Art. 50 KI-VO in der Praxis: Die 14 wichtigsten Fragen zu Transparenz und Kennzeichnung

KI-Inhalte transparent zu kennzeichnen klingt zunächst einfach – die praktische Umsetzung stellt Unternehmen jedoch vor zahlreiche Einzelfragen. In unserem bereits veröffentlichten Grundlagenbeitrag zu den Transparenz- und Kennzeichnungspflichten nach Art. 50 KI-VO haben wir die zentralen Anforderungen vorgestellt und bereits erste praktische Hinweise für die Umsetzung im Unternehmen gegeben (Jetzt lesen →). 

Dieser Q&A-Beitrag geht nun einen Schritt weiter und beantwortet die wichtigsten Fragen aus der Praxis: Wann muss gekennzeichnet werden? Welche Ausnahmen gibt es? Und welche Maßnahmen sollten Unternehmen jetzt ergreifen?

Wann muss ich offenlegen, dass Nutzer mit einer KI interagieren?

Art. 50 Abs. 1 KI-VO verpflichtet Anbieter interaktiver KI-Systeme, dafür zu sorgen, dass natürliche Personen erkennen können, dass sie mit einem KI-System interagieren. Das Das betrifft etwa Chatbots, virtuelle Assistenten oder automatisierte Dialogsysteme und gilt unabhängig davon, ob die Interaktion intern oder extern stattfindet, solange es sich um eine direkte, unmittelbare Interaktion mit natürlichen Personen handelt.

Eine Ausnahme besteht, wenn die künstliche Natur der Interaktion für ein angemessen informiertes, aufmerksames und verständiges Mitglied des Zielpublikums offensichtlich ist. Für technische Fachkreise oder streng interne Tools kann das im Einzelfall angenommen werden. Ausnahmen sind jedoch tendenziell eng auszulegen.

Der Hinweis muss spätestens bei der ersten Interaktion erfolgen und zudem klar wahrnehmbar und barrierefrei sein. Das Format ist grundsätzlich frei, wobei rein maschinenlesbare Hinweise oder Informationen, die nur in AGB, im Impressum, in Handbüchern oder auf Unterseiten versteckt sind, nicht ausreichen.

Müssen Anbieter jede KI-Ausgabe markieren?

Art. 50 Abs. 2 KI‑VO erfasst synthetische Audio‑, Bild‑, Video‑ und Textinhalte, die durch KI erzeugt oder manipuliert werden und über reine Standardbearbeitung hinausgehen. Aber: Nicht jeder KI-Output ist automatisch kennzeichnungspflichtig. Nach den Leitlinien der EU-Kommission fallen insbesondere folgende Inhalte aus dem Anwendungsbereich:

• reine Standardbearbeitung (Rechtschreibung, Grammatik, einfache Formatierung, Rauschunterdrückung, geringfügige Zuschnitte),
• reine interne Analyseschritte, die Daten nur extrahieren und strukturieren, ohne sie zusammenzufassen oder inhaltlich zu verändern,
• bloße Beobachtungen und Aufzeichnungen von Daten, die nicht als synthetische Inhalte erzeugt oder manipuliert werden,
• sehr kurze technische Outputs und bestimmte Formen von Quellcode, die nicht dazu bestimmt sind, von natürlichen Personen als „Inhalt“ im informationsbezogenen Sinne betrachtet zu werden.

Nach den Leitlinien der EU-Kommission (Rn. 86 f.) können sodann auch bestimmte Outputs aus „industrial AI applications“ oder „business‑to‑business applications“ ausnahmsweise von der Markierungs‑ und Detektionspflicht nach Art. 50 Abs. 2 KI‑VO ausgenommen sein, wenn kumulativ 

1. der Output strikt technischer Natur ist (bspw. Engineering Designs, Predictive Maintenance Outputs o.Ä.), 
2. ihn nur ein begrenzter, vordefinierter Kreis beruflich handelnder Personen wahrnimmt und 
3. keine externe Weitergabe vorgesehen und durch geeignete Vorkehrungen abgesichert ist. Sobald Inhalte extern publiziert oder gegenüber Dritten verwendet werden, greifen jedoch die Markierungspflichten. 

Was genau verlangt die Pflicht zur maschinenlesbaren Markierung und Detektion – und welche technischen Ansätze kommen in Betracht?

Art. 50 Abs. 2 KI-VO verpflichtet Anbieter generativer oder manipulativer KI-Systeme, die Ausgaben ihrer Systeme in zweierlei Hinsicht transparent zu machen: Erstens müssen die Outputs in einem maschinenlesbaren Format markiert werden; zweitens müssen sie detektierbar sein, also erkennbar als KI-generierte oder -manipulierte Inhalte. Beide Elemente sind gleichrangig und müssen kumulativ erfüllt sein. Eine bloße Markierung ohne Detektionsmöglichkeit – oder umgekehrt eine Detektionslösung ohne robuste Markierung – genügt den Anforderungen des Art. 50 Abs. 2 KI-VO nicht.

Mit „maschinenlesbar“ ist gemeint, dass die Markierung so strukturiert ist, dass Software sie automatisiert erkennen, auslesen und auswerten kann, ohne menschliches Zutun. Die Leitlinien und der Code of Practice nennen als zentrale technische Ansätze insbesondere:

• kryptografisch signierte Metadaten / Provenance-Lösungen, bei denen Herkunftsinformationen in Dateien eingebettet und kryptografisch abgesichert werden,
• unsichtbare, robust eingewobene Wasserzeichen im Bild- oder Audiosignal,
• optional ergänzend Fingerprinting- und Logging-Verfahren, bei denen charakteristische Muster oder Hashwerte der Outputs gespeichert und wiedererkennbar gemacht werden.

Da nach dem derzeitigen Stand der Technik kein Einzelverfahren alle Anforderungen („wirksam“, „interoperabel“, „belastbar“, „zuverlässig“) gleichermaßen erfüllt, gehen Leitlinien und Kodex davon aus, dass in der Regel eine Kombination mehrerer Verfahren erforderlich ist („Multi Layer Marking“). 

Zur Detektion verlangt Art. 50 Abs. 2 KI-VO, dass geeignete Mittel bereitgestellt werden, mit denen die Markierungen tatsächlich erkannt und bewertet werden können. Das kann etwa über:

• eine öffentliche oder zumindest zugängliche Detektions-Schnittstelle (API oder Web-Tool),
• oder über integrierte Funktionen in eigenen Produkten und Diensten erfolgen.

Technisch können Unternehmen die Umsetzung im Detail frei gestalten, solange sie nachweisbar Lösungen wählen, die im konkreten Einsatzkontext tatsächlich greifen (wirksam), mit anderen Systemen und Tools interagieren können (interoperabel), gegenüber üblichen Bearbeitungsschritten und Angriffen robust sind (belastbar) und verlässlich zwischen KI-generierten und nicht KI-generierten Inhalten unterscheiden (zuverlässig).

Müssen wir als Anbieter immer selbst markieren – auch wenn wir KI-Komponenten von Drittanbietern einsetzen?

Art. 50 Abs. 2 KI-VO adressiert den Anbieter des Systems, das die synthetischen Inhalte generiert oder manipuliert. Setzt ein Unternehmen ein vorgelagertes KI-Modell eines Dritten ein und bringt darauf ein eigenes generatives KI-System unter eigener Marke in Verkehr oder nimmt es unter eigenem Namen in Betrieb, ist es Anbieter im Sinne der KI-VO.

Unternehmen können sich zwar – soweit vorhanden – auf technische Markierungslösungen des Drittanbieters stützen, ihre eigene Verantwortung bleibt hiervon aber unberührt. In der Praxis sollten Unternehmen daher:

• sich die Markierungs- und Detektionsfähigkeit vertraglich zusichern lassen,
• prüfen, ob die Markierungen in der eigenen Integration erhalten bleiben,
• und die Wirksamkeit der Detektionslösung regelmäßig testen.

Die gleichen Fragen stellen sich auch dann, wenn KI-Systeme „von der Stange“ als White-Label-Lösungen lizenziert und dann unter dem eigenen Unternehmensname in Verkehr gebracht oder in Betrieb genommen werden. Auch hier sind die passenden vertraglichen Regelungen mit dem Entwickler essenziell.

Wann liegt ein „Deepfake“ im Sinne der KI-VO vor?

Ob ein Inhalt als Deepfake im Sinne von Art. 3 Nr. 60 KI-VO einzustufen ist, ist für Betreiber zentral, weil daran die Kennzeichnungspflichten nach Art. 50 Abs. 4 KI-VO anknüpfen. „Deepfake“ meint einen durch KI erzeugten oder manipulierten Bild‑, Ton‑ oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde. Das betrifft klassische Deepfakes ebenso wie realistisch wirkende KI-Bilder oder synthetische Videos in der Werbung.

Die Anforderung, dass der Inhalt einer „wirklichen“ Person, Sache, Einrichtung, einem Ort oder einem Ereignis ähnelt, ist dabei grundsätzlich nicht im engen Sinne zu verstehen, dass die dargestellte Person oder das dargestellte Objekt tatsächlich existieren muss. Nach den Leitlinien genügt es, wenn der Inhalt realistische Subjekte simuliert, die existieren, plausibel existieren oder plausibel existiert haben könnten. Entscheidend ist, dass der Inhalt wie eine Darstellung der realen Welt wirkt und sich nicht offensichtlich außerhalb des physikalisch oder biologisch Möglichen bewegt. Auch wenn Einzelfälle u.E. einen gewissen Spielraum zulassen, ist das Kriterium „wirklich“ grundsätzlich weit zu verstehen.

Es kommt ebenso nicht darauf an, ob eine Täuschungsabsicht besteht. Entscheidend ist, dass der Inhalt einem real wirkenden „Original“ so nahekommt, dass das beabsichtigte Publikum ihn vernünftigerweise für authentisch halten könnte.

Die Leitlinien der Kommission betonen jedoch mehrere Abgrenzungen:

• Inhalte, die erkennbar gegen Naturgesetze verstoßen (z.B. physikalisch unmögliche Szenen, extrem stilisierte Comicfiguren), fallen in der Regel nicht unter die Deepfake-Definition, weil ihnen das Täuschungspotenzial fehlt.
• Technisch künstliche Inhalte (z.B. generische KI-Landschaften, Kunstfilter, stilisierte Avatare), die keinen konkreten realen oder plausibel realen Bezug haben, sind zwar synthetisch, aber nicht zwingend Deepfakes.
• Entscheidend ist auch das vernünftigerweise vorhersehbare Publikum: Ein und derselbe Inhalt kann gegenüber verschiedenen Zielgruppen eine unterschiedliche Deepfake-Relevanz haben.

Typische Beispiele für Deepfakes im Sinne der KI-VO sind:

• ein KI-generiertes Video, in dem eine bekannte Person eine Aussage trifft, die sie nie getätigt hat, wobei Stimme, Mimik und Umgebung realistisch an eine Pressekonferenz oder Fernsehansprache erinnern,
• ein Bild, das eine zwar nicht tatsächlich stattgefundene, aber plausibel erscheinende Szene zeigt, etwa eine Politikerin bei einer vermeintlichen Demonstration oder Rede,
• eine Audioaufnahme mit KI-synthetischer Stimme, die eine reale Person fälschlicherweise bei einem Telefonat zeigt.

Nicht oder nur ausnahmsweise als Deepfakes zu qualifizieren sind demgegenüber etwa:

• deutlich als fiktional oder künstlerisch erkennbare Inhalte (z.B. Filmszenen mit offenkundig überzeichneten Effekten),
• Parodien oder Memes, bei denen aus Sicht eines durchschnittlichen Mitglieds des Publikums klar ist, dass es sich nicht um eine authentische Darstellung handelt,
• rein generische KI-Avatare ohne erkennbaren Bezug zu konkreten Personen oder Ereignissen, sofern kein realistischer Eindruck einer „echten“ Person vermittelt wird.

Grenzfälle ergeben sich vor allem dort, wo der Kontext zwischen „künstlerisch/fiktional“ und „authentisch“ verschwimmt. Die Leitlinien verlangen hier eine einzelfallbezogene Betrachtung des vorgesehenen Publikums, des Veröffentlichungsumfelds und der Realitätsnähe des Inhalts. Ein satirischer Beitrag in einem klar erkennbaren Satireformat kann anders zu bewerten sein als derselbe Clip in einem vermeintlich seriösen Nachrichtenkontext.

In der Praxis empfiehlt es sich, nicht nur die technische Entstehung (KI‑generiert oder manipuliert) zu dokumentieren, sondern auch zu prüfen und zu begründen, ob für das jeweils adressierte Zielpublikum ein realistisches Täuschungspotenzial besteht. Dabei sind Einzelfall und Kontext entscheidend: Maßgeblich sind insbesondere der konkrete Einsatzbereich, die Art der Darstellung, die erwartbare Zusammensetzung des Publikums und dessen typische Erwartungshaltungen.

Wo dieses Täuschungspotenzial für das relevante Publikum bejaht werden muss, ist von einem Deepfake auszugehen – mit den entsprechenden Kennzeichnungspflichten nach Art. 50 Abs. 4 KI‑VO.

Wann und wie genau müssen Betreiber Deepfakes kennzeichnen?

Die Kennzeichnungspflicht für Deepfakes ergibt sich aus Art. 50 Abs. 4 und 5 KI‑VO. Gesetzlich gilt:

• Betreiber eines KI‑Systems, das Bild‑, Ton‑ oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.
• Die Information muss nach Art. 50 Abs. 5 spätestens zum Zeitpunkt der ersten Exposition gegenüber natürlichen Personen bereitgestellt werden und klar, unterscheidbar sowie barrierefrei ausgestaltet sein.

Eine bloß technische Markierung des Inhalts durch den Anbieter (z.B. Metadaten, Wasserzeichen) erfüllt diese sichtbare Betreiberpflicht nicht; sie dient primär der maschinenlesbaren Erkennbarkeit im Sinne von Art. 50 Abs. 2 KI‑VO.

Die Leitlinien der Kommission und der Transparenz‑Kodex konkretisieren, wie diese Anforderungen praktisch erfüllt werden sollen. Sie empfehlen, die Kennzeichnung für Deepfakes und andere KI‑Inhalte in unmittelbarer Nähe des Inhalts anzubringen:

• bei Bild- und Videoinhalten typischerweise durch klar sichtbare Labels oder standardisierte EU‑Icons (z.B. „AI Generated“, „AI Modified“), die direkt im Bild/Video oder im unmittelbaren Sichtbereich angezeigt werden,
• bei Audioinhalten durch einen kurzen, verständlichen Hinweis zu Beginn (ggf. ergänzt um eine visuelle Kennzeichnung im Player oder in der Beschreibung).

Kennzeichnungsorte, die für das Publikum nicht unmittelbar wahrnehmbar sind – etwa allein im Impressum, in allgemeinen Nutzungsbedingungen oder ausschließlich in technischen Metadaten – gelten nach Leitlinien und Kodex ausdrücklich nicht als ausreichend, um die Transparenzpflichten aus Art. 50 Abs. 4 und 5 KI‑VO zu erfüllen.

Gesetzliche Ausnahmen von der Kennzeichnungspflicht bestehen nur in eng begrenzten Fällen. Art. 50 Abs. 4 KI‑VO sieht vor, dass Deepfakes nicht gekennzeichnet werden müssen, wenn ihre Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen ist. Zudem wird die Transparenzpflicht für Deepfakes in „offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder analogen Werken oder Programmen“ abgeschwächt: Hier genügt eine geeignete Offenlegung des Vorhandenseins künstlich erzeugter oder manipulierter Inhalte, die Darstellung oder Genuss des Werks nicht beeinträchtigt. Inhalte, die mangels realistischer Täuschungspotenziale bereits nicht als Deepfakes im Sinne von Art. 3 Nr. 60 KI‑VO einzustufen sind – etwa physikalisch unmögliche Szenen, klar erkennbar fiktionale Fantasy‑Darstellungen oder stark stilisierte Comicfiguren ohne Bezug zur realen Welt –, fallen ebenfalls nicht unter die Kennzeichnungspflicht. 

Wann müssen Betreiber KI-generierte Texte kennzeichnen – und wann nicht?

Art. 50 Abs. 4 KI‑VO sieht eine Kennzeichnungspflicht für KI‑generierte oder KI‑manipulierte Texte vor, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Maßgeblich sind damit drei gesetzliche Kriterien:

• der Text ist (ganz oder teilweise) durch KI erzeugt oder manipuliert,
• der Text wird veröffentlicht,
• Zweck der Veröffentlichung ist die Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse.

Der Begriff „Angelegenheiten von öffentlichem Interesse“ ist unionsrechtlich auszulegen und umfasst Themen, die gesellschaftlich relevant und diskussionswürdig sind – etwa öffentliche Verwaltung und Dienste, Grundrechte (einschließlich Justiz und Strafverfolgung), öffentliche Gesundheit, Umweltschutz, Verbrauchersicherheit sowie wirtschaftliche, politische, wissenschaftliche oder kulturelle Entwicklungen von Belang. Die Aufzählung ist nicht abschließend; reine Unterhaltung sowie Service‑ oder Werbetexte ohne Informationsanspruch fallen demgegenüber regelmäßig nicht darunter.

Aus diesem gesetzlichen Rahmen folgt, dass insbesondere keine Kennzeichnungspflicht nach Art. 50 Abs. 4 KI‑VO besteht für:

• Werbung ohne Bezug zu Angelegenheiten von öffentlichem Interesse,
• Produktbeschreibungen,
• individuelle Beratungen und interne Dokumente,

Die Kennzeichnungspflicht entfällt außerdem, wenn zwei Voraussetzungen kumulativ vorliegen:

• Die KI‑Inhalte haben eine echte menschliche redaktionelle Kontrolle durch fachlich geeignete Personen durchlaufen, und
• eine natürliche oder juristische Person übernimmt die redaktionelle Verantwortung für die Veröffentlichung.

Die Leitlinien stellen klar, dass eine bloß formale Durchsicht, rein automatisierte Prüfungen oder oberflächliche Checks hierfür nicht ausreichen. Erfolgt nach der redaktionellen Freigabe noch ein substantieller KI‑Eingriff – etwa eine wesentliche Umformulierung oder Neu‑Generierung –, lebt die Kennzeichnungspflicht wieder auf.

Reicht ein Hinweis im Quellcode oder in den AGB?

In der Regel nein. Die Kennzeichnung muss klar, unterscheidbar und für den Nutzer ohne Umwege erkennbar sein. Ein Hinweis im Quellcode, in allgemeinen Geschäftsbedingungen oder in einem schwer auffindbaren Untermenü genügt typischerweise nicht.

Die Kennzeichnung muss dort erscheinen, wo der Inhalt wahrgenommen wird. Bei Bildern also am Bild, bei Audio idealerweise zu Beginn der Wiedergabe, bei Video unmittelbar im sichtbaren Bereich. Maßgeblich ist nicht technische Eleganz, sondern praktische Verständlichkeit. 

Gilt die Pflicht auch für Social Media, Newsletter und Landingpages?

Ja, wenn die Inhalte in den Anwendungsbereich fallen. Der Ort der Veröffentlichung ist nicht entscheidend, sondern die Art des Inhalts und die Rolle des Unternehmens. Wer etwa für die Social Media-Seite des Unternehmens realistisch wirkende KI-Bilder, KI-Videos oder Deepfakes einsetzt, muss die Kennzeichnung auch dort sicherstellen.

Das gilt ebenso für Kampagnen-Landingpages, Newsletter oder sonstige öffentliche Kommunikation. Gerade im Marketing sollte geprüft werden, ob ein Inhalt nur kreativ unterstützt wurde oder ob er tatsächlich KI-generiert und damit kennzeichnungspflichtig ist.

Was gilt bei rein interner Nutzung?

Die Frage, ob Art. 50 KI-VO bei rein interner Nutzung greift, ist für Anbieter- und Betreiberpflichten unterschiedlich zu beantworten.

Art. 50 Abs. 2 KI-VO verpflichtet Anbieter generativer oder manipulativer KI-Systeme zur maschinenlesbaren Markierung und Detektion von synthetischen Inhalten. Diese Pflicht knüpft weder an eine Veröffentlichung noch an eine externe Nutzung an, sondern daran, dass das KI-System Audio-, Bild-, Video- oder Textinhalte erzeugt oder manipuliert, die über eine bloße Standardbearbeitung hinausgehen. 

Sobald ein KI-System synthetische Inhalte erzeugt oder manipuliert, die für Menschen wahrnehmbar sind – etwa Bilder, Videos oder Texte, die intern in Präsentationen gezeigt, in internen Newslettern verbreitet oder als Entscheidungsgrundlage in Gremien verwendet werden –, greift Art. 50 Abs. 2 KI-VO grundsätzlich ein. Es spielt aus Sicht des Abs. 2 keine Rolle, ob diese Inhalte nur intern oder auch extern verwendet werden.

Art. 50 Abs. 4 KI-VO unterscheidet für Betreiber sodann zwischen Deepfakes und KI‑Texten:

• KI‑Texte:
  Die Pflicht greift nur für Texte, „die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“. Nach den Leitlinien der EU-Kommission liegt Veröffentlichung nur vor, wenn der Text einer unbestimmten, relativ großen Zahl potenzieller Leser zugänglich ist (z.B. Website, Social Media, Pressemitteilung, öffentlich zugänglicher Newsletter).
  Interne Kommunikation – E‑Mails, Intranet‑Beiträge, interne Rundschreiben, Präsentationen oder Inhalte in internen Kollaborationstools – gilt ausdrücklich nicht als „veröffentlicht“ und fällt daher grundsätzlich nicht unter Art. 50 Abs. 4 S. 2 KI-VO.
• Deepfakes:
  Für Deepfakes verlangt Art. 50 Abs. 4 S. 1 KI-VO eine Offenlegung, wenn Bild‑, Ton‑ oder Videoinhalte als Deepfake erzeugt oder manipuliert werden und Personen zugänglich sind. Ein formaler Veröffentlichungsakt ist hierfür keine zusätzliche Voraussetzung; entscheidend ist die Wahrnehmbarkeit des Deepfakes durch Betroffene bzw. Publikum. Verbleiben Deepfakes strikt in einem internen, eng begrenzten Personenkreis, kann im Einzelfall zu prüfen sein, ob nach Sinn und Zweck der Vorschrift eine zusätzliche Kennzeichnung angezeigt ist.

Wie ist die rein private Nutzung zu behandeln?

Für Anwender von KI gilt eine Ausnahme für die rein private Nutzung. Wer ein KI-System ausschließlich im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet, ist kein Betreiber im Sinne der KI-VO. 

Diese Ausnahme endet jedoch, sobald die Tätigkeit erkennbar wirtschaftlich motiviert ist oder in einem gewerblichen, freiberuflichen oder sonstigen beruflichen Kontext erfolgt, etwa bei Influencer-Tätigkeit mit Einnahmen, nebenberuflichen Agenturleistungen oder regelmäßiger Nutzung im Rahmen eines Unternehmens. 

Der Anbieter bleibt unabhängig davon, ob sein System privat oder beruflich genutzt wird, den Transparenzpflichten aus Art. 50 KI-VO unterworfen.

Gilt Art. 50 KI-VO (auch/nur) für Hochrisiko-KI?

Art. 50 KI-VO ist von der Hochrisiko-Einstufung unabhängig. Die Transparenzpflichten knüpfen nur an bestimmte Nutzungssituationen an. Konkret erfasst sind die direkte Interaktion mit natürlichen Personen, die Erzeugung oder Manipulation synthetischer Inhalte, die Emotionserkennung bzw. biometrische Kategorisierung und die Veröffentlichung von Deepfakes oder bestimmten Texten zu Angelegenheiten von öffentlichem Interesse.

Ein Marketing-Team, das einen gängigen Bildgenerator nutzt, fällt mit der Veröffentlichung der erstellten Bilder regelmäßig unter Art. 50 Abs. 4 KI-VO, ohne dass ein Hochrisiko-System eingesetzt wird. Umgekehrt gilt: Die Erfüllung der Transparenz- und Kennzeichnungspflichten macht einen KI-Einsatz nicht automatisch rechtmäßig. Auch ein ordnungsgemäß gekennzeichneter KI-Einsatz kann weiterhin verboten sein oder als Hochrisiko-KI eingestuft werden.

Was gilt für Open-Source?

Für Art. 50 KI-VO wird grundsätzlich nicht zwischen proprietären und Open-Source-Systemen unterschieden (vgl. Art. 2 Abs. 12 KI-VO). Unter freier und quelloffener Lizenz bereitgestellte KI-Systeme bleiben im Anwendungsbereich des Art. 50 KI-VO, sofern die maßgeblichen Voraussetzungen erfüllt sind. Entscheidend ist, ob das System im konkreten Einsatzszenario:

• direkt mit natürlichen Personen interagiert,
• synthetische Inhalte erzeugt oder manipuliert,
• Emotionserkennung bzw. biometrische Kategorisierung vornimmt,
• oder zur Erzeugung von Deepfakes bzw. einschlägigen Texten zu Angelegenheiten von öffentlichem Interesse verwendet wird, die veröffentlicht werden.

Open Source setzt Pflichten insoweit nicht außer Kraft und begründet auch keine Sonderrechte.

Welche Risiken drohen bei Verstößen?

Neben aufsichtsrechtlichen Folgen einschließlich Bußgelder von bis zu 15 Millionen Euro oder bis zu 3 % des gesamten weltweiten Jahresumsatzes  drohen vor allem wettbewerbsrechtliche Risiken (u.a. Unterlassungs- und Schadensersatzansprüche). Für werbliche Kommunikation ist das besonders relevant, weil unklare oder fehlende Kennzeichnungen schnell als irreführend bewertet werden können.

Hinzu kommt ein Reputationsrisiko. Wer den KI-Einsatz nicht sauber kennzeichnet, riskiert nicht nur juristische Auseinandersetzungen, sondern auch Vertrauensverlust bei Kunden, Nutzern und Geschäftspartnern. Gerade deshalb ist eine klare, frühzeitig umgesetzte Kennzeichnung die wirtschaftlich vernünftigste Lösung.