Neue Transparenzregeln nach der KI-VO: Was Einrichtungen künftig beachten müssen

Neue Transparenzregeln nach der KI-VO: Was Einrichtungen künftig beachten müssen

Was bisher geschah

Die EU KI-Verordnung („KI-VO“ oder „AI Act“) als erste EU-weite, sektorunabhängige Regulierung von künstlicher Intelligenz (KI) ist seit August 2024 in Kraft (wir berichteten) und zielt darauf ab, einheitliche Produktstandards für KI festzulegen. Je nach Risiko, das von einer KI-Anwendung ausgeht, sieht die KI-VO unterschiedlich strenge Regelungen vor, die von Transparenz- und Kennzeichnungspflichten über Risikomanagement und Informationspflichten bis hin zum Verbot einzelner KI-Praktiken reichen.

Die Bestimmungen der KI-VO erlangen dabei Schritt für Schritt Anwendung, wobei sich die ersten Vorschriften, beispielsweise die Sicherstellung von KI-Kompetenz nach Artikel 4 und verbotene KI-Praktiken nach Artikel 5, bereits seit 2. Februar 2025 in Geltung befinden. Im August 2025 folgten weitere Regelungen, etwa die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (zB große Sprachmodelle wie GPT und LLaMa).

 

Neue Transparenzregeln ab 2. August

Die nächste „Welle“ an neuen Regeln steht nun mit 2. August 2026 an und betrifft insbesondere die Transparenzpflichten nach Artikel 50 KI-VO. Diese treffen sowohl den Anbieter (jene Einrichtung, die das KI-System entwickelt bzw entwickeln lässt und es unter eigenem Namen oder Marke in Verkehr bringt oder in Betrieb nimmt) als auch den Betreiber (jene Einrichtung, die das KI-System in eigener Verantwortung zu beruflichen Zwecken verwendet).

Folgende Pflichten sind dabei fortan von Unternehmen, Vereinen und öffentlichen Stellen zu beachten:

• Interaktion mit KI-Systemen: Ist ein KI-System für die direkte Interaktion mit Personen bestimmt, muss der Anbieter sicherstellen, dass diese KI-Interaktion für die betroffenen Personen ersichtlich ist. In Chatfenstern sind daher Hinweise einzubauen, dass es sich bei dem System um keinen echten Menschen handelt, mit dem die Betroffenen interagieren, sondern um eine KI-Anwendung. Diese Pflicht entfällt, wenn der KI-Einsatz offensichtlich ist oder zu Strafverfolgungszwecken erfolgt.
• Emotionserkennung und biometrische Kategorisierung: Betreiber von Emotionserkennungssystemen – also Systemen, die Emotionen oder Absichten von Personen auf der Grundlage ihrer biometrischer Daten ableiten – oder Systemen zur biometrischen Kategorisierung müssen die davon betroffenen Personen über den Betrieb des Systems informieren. Dies gilt beispielsweise für Systeme, die im Kundenservice eingesetzt werden, um die Kundenzufriedenheit aus Serviceanrufen abzuleiten.
• Deepfakes: Ebenso kennzeichnungspflichtig werden sog „Deepfakes“, worunter künstlich erzeugte oder manipulierte Inhalte zu verstehen sind, die echten Personen, Gegenständen, Orten oder Ereignissen derart ähneln, dass sie für echt gehalten werden. Diese Kennzeichnungspflicht trifft den Betreiber. Erstellt zB ein Verein ein Werbeplakat, auf dem echt wirkende, KI-generierte Personen zu sehen sind, ist dies künftig als KI-Inhalt auszuweisen. Entsprechende Symbole, die zur Kennzeichnung herangezogen werden können, hat die EU-Kommission auf ihrer Webseite veröffentlicht.
  • Ausnahme: Bei künstlerischen Werken kann sich die Kennzeichnung darauf beschränken, lediglich das Vorhandensein eines KI-generierten Inhalts in einer Weise offenzulegen, die den Genuss des Werkes nicht beeinträchtigt. Im Rahmen der Strafverfolgung entfällt die Pflicht.
• Für die Öffentlichkeit relevante Texte: Ebenso müssen synthetisch generierte Texte, welche die Öffentlichkeit über Angelegenheiten im öffentlichen Interesse informieren, vom Betreiber als KI-generiert offengelegt werden. Diese Pflicht entfällt, wenn der Text vor Veröffentlichung einer menschlichen Überprüfung unterzogen wurde und eine redaktionelle Verantwortung besteht sowie für Texte, die zu Strafverfolgungszwecken verwendet werden.

Haushaltsausnahme: Wer Deepfakes oder Ähnliches ausschließlich persönlich und nicht beruflich erstellt, ist kein Betreiber iSd KI-VO und damit gar nicht Adressat der Pflicht. Die KI-generierte Weihnachtskarte an die Familie muss also nicht gekennzeichnet werden.

Achtung: Die Offenlegung indiziert nicht die Rechtmäßigkeit des Inhalts. Daneben bleiben Zivilrecht (zB § 78 UrhG, § 16 ABGB) und Strafrecht zu beachten.

Sexualisierte Deepfakes ohne Zustimmung fallen zudem ab 2.12.2026 unter die verbotenen Praktiken des Art 5 KI-VO.

Weitere Pflichten und Kommissionsleitlinien

Eine weitere Pflicht, die jedoch erst ab 2. Dezember 2026 Anwendung erlangt, hält den Anbieter dazu an, KI-generierte Ausgaben in einem maschinenlesbaren Format zu kennzeichnen. Dies kann etwa durch Wasserzeichen, kryptographische Methoden, Metadatenidentifizierungen oder digitale „Fingerabdrücke“ erfolgen. Bereits im Juli 2025 haben große Anbieter von gängigen KI-Modellen einen Verhaltenskodex unterzeichnet, der unter anderem ein Kapitel zu Transparenz enthält und Hilfestellung bietet, wie den Anbieterpflichten in dieser Hinsicht nachgekommen werden kann.

Weiters wurde am 10. Juni 2026 ein Verhaltenskodex für die Kennzeichnung KI-generierter Inhalte direkt von der EU-Kommission veröffentlicht und richtet sich sowohl an Anbieter als auch Betreiber, damit diese ihren Pflichten nach Artikel 50 KI-VO nachkommen können.

***

Wir empfehlen dringend, sich jetzt mit diesen Pflichten zu beschäftigen, um rechtzeitig Compliance sicherzustellen. Gerne beraten wir Sie dabei!