EU AI Act: Was die Transparenzpflichten für Websites und Marketing bedeuten

Seit dem 2. August 2026 sind die Transparenzregeln des EU AI Act anwendbar und durchsetzbar. Betroffen sind nicht nur Technologiekonzerne, sondern auch kleine und mittlere Unternehmen, die einen Chatbot auf der Website betreiben, KI-generierte Bilder in Kampagnen einsetzen oder Texte mit KI-Unterstützung veröffentlichen. Die Pflichten sind überschaubar, aber sie betreffen sichtbare Stellen im Auftritt. Dieser Beitrag ordnet ein, welche Regeln greifen, wen sie treffen und welche Punkte sich ohne großen Aufwand klären lassen. Er ersetzt keine Rechtsberatung, sondern soll die richtigen Fragen vorbereiten.

Website-Oberfläche mit sichtbarem Hinweis auf einen KI-Assistenten

Kernpunkte

  • Wer einen Chatbot betreibt, muss Nutzer spätestens bei der ersten Interaktion erkennbar darauf hinweisen, dass sie mit einem KI-System sprechen.
  • Der AI Act unterscheidet zwischen Anbietern und Betreibern. Die meisten Unternehmen sind Betreiber, können durch eigene Kennzeichnung oder Weiterentwicklung eines Systems aber in die Anbieterrolle rutschen.
  • Deepfakes und veränderte Aufnahmen realer Personen müssen offengelegt werden. Für KI-Texte zu Themen von öffentlichem Interesse gilt das ebenfalls, sofern keine redaktionelle Prüfung stattgefunden hat.
  • In Deutschland ist seit dem 29. Juli 2026 das KI-MIG in Kraft; die Bundesnetzagentur ist zentrale Marktaufsicht und Beschwerdestelle.
  • Die Anforderungen lassen sich als Standardpunkt in Website- und Automatisierungsprojekte aufnehmen, statt sie später nachzurüsten.

Was seit dem 2. August gilt

Der EU AI Act ist bereits 2024 in Kraft getreten, wird aber gestaffelt anwendbar. Der 2. August 2026 ist der Termin, an dem die allgemeine Anwendung einschließlich der Durchsetzung beginnt. Dazu gehören die Transparenzpflichten aus Artikel 50, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die nationalen Aufsichtsstrukturen.

Die Pflichten aus Artikel 50 hängen nicht davon ab, ob ein System als hochriskant eingestuft ist. Sie greifen bei bestimmten Anwendungsarten: Systeme, die direkt mit Menschen interagieren, Systeme, die synthetische Inhalte erzeugen, Emotionserkennung und biometrische Kategorisierung sowie Deepfakes. Genau diese Kategorien kommen in Marketing und Kundenkommunikation regelmäßig vor.

Die umfangreichen Anforderungen an Hochrisiko-Systeme sind dagegen verschoben. Für die eigenständigen Anwendungsfälle aus Anhang III, etwa Bewerberauswahl oder Kreditwürdigkeitsprüfung, gilt der 2. Dezember 2027. Für KI als Sicherheitsbauteil regulierter Produkte nach Anhang I ist der 2. August 2028 vorgesehen.

Team prüft Chatbot, Bildmaterial und Textbausteine einer Website auf Kennzeichnung
Die Pflichten werden dort konkret, wo jemand die eigene Website Element für Element durchgeht: Bot, Bilder, Texte, Formulare.

Anbieter oder Betreiber: Die Rolle entscheidet über die Pflicht

Der AI Act unterscheidet zwischen dem Anbieter, der ein System entwickelt und unter eigenem Namen auf den Markt bringt, und dem Betreiber, der es unter eigener Verantwortung einsetzt. Ein Restaurant mit einem Reservierungsbot, ein Maklerbüro mit einem Exposé-Generator oder eine Praxis mit einem Terminassistenten sind in der Regel Betreiber.

Die technische Kennzeichnung der Ausgaben, also maschinenlesbare Markierungen an generierten Bildern, Audios, Videos und Texten, ist primär Aufgabe des Anbieters. Für Betreiber bleiben die sichtbaren Pflichten: der Hinweis auf den Bot und die Offenlegung bestimmter Inhalte.

Die Grenze ist allerdings durchlässig. Wer ein zugekauftes System unter eigenem Namen oder eigener Marke bereitstellt oder es wesentlich verändert, kann selbst zum Anbieter werden und damit weitergehende Pflichten übernehmen. Für Agenturprojekte heißt das: Die Rollenverteilung zwischen Auftraggeber, Agentur und Toolanbieter gehört vor dem Start geklärt und dokumentiert, nicht danach.

Chatbots müssen als KI erkennbar sein

Wer ein System einsetzt, das direkt mit Menschen interagiert, muss dafür sorgen, dass diese wissen, dass sie mit einer KI sprechen. Der Hinweis muss spätestens bei der ersten Interaktion vorliegen, klar und verständlich formuliert sein und die Anforderungen an Barrierefreiheit erfüllen. Die Pflicht entfällt nur, wenn die Interaktion mit einer KI aus Sicht einer normal informierten Person ohnehin offensichtlich ist.

In der Praxis reicht dafür meist eine Begrüßungszeile im Bot, eine eindeutige Bezeichnung statt eines menschlich klingenden Vornamens ohne Zusatz und ein kurzer Hinweis dort, wo der Bot geöffnet wird. Ein versteckter Satz in der Datenschutzerklärung erfüllt den Zweck nicht.

Sinnvoll ist außerdem ein klarer Übergabepunkt zum Menschen. Wenn Nutzer wissen, dass sie mit einer KI sprechen, wollen viele an einem bestimmten Punkt einen Ansprechpartner. Dieser Weg sollte im Bot sichtbar sein, statt erst nach mehreren Fehlversuchen zu erscheinen.

KI-generierte Inhalte: Was gekennzeichnet werden muss

Anbieter generativer Systeme müssen ihre Ausgaben maschinenlesbar als künstlich erzeugt oder manipuliert markieren. Für generative Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, gilt dafür eine Übergangsfrist bis zum 2. Dezember 2026. Inhalte, die vor dem 2. August 2026 erzeugt und veröffentlicht wurden, müssen nicht nachträglich gekennzeichnet werden.

Für Betreiber ist eine andere Regel entscheidend: Wer Bild-, Audio- oder Videomaterial veröffentlicht, das einen Deepfake darstellt, also existierende Personen, Orte oder Ereignisse täuschend echt nachbildet oder verändert, muss offenlegen, dass der Inhalt künstlich erzeugt oder verändert wurde. Bei offenkundig künstlerischen, kreativen oder satirischen Werken beschränkt sich die Pflicht darauf, die Existenz solcher Inhalte in einer Form auszuweisen, die die Darstellung nicht stört.

Für Texte gilt die Offenlegungspflicht, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Sie entfällt, wenn der Text einer menschlichen Prüfung unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Ein automatisierter Newsfeed ohne Kontrolle fällt darunter, ein redaktionell geprüfter Fachbeitrag in der Regel nicht.

Nicht jedes KI-gestützte Bild ist damit ein Fall für ein Label. Ein generiertes Hintergrundmuster oder eine retuschierte Produktaufnahme ist etwas anderes als eine fotorealistische Szene mit erkennbaren Personen, die so nie stattgefunden hat. Die Einordnung lohnt sich pro Asset, nicht pauschal.

Zuständigkeit in Deutschland und Größenordnung der Sanktionen

Deutschland hat die Umsetzung im KI-Marktüberwachungs- und Innovationsförderungsgesetz geregelt, kurz KI-MIG. Es wurde am 28. Juli 2026 im Bundesgesetzblatt veröffentlicht und trat am Folgetag in Kraft. Die Bundesnetzagentur übernimmt die zentrale Marktaufsicht, ist Beschwerdestelle und koordiniert die Zusammenarbeit mit sektorspezifischen Behörden.

Für Verstöße gegen die Transparenzpflichten sieht die Verordnung Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere der beiden Beträge als Obergrenze.

Praktisch relevanter als die Bußgeldhöhe ist für die meisten Unternehmen die Beschwerdemöglichkeit: Ein fehlender Bot-Hinweis ist von außen sichtbar und leicht zu melden. Das ist ein Argument dafür, die einfachen Punkte zügig zu erledigen.

Ergänzend gibt es Angebote statt nur Auflagen. Die Mitgliedstaaten mussten bis zum 2. August 2026 mindestens eine Reallabor-Umgebung für KI bereitstellen, bei der kleine und mittlere Unternehmen bevorzugten Zugang erhalten sollen. Zur Kennzeichnung generierter Inhalte hat das KI-Büro der Kommission zudem einen freiwilligen Verhaltenskodex veröffentlicht, der einen anerkannten Weg zur Erfüllung der Pflichten beschreibt.

Eine Bestandsaufnahme, die an einem Vormittag machbar ist

Für die meisten Unternehmen ist der erste Schritt keine Rechtsprüfung, sondern eine Liste: Wo läuft im eigenen Auftritt KI mit? Typischerweise sind das der Website-Chatbot, automatisierte Antworten in Messenger und E-Mail, generierte Bilder auf Website und in Social Media, KI-gestützte Texte im Blog sowie Automatisierungen in CRM und Angebotserstellung.

Zu jedem Punkt gehören vier Angaben: Welches System steckt dahinter? Sind wir Anbieter oder Betreiber? Sehen Nutzer einen Hinweis? Wer im Haus ist zuständig? Diese Übersicht deckt die meisten offenen Punkte auf, und sie ist die Grundlage für jedes spätere Gespräch mit Rechtsberatung oder Aufsicht.

Häufig unterschätzt wird die Pflicht zur KI-Kompetenz aus Artikel 4. Sie gilt bereits seit dem 2. Februar 2025, unabhängig von Risikoklasse und Unternehmensgröße, und verlangt, dass Beschäftigte, die KI-Systeme im Namen des Unternehmens einsetzen, deren Funktionsweise, Grenzen und Risiken hinreichend verstehen. Eine dokumentierte interne Einweisung ist dafür ein sinnvoller Anfang.

Wer neue Projekte startet, sollte die Kennzeichnung gleich in die Anforderungen schreiben. Der Aufwand dafür ist im laufenden Projekt gering und im Nachhinein deutlich höher, weil dann Texte, Komponenten und Freigaben erneut angefasst werden müssen.

Transparenz ist auch ein Vertrauenssignal

Die Pflicht lässt sich als Auflage lesen oder als Gelegenheit. Ein sichtbarer Hinweis, dass ein Assistent automatisiert antwortet und wann ein Mensch übernimmt, senkt Erwartungsbrüche und reduziert Beschwerden. Kunden ärgern sich weniger über einen Bot, den sie als Bot erkennen, als über einen, der sich als Mitarbeiter ausgibt und dann an einer einfachen Frage scheitert.

Ähnliches gilt für Bildmaterial. Unternehmen, die offenlegen, wo sie generierte Motive einsetzen und wo echte Aufnahmen stehen, machen den Unterschied zu einem bewussten Qualitätsmerkmal. Gerade in Branchen, in denen Vertrauen zählt, ist das ein Argument und kein Nachteil.

Der Aufwand für die sichtbaren Punkte ist überschaubar. Der eigentliche Wert entsteht, wenn Kennzeichnung, Zuständigkeit und Übergabe an Menschen von Anfang an Teil des Konzepts sind, statt als nachträgliche Ergänzung im Impressum zu landen.

Quellen & weiterführende Links

Bestandsaufnahme für KI im eigenen Auftritt

Wir gehen Website, Chatbot, Bildmaterial und Automatisierungen durch und halten fest, wo ein Hinweis fehlt, wer zuständig ist und was sich direkt beheben lässt.

KI-Automatisierung ansehen

Weiterführend: Chatbot-Agentur Hamburg.