Die Frist, die nicht verschoben wurde: Kennzeichnungspflicht nach dem EU AI Act

In den meisten mittelständischen Industrieunternehmen sieht der Alltag heute so aus: Im Marketing entstehen Produktvisualisierungen mit generativen Werkzeugen. Der Vertrieb lässt Angebotstexte vorformulieren. Auf der Website beantwortet ein Assistent die ersten Serviceanfragen. In der Entwicklung schreibt ein Sprachmodell Testfälle und Dokumentationsentwürfe. Niemand hat das je ein KI-Projekt genannt. Es ist Werkzeug für Werkzeug in die Prozesse gewandert.

Seit dem 2. August 2026 hat dieser Zustand eine rechtliche Dimension. Und die meisten Unternehmen wissen nicht, welche ihrer Ausgaben davon betroffen sind – weil niemand je erfasst hat, wo im Haus überhaupt KI-Inhalte entstehen.

Warum viele Unternehmen das Thema für vertagt halten

Der sogenannte Digital Omnibus, Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten. Er verschiebt die Pflichten für Hochrisiko-KI deutlich: Systeme nach Anhang III voraussichtlich auf den 2. Dezember 2027, KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Die Botschaft, die davon in vielen Unternehmen ankam, lautete verkürzt: Der AI Act ist verschoben.

Das ist falsch. Die Transparenzpflichten des Artikels 50 folgen einem eigenen Zeitplan und wurden nicht angefasst. Sie gelten seit dem 2. August 2026 unmittelbar. Für generative Systeme, die vor diesem Datum bereits im Markt waren, greift die technische Markierungspflicht aus Artikel 50 Absatz 2 spätestens am 2. Dezember 2026. Das ist der eigentliche Punkt: Die Pflicht mit der kürzesten Frist ist genau die, die fast jedes Unternehmen betrifft – während die Aufmerksamkeit auf den Hochrisiko-Regeln liegt, die für die meisten Mittelständler gar nicht einschlägig sind.

Was Artikel 50 tatsächlich verlangt – und was nicht

Es gibt keine pauschale Pflicht, jeden mit KI erstellten Text zu kennzeichnen. Der Artikel unterscheidet vier Konstellationen, und er unterscheidet zwischen Anbietern und Betreibern.

1. Interaktion mit Menschen. Systeme, die direkt mit Personen interagieren, müssen so gestaltet sein, dass die Person erkennt, dass sie mit einer KI spricht – spätestens beim ersten Kontakt. Die Pflicht entfällt nur, wenn das aus dem Zusammenhang für eine verständige Person ohnehin offensichtlich ist.
2. Synthetische Inhalte. Anbieter generativer Systeme müssen Bild-, Audio-, Video- und Textausgaben maschinenlesbar markieren, etwa über Wasserzeichen oder Metadaten nach dem C2PA-Standard.
3. Emotionserkennung und biometrische Kategorisierung. Betreiber solcher Systeme müssen die betroffenen Personen über den Einsatz informieren.
4. Deepfakes und öffentliche Information. Betreiber müssen offenlegen, wenn Bild-, Ton- oder Videomaterial künstlich erzeugt oder manipuliert wurde. Bei Texten gilt das, wenn sie der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen – es sei denn, der Inhalt wurde redaktionell geprüft und jemand trägt dafür die Verantwortung.

Ebenso wichtig ist, was nicht erfasst ist. Die rein interne Nutzung generativer Werkzeuge löst keine Kennzeichnungspflicht aus. Ausgenommen sind außerdem Systeme, die lediglich unterstützend arbeiten und die Eingabedaten nicht wesentlich verändern – die Rechtschreib- und Stilkorrektur eines selbst geschriebenen Angebots fällt nicht darunter. Auch gewöhnliche Geschäftskorrespondenz wird nicht automatisch zum kennzeichnungspflichtigen Inhalt.

Anbieter oder Betreiber: Ihre Rolle entscheidet über Ihre Pflichten

Die meisten mittelständischen Unternehmen sind Betreiber. Sie setzen zugekaufte Systeme ein und schulden damit vor allem die sichtbare Offenlegung gegenüber Kunden, Bewerbern und Öffentlichkeit. Die technische Markierung im Hintergrund liegt beim Anbieter.

Diese Zuordnung kippt schneller, als viele erwarten. Wer ein fremdes Modell in ein eigenes Kundenportal einbettet und unter eigenem Namen anbietet oder ein System wesentlich verändert, wird selbst zum Anbieter – mit den entsprechenden Pflichten. Genau das passiert derzeit in vielen Häusern, wenn aus dem internen Pilotprojekt ein Serviceportal für Kunden wird. Die Rollenfrage ist deshalb keine juristische Formalie, sondern muss je System beantwortet und dokumentiert werden.

Die Fristen im Überblick

Datum	Was gilt
2. Februar 2025	Verbotene KI-Praktiken, Pflicht zur KI-Kompetenz (Art. 4)
2. August 2025	Pflichten für Modelle mit allgemeinem Verwendungszweck
2. August 2026	Transparenz- und Kennzeichnungspflichten nach Art. 50
2. Dezember 2026	Ende der Übergangsfrist für generative Bestandssysteme (Art. 50 Abs. 2)
2. Dezember 2027	Hochrisiko-Systeme nach Anhang III (durch Digital Omnibus verschoben)
2. August 2028	KI in regulierten Produkten nach Anhang I (verschoben)

Wo die Pflicht im Mittelstand konkret auftaucht

In der Praxis sind es meist fünf Stellen, an denen die Pflicht greift, und sie liegen selten dort, wo die IT sucht.

Der Serviceassistent auf der Website und im Kundenportal ist der offensichtliche Fall. Weniger offensichtlich ist der Telefonassistent mit synthetischer Stimme in der Auftragsannahme. Dazu kommt Bild- und Videomaterial im Marketing, sobald reale Personen, Werksaufnahmen oder Produktsituationen künstlich erzeugt oder verändert dargestellt werden. Der vierte Fall liegt im Recruiting, wenn Bewerber automatisiert Rückmeldungen erhalten. Und schließlich Inhalte, die Ihr Unternehmen öffentlich zu Themen von allgemeinem Interesse publiziert – etwa Beiträge zu Nachhaltigkeit, Lieferkette oder Sicherheit.

Ein technischer Punkt wird dabei fast immer übersehen: Maschinenlesbare Markierungen überleben viele Verarbeitungsschritte nicht. Wer ein KI-erzeugtes Bild durch Bildbearbeitung, Export und Content-Management-System schickt, verliert die Metadaten unterwegs. Die Markierung des Anbieters nützt Ihnen dann nichts mehr. Das ist kein Rechts-, sondern ein Prozessproblem – und es lässt sich nur im Ablauf lösen, nicht in einer Richtlinie.

Fünf Schritte, mit denen Sie das Thema abschließen

1. Bestandsaufnahme statt Tool-Liste. Erfassen Sie nicht, welche Werkzeuge lizenziert sind, sondern an welchen Stellen im Prozess eine KI-Ausgabe das Unternehmen verlässt. Diese beiden Listen sind erfahrungsgemäß sehr unterschiedlich.
2. Rollen je System klären. Anbieter oder Betreiber, mit kurzer Begründung. Das ist die Grundlage für alles Weitere und der Punkt, an dem die meisten Fehleinschätzungen entstehen.
3. Kennzeichnung standardisieren. Einheitliche Formulierungen, feste Platzierung, barrierefreie Umsetzung. Wenn jede Abteilung eine eigene Lösung baut, entsteht ein Flickenteppich, den niemand pflegen kann.
4. Technische Markierung mit Anbietern klären. Fragen Sie nach, wie Ausgaben markiert werden, und prüfen Sie, ob diese Markierung Ihre eigene Toolkette übersteht.
5. Richtlinie und Nachweis. Eine knappe interne KI-Richtlinie mit klaren Verantwortlichkeiten, verbunden mit der ohnehin bestehenden Pflicht zur KI-Kompetenz nach Artikel 4 und mit Ihren Datenschutzprozessen. Nachweisbarkeit ist im Zweifel wichtiger als Perfektion.

Der teurere Fehler ist nicht immer die fehlende Kennzeichnung

Verstöße gegen Artikel 50 können nach Artikel 99 der KI-Verordnung mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden; für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Die zentrale Marktüberwachung liegt in Deutschland bei der Bundesnetzagentur, die dafür ein Koordinierungs- und Kompetenzzentrum sowie einen Service-Desk für Unternehmensfragen aufbaut.

In der Praxis kommt der Druck aber meist früher aus einer anderen Richtung: über wettbewerbsrechtliche Abmahnungen durch Mitbewerber. Eine fehlende Offenlegung am Chatbot ist von außen sichtbar und ohne Aufwand nachweisbar.

Genauso real ist der umgekehrte Fehler. Wer aus Vorsicht jede E-Mail und jede Angebotszeile mit einem KI-Hinweis versieht, erfüllt keine Pflicht, sondern entwertet die Kennzeichnung dort, wo sie zählt – und verunsichert Kunden ohne Not. Der Unterschied zwischen Über- und Untererfüllung liegt in einer sauberen Einordnung, nicht im Vorsichtsmaß.

Wie proaquila Sie dabei unterstützt

Wir kommen aus Produktion, Entwicklung und Supply Chain. Über zwanzig Jahre Erfahrung in industriellen Prozessen prägen unsere Sicht auf dieses Thema: Kennzeichnungspflicht ist zu neunzig Prozent eine Prozessfrage und nur zu zehn Prozent eine Rechtsfrage. Entscheidend ist, dass jemand weiß, wo im Ablauf KI-Ausgaben entstehen, wer dafür verantwortlich ist und wie die Kennzeichnung den Weg bis zum Kunden übersteht.

Konkret arbeiten wir mit Ihnen an vier Punkten: einer strukturierten Bestandsaufnahme Ihrer KI-Nutzung entlang der realen Prozesse, der Rollenklärung je System, einem einheitlichen Kennzeichnungskonzept für Website, Portal, Marketing und Recruiting sowie einer knappen, verständlichen KI-Richtlinie samt Befähigung Ihrer Mitarbeitenden. Den verantwortungsvollen Umgang mit Daten behalten wir dabei im Blick, ohne Kompromisse bei Innovation oder Effizienz einzugehen.

Bei der KI-Einführung sind die richtigen Fragen entscheidend. Bei der Kennzeichnungspflicht lautet die erste nicht: Was müssen wir alles beschriften? Sondern: Wo verlässt heute überhaupt eine KI-Ausgabe unser Haus?

Der nächste Schritt

Für die meisten mittelständischen Unternehmen ist das kein Projekt, sondern eine Aufgabe von wenigen Wochen – vorausgesetzt, sie wird strukturiert angegangen und nicht in Einzelfragen zerlegt.

Vereinbaren Sie ein unverbindliches Erstgespräch. Wir schaffen gemeinsam Klarheit – von den ersten Schritten bis zur Umsetzung.

proaquila | Ralf Schmidt | ralf.schmidt@proaquila.de | +49 151 511 049 76

Hinweis: Dieser Beitrag gibt den Stand vom 6. September 2026 wieder und dient der fachlichen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall.