Der AI Act ist da. Was das für ganz normale Unternehmen bedeutet.

Seit gestern gelten die Kennzeichnungspflichten des EU Artificial Intelligence Act. Wer die Schlagzeilen der letzten Wochen gelesen hat, könnte den Eindruck bekommen haben, dass sich damit alles ändert. Bilder mit Wasserzeichen, Texte mit Warnhinweisen, Chatbots mit Warnschildern — die neue Realität. Tatsächlich ist das Bild weit weniger dramatisch. In den allermeisten Fällen ändert sich für ein normales Unternehmen praktisch nichts. Aber ein paar Punkte sollte man wirklich verstanden haben, damit man weder in eine unnötige Rechtsunsicherheit gerät noch am anderen Ende die eigene Verantwortung übersieht.

Ich möchte in diesem Artikel versuchen, das Thema so zu erklären, wie ich es einem Kunden im Gespräch erklären würde — ohne dabei in die typische Compliance-Reflexhaltung zu verfallen, in der man jeden zweiten Satz mit einem juristischen Sternchen versieht, aber auch ohne jene Nachlässigkeit, mit der manche das Thema als bloße Formalie abtun.

First things first

Der AI Act ist nicht ein Gesetz über Kennzeichnung. Er ist ein umfassendes Regelwerk mit vier Kategorien. Die Kennzeichnungspflicht ist der Teil, der öffentlich am meisten diskutiert wird, weil er den größten Kreis an Unternehmen betrifft. Aber es lohnt sich, kurz das ganze Bild zu sehen, bevor man sich auf den Kennzeichnungs-Teil stürzt.

Der Act teilt KI-Anwendungen in vier Risikoklassen. Ganz oben stehen die verbotenen Anwendungen. Dazu gehören Systeme zur staatlichen Sozialbewertung nach chinesischem Vorbild, manipulative KI-Systeme, die menschliches Verhalten unterschwellig steuern, und bestimmte Formen der biometrischen Massenüberwachung. Diese Anwendungen sind in der EU grundsätzlich nicht erlaubt. Für die allermeisten Unternehmen ist das kein Thema, weil man solche Systeme ohnehin nicht baut. Aber der Vollständigkeit halber muss man wissen, dass es diese oberste Verbotszone gibt.

Darunter kommen die sogenannten Hochrisiko-Systeme. Dazu zählen KI-Anwendungen in besonders sensiblen Bereichen: Medizin, kritische Infrastruktur, Personalauswahl, Kreditvergabe, Strafverfolgung, Bildung. Wer als Unternehmen KI in diesen Feldern einsetzt oder gar entwickelt, hat deutlich strengere Auflagen. Dokumentationspflichten, Risikomanagement, menschliche Aufsicht, Datenqualität — die ganze Palette. Auch dieser Bereich betrifft die meisten Betriebe im Alltag nicht direkt. Wer als Handwerksbetrieb einen Chatbot einsetzt, ist nicht im Hochrisiko-Bereich. Wer als Personaldienstleister eine KI-Bewerbungsauswahl einsetzt, sehr wohl.

Dann kommt die Kategorie mit begrenztem Risiko — und hier landet fast jedes Unternehmen, das heute KI-Werkzeuge einsetzt. Chatbots, Bildgeneratoren, Sprachassistenten, textliche Assistenz für Marketing, Angebote oder interne Dokumentation. Für diese Kategorie gilt: Transparenz. Und genau darum geht es bei der viel besprochenen Kennzeichnungspflicht.

Und schließlich gibt es die Kategorie mit minimalem oder gar keinem Risiko. Spam-Filter, Rechtschreibprüfungen, Terminvorschläge. Hier ist alles wie gehabt, keine besonderen Auflagen.

Was seit dem 2. August 2026 gilt

Die neuen Regeln zur Kennzeichnung sind der Teil des AI Act, der die meisten Betriebe berührt. Wichtig ist dabei zu verstehen, dass es nicht darum geht, jeden KI-Einsatz mit einem Warnhinweis zu versehen. Der Gesetzgeber unterscheidet sehr genau zwischen Situationen, in denen Transparenz wirklich nötig ist, und solchen, in denen sie überschießen würde.

Es gibt im Wesentlichen drei Bereiche, in denen ein Kennzeichnungsgedanke greift.

Erstens: Wer mit einer KI spricht, soll das wissen. Das betrifft alle Systeme, bei denen ein Mensch direkt mit einer künstlichen Intelligenz interagiert und das nicht ohnehin offensichtlich ist. Der klassische Fall ist der Chatbot auf einer Firmen-Website. Wenn ich als Kunde nicht sofort erkenne, dass ich mit einem Bot spreche, muss das offengelegt werden. Wenn der Bot aber „Hallo, ich bin der digitale Assistent von Firma X” sagt, ist die Sache klar und niemand braucht einen zusätzlichen Warnhinweis. Der Test ist immer: würde ein durchschnittlicher Kunde erkennen, dass hier eine KI antwortet? Wenn ja, ist gut. Wenn nein, muss man es sagen.

