Verschoben wurde Hochrisiko. Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026 — das müssen Sie als Betreiber wirklich liefern.

Verschoben wurde die Hochrisiko-Frist. Artikel 50 — die Transparenzebene — gilt ab dem 2. August 2026, und der Digital Omnibus hat ihn nicht angetastet. Wenn Ihre KI mit einem Kunden spricht, Ihr Telefon annimmt oder Inhalte erzeugt, die irgendjemanden erreichen, sind Sie ab diesem Datum betroffen. Die Erleichterung: Artikel 50 ist überwiegend eine Frage von Offenlegung und Kennzeichnung, kein Engineering-Programm. Der Haken: „überwiegend“ verbirgt ein paar echte Umsetzungsentscheidungen — und der Teil zur maschinenlesbaren Kennzeichnung hat seinen eigenen Zeitplan.

Das ganze Bild, was sich wohin verschoben hat, steht in Die August-Frist hat sich verschoben. Dieser Beitrag ist das Umsetzungs-Pendant: alles, was Artikel 50 von einem Betreiber verlangt, mit der passenden UI-Formulierung.

Welche Systeme Artikel 50 auslöst

Artikel 50 hat vier Auslöser. Die Aufgabe ist, Ihre eigenen dagegenzuhalten — die meisten Mittelständler treffen einen oder zwei und glauben, sie treffen keinen.

• KI, mit der Menschen interagieren — Art. 50(1). Ein Chatbot, ein Voice Agent, eine KI-Telefonleitung: Die Person am anderen Ende muss erkennen können, dass sie es mit einer Maschine zu tun hat. Wenn Sie einen Support-Bot oder einen automatisierten Anrufer betreiben, sind Sie gemeint.
• Synthetische Inhalte, die Ihre Systeme erzeugen — Art. 50(2). Text, Bilder, Audio und Video, die Ihre Systeme produzieren, müssen maschinenlesbar gekennzeichnet werden, damit nachgelagerte Tools sie als KI-generiert erkennen. Das ist die Kennzeichnungspflicht mit der eigenen Dezember-Uhr, weiter unten.
• Deepfakes für einen Betrachter — Art. 50(4). Wenn Sie Bild, Audio oder Video erzeugen oder verändern, das reale Personen, Orte oder Ereignisse nachbildet, müssen Sie dem Betrachter offenlegen, dass es künstlich erzeugt oder manipuliert ist. Ebenfalls unter 50(4): KI-generierter Text, der die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert, muss offengelegt werden — es sei denn, ein Mensch hat die redaktionelle Verantwortung dafür übernommen.
• Emotionserkennung & biometrische Kategorisierung — Art. 50(3). Wenn Sie ein System betreiben, das Emotionen ableitet oder Menschen anhand biometrischer Daten in Kategorien sortiert, müssen Sie die betroffenen Personen informieren — und dieser Punkt zieht die DSGVO hinter sich her.

Wie eine konforme Offenlegung wirklich aussieht

Die Verordnung verlangt, dass die Information „klar und erkennbar“ ist, „spätestens zum Zeitpunkt der ersten Interaktion oder Exposition“ bereitgestellt wird und barrierefrei ist. Im Produkt heißt das: konkrete Formulierung an konkreter Stelle. Das liefern wir tatsächlich aus.

Ein Chatbot oder Web-Widget. Die Offenlegung gehört in die erste Nachricht und in ein dauerhaftes Label — nicht vergraben in einer verlinkten Richtlinie.

• ✗ „Hallo, ich bin Anna! Wie kann ich heute helfen?“
• ✓ „Sie chatten mit unserem KI-Assistenten. Er beantwortet häufige Fragen und verbindet Sie jederzeit mit einer Kollegin oder einem Kollegen.“ — mit einem kleinen, dauerhaften Label „KI-Assistent“ in der Kopfzeile, damit es auch beim Zurückscrollen sichtbar bleibt.

Ein Voice Agent oder eine KI-Telefonleitung. Die Offenlegung muss hörbar und vorab erfolgen, weil es keine Oberfläche zum Beschriften gibt.

• ✓ Eröffnungssatz: „Hallo — hier ist ein automatisierter Assistent von [Firma]. Ich helfe bei Bestellungen und Terminen oder verbinde Sie mit einer Person. Dieses Gespräch wird ggf. aufgezeichnet.“ Ein Satz deckt die Art.-50-Offenlegung ab; der Aufzeichnungshinweis ist eine separate DSGVO-Pflicht, die mitfährt.

Ein Deepfake oder KI-generiertes Bild im Marketing. 50(4) will, dass der Betrachter Bescheid weiß; 50(2) will, dass eine Maschine Bescheid weiß. Das sind zwei verschiedene Pflichten, und meist brauchen Sie beide.

• ✓ Ein sichtbares Label auf oder neben dem Asset — „KI-generiert“ — plus Provenienz-Metadaten in der Datei (ein C2PA-Manifest oder Äquivalent), damit Plattformen und Erkennungstools es auch dann lesen, wenn die Bildunterschrift entfernt wurde.

Emotionserkennung — z. B. Sentiment-Scoring im Callcenter.

• ✓ „Gespräche können durch automatisierte Systeme auf Tonfall und Stimmung ausgewertet werden — zu Qualitätszwecken.“ — vor oder zu Beginn der Interaktion. Dieser Hinweis erfüllt Art. 50(3); er erfüllt nicht die DSGVO, die ein eigener Stapel ist (dazu unten mehr).

KI-generierter Text, der veröffentlicht wird.

• ✓ Eine Kennzeichnung oder Notiz: „Mit KI erstellt und von unserem Team geprüft.“ Trägt eine benannte Person echte redaktionelle Verantwortung für den Beitrag, erzwingt 50(4) das Label für diesen Text nicht — aber „ein Mensch hat drübergelesen“ ist keine redaktionelle Verantwortung, und der ehrliche, vertrauensbildende Weg ist, es ohnehin offenzulegen.

Maschinenlesbare Kennzeichnung und die Dezember-Schonfrist

Art. 50(2) — erzeugte Inhalte so zu kennzeichnen, dass eine Maschine sie erkennt — ist der eine Teil von Artikel 50 mit echtem Engineering dahinter und der eine Teil mit zusätzlicher Zeit.

Die Pflicht liegt primär beim Anbieter des generativen Systems: Ausgaben müssen in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein, mit Lösungen, die „soweit technisch machbar“ wirksam, interoperabel und robust sind. In der Praxis heißt das eingebettete Provenienz-Metadaten (der C2PA-Standard setzt sich hier durch) und, wo es passt, Wasserzeichen. Reine Standardbearbeitung, die die Eingabe nicht wesentlich verändert, ist ausgenommen.

Zwei Umsetzungsfolgen für einen Betreiber:

1. Wenn Sie auf dem Modell eines anderen aufbauen, ist das eine Beschaffungsfrage. Sie setzen 50(2) nicht selbst um — Sie bestätigen, dass Ihr Anbieter es tut und dass die Kennzeichnung Ihre Pipeline übersteht. Ein Wasserzeichen, das Ihr CMS beim Re-Encoding entfernt, ist keine Compliance.
2. Das sichtbare Label (50(4)) und die maschinelle Kennzeichnung (50(2)) sind nicht austauschbar. Eine Bildunterschrift befriedigt den Betrachter; ein C2PA-Manifest befriedigt den Detektor. Öffentliche Deepfakes brauchen typischerweise beides.

Die ehrliche Reihenfolge lautet also: Offenlegungen jetzt ausliefern (fällig sind sie am 2. August) und das kurze Fenster bis Dezember 2026 nutzen, um die Provenienz-Kennzeichnung auf den generativen Systemen ans Laufen zu bringen, die Sie bereits betreiben — nicht als Grund, das Ganze aufzuschieben.

Wie Artikel 50 mit der DSGVO zusammenspielt

Hier liefern Betreiber am häufigsten eine Mitteilung aus und glauben, sie decke zwei Gesetze ab. Tut sie nicht.

Artikel 50 beantwortet „Habe ich es mit KI / synthetischen Inhalten zu tun?“. Die DSGVO-Artikel 13–14 beantworten „Welche personenbezogenen Daten verarbeiten Sie, auf welcher Grundlage, wie lange, und welche Rechte habe ich?“. Verschiedene Fragen, verschiedene Mitteilungen, beide erforderlich, sobald personenbezogene Daten im Spiel sind. Eine „Ich bin eine KI“-Zeile oben im Chat leistet nichts für die DSGVO; ein Cookie- und Datenschutzhinweis leistet nichts für Artikel 50.

Am härtesten prallen sie bei Emotionserkennung und biometrischer Kategorisierung aufeinander. Emotionen abzuleiten oder Menschen nach biometrischen Merkmalen zu sortieren, ist eine Verarbeitung besonderer Kategorien nach Art. 9 DSGVO — zusätzlich zum Hinweis nach Art. 50(3) brauchen Sie also in der Regel eine Rechtsgrundlage nach Artikel 9 und eine Datenschutz-Folgenabschätzung (DSFA), und im Beschäftigungskontext liegt die Latte noch höher. Der Art.-50-Hinweis ist die leichten 10 % dieser Pflicht; die DSGVO-Prüfung sind die anderen 90 %.

Das saubere Muster ist, die beiden zu schichten: eine kurze, klare KI-Transparenzzeile am Interaktionspunkt, die auf die ausführlichere Datenschutzerklärung mit den DSGVO-Details verlinkt. Die eine nimmt die andere nicht in sich auf.

Die Ein-Seiten-Checkliste

Es gibt eine druckfreundliche Fassung dieser Checkliste — A4, schwarzweißsicher —, falls Sie sie lieber denen in die Hand geben, die Bots und Marketing-Assets verantworten.

1. 01

   Jede nach außen gerichtete KI inventarisieren

   Listen Sie jedes KI-System, das mit einer Person interagiert oder Inhalte erzeugt, die eine erreichen: Support-Bots, Voice Agents, Lead-Antwort-Automatisierungen, Marketing-Content-Generatoren, Sentiment-Tools. Rein interne Modelle, die nie einem Kunden, Partner oder der Öffentlichkeit begegnen, fallen weitgehend aus Artikel 50 — aber seien Sie streng damit, was als „intern“ zählt.

   ⏱ Ein halber Tag

2. 02

   Interaktions-Offenlegung zu jedem Bot und Voice Agent hinzufügen

   Erste Nachricht und ein dauerhaftes Label beim Chat; ein hörbarer Eröffnungssatz bei Sprache. Klare Sprache, bei der ersten Interaktion. Streichen Sie die „ist doch offensichtlich“-Ausrede für alles mit menschlichem Namen oder Persona.

   ⏱ Art. 50(1) — fällig 2. Aug 2026

3. 03

   Deepfakes und KI-Text von öffentlichem Interesse für den Betrachter kennzeichnen

   Sichtbares „KI-generiert“ auf synthetischem Bild/Audio/Video, das reale Personen oder Ereignisse nachbildet, und auf KI-geschriebenem Text von öffentlichem Interesse — es sei denn, eine benannte Person trägt die redaktionelle Verantwortung.

   ⏱ Art. 50(4) — fällig 2. Aug 2026

4. 04

   Bei Emotionserkennung / biometrischer Kategorisierung informieren — dann die DSGVO-Arbeit machen

   Den Art.-50(3)-Hinweis vor der Exposition sichtbar machen. Getrennt davon: eine Rechtsgrundlage nach Art. 9 DSGVO bestätigen und eine DSFA durchführen; im Arbeitskontext prüfen, ob die Nutzung überhaupt zulässig ist, bevor Sie sie bauen.

   ⏱ Art. 50(3) + DSGVO

5. 05

   Maschinenlesbare Kennzeichnung mit Ihren generativen Anbietern bestätigen

   Für jedes System, das Medien erzeugt, prüfen, dass die Provenienz-Kennzeichnung nach Art. 50(2) (C2PA oder Äquivalent) erzeugt wird und Ihre Pipeline übersteht. Bereits laufende Bestandssysteme haben bis zum 2. Dezember 2026 Zeit; neue ab Tag eins.

   ⏱ Art. 50(2) — Schonfrist bis 2. Dez 2026

6. 06

   KI- und DSGVO-Hinweise schichten, nicht verschmelzen

   Eine klare KI-Transparenzzeile am Interaktionspunkt, die auf die vollständige Datenschutzerklärung verlinkt. Keine der Mitteilungen ersetzt die andere. Benennen Sie einen Verantwortlichen, der das Inventar und die Hinweise aktuell hält, wenn neue Tools hinzukommen.

   ⏱ Laufend

Wo Sie wirklich stehen

Die meisten Betreiber, mit denen wir sprechen, sind bei der Offenlegung näher an der Konformität, als sie fürchten, und bei Kennzeichnung und DSGVO weiter entfernt, als sie denken. Die Offenlegungen sind ein Nachmittag Text und ein paar UI-Änderungen; die maschinenlesbare Kennzeichnung ist ein Anbietergespräch; der Emotionserkennungs-Pfad ist der, der still eine DSFA verlangt. Wenn Sie nicht sicher sind, welche der vier Auslöser Sie treffen, ist genau das die Frage, die das Inventar beantwortet.

Oleks baut die technischen Kontrollen — Provenienz-Kennzeichnung, Logging, das technische Fundament, das aus einer Offenlegung etwas Echtes macht; ich übernehme die Klassifizierung und die DSGVO-Überlagerung. Zusammen decken wir sowohl den Satz in der Oberfläche als auch die Unterlagen dahinter ab.