KI-Kennzeichnungspflicht: Stand August 2026

In unserem Überblick zum EU AI Act haben wir im März den Rahmen der Verordnung erklärt. Seither haben sich zwei Dinge geändert, die eine Fortsetzung nötig machen: Die Transparenzpflichten sind am 2. August 2026 in Kraft getreten, und der Digital Omnibus hat am 27. Juli 2026 mehrere andere Fristen verschoben. Dieser Artikel beantwortet deshalb nur eine Frage:

Was ist jetzt zu tun?

Das Wichtigste in Kürze

• In Kraft seit 2. August 2026: Transparenzpflichten nach Artikel 50 für Chatbots, Deepfakes und KI-Texte zu Themen von öffentlichem Interesse.
• Verschoben: ausschließlich die Hochrisiko-Pflichten – Anhang III auf 2. Dezember 2027, Anhang I auf 2. August 2028. Für die meisten KMU ohne Bedeutung.
• Rollen: Anbieter kennzeichnen die KI-Interaktion und markieren generierte Inhalte maschinenlesbar; Betreiber legen Deepfakes und KI-Texte offen. Die meisten KMU sind Betreiber.
• Aufgaben: Chatbot-Hinweis prüfen, Redaktionsverantwortung schriftlich festlegen, generierte Bilder durchsehen, Kennzeichnung wahrnehmbar setzen.

Welche Fristen aktuell gelten

Rechtsgrundlage der Verschiebung ist die Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026. Verschoben wurde ausschließlich das Kapitel zu Hochrisiko-Systemen. Wer aus den Schlagzeilen geschlossen hat, der AI Act komme insgesamt später, hat die relevanteste Frist übersehen.

Wer ist von der KI-Kennzeichnungspflicht betroffen?

Die Verordnung unterscheidet zwei Rollen. Davon hängt ab, welche Pflichten bei Ihnen landen.

• Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Sie müssen die KI-Interaktion kennzeichnen und synthetische Inhalte maschinenlesbar markieren.
• Betreiber setzen ein KI-System im eigenen Namen ein. Das sind die meisten österreichischen KMU. Sie müssen Deepfakes, Emotionserkennung und KI-Texte zu Themen von öffentlichem Interesse offenlegen.

Der häufigste Grenzfall: Sie lassen einen Chatbot auf Basis eines fremden Modells entwickeln und betreiben ihn unter Ihrer Marke. Dann können Sie in die Anbieterrolle rutschen. Klären Sie im Vertrag mit dem Dienstleister, wer die Transparenzpflichten erfüllt.

Transparenzpflichten und Voraussetzungen

KI-Interaktion

Gilt, wenn: Ihre Website oder Ihr Service ein System einsetzt, das direkt mit Menschen kommuniziert – typischerweise ein Chatbot oder KI-Assistent.
Was zu tun ist: Nutzer:innen bereits bei der ersten Interaktion darüber informieren, dass sie mit einer KI sprechen. Der Hinweis muss barrierefrei zugänglich sein und dauerhaft bestehen bleiben. Ein Hinweis ausschließlich in AGB, Datenschutzerklärung oder technischer Dokumentation genügt nicht.
Verantwortlich: Anbieter:in

Synthetische Inhalte

Gilt, wenn: Sie generative KI anbieten, also ein System, das Bilder, Audio, Video oder Text erzeugt.
Was zu tun ist:  Die Ausgaben maschinenlesbar markieren – Wasserzeichen, Metadaten oder Fingerprints – und Mittel bereitstellen, mit denen sich das überprüfen lässt.
Verantwortlich: Anbieter. Für Sie als Nutzer:in dieser Werkzeuge nur mittelbar relevant: Markierungen nicht entfernen.

