Die Checkliste: 5 Punkte, die jetzt jeder prüfen sollte

Stand: 22. September 2026

AbspielenPausieren

Video mit Transkript in der Mediathek · Folge der Reihe „AI Act kurz erklärt"

Ob KI-Verordnung (EU) 2024/1689, KI-VO oder AI Act: Alle Begriffe bezeichnen dasselbe Gesetz und werden in diesem Handbuch synonym verwendet.

Die folgende Checkliste fasst das Handbuch auf das Wesentliche zusammen – inklusive exakter Fundstellen in der Verordnung zum Selbstnachlesen.

Schritt 1: Klären Sie, ob Sie überhaupt gemeint sind

Fundstelle: Artikel 3 Nummer 4, Artikel 50

Die Verordnung unterscheidet Anbieter und Betreiber. Anbieter entwickeln KI-Systeme und bringen sie unter eigenem Namen in Verkehr. Betreiber verwenden sie in eigener Verantwortung, allerdings nicht, wenn das im Rahmen einer persönlichen und nicht beruflichen Tätigkeit geschieht.

Wer als Unternehmen, Agentur, Selbstständiger oder Redaktion KI für die eigene Website oder für Social-Media-Kanäle nutzt, ist Betreiber. Privatpersonen sind ausgenommen.

Das ist wichtig, weil zwei der vier Absätze von Artikel 50 der KI-Verordnung sich ausschließlich an Anbieter richten. Die Übergangsfrist bis zum 2. Dezember 2026, die derzeit überall zitiert wird, betrifft Absatz 2, eine Anbieterpflicht. Für Betreiber gilt seit dem 2. August 2026 kein Übergang.

→ Was gekennzeichnet werden muss

Schritt 2: Sehen Sie nach, welche Medien überhaupt betroffen sind

Fundstelle: Artikel 50 Absatz 4, Erwägungsgrund 134

Die Pflicht greift nicht pauschal bei allen KI-Inhalten, sondern bei Deepfakes. Nach Erwägungsgrund 134 sind das Bild-, Audio- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen merklich ähneln und einer Person fälschlicherweise echt oder wahr erscheinen würden.

Beide Kriterien müssen zutreffen. Ein abstraktes generiertes Muster erfüllt keines davon. Ein fotorealistisches Bild von Menschen, die es nicht gibt, erfüllt beide.

Schneller ausprobiert

Der Kennzeichnungs-Check geht diesen Prüfweg mit Ihnen durch – jede Frage mit ihrer Fundstelle, am Ende eine Einordnung mit Handlungsempfehlung für Website und Social Media.

Praktisch heißt das: Gehen Sie den Medienbestand durch und sortieren Sie nach diesen zwei Fragen, nicht nach der bloßen Frage, ob irgendwo KI beteiligt war.

→ Deepfake, KI-generiert, KI-bearbeitet

Schritt 3: Prüfen Sie Ihren Chatbot

Fundstelle: Artikel 50 Absatz 1

Der am häufigsten übersehene Punkt, weil alle über Bilder reden.

KI-Systeme, die für die direkte Interaktion mit Menschen bestimmt sind, müssen so gestaltet sein, dass die Person erkennt, dass sie mit einem KI-System interagiert. Die Pflicht entfällt, wenn das aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person aufgrund der Umstände offensichtlich ist.

Formal ist das eine Anbieterpflicht. Praktisch wollen Sie den Hinweis am Chatfenster trotzdem haben, wenn Sie einen Bot einsetzen. Die IHK Köln führt den KI-Chatbot auf der Website ausdrücklich als kennzeichnungspflichtigen Fall auf, ebenso KI-Sprachsysteme am Telefon und automatisch generierte E-Mail-Antworten.

→ Was gekennzeichnet werden muss

Schritt 4: Setzen Sie die Kennzeichnung dorthin, wo sie gesehen wird

Fundstelle: Artikel 50 Absatz 5, Verhaltenskodex Abschnitt 2

Artikel 50 Absatz 5 verlangt, dass die Informationen spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise bereitgestellt werden und den geltenden Barrierefreiheitsanforderungen entsprechen.

Der Verhaltenskodex wird konkreter. Nach der Zusammenfassung der Kommission soll das Symbol deutlich wahrnehmbar sein, dort platziert werden, wo keine Overlay-Elemente darüberliegen, direkt in den Inhalt eingebettet werden und auch sichtbar bleiben, wenn Inhalte erneut geteilt oder heruntergeladen werden.

