EU AI Act: Die Artikel-50-Checkliste für Websites (Stand August 2026)

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung. Sie treffen nicht nur KI-Unternehmen, sondern jede Website, die einen Chatbot einbindet, Texte generieren lässt oder synthetische Medien ausspielt.

Diese Checkliste geht die Pflichten in der Reihenfolge durch, in der sie sich abarbeiten lassen. Sie ersetzt keine Rechtsberatung — die Rollenfrage in Schritt 2 kann Ihnen niemand abnehmen.

Was Artikel 50 verlangt

Fünf Pflichten, verteilt auf zwei Rollen:

| Absatz | Wer | Was | |---|---|---| | Abs. 1 | Anbieter | Offenlegen, dass eine Person mit einem KI-System interagiert | | Abs. 2 | Anbieter | Synthetische Ausgaben maschinenlesbar kennzeichnen | | Abs. 3 | Betreiber | Über Emotionserkennung und biometrische Kategorisierung informieren | | Abs. 4 UAbs. 1 | Betreiber | Deepfakes kennzeichnen | | Abs. 4 UAbs. 2 | Betreiber | KI-Texte zu Fragen von öffentlichem Interesse offenlegen |

Absatz 5 regelt die Form für alle: klar, unterscheidbar, spätestens bei der ersten Interaktion — und barrierefrei.

Schritt 1: KI-Dienste inventarisieren

Bevor Sie irgendetwas kennzeichnen, müssen Sie wissen, was auf Ihrer Seite läuft. Erfahrungsgemäß ist das mehr, als die Beteiligten erwarten.

Prüfen Sie im Netzwerk-Tab der Entwicklerwerkzeuge, welche Hosts beim Laden angesprochen werden. Typische Kandidaten:

• LLM-Endpunkte: api.openai.com, api.anthropic.com, generativelanguage.googleapis.com, api.mistral.ai
• Chat- und Assistenz-Widgets: Intercom, Drift, Crisp, Tidio, Zendesk, Botpress, Voiceflow, Chatbase
• Generative Medien: Stability AI, Midjourney-CDN, Replicate, ElevenLabs, Synthesia, HeyGen
• Emotions- und Biometrie-Anbieter: MorphCast, Affectiva, Hume AI, Azure Face API

Vergessen Sie interne Systeme nicht: KI-Funktionen im CMS, im Newsletter-Tool, im Support-Desk. Ein automatisierter Scan sieht nur, was öffentlich erreichbar ist.

Schritt 2: Rolle je System bestimmen

Für jedes gefundene System: Sind Sie Anbieter oder Betreiber?

Betreiber ist der Normalfall — Sie verwenden ein eingekauftes System in eigener Verantwortung.

Anbieter sind Sie, wenn Sie das System entwickelt haben oder unter eigenem Namen in Verkehr bringen. Und — das ist die teure Stelle — nach Art. 25 Abs. 1 werden Sie auch dann zum Anbieter, wenn Sie

1. Ihren Namen oder Ihre Marke auf ein fremdes System setzen,
2. es wesentlich verändern, oder
3. seine Zweckbestimmung ändern.

Ein White-Label-Chatbot mit Ihrem Logo im Interface erfüllt Nummer 1 in der Regel. Dokumentieren Sie Ihre Einordnung mit Begründung.

Schritt 3: Hinweis an die Interaktionsfläche setzen

Für jedes System, das direkt mit Menschen interagiert, gehört ein sichtbarer Hinweis dorthin, wo die Interaktion stattfindet — nicht in die Datenschutzerklärung.

Konkret: eine Zeile im Chat-Header oder als erste Nachricht im Verlauf. Formulierungen, die tragen:

Sie chatten mit einem KI-Assistenten. Für ein Gespräch mit einem Menschen wählen Sie „Mitarbeiter kontaktieren".

Die Ausnahme in Abs. 1 — offensichtlich für eine angemessen informierte Person — ist enger, als sie klingt. Ein Widget, das aussieht wie ein normaler Support-Chat, ist nicht offensichtlich ein KI-System.

Schritt 4: Auf Barrierefreiheit prüfen

Art. 50 Abs. 5 verlangt, dass der Hinweis den Barrierefreiheitsanforderungen entspricht. Der häufigste Fehler in der Praxis: Der Hinweis existiert, sitzt aber in einem Container mit aria-hidden="true", display:none oder der Klasse sr-only in umgekehrter Absicht.

Prüfen Sie mit einem Screenreader oder wenigstens im Accessibility-Tree der Entwicklerwerkzeuge, ob der Hinweis dort ankommt.

Schritt 5: Synthetische Medien maschinenlesbar kennzeichnen

Wenn Sie Anbieter sind und Ihr System Bilder, Audio, Video oder Text erzeugt, verlangt Abs. 2 eine maschinenlesbare Markierung. In der Praxis heißt das C2PA Content Credentials oder das IPTC-Feld digitalSourceType mit dem Wert trainedAlgorithmicMedia.

Ein sichtbares Wasserzeichen genügt nicht — es ist nicht maschinenlesbar.

Achten Sie darauf, dass die Kennzeichnung die Auslieferung überlebt: Viele CDNs und Bildoptimierer entfernen Metadaten beim Re-Encoding. Prüfen Sie die Datei so, wie der Besucher sie bekommt.

Übergangsfrist: Für Systeme, die vor dem 2. August 2026 in Verkehr waren, greift Abs. 2 erst am 2. Dezember 2026.

Schritt 6: Deepfakes und redaktionelle KI-Texte kennzeichnen

Wenn Sie als Betreiber Medien einsetzen, die echten Personen, Orten oder Ereignissen ähneln und als echt durchgehen könnten, ist das ein Deepfake im Sinne von Art. 3 Nr. 60 — und muss als solcher offengelegt werden. Für offenkundig künstlerische oder satirische Werke genügt ein Hinweis, der die Darbietung nicht beeinträchtigt.

Für KI-generierte Texte gilt die Pflicht nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren — und sie entfällt, wenn eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Ein Impressumseintrag „verantwortlich im Sinne des § 18 Abs. 2 MStV" auf der Publikation erfüllt das in der Regel.

Der gewöhnliche Unternehmensblog fällt nicht darunter.

Schritt 7: Datenschutzerklärung und Transparenzseite nachziehen

Zwei Dinge, die keine Art.-50-Pflicht sind, aber zusammengehören:

• Datenschutzerklärung: Die erkannten KI-Anbieter sind Empfänger personenbezogener Daten. Art. 13 DSGVO verlangt, sie zu nennen — mitsamt Drittlandtransfer, wo einer stattfindet.
• KI-Transparenzseite: Eine eigene Seite unter /ki-transparenz, die auflistet, welche KI-Systeme Sie einsetzen, wofür und in welcher Rolle. Rechtlich nicht gefordert, aber der einfachste Ort, um die Einordnung aus Schritt 2 zu dokumentieren — und der erste Ort, an dem eine Aufsichtsbehörde nachsehen wird.

Was bei Verstößen droht

Nach Art. 99 Abs. 4 bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für KMU und kleine Mid-Caps gilt der jeweils niedrigere Wert. Das sind Obergrenzen, keine Regelbußen.

Zuständig ist in Deutschland seit dem 29. Juli 2026 die Bundesnetzagentur als zentrale Marktüberwachungsbehörde (KI-MIG).

Was diese Checkliste nicht abdeckt

Artikel 50 ist nicht die ganze Verordnung. Nicht behandelt sind hier:

• die Hochrisiko-Einstufung nach Art. 6 und Anhang III — die gilt ab dem 2. Dezember 2027 und ist ein eigenes Regime mit Konformitätsbewertung
• die verbotenen Praktiken nach Art. 5, die seit Februar 2025 gelten
• die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck aus Kapitel V

Wer ein KI-System nicht nur einbindet, sondern selbst entwickelt und vertreibt, sollte die Einordnung fachkundig prüfen lassen.

---

Weiterlesen: Artikel 50 im Wortlaut, mit allen Geltungsterminen und Bußgeldrahmen · Anbieter und Betreiber · KI-Kennzeichnungspflicht · C2PA