Deepfakes

Gilt, wenn: Sie KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte veröffentlichen, die realen Personen, Orten oder Ereignissen ähneln und Menschen täuschen könnten.
Was zu tun ist:  Offenlegen – sichtbar bei Bild und Video, hörbar bei Audio, unmittelbar wahrnehmbar. Für offensichtlich künstlerische, satirische oder fiktionale Werke gilt eine erleichterte Form. Für realistisch anmutende Werbung nicht.
Verantwortlich: Betreiber:in

KI-Texte zu Themen von öffentlichem Interesse

Gilt, wenn: Sie KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlichen.
Gilt nicht, wenn: beide Bedingungen zusammen erfüllt sind – der Text wurde einer menschlichen **inhaltlichen** Prüfung unterzogen, und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung. Eine Rechtschreibprüfung erfüllt das nicht. Gemeint ist eine fachliche Kontrolle, bei der jemand für die Richtigkeit der Aussagen einsteht.
Zu tun, falls die Ausnahme nicht greift: klar und ohne technische Hilfsmittel erkennbar kennzeichnen.
Verantwortlich: Betreiber:in

Was Sie konkret tun müssen

1. Chatbot-Hinweis prüfen

Öffnen Sie den Chatbot wie ein Erstbesucher. Der Hinweis muss echter Text sein, nicht Grafik ohne Alternativtext, und er darf nach der ersten Nachricht nicht verschwinden. Bei vielen vorkonfigurierten Erweiterungen ist er vorhanden, aber deaktiviert oder in englischer Standardformulierung.

2. Redaktionsverantwortung schriftlich festlegen.

Eine benannte Person, ein dokumentierter Freigabeschritt. Joomla bietet dafür mit Workflows und Artikelstatus die Bordmittel. Damit greift die Ausnahme bei Texten – das ist der günstigste Weg zur Compliance.

3. Bildbestand durchsehen.

Unproblematisch sind Illustrationen, die klar als solche erkennbar sind. Kritisch sind fotorealistische Motive, die reale Situationen suggerieren: generiertes Teamfoto, generierte Referenzsituation. Diese brauchen eine Offenlegung.

4. Kennzeichnung wahrnehmbar setzen

Deutlich am Anfang oder Ende des Inhalts, kontrastiert nach WCAG 2.2 AA. Das Icon-Set der EU-Kommission zur Kennzeichnung KI-generierter Inhalte ist kostenfrei nutzbar.

KI-Kompetenz: die oft übersehene Pflicht

Seit 2. Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen zur KI-Kompetenz ihrer Mitarbeiter:innen ergreifen – unabhängig von der Betriebsgröße und unabhängig davon, ob Sie eigene Modelle entwickeln oder nur ChatGPT für Textentwürfe nutzen. Der Digital Omnibus hat die Anforderung entschärft: Verlangt werden Maßnahmen zur Förderung von KI-Wissen, kein bestimmter Kenntnisstand einzelner Personen.

Fünf Bausteine gehören in die Umsetzung:

1. eine Strategie, was erlaubt, sinnvoll und untersagt ist
2. eine schriftliche Unternehmensrichtlinie
3. klare Handlungsregeln für den Alltag
4. ein Schulungskonzept, das den unterschiedlichen Kenntnisstand berücksichtigt
5. eine regelmäßige Überprüfung. Die WKÖ stellt dafür Guidelines für KMU bereit, die sich als Grundlage gut eignen.

Drei Regeln sollten unmissverständlich in der Richtlinie stehen:

1. keine personenbezogenen Daten in KI-Tools eingeben
2. keine Geschäfts- und Betriebsgeheimnisse verarbeiten
3. jede KI-Ausgabe einem Faktencheck unterziehen

Der Grund ist nicht nur der AI Act. Die Verordnung ersetzt nichts – sie tritt neben DSGVO, österreichisches Datenschutzgesetz und Produktsicherheitsrecht.

Wer personenbezogene Daten in ein KI-System gibt, muss Auskunft, Löschung und Widerspruch weiter erfüllen können. Bei Daten, die in einem fremden Modell verarbeitet wurden, ist das praktisch schwer. Deshalb: Personenbezug vermeiden, wo er nicht zwingend nötig ist.

Strafen bei Nichteinhaltung der KI-Kennzeichnungspflicht

Für verbotene Praktiken sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vorgesehen, für andere Verstöße bis zu 15 Millionen Euro oder 3 Prozent. Für KMU gelten verhältnismäßige Obergrenzen.

Für einen Betrieb mit Website-Chatbot ist ein Bußgeldverfahren allerdings nicht das wahrscheinlichste Risiko. Realistischer sind Abmahnungen durch