Viele Organisationen nähern sich der KI-Verordnung zunächst über die Frage, ob ein System als Hochrisiko-KI im Sinne von Kapitel III einzustufen ist. Artikel 50 verfolgt jedoch einen anderen Ansatz: Die Transparenzpflichten greifen unabhängig von der Risikoklassifizierung.
Das bedeutet, dass auch KI-Systeme, die nicht unter Anhang III fallen und kein besonderes Risikopotenzial aufweisen, den Anforderungen von Artikel 50 unterliegen können. Bereits die Interaktion mit einer Person oder die Generierung von Texten, Bildern, Audio- oder Videoinhalten kann eine Transparenzpflicht auslösen.
Artikel 50 basiert auf vier eigenständigen Auslösern, die kumulativ nebeneinander bestehen können. Zudem unterscheidet die Verordnung zwischen zwei Verpflichtetengruppen: Anbietern und Betreibern von KI-Systemen. Welche konkreten Pflichten gelten, hängt davon ab, welche Rolle Ihre Organisation im jeweiligen Anwendungsfall einnimmt.
| Absatz | Auslöser | Wer die Pflicht trägt |
|---|---|---|
| Art. 50 (1) | System, das für die direkte Interaktion mit natürlichen Personen bestimmt ist | Anbieter |
| Art. 50 (2) | System, das synthetische Inhalte erzeugt (Text, Bild, Audio, Video) | Anbieter |
| Art. 50 (3) | Emotionserkennung oder biometrische Kategorisierung | Betreiber |
| Art. 50 (4) | Deepfake oder Text, der die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert | Betreiber |
Ein einzelnes KI-System kann gleichzeitig mehrere Absätze des Artikels 50 erfüllen. Ebenso kann eine Organisation in Bezug auf dasselbe System sowohl Anbieter als auch Betreiber sein. Die Rollenbestimmung ist daher der erste Schritt der Compliance: Erst sie macht klar, welche Pflichten auf wen entfallen.
In der Praxis sind drei Konstellationen besonders relevant:
→ Sie entwickeln oder vermarkten das System unter Ihrem Namen: Sie sind Anbieter. Dann gelten für Sie die Pflichten aus Artikel 50 Absätze 1 und 2.
→ Sie nutzen ein KI-System unter eigener Verantwortung: Sie sind Betreiber. Dann gelten für Sie die Pflichten aus Artikel 50 Absätze 3 und 4.
→ Sie integrieren ein Drittmodell in Ihr Produkt und vertreiben es unter eigener Marke: In diesem Fall sind Sie häufig sowohl Anbieter als auch Betreiber.
Eine unklare Rollenverteilung ist keine Grauzone, sondern ein Compliance-Risiko. Ohne klare Zuordnung lässt sich nicht bestimmen, wer welche Pflichten erfüllen muss.
Es gibt eine zentrale Ausnahme: KI-Systeme, die aufgrund einer gesetzlichen Grundlage zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten eingesetzt werden. Voraussetzung sind entsprechende Garantien zum Schutz der betroffenen Personen. Trifft diese Ausnahme auf Ihr System nicht zu, sollte auch dies dokumentiert werden. Die Prüfung und der Ausschluss von Ausnahmen sind Teil einer belastbaren Compliance-Dokumentation.
Entscheidend ist die Zweckbestimmung des Systems, nicht dessen gelegentliche Nutzung. Betroffen sind insbesondere Chatbots, virtuelle Assistenten, Sprachassistenten, Avatare und Telefonbots, aber auch andere Formen der Interaktion, etwa über Bilder, Gesten oder Sensoren.
Die Ausnahme der Offensichtlichkeit ist möglich, muss jedoch nachgewiesen werden. Die Annahme „Jeder erkennt doch, dass es sich um eine KI handelt“ genügt nicht. Dokumentieren Sie, warum Nutzer die KI-Interaktion eindeutig erkennen können.
Dies ist der am häufigsten unterschätzte Auslöser, da viele betroffene Funktionen nicht als generative KI wahrgenommen werden. Automatische Zusammenfassungen, Umformulierungen, Textvervollständigungen, Sprachsynthese oder KI-generierte Illustrationen erzeugen synthetische Inhalte im Sinne von Artikel 50 Absatz 2.
Die Ausnahme für reine Bearbeitungshilfen umfasst beispielsweise Rechtschreibkorrekturen, Rauschunterdrückung, Kontrastanpassungen oder Zuschnitte. Sie gilt jedoch nicht für die Erstellung neuer Inhalte oder für Änderungen, die den Sinn eines Inhalts beeinflussen. Zudem sollte jede Berufung auf diese Ausnahme durch eine dokumentierte Analyse belegt werden.
Hier ist besondere Vorsicht geboten. Bevor Transparenzpflichten geprüft werden, muss festgestellt werden, ob die Nutzung möglicherweise unter die nach Artikel 5 verbotenen Praktiken fällt, insbesondere bei Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Transparenzmaßnahmen können eine verbotene Nutzung nicht rechtfertigen.
Wichtiger Hinweis: Eine reine Sentimentanalyse auf Textbasis fällt nicht unter Artikel 50 Abs. 3, da dabei keine biometrischen Daten verarbeitet werden.
Zwei getrennte Pflichten in einem Absatz.
Ein Deepfake wird anhand seines Täuschungspotenzials definiert, unabhängig von der Absicht des Erstellers. Dazu zählen beispielsweise synthetische Stimmen, Avatare oder KI-gestützte Bearbeitungen von Aufnahmen realer Ereignisse. Auch wenn der Inhalt von einer externen Agentur bereitgestellt wurde, bleibt die Transparenzpflicht bestehen.
Die zweite Pflicht betrifft Texte, die zur Information der Öffentlichkeit veröffentlicht werden, etwa zu den Themen Gesundheit, Sicherheit, Umwelt, Verbraucherschutz, aktuelle Ereignisse oder öffentliches Leben. Gehen Sie daher nicht vorschnell davon aus, dass diese Regelung nur Medienunternehmen betrifft. Auch Unternehmensmitteilungen zu Produktrückrufen, Umweltinformationen oder Präventionskampagnen können darunterfallen. Eine Ausnahme gilt, wenn eine natürliche oder juristische Person die tatsächliche redaktionelle Verantwortung für die Veröffentlichung übernimmt und eine wirksame redaktionelle Kontrolle ausübt.
Zu Artikel 50 Abs. 1: Nutzer müssen vor der ersten Interaktion klar darüber informiert werden, dass sie mit einem KI-System kommunizieren. Der Hinweis sollte während der gesamten Sitzung sichtbar bleiben. Bei automatisierten Telefonanrufen empfiehlt sich eine entsprechende Ansage zu Beginn des Gesprächs. Auch der Wechsel zu einem menschlichen Ansprechpartner sollte kenntlich gemacht werden. Die Informationen müssen verständlich und barrierefrei bereitgestellt werden. Ein Hinweis in den AGB genügt nicht.
Zu Artikel 50 Abs. 2: Die Kennzeichnung KI-generierter Inhalte muss maschinenlesbar sein. Zum Stand der Technik gehören signierte Herkunftsmetadaten (C2PA bzw. Content Credentials), digitale Wasserzeichen sowie kryptografische Fingerprints. Ergänzend sollten Robustheitstests gegen Komprimierung, Zuschnitt und Formatkonvertierungen durchgeführt werden. Idealerweise steht zudem ein Prüfmechanismus für Dritte zur Verfügung. Sichtbare Hinweise für Nutzer sind sinnvoll, ersetzen die technischen Kennzeichnungen jedoch nicht.
Zu Artikel 50 Abs. 3: Betroffene Personen müssen vor der Verarbeitung informiert werden. Je nach Anwendungsfall können zusätzliche Hinweise vor Ort erforderlich sein. Darüber hinaus sind die Anforderungen der DSGVO zu erfüllen, insbesondere eine geeignete Rechtsgrundlage für die Verarbeitung sensibler Daten nach Artikel 9 DSGVO, die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) und gegebenenfalls einer Grundrechte-Folgenabschätzung nach Artikel 27 AI Act. Artikel 50 Abs. 3 ergänzt die DSGVO, ersetzt sie jedoch nicht.
Zu Artikel 50 Abs. 4: Deepfakes und andere kennzeichnungspflichtige Inhalte müssen eindeutig als solche erkennbar sein. Die Kennzeichnung sollte auch bei einer Weiterverbreitung über Drittplattformen erhalten bleiben. Zudem empfiehlt sich ein Freigabeprozess vor der Veröffentlichung sowie ein Verzeichnis der veröffentlichten Inhalte und der zugehörigen Nachweise zur Erfüllung der Transparenzpflichten.
Artikel 50 Abs. 5 legt die allgemeinen Anforderungen fest: Informationen müssen klar, leicht erkennbar und barrierefrei bereitgestellt werden, und zwar spätestens bei der ersten Interaktion oder dem ersten Kontakt mit dem Inhalt. Zu spät eingeblendete, schwer auffindbare oder unzugängliche Hinweise gelten faktisch als nicht erteilt.
Artikel 50 Abs. 6 stellt zudem klar, dass diese Transparenzpflichten zusätzlich zu den Anforderungen des AI Act, der DSGVO und anderer einschlägiger Vorschriften gelten.
Die entscheidende Frage lautet jedoch: Übersteht Ihre Compliance das nächste Release? In der Praxis entstehen Verstöße häufig nicht bei der Erstimplementierung, sondern durch spätere Änderungen. Typische Beispiele sind generative Funktionen, die ohne Neubewertung eingeführt werden, Kennzeichnungen, die bei technischen Anpassungen verloren gehen, oder Transparenzhinweise, die im Rahmen eines Redesigns verschwinden.
Folgende Governance-Maßnahmen haben sich bewährt:
→ Führen Sie ein Register der Transparenzpflichten pro KI-System einschließlich aller Nachweise.
→ Benennen Sie einen Verantwortlichen sowie eine Stellvertretung.
→ Verankern Sie Transparenzanforderungen und Auditrechte in Lieferantenverträgen.
→ Integrieren Sie eine Artikel-50-Prüfung in die Meilensteine des Produktlebenszyklus.
→ Beobachten Sie die Leitlinien und Durchführungsrechtsakte des Europäischen AI Office.
→ Schulen Sie Produkt-, Marketing- und Kommunikationsteams, nicht ausschließlich die Rechtsabteilung
Die Transparenzpflichten nach Artikel 50 gelten unabhängig von der Einstufung als Hochrisiko-KI.
Unauffällige generative Funktionen übersehen.
Auch Zusammenfassungen, Umformulierungen oder Sprachsynthese können die Pflichten aus Artikel 50 Abs. 2 auslösen.
Ausnahmen ohne Dokumentation geltend machen.
Eine Ausnahme, die nicht belegt werden kann, ist im Zweifel nicht nachweisbar.
Sichtbare Hinweise mit maschinenlesbarer Kennzeichnung verwechseln.
Artikel 50 Abs. 2 verlangt eine maschinenlesbare Kennzeichnung KI-generierter Inhalte. Ein sichtbarer Hinweis allein genügt nicht.
Compliance als einmalige Aufgabe verstehen.
Aufsichtsbehörden bewerten nicht nur den Ist-Zustand, sondern die fortlaufende und nachweisbare Einhaltung der Anforderungen.
Dieser Entscheidungsbaum wurde in eine kompakte Checkliste auf zwei Seiten überführt. Sie ermöglicht die systematische Bewertung einzelner KI-Systeme, enthält die relevanten Maßnahmen je Transparenzpflicht und bietet ein Reifegradmodell zur Einschätzung des Umsetzungsstands.
Für den nächsten Schritt steht in Dastra der Fragebogen „KI-Transparenz (Artikel 50)“ bereit: eine geführte Bewertung mit bedingter Fragelogik, Reifegrad-Score und automatisch generierten Maßnahmen. Die daraus abgeleiteten Aufgaben werden direkt in den Aktionsplan übernommen, während alle Nachweise zentral mit der bestehenden Datenschutz- und KI-Compliance-Dokumentation verknüpft bleiben.
[Checkliste zu Artikel 50 herunterladen →]
Dieser Inhalt dient der Information und stellt keine Rechtsberatung dar.
* Sie können sich jederzeit von unserem Newsletter abmelden
