Artikel 50 der EU-KI-Verordnung verpflichtet Sie, KI-Interaktionen offenzulegen und KI-Inhalte zu kennzeichnen. Prüfen Sie in 60 Sekunden, welche KI-Dienste Ihre Seite lädt und welche Transparenzpflichten das auslöst.
Kurz gesagt
Art. 50 — Transparenzpflichten gelten
Art. 50 Abs. 2 — Kennzeichnungspflicht für Bestandssysteme
Art. 5 — neue Verbote (nicht einvernehmliches Intimmaterial, CSAM)
Der Wortlaut
Fünf Pflichten, verteilt auf zwei Rollen. Ob Sie Anbieter oder Betreiber sind, entscheidet darüber, welche davon Sie treffen — und diese Einordnung nimmt Ihnen niemand ab.
Die Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus der Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der Nutzung offensichtlich.
Wer einen Chatbot oder Assistenten bereitstellt, muss den Nutzer vor dem ersten Austausch wissen lassen, dass er mit einer Maschine spricht. Die Ausnahme „offensichtlich“ legt die Kommission eng aus — ein Name wie „Assistent“ genügt für sich genommen nicht.
Die Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, stellen sicher, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.
Generative Systeme müssen ihre Ausgaben technisch markieren — Wasserzeichen, Metadaten oder Provenance-Signaturen. Die Lösung muss wirksam, interoperabel, robust und zuverlässig sein, soweit technisch machbar. Für Systeme, die vor dem Geltungsbeginn in Verkehr gebracht wurden, gilt eine Übergangsfrist.
Die Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die davon betroffenen natürlichen Personen über den Betrieb des Systems und verarbeiten personenbezogene Daten gemäß den Verordnungen (EU) 2016/679 und (EU) 2018/1725 sowie der Richtlinie (EU) 2016/680.
Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen über den Betrieb informieren — unabhängig davon, ob in Echtzeit oder nachgelagert ausgewertet wird. Der Zweck des Systems muss dabei nicht offengelegt werden. Die DSGVO gilt daneben unverändert weiter.
Die Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, legen offen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.
Ein Deepfake liegt vor, wenn der Inhalt bestehenden Personen, Gegenständen, Orten oder Ereignissen ähnelt und fälschlich den Eindruck von Echtheit erweckt. Die Offenlegung muss für Menschen wahrnehmbar sein — die maschinenlesbare Markierung des Anbieters genügt dafür nicht.
Die Betreiber eines KI-Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, legen offen, dass der Text künstlich erzeugt oder manipuliert wurde.
Drei Merkmale müssen zusammenkommen: der Text ist veröffentlicht, er informiert die Öffentlichkeit, und er betrifft eine Angelegenheit von öffentlichem Interesse — etwa Politik, Verwaltung, Justiz, Grundrechte, Gesundheit, Umwelt oder Verbraucherschutz. Marketingtexte fallen in der Regel nicht darunter.
Die in den Absätzen 1 bis 4 genannten Informationen werden den betreffenden natürlichen Personen spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise bereitgestellt. Die Informationen müssen den geltenden Barrierefreiheitsanforderungen entsprechen.
Der Absatz entscheidet in der Praxis über Erfüllung oder Verstoß: der Hinweis muss klar und unterscheidbar sein, spätestens beim ersten Kontakt erscheinen und barrierefrei sein. Ein Hinweis, der nur im Impressum, in der Datenschutzerklärung oder in einem `aria-hidden`-Container steht, erfüllt die Pflicht nicht.
Die Absätze 1 bis 4 lassen die Anforderungen und Pflichten des Kapitels III unberührt und gelten unbeschadet sonstiger Transparenzpflichten, die im Unionsrecht oder im nationalen Recht für Betreiber von KI-Systemen festgelegt sind.
Art. 50 tritt neben die Pflichten für Hochrisikosysteme und neben die DSGVO, das TDDDG und das Medienrecht — er ersetzt keine davon.
Das Büro für Künstliche Intelligenz fördert und erleichtert die Ausarbeitung von Praxisleitfäden auf Unionsebene, um die wirksame Umsetzung der Pflichten in Bezug auf die Feststellung und Kennzeichnung künstlich erzeugter oder manipulierter Inhalte zu erleichtern.
Die Rechtsgrundlage für den Verhaltenskodex zur Transparenz KI-generierter Inhalte. Die Unterzeichnung ist freiwillig, verschafft aber den derzeit verlässlichsten Nachweisweg.
Wortlaut nach Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744. „In der Praxis“ ist die Lesart von Sorrel, nicht der Gesetzestext.
Die Rollenfrage
Betreiber sind Sie, wenn Sie ein eingekauftes KI-System nutzen — der Normalfall für Websites. Anbieter sind Sie, wenn Sie es entwickelt haben oder unter eigenem Namen in Verkehr bringen. Fast jede Pflicht aus Art. 50 hängt an dieser Einordnung.
Art. 3 Nr. 4 EU-KI-VO
Sie verwenden ein KI-System in eigener Verantwortung — der eingekaufte Chatbot, das Widget aus dem Baukasten, der Assistent im CMS. Das ist der Normalfall für Websites.
Art. 3 Nr. 3 EU-KI-VO
Sie entwickeln ein KI-System oder bringen es unter eigenem Namen oder eigener Marke in Verkehr. Die Pflichten sind weitreichender.
Wenn Sie Ihren Namen oder Ihre Marke auf das System setzen, es wesentlich verändern oder seine Zweckbestimmung ändern, gelten Sie als Anbieter — und übernehmen dessen Pflichten. Ein White-Label-Chatbot mit Ihrem Logo genügt dafür in der Regel.
Der Scan
19 Prüfungen, gruppiert nach der Pflicht, die sie belegen. Vier Gruppen fließen in die Bewertung ein — die fünfte ausdrücklich nicht.
Von der Seite aufgerufene LLM-Endpunkte, Chat- und Assistenz-Widgets im KI-Modus, Hinweise, die nur in der Rechtstext-Seite stehen statt an der Interaktionsfläche, und ob ein Weg zu einem Menschen existiert.
Maschinenlesbare Provenienz bei synthetischen Medien (C2PA Content Credentials, IPTC digitalSourceType), Deepfake-Pipelines mit unmarkierten Medien und KI-geschriebene redaktionelle Texte ohne Erklärung der redaktionellen Verantwortung.
Anbieter für Emotionserkennung und biometrische Kategorisierung auf öffentlichen Seiten, ob die betroffenen Personen informiert werden, und ob ein solcher Anbieter schon vor jeder Einwilligung lädt.
Ob ein vorhandener Hinweis überhaupt erreichbar ist — also nicht vor assistiven Technologien versteckt —, ob erkannte KI-Anbieter in der Datenschutzerklärung auftauchen und ob eine KI-Transparenzseite verlinkt ist.
Fünf Heuristiken melden Signale, die auf eine verbotene Praktik hindeuten können: Social Scoring, manipulative Personalisierung, ungezieltes Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz oder in der Bildung und das Ableiten sensibler Merkmale aus Biometrie. Das sind Anlässe hinzusehen, keine Befunde — und sie fließen in keine Bewertung ein.
Die Seite ruft direkt einen KI-/LLM-Anbieter auf, ohne dass ein KI-Transparenzhinweis erkennbar ist.
Art. 50 Abs. 1 EU-KI-VO (Verordnung (EU) 2024/1689)
Handlungsschritte
Keine Ampel ohne Begründung. Zu jedem Befund gehören die Rechtsgrundlage, die konkreten Handlungsschritte und der Aufwand — damit Sie entscheiden können, statt zu raten.
Läuft KI auf Ihrer Seite?
Der Scan zeigt die erkannten KI-Dienste und die ausgelösten Pflichten — kostenlos und ohne Account.
Geltungstermine
Die Verordnung gilt gestaffelt. Der Digital Omnibus hat die Hochrisiko-Pflichten um 16 Monate verschoben, Artikel 50 aber auf dem ursprünglichen Termin belassen.
Verordnung (EU) 2024/1689 tritt in Kraft
Gilt für: Alle
Verbotene Praktiken und KI-Kompetenz gelten
Gilt für: Anbieter und Betreiber
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Bußgelder
Gilt für: Anbieter von GPAI-Modellen, Behörden
Art. 50 — Transparenzpflichten gelten
Gilt für: Anbieter und Betreiber
Art. 50 Abs. 2 — Kennzeichnungspflicht für Bestandssysteme
Gilt für: Anbieter (Systeme vor dem 02.08.2026 in Verkehr gebracht)
Art. 5 — neue Verbote (nicht einvernehmliches Intimmaterial, CSAM)
Gilt für: Alle
Hochrisiko-KI nach Anhang III (eigenständig)
Gilt für: Anbieter und Betreiber
Hochrisiko-KI in regulierten Produkten
Gilt für: Anbieter
Bestands-Hochrisikosysteme öffentlicher Stellen
Gilt für: Öffentliche Stellen
Artikel 99
Die Beträge sind Obergrenzen, keine Regelbußen. Für Unternehmen gilt grundsätzlich der höhere der beiden Werte.
bis zu 35.000.000 €
oder 7 % des weltweiten Jahresumsatzes
Verbotene Praktiken (Art. 5)
bis zu 15.000.000 €
oder 3 % des weltweiten Jahresumsatzes
Sonstige Betreiber-/Anbieterpflichten, u. a. Art. 50
bis zu 7.500.000 €
oder 1 % des weltweiten Jahresumsatzes
Unrichtige Angaben gegenüber Behörden
Für KMU und Start-ups gilt nach Art. 99 Abs. 6 KI-VO jeweils der niedrigere der beiden Werte — also der kleinere Betrag aus Festbetrag und Prozentsatz des weltweiten Jahresumsatzes. Der Digital Omnibus hat diese Deckelung für die Bußgeldstufe des Art. 99 Abs. 4 zusätzlich auf kleine Mid-Caps im Sinne der Empfehlung (EU) 2025/1099 der Kommission erstreckt.
Auslegung und Aufsicht
Verbindlich auslegen kann die Verordnung nur der EuGH. In der Praxis richten sich die Behörden nach diesen Dokumenten.
20. Juli 2026
Die Kommission hat die endgültigen Leitlinien zur Umsetzung der Transparenzpflichten angenommen. Sie sind rechtlich nicht bindend, präzisieren aber die entscheidenden unbestimmten Begriffe — „offensichtlich“, „klar und eindeutig“, „redaktionelle Kontrolle“ — und werden von den Marktüberwachungsbehörden voraussichtlich angewandt.
Zur Quelle10. Juni 2026
Abschnitt 1 richtet sich an Anbieter (maschinenlesbare Kennzeichnung, Erkennbarkeit, Qualitätsanforderungen, Dokumentation), Abschnitt 2 an Betreiber (einheitliche Kennzeichnung über das EU-„AI“-Label oder gleichwertige Offenlegung bei erstem Kontakt, interne Prozesse und Schulung). Der Kodex schreibt keine einzelne Technik vor, sondern empfiehlt gestaffelte Lösungen aus Metadaten, Wasserzeichen und Provenance. Rund 190 Organisationen haben bis Ende Juli 2026 unterzeichnet; die Liste ist öffentlich.
Zur Quelle29. Juli 2026
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz ist seit dem 29. Juli 2026 in Kraft. Die Bundesnetzagentur ist damit zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung in Deutschland und betreibt zugleich ein KI-Reallabor und einen Service-Desk. Beschwerden über fehlende KI-Transparenz laufen dort auf.
Zur QuelleGrenzen
Damit Sie den Befund richtig einordnen können — und wissen, wo Sie weitere Beratung brauchen. Ein Compliance-Produkt, das seine eigene Reichweite überschätzen lässt, ist schlimmer als keines.
FAQ
Die Transparenzpflichten aus Art. 50 gelten seit dem 2. August 2026 für alle, die ein KI-System bereitstellen oder betreiben, das mit Menschen interagiert oder synthetische Inhalte erzeugt — unabhängig von der Unternehmensgröße. Ein Kontakt-Chatbot, ein KI-Schreibassistent im Blog oder ein generiertes Bild genügen. Was die Verordnung nicht tut: aus jeder Website ein Hochrisiko-System machen. Das ist ein eigenes Regime nach Art. 6 und Anhang III und gilt ab dem 2. Dezember 2027.
