KI-Transparenz nach der KI-VO (AI ACT)

Von Leitlinien & Praxisleitfäden

Die „Begleitgesetzgebung“ zur KI-VO kann auf den ersten Blick verwirren. So hat die EU-Kommission kürzlich neben diesen Leitlinien (Guidelines) auch den Praxisleitfaden (Code of Practice on Transparency of AI-Generated Content) vorgelegt. Um die Systematik richtig einzuordnen, reicht eine einfache Unterscheidung:

• Die Leitlinien dienen als juristisches Auslegungsinstrument. Sie definieren den rechtlichen Anwendungsbereich, klären zentrale Begrifflichkeiten und legen die Ausnahmen für alle erfassten KI-Systeme nach Art 50 KI-VO fest.
• Der gegenständlich Praxisleitfaden fokussiert sich hingegen auf die operativ-technische Umsetzung bei generativer KI. Er liefert die konkreten Standards für Anbieter und Betreiber – etwa zur Implementierung maschinenlesbarer Markierungen oder zur Ausgestaltung sichtbarer Labels für Deep Fakes. 

Für die Compliance-Praxis ist der Praxisleitfaden essenziell: Seine Befolgung dient bei generativen Systemen als primärer Nachweis, dass die gesetzlichen Anforderungen erfüllt sind. Weicht ein Unternehmen davon ab, muss es proaktiv gegenüber der Aufsichtsbehörde darlegen, dass seine alternativen Lösungen gleichwertig und effektiv sind.

Es wird noch viel weiteres Material auf uns zukommen: Delegierte Rechtsakte, Durchführungsrechtsakte, Praxisleitfäden („Codes of Practices“), Verhaltenskodizes („Code of conduct“), Leitlinien, Harmonisierte Normen, Gemeinsame Spezifikationen. Für eine erste gute Übersicht zur „Begleitgesetzgebung“ zur KI-VO empfehlen wir die übersichtliche Informationsseite der RTR zu diesem Thema.

> Damit zum Inhalt der Transparency Guidelines:

KI-Agenten: Zeigt euch!

Der Einsatz von autonomen und teilautonomen KI-Agenten nimmt im Geschäftsverkehr rasant zu. Ob bei automatisierten Buchungen, im direkten Kundenkontakt oder sogar bei eigenständigen Vertragsverhandlungen – KI-Agenten übernehmen zunehmend operative Aufgaben. Genau hier setzen die finalen Leitlinien zu Art 50 Abs 1 KI-VO strenge Regeln an. Sobald diese Systeme in der Ausführung ihrer Aufgaben direkt mit natürlichen Personen interagieren, müssen sie sich entsprechend zu erkennen geben.

Gegenüber dem jeweiligen Verhandlungspartner oder Kunden muss jedenfalls klar erkennbar sein:

• Dass es sich um eine Künstliche Intelligenz handelt.
• Im Namen welcher Person oder welchen Unternehmens der Agent auftritt.

Der Hintergrund dieser strengen Vorgabe ist juristisch und wirtschaftlich elementar: Es geht um die Transparenz der delegierten Befugnisse und die rechtliche Verantwortlichkeit (Haftung) für die Handlungen des Systems. Wenn ein KI-Agent rechtsgeschäftlich auftritt, muss für das Gegenüber ohne jeden Zweifel klar sein, wem die Handlungen dieses Systems rechtlich zuzurechnen sind.

Wer KI-Agenten einsetzt, sollte zudem sicherstellen, dass für das Gegenüber auch die Entscheidungsbefugnisse des Agenten jederzeit nachvollziehbar sind. Bevor Sie solche Systeme im Kundenkontakt operativ einbinden, sollten die Handlungsspielräume und Offenlegungspflichten zwingend nicht nur an der KI-VO, sondern auch am allgemeinen Unternehmens- und Zivilrecht gemessen und exakt verifiziert werden.

Beware of „Das war doch offensichtlich!“ 

Die KI-VO (konkret Art 50 Abs 1) sieht eine Ausnahme von der Informationspflicht bei interaktiven KI-Systemen vor, wenn für eine informierte, aufmerksame und verständige Person ohnehin „offensichtlich“ ist, dass sie mit einer KI interagiert. Die Leitlinien betonen jedoch unmissverständlich: Diese Ausnahme ist äußerst restriktiv auszulegen. Das bloße Allgemeinwissen, dass KI existiert und zunehmend eingesetzt wird, reicht keinesfalls aus.

Ob eine Interaktion tatsächlich offensichtlich ist, erfordert laut Kommission eine Beurteilung, die sich am Maßstab des europäischen Konsumentenschutzrechts (dem Bild des „durchschnittlichen Verbrauchers“) orientiert. Unternehmen müssen die Zielgruppe, das vernünftigerweise vorhersehbare Publikum sowie deren jeweilige KI-Kompetenz exakt bewerten. Ein absolut entscheidender Faktor ist dabei die Zusammensetzung des Publikums: Sobald ein System für die breite Öffentlichkeit zugänglich ist und damit auch vulnerable Gruppen (wie Kinder, ältere Menschen oder Personen mit kognitiven Einschränkungen) erreichen kann, ist die Ausnahme in aller Regel hinfällig, da diese Personen effektiv geschützt werden müssen.

Angesichts immer menschlicher klingender Stimmen, realistischer Avatare und ausgefeilter Dialogfähigkeiten bleibt für das Berufen auf die „Offensichtlichkeit“ laut Kommission nur noch Raum, wenn praktisch „kein Zweifel mehr“ an der künstlichen Natur der Interaktion besteht. Zwar kann die Ausnahme in der Praxis durchaus greifen – etwa bei Programmier-Assistenten für Profis oder bei internen KI-Tools, die von eigens dafür geschulten Mitarbeiter:innen für organisatorische Zwecke genutzt werden. Die Regel für die Compliance lautet aber: Ein pauschales „Das mussten die doch wissen“ geht am Ziel vorbei. Wer sich auf diese Ausnahme beruft, braucht zwingend eine dokumentierte, zielgruppenspezifische Bewertung, um im behördlichen Prüfverfahren bestehen zu können.

Von der Kennzeichnung befreit

Die Kommission liefert eine detaillierte Liste von Inhalten, die nicht unter die Kennzeichnungs- und Erkennungspflichten des Art 50 Abs 2 KI-VO fallen. Dazu zählen ausdrücklich:

• Quellcode und technische Formate (inkl. APIs, SQL, JSON)
• Maschine-zu-Maschine-Kommunikation ohne menschlichen Kontakt sowie reine Beobachtungs- und Messdaten (wie Aufzeichnungen von KI-Sensoren, Smart Metern oder GPS-Trackern in der Industrie)
• Kurze Outputs wie einzelne Wörter oder UI-Labels
• Interne Analysen und Empfehlungssysteme, die bestehende Daten lediglich strukturieren, anordnen oder ranken, aber nicht inhaltlich zusammenfassen oder verändern.
• Assistenz bei der Standardbearbeitung, wie etwa Grammatikprüfungen, Übersetzungen, Formatkonvertierungen oder geringfügige Bildkorrekturen (z. B. Rauschunterdrückung).
• Unwesentliche Änderungen, welche die Semantik der Ursprungsdaten nicht verändern, wie etwa reine Gesprächstranskriptionen oder technische Markierungen in medizinischen Bildern.
• Zwischenergebnisse in geschlossenen Film-, Gaming- und Werbeprozessen (nur das finale Produkt muss markiert werden)
• Flüchtige (ephemere) Echtzeit-Inhalte, etwa im VR- oder Gaming-Bereich, die nicht gespeichert werden, sofern eine Markierung technisch nicht machbar ist und die Nutzer anderweitig informiert sind.

Zudem gibt es spezielle Regeln für eng definierte Industrie- und B2B-Szenarien. Ist der KI-Output rein technischer Natur, wird er nur von einem geschlossenen Kreis von Profis verarbeitet, geht nicht nach außen und ist durch Schutzmaßnahmen gegen Missbrauch abgesichert, entfällt die Kennzeichnungspflicht.

Deep Dive on Deep Fakes 

Gemäß Art 50 Abs 4 KI-VO müssen Betreiber (Deployers), die KI-Systeme nutzen, um sogenannte Deep Fakes zu generieren oder zu manipulieren, offenlegen, dass diese Inhalte künstlich erzeugt oder verändert wurden. Die Leitlinien helfen Unternehmen nun maßgeblich dabei, den rechtlichen Anwendungsbereich einzugrenzen und zu identifizieren, was überhaupt als Deep Fake qualifiziert wird.

Ein Deep Fake liegt gesetzlich dann vor, wenn ein KI-generierter oder -manipulierter Bild-, Audio- oder Videoinhalt existierenden Personen, Objekten, Orten oder Ereignissen ähnelt und einer Person fälschlicherweise als authentisch oder wahrheitsgetreu erscheinen könnte. Die Leitlinien bieten für diese Beurteilung essenzielle Klarstellungen:

• Ein Deep Fake muss realistischen, tatsächlich existierenden (oder plausibel existierenden) Motiven ähneln. Inhalte, die offensichtlich den Naturgesetzen widersprechen (wie etwa ein fliegender Mensch ohne technische Hilfsmittel oder fiktive Lebewesen), fallen aus dem Anwendungsbereich, da bei ihnen keine ernsthafte Täuschungsgefahr besteht.
• Ob ein Inhalt fälschlicherweise für echt gehalten wird, muss immer im Gesamtkontext bewertet werden. Die Leitlinien stellen klar, dass Fotorealismus allein nicht ausreicht. Maßgeblich sind der Veröffentlichungskontext und die Erwartungshaltung des Publikums – beispielsweise ob ein manipuliertes Video in einem Dokumentarfilm (hohe Erwartung an Wahrheit) oder im Rahmen einer erkennbaren Videospielsequenz auftaucht.
• Geringfügige KI-gestützte Anpassungen von bestehendem Material (z. B. Farbkorrekturen, Rauschunterdrückung, kosmetische Aufbesserungen oder formatbedingte Hintergrundanpassungen) verändern die Wahrnehmung der Authentizität in der Regel nicht wesentlich. Solche Standardbearbeitungen machen einen Inhalt nicht zum Deep Fake.
• Für Inhalte, die offensichtlich Teil eines künstlerischen, kreativen, satirischen oder fiktionalen Werks sind, sehen die Leitlinien abgeschwächte Transparenzpflichten vor. Die Offenlegung muss hier nur so erfolgen, dass sie die Darstellung oder den Genuss des Werks nicht behindert. Diese Ausnahme ist jedoch restriktiv auszulegen und greift nicht bei rein kommerziellen oder informativen Inhalten (wie Werbung oder Nachrichten).

Wenn Privatpersonen in einem rein privaten („purely personal“) und nicht-professionellen Kontext Deep Fakes generieren und teilen, fallen sie in ihrer Rolle als Betreiber aus der Kennzeichnungspflicht von Art 50 Abs 4 KI-VO heraus. Die Pflicht des Anbieters (Providers) zur maschinenlesbaren Markierung auf Systemebene bleibt zwar bestehen, für die rein private Nutzung wird die harte gesetzliche Linie jedoch aufgeweicht. Dennoch gilt für die Beratungspraxis: Die Einstufung hängt stets davon ab, ob die Person im Einzelfall tatsächlich rein privat und nicht wirtschaftlich oder professionell handelt.

Menschliche Überprüfung: Mehr als ein bloßer Spell-Check

Für KI-generierte oder -manipulierte Texte, die über Angelegenheiten von öffentlichem Interesse informieren, sieht Art 50 Abs 4 KI-VO eine besonders praxisrelevante Ausnahme von der Kennzeichnungspflicht vor. Diese greift, sofern die Inhalte einer echten menschlichen Überprüfung (Human Review) oder redaktionellen Kontrolle unterliegen und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Die Leitlinien machen hier deutliche Vorgaben, um eine Umgehung der Transparenzpflichten zu verhindern:

• Eine rein automatisierte Kontrolle, eine flüchtige Grammatik- und Rechtschreibprüfung oder ein formelles „Abnicken“ ohne inhaltliche Auseinandersetzung reichen keinesfalls aus. Gefordert ist eine bewusste Prüfung der Substanz durch Personen mit entsprechendem fachlichem Urteilsvermögen. Ein verlässliches Fact-Checking der Informationen und Quellen ist dabei die ausdrückliche Mindestvoraussetzung.
• Der Begriff der „redaktionellen Verantwortung“ setzt voraus, dass eine Person oder Einrichtung (etwa der Chefredakteur oder das publizierende Unternehmen) die rechtliche Letztverantwortung sowie die inhaltliche Entscheidungsgewalt über die Publikation übernimmt. Um die öffentliche Rechenschaftspflicht zu gewährleisten, verlangen die Leitlinien explizit, dass Identität und Kontaktdaten des Verantwortlichen leicht auffindbar und öffentlich zugänglich gemacht werden (etwa im Impressum oder den AGB)
• Ein substanzieller KI-Eingriff, der erst nach der menschlichen Prüfung stattfindet (beispielsweise, wenn die KI den freigegebenen Text vor der Publikation noch einmal automatisiert kürzt oder umformuliert), macht die Ausnahme regelmäßig zunichte. Die finale menschliche Freigabe muss zwingend den Text in exakt jener Form umfassen, in der er letztlich publiziert wird.

Was jetzt zu tun ist:

Die Zeit für abstrakte Interpretationen ist vorbei. Um im Ernstfall nicht in Erklärungsnot zu geraten, sollten Sie bis 02.08.2026 folgende Punkte checken:

• Prüfen Sie genau, an welchen Stellen Ihre KI-Systeme direkt mit natürlichen Personen kommunizieren (Art 50 Abs 1 KI-VO).
• Stellen Sie sicher, dass autonome oder teilautonome KI-Agenten ihre künstliche Natur und ihren Auftraggeber transparent machen.
• Identifizieren Sie interne und technische Workflows, die von den Pflichten ausgenommen sind (z. B. B2B-Szenarien oder offensichtliche Interaktionen). 
• Stellen Sie sicher, dass das „Human Review“ stets der letzte Schritt vor der finalen Veröffentlichung von KI-Texten zu Themen von öffentlichem Interesse ist.
• Wenn Sie sich auf die Ausnahme für redaktionelle Texte berufen, machen Sie die Identität und Kontaktdaten der verantwortlichen Person oder Stelle (z. B. im Impressum) leicht auffindbar.
• Achten Sie darauf, dass Transparenzhinweise und Labels barrierefrei und – je nach Zielgruppe (z. B. bei Einbindung von Kindern oder älteren Menschen) – leicht verständlich gestaltet sind.

Fazit

Mit den Transparenz-Leitlinien zielt die EU-Kommission darauf ab, rechtliche Klarheit in hochkomplexen Transparenzfragen zu schaffen. Das Dokument fällt in der praktischen Anwendung erfreulich verhältnismäßig aus, was insbesondere für die Industrie und interne Technik-Workflows durch klar definierte Ausnahmen eine wertvolle rechtliche Abgrenzung bedeutet.

Risiken entstehen künftig vor allem dort, wo Compliance auf bloßen Behauptungen statt auf belastbaren Fakten fußt. Wer hingegen rechtzeitig fundierte Prozesse aufsetzt, die Dokumentations- und Nachweispflichten (idealerweise unter Nutzung des Praxisleitfadens) ernst nimmt und Transparenz gegenüber Endkunden wahrt, vermeidet rechtliche Auseinandersetzungen. Wer diese Schritte jetzt setzt, ist für das herannahende Inkrafttreten im August auf der sicheren Seite.

Häufige bzw. relevante Fragen (FAQs)

Planen Sie den Einsatz von KI-Systemen oder benötigen Sie Unterstützung bei der Umsetzung der neuen Transparenzpflichten?

Wir bei ATB.LAW beraten Unternehmen praxisnah und fundiert zu den rechtlichen Anforderungen des Einsatzes von KI-Systemen, insbesondere auch zur KI-VO. Wir evaluieren Ihre bestehenden KI-Anwendungen, passen Ihre Compliance-Strukturen entsprechend an und sichern Ihren Geschäftsbetrieb rechtlich ab. Kontaktieren Sie Stefan Knotzer und Roman Taudes jederzeit unter office@atb.law bzw. telefonisch unter 01 39 12345 für ein unverbindliches Erstgespräch.