritt-in-kraft
• Bundesnetzagentur, Pressemitteilung vom 29.07.2026: https://www.bundesnetzagentur.de/1112336
• KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22.07.2026, BGBl. 2026 I Nr. 223, in Kraft seit 29.07.2026: https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html

Dieser Beitrag gibt einen allgemeinen Überblick zum Stand 10. September 2026 und ersetzt keine Prüfung des Einzelfalls.