Zweitens: Bilder, Videos und Audio-Inhalte, die täuschend echt wirken, müssen kenntlich gemacht werden. Das ist der Kernbereich, an den die Gesetzgebung mit Blick auf Deepfakes und synthetische Medien gedacht hat. Wer ein realistisch wirkendes Bild einer Person erzeugt oder verändert, wer ein Video erstellt, das eine echte Situation vortäuscht, wer eine Stimme klont, damit sie wie ein realer Mensch klingt — für all diese Fälle gibt es eine Kennzeichnungspflicht. Das gilt zusätzlich auch für maschinenlesbare Metadaten. Das bedeutet: nicht nur ein Hinweis am Bildrand für den Menschen, sondern auch eine technische Markierung, die Plattformen und Prüfsysteme lesen können.

Interessant ist dabei der Begriff „täuschend echt”. Er ist im Gesetz nicht scharf definiert, und die Wirtschaftskammer Österreich weist zurecht darauf hin, dass das im Einzelfall zu Unsicherheiten führen kann. Eine offensichtlich stilisierte Illustration ist nicht täuschend echt, auch wenn sie von einer KI kommt. Ein Bild, das aussieht wie eine echte Fotoreportage von einem Ereignis, das nicht stattgefunden hat, ist es sehr wohl. Dazwischen liegt eine Grauzone, für die es keine zentrale Prüfstelle gibt. Das Risiko der Einschätzung liegt beim Anwender. In der Praxis heißt das: im Zweifel eher kennzeichnen als nicht.

Drittens: KI-generierte Texte zu öffentlichen Themen, die ohne menschliche Prüfung veröffentlicht werden. Das ist der Punkt, an dem die meisten Verwirrungen entstehen. Muss ich jetzt jeden LinkedIn-Post, für den ich ChatGPT als Ideengeber verwende, kennzeichnen? Die Antwort ist meistens: nein. Die Kennzeichnungspflicht greift dann, wenn ein KI-Text automatisiert und ohne redaktionelle Kontrolle veröffentlicht wird, und wenn er sich mit Themen von öffentlichem Interesse befasst. Also klassischerweise bei automatisch generierten Nachrichten, bei politischen Beiträgen aus KI-Fabriken oder bei automatisierten Kommentar-Kampagnen. Wer als Unternehmer einen Marketing-Text mit KI vorschreibt, ihn dann liest, anpasst und selbst veröffentlicht, fällt nicht unter die Pflicht. Sobald ein Mensch prüft und verantwortet, entfällt der Kennzeichnungsdruck.

Diese Unterscheidung ist wichtig. Sie schützt normale Kommunikation, in der KI eine Werkzeugrolle spielt. Sie greift dort, wo KI ohne menschliche Zwischenschicht öffentlichen Diskurs beeinflussen könnte.

Wo keine Kennzeichnung nötig ist

Es lohnt sich, die Kehrseite auch klar zu benennen, weil sich sonst rasch der Eindruck einstellt, jeder KI-Einsatz brauche ab jetzt einen Sticker.

Interne Betriebsabläufe bleiben frei. Wenn ich mit KI ein Angebot vorbereite, das ich dann selbst durchgehe und an einen Kunden schicke, muss das nicht gekennzeichnet werden. Wenn ich meine Buchhaltung mit KI-Unterstützung mache, muss ich nicht auf jeder Rechnung einen Hinweis anbringen. Wenn ich einen Vertrag entwerfe, den mein Anwalt prüft, ist das ein normaler Werkzeug-Einsatz. Die Regel ist einfach: nicht täuschend echt, mit menschlicher Kontrolle, nicht direkte Kundeninteraktion — dann ist keine Kennzeichnung nötig.

Trotzdem kann eine freiwillige Kennzeichnung sinnvoll sein. Das ist mein persönlicher Rat. Ein kurzer Hinweis wie „Dieser Beitrag wurde mit Unterstützung von KI erstellt” ist billig, ehrlich und schafft Vertrauen. In einer Zeit, in der viele Menschen skeptisch werden, welche Inhalte echt und welche synthetisch sind, wirkt Transparenz stärker als jede geschickte Vertuschung.

Was Unternehmen jetzt konkret tun sollten

Wenn ich das ganze Thema für eine mittelständische Firma zusammenfassen müsste, wäre das meine Checkliste.

Erstens einen kurzen Blick auf die eigenen Kundenkontakte werfen. Gibt es einen Chatbot auf der Website? Wenn ja, ist offensichtlich, dass es ein Bot ist? Falls unklar, einen Hinweis ergänzen. Der Aufwand liegt bei fünf Minuten.