Drei häufige Fehler, die daraus folgen: Kennzeichnung nur in den Metadaten, Kennzeichnung nur im Footer, Kennzeichnung unter einem Play-Button.

Die drei offiziellen EU-Icons können Sie dafür kostenlos nutzen. Ihre Verwendung ist freiwillig, die Kennzeichnungspflicht selbst ist es nicht.

Nicht vergessen: Social Media

Die Pflicht hängt am Inhalt, nicht an der Domain. Wer dasselbe KI-Bild auf Instagram, LinkedIn, TikTok oder YouTube postet, veröffentlicht es dort ebenfalls.

Dazu kommen die eigenen Regeln der Plattformen: YouTube, Instagram, TikTok und andere verlangen inzwischen selbst eine Angabe zu KI-generierten Inhalten, meist über einen Schalter beim Hochladen. Das ist Vertragsrecht der Plattform und gilt zusätzlich zur gesetzlichen Pflicht, nicht an ihrer Stelle.

→ KI-Kennzeichnung auf Websites & im CMS · Die offiziellen EU-Icons

Schritt 5: Halten Sie fest, was Sie getan haben

Fundstelle: Artikel 99 Absatz 7, Artikel 4

Wichtig vorweg: Artikel 50 verlangt keine explizite Dokumentationspflicht für Website-Betreiber. Wer etwas anderes behauptet, sollte die Norm nennen können.

Relevant wird Dokumentation an anderer Stelle. Artikel 99 Absatz 7 listet auf, was bei der Entscheidung über eine Geldbuße und deren Höhe berücksichtigt wird. Buchstabe g nennt den Grad an Verantwortung des Akteurs unter Berücksichtigung der von ihm ergriffenen technischen und organisatorischen Maßnahmen. Buchstabe i nennt Vorsätzlichkeit oder Fahrlässigkeit.

Getrennt davon gilt seit dem 2. Februar 2025 Artikel 4 zur KI-Kompetenz: Anbieter und Betreiber ergreifen Maßnahmen bezüglich der KI-Kompetenz ihres Personals und der in ihrem Auftrag tätigen Personen. Die Bundesnetzagentur empfiehlt, diese Maßnahmen gut zu dokumentieren, um jederzeit nachweisen zu können, dass die Anforderungen erfüllt werden. Eine Zertifizierungspflicht für Schulungen sieht die Verordnung nicht vor. Wie eine Unterweisung praktisch aussieht und dokumentiert wird, zeigt das Kapitel KI-Kompetenz im Team.

Ein Verzeichnis der eingesetzten KI-Systeme ist für beides ein sinnvolles Hilfsmittel, vorgeschrieben ist es nicht. Wer mit wirklich.ai arbeitet, führt es automatisch mit: Das KI-Inventar hält fest, welche Systeme im Einsatz sind, es erscheint im Prüfbericht und lässt sich im öffentlichen Transparenz-Protokoll ausweisen – dann steht neben der Kennzeichnung auch, womit gearbeitet wurde. Aus dem Inventar erzeugt die App zudem eine KI-Nutzungsrichtlinie fürs Team und sammelt die Kenntnisnahme-Bestätigungen mit Zeitstempel ein: der dokumentierte Artikel-4-Nachweis, ohne eine einzige Tabelle zu pflegen. Die Basisnutzung von wirklich.ai ist dabei dauerhaft kostenlos (kostenloses Konto erstellen).

→ Dokumentation und Nachweis

Was nicht auf der Liste steht

„Alles kennzeichnen.” Die Pflicht ist eng gefasst. Wer pauschal alles markiert, entwertet die Kennzeichnung dort, wo sie zählt.

„Altbestand nachrüsten.” Die Verordnung regelt das nicht ausdrücklich. Nach rechtsanwaltlichen Einordnungen spricht viel dafür, dass vor dem 2. August 2026 fertiggestellte Inhalte nicht rückwirkend zu kennzeichnen sind. Zwei Einschränkungen sind dabei wichtig: Die Pflicht greift auch für Inhalte, die ab diesem Datum verändert werden, und ein Archivinhalt, der erneut veröffentlicht wird, ist keine Altlast mehr, sondern eine Neuveröffentlichung. Empfohlen wird ohnehin eine freiwillige Nachkennzeichnung. Gerichtlich geklärt ist das nicht.

„Zertifizieren lassen.” Es gibt für Artikel 50 kein staatliches Zertifizierungsverfahren und keine Stelle, die eine Kennzeichnung vorab bestätigt. Die Bundesnetzagentur ist in Deutschland als Marktüberwachungsbehörde und Beschwerdestelle benannt, sie beaufsichtigt also im Nachhinein – eine Freigabe vorab erteilt sie nicht.

„Einen KI-Beauftragten bestellen.” Die Verordnung kennt keine solche Rolle. Anders als die Datenschutz-Grundverordnung, die in Artikel 37 unter bestimmten Voraussetzungen einen Datenschutzbeauftragten verlangt, enthält die KI-Verordnung keine entsprechende Benennungspflicht.

Verwechselt wird das gelegentlich mit zwei anderen Vorgaben: Artikel 4 verlangt Maßnahmen zur KI-Kompetenz des Personals, aber eben Maßnahmen, keine Person mit Titel. Und Artikel 26 Absatz 2 verlangt, die menschliche Aufsicht geeigneten Personen zu übertragen – das gilt allerdings ausschließlich für Hochrisiko-KI-Systeme.

Wer die Zuständigkeit im Unternehmen trotzdem an einer Person festmacht, tut das freiwillig. Sinnvoll kann es sein, damit die Frage nicht zwischen Marketing, IT und Geschäftsführung liegen bleibt – vorgeschrieben ist es nicht.

Häufige Fragen

Gilt die KI-Kennzeichnungspflicht auch für kleine Unternehmen?

Ja. Artikel 50 kennt keine Untergrenze nach Umsatz oder Mitarbeiterzahl. Wer KI-Inhalte veröffentlicht, ist gemeint – vom Einzelunternehmen bis zum Konzern. Bei der Höhe eines möglichen Bußgeldes wird die Unternehmensgröße dagegen sehr wohl berücksichtigt.

Muss ich jedes KI-generierte Bild auf meiner Website kennzeichnen?

Nein. Die Pflicht gilt nicht für jeden KI-Inhalt, sondern für Deepfakes: Bild, Ton oder Video, das echten Personen, Orten oder Ereignissen ähnelt und für eine echte Aufnahme gehalten werden könnte. Eine erkennbare Illustration fällt in der Regel nicht darunter.

Muss ein KI-Beauftragter bestellt werden?

Nein. Die KI-Verordnung enthält keine Benennungspflicht, anders als die Datenschutz-Grundverordnung mit dem Datenschutzbeauftragten. Artikel 4 verlangt Maßnahmen zur KI-Kompetenz des Personals, aber keine namentlich benannte Person.

Was passiert, wenn ich nichts tue?

Zuständig ist in Deutschland die Bundesnetzagentur. Jede Person kann dort kostenlos und formfrei einen möglichen Verstoß melden, auch Mitbewerber. Daneben kommt eine wettbewerbsrechtliche Abmahnung in Betracht – die ist in der Praxis oft das spürbarere Risiko.

Wie schaffe ich das bei Hunderten Bildern?

Von Hand wird das schnell mühsam: Jedes Medium muss gefunden, eingestuft und gekennzeichnet werden. Die wirklich.ai App liest den Medienbestand der Website automatisch ein, schlägt Einstufungen vor und wendet Ihre Entscheidungen regelbasiert an. Ein wirklich.ai Account ist für Website-Betreiber dauerhaft kostenlos.

Quellen

Dieser Beitrag gibt den Verordnungstext und benannte Quellen wieder. Er ist keine Rechtsberatung und ersetzt im Einzelfall keine anwaltliche Prüfung.

Angaben zur Rechtslage, zu deren Auslegung sowie zu Funktionen, Oberflächen und Schnittstellen fremder Systeme geben den Stand zum oben genannten Datum wieder. Beides kann sich jederzeit und ohne Ankündigung ändern. Für Aktualität, Richtigkeit und Vollständigkeit übernehmen wir keine Gewähr; eine Haftung für Schäden aus der Nutzung dieser Inhalte, der beschriebenen Anleitungen oder der Code-Beispiele ist ausgeschlossen, soweit gesetzlich zulässig. Genannte Produkt- und Firmennamen gehören ihren jeweiligen Inhabern; eine Verbindung zu ihnen besteht nicht.

Dieser Text wurde mit Unterstützung von KI erstellt und redaktionell geprüft.