Fünf Pflichten, verteilt auf zwei Rollen. Der Anbieter muss die direkte KI-Interaktion offenlegen (Abs. 1) und synthetische Ausgaben maschinenlesbar kennzeichnen (Abs. 2). Der Betreiber muss Emotionserkennung und biometrische Kategorisierung offenlegen (Abs. 3), Deepfakes kennzeichnen (Abs. 4 Unterabs. 1) und KI-generierte Texte offenlegen, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen (Abs. 4 Unterabs. 2). Abs. 5 regelt die Form: klar, erkennbar, spätestens zum Zeitpunkt der ersten Interaktion und barrierefrei.
Der Betreiber verwendet ein KI-System in eigener Verantwortung, der Anbieter entwickelt es oder bringt es unter eigenem Namen oder eigener Marke in Verkehr. Wer einen Chatbot einkauft, ist in der Regel Betreiber. Art. 25 Abs. 1 verlagert die Anbieterrolle aber auf Sie, wenn Sie Ihren Namen oder Ihre Marke auf das System setzen, es wesentlich verändern oder seine Zweckbestimmung ändern — und mit der Rolle kommen die Anbieterpflichten. Diese Einordnung nimmt Ihnen niemand ab, deshalb fragt Sorrel danach, statt sie zu unterstellen.
Wenn er direkt mit Menschen interagiert, schuldet der Anbieter einen Hinweis nach Art. 50 Abs. 1 — es sei denn, es ist aus Sicht einer angemessen informierten Person aus den Umständen und dem Kontext der Verwendung offensichtlich. Die Ausnahme ist enger, als sie klingt: Ein Widget, das aussieht wie ein normaler Support-Chat, ist nicht offensichtlich ein KI-System. Ein sichtbarer Hinweis an der Interaktionsfläche selbst, nicht nur in der Datenschutzerklärung, ist die sichere Lesart.
Art. 50 Abs. 2 gilt seit dem 2. August 2026. Für Systeme, die vor diesem Datum bereits in Verkehr waren, räumt der Digital Omnibus eine Übergangsfrist bis zum 2. Dezember 2026 ein. Deshalb meldet Sorrel eine fehlende Provenienz-Kennzeichnung als aufgeschoben und nicht als laufenden Verstoß: Der Befund stimmt, der Durchsetzungstermin ist noch nicht erreicht.
Verstöße gegen die Transparenzpflichten aus Art. 50 werden nach Art. 99 Abs. 4 mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist. Die verbotenen Praktiken aus Art. 5 liegen in der obersten Stufe bei bis zu 35 Mio. Euro oder 7 %. Das sind Obergrenzen, keine Regelbußen. Für KMU und kleine Mid-Caps gilt der jeweils niedrigere der beiden Werte.
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten und macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde. Sie führt außerdem die Beschwerdestelle und das Reallabor. Die Fachaufsichten behalten ihre Zuständigkeiten. Zwei weitere Verbote aus Art. 5 — nicht einvernehmliche intime Bildaufnahmen und Darstellungen sexuellen Kindesmissbrauchs — greifen ab dem 2. Dezember 2026.
Sorrel prüft, was öffentlich erreichbar ist: von Ihren Seiten aufgerufene KI-Anbieter, ob ein Transparenzhinweis existiert, wo er steht und ob er barrierefrei ist. Systeme hinter einem Login, interne Werkzeuge und Offline-Prozesse sieht Sorrel nicht. Sorrel stellt keine Konformitätsbescheinigung aus und leistet keine Rechtsberatung, ordnet Sie nicht als Anbieter oder Betreiber ein, nimmt keine Hochrisiko-Einstufung nach Art. 6 / Anhang III vor, und die Art.-5-Hinweise sind Heuristiken, die in keine Bewertung einfließen.
Im Detail: die Artikel-50-Checkliste für Websites →
Teil der Plattform
Cookies, Tracker, Consent, Impressum und Datenschutzerklärung — mit Rechtsquelle pro Befund.
Security-Header, TLS, DNS, E-Mail-Authentifizierung und offengelegte Geheimnisse.
Über 1.000 erkannte Dienste mit Risikoklasse, AVV-Status und Drittland-Transfer.
Alt-Texte, Überschriften-Hierarchie, Formular-Labels und ARIA — WCAG-orientiert.
Synthetisches Monitoring, Incidents, Status-Seite und Performance-Floor.
Art.-50-Transparenzpflichten, KI-Stückliste und Screening verbotener Praktiken nach der EU-KI-Verordnung.
Schluss-Akkord