EU AI Act Artikel 50 — die Checkliste für Betreiber

Jede nach außen wirkende KI inventarisieren

Listen Sie jedes KI-System auf, das mit einem Menschen interagiert oder Inhalte erzeugt, die einen Menschen erreichen: Support-Bots, Voice Agents, automatische Lead-Antworten, Generatoren für Marketing-Inhalte, Sentiment-Tools. Rein interne Modelle, die nie einem Kunden, Partner oder der Öffentlichkeit begegnen, fallen weitgehend heraus — seien Sie aber streng damit, was „intern“ wirklich heißt. Klassifizieren lässt sich nur, was aufgelistet ist.

Interaktions-Offenlegung bei jedem Bot und Voice Agent ergänzen

Erste Nachricht plus dauerhaftes Label im Chat; hörbarer Eröffnungssatz bei Sprache. Klare Sprache, bei der ersten Interaktion. Streichen Sie die Ausrede „ist doch offensichtlich“ für alles mit menschlichem Namen oder Persona — ein Vorname und ein Winken sind keine Offenlegung. Art. 50(1), fällig 2. August 2026.

Deepfakes und KI-Texte von öffentlichem Interesse kennzeichnen

Sichtbare Kennzeichnung „KI-generiert“ bei synthetischem Bild, Audio oder Video, das reale Personen, Orte oder Ereignisse nachbildet — und bei KI-geschriebenen Texten, die der Information der Öffentlichkeit dienen, sofern nicht ein benannter Mensch die redaktionelle Verantwortung trägt. „Jemand hat drübergelesen“ ist keine redaktionelle Verantwortung. Art. 50(4), fällig 2. August 2026.

Hinweis bei Emotionserkennung und biometrischer Kategorisierung

Bringen Sie den Hinweis vor oder zu Beginn der Interaktion an. Erledigen Sie danach die getrennte, größere Aufgabe: Rechtsgrundlage nach Art. 9 DSGVO klären und eine Datenschutz-Folgenabschätzung durchführen. Im Beschäftigungskontext prüfen Sie zuerst, ob die Nutzung überhaupt zulässig ist, bevor Sie bauen. Art. 50(3) plus DSGVO.

Maschinenlesbare Kennzeichnung mit Ihren Generativ-Anbietern klären

Prüfen Sie bei jedem System, das Medien erzeugt, ob die Provenienz-Kennzeichnung nach Art. 50(2) (C2PA oder gleichwertig) tatsächlich erzeugt wird und Ihre Verarbeitungskette übersteht — ein Wasserzeichen, das Ihr CMS beim Re-Encoding entfernt, ist keine Konformität. Wenn Sie auf einem fremden Modell aufbauen, ist das eine Frage an den Einkauf, nicht an das Engineering. Bereits laufende Systeme haben bis zum 2. Dezember 2026 Zeit; alles Neue kennzeichnet ab Tag eins.

KI- und DSGVO-Hinweise schichten, nicht vermischen

Ein kurzer KI-Transparenzsatz am Ort der Interaktion, verlinkt auf die ausführliche Datenschutzerklärung. Artikel 50 sagt „Sie haben es mit KI zu tun“; Art. 13–14 DSGVO sagen, welche personenbezogenen Daten Sie wozu verarbeiten. Keiner ersetzt den anderen. Benennen Sie eine Person, die das Inventar pflegt, damit es aktuell bleibt, wenn neue Tools dazukommen.