Zweitens die Marketing-Materialien anschauen. Werden Bilder mit KI erzeugt oder stark verändert? Wirken sie täuschend echt oder eindeutig gestaltet? Für die täuschend-echten Fälle einen sichtbaren Hinweis vorsehen. Und wo möglich auch die Metadaten der Datei entsprechend markieren. Für stilisierte oder offensichtlich künstlerische Bilder besteht keine zwingende Pflicht — auch hier gilt der freiwillige Hinweis als Vertrauensplus.

Drittens die eigenen Mitarbeitenden ins Bild setzen. Es gibt keine gesetzliche Schulungspflicht für Standard-Werkzeuge wie ChatGPT oder Canva. Aber es ist sinnvoll, kurz zu klären, welche Tools intern genutzt werden dürfen, was mit Kundendaten passieren darf und was nicht, und wann eine Kennzeichnung angebracht wäre. Ein einfaches Merkblatt reicht in den meisten Fällen aus.

Viertens wenn man tatsächlich in einem Hochrisiko-Bereich unterwegs ist — Personal, Medizin, Finanzen, kritische Infrastruktur — dann ist das ein eigenes Thema, das man mit fachlicher Unterstützung angehen sollte. Für diese Fälle reicht ein Blog-Artikel wie dieser hier nicht aus.

Ich habe den Eindruck, die Kennzeichnungspflicht wird für KI das, was der Cookie-Banner für die DSGVO geworden ist. Am Anfang wurde diskutiert, gewarnt, gerätselt, in vielen Fällen überinterpretiert. Nach zwei Jahren war es Alltag. Man klickt sich durch, man weiß, wo man ist. Der ursprüngliche Zweck — informierte Einwilligung — ist dabei teilweise auf der Strecke geblieben, weil aus der Aufklärung Bannerblindheit wurde. Aber im Kern hat die Regel etwas Sinnvolles bewirkt: Bewusstsein.

Bei der KI-Kennzeichnung hoffe ich, dass wir aus den DSGVO-Erfahrungen etwas gelernt haben. Nicht jeder Text braucht einen Warnhinweis. Nicht jeder Chatbot braucht drei Klicks Einleitung. Wichtig ist, dass in den Fällen, in denen Menschen wirklich getäuscht werden könnten, klare Transparenz herrscht. Und dass Unternehmen begreifen, dass Ehrlichkeit im Umgang mit KI nicht Schwäche zeigt, sondern Reife.

Die WKO hat einen guten Praxis-Tipp formuliert, der die ganze Sache auf den Punkt bringt: Ein kurzer Hinweis wie „Dieser Text wurde mit Unterstützung von KI erstellt” reicht in der Regel aus. Man muss keine juristische Meisterschrift für den eigenen Instagram-Post entwickeln.

Wenn Sie mich fragen

Der AI Act ist ein Regelwerk, das versucht, ein sehr großes und sich schnell wandelndes Feld zu bändigen. Manche Formulierungen sind unscharf. Manche Vorgaben werden sich in der Praxis noch anpassen müssen. Der grundlegende Impuls ist aber richtig: die Nutzer und die Gesellschaft sollen erkennen können, wo sie es mit synthetischen Inhalten zu tun haben. Wo eine echte Person spricht und wo ein System. Wo ein Bild abgebildet und wo generiert wurde.

Für die meisten Unternehmen ändert sich im Alltag wenig. Wer ehrlich kommuniziert, wer KI als Werkzeug einsetzt und als solches erkennbar macht, wer nicht mit synthetischen Medien Menschen täuschen will, hat mit dem AI Act kein Problem. Wer es sich zur Gewohnheit macht, KI-Nutzung offen anzusprechen, ist ohnehin auf der sicheren Seite und gewinnt zusätzlich Vertrauen.

Und wenn Sie sich unsicher sind, ob eine bestimmte Anwendung in Ihrem Betrieb kennzeichnungspflichtig ist oder nicht — schreiben Sie mir. Das ist genau die Art von Frage, die sich in einem kurzen Gespräch klären lässt.

Icons und Badges zur freiwilligen Kennzeichnung

Für alle, die ihre KI-genutzten Inhalte freiwillig kennzeichnen möchten, stelle ich hier zwölf verschiedene Bild-Varianten zur Verfügung. Es gibt jeweils eine Version für rein KI-generierte Inhalte und eine für KI-modifizierte Inhalte, in verschiedenen Formen und Größen — von kleinen Icons über Banner bis zu Ecken-Aufklebern. Die Verwendung ist frei, ohne Zuschreibungspflicht. Wenn sie euch nützen, freut es mich.

AI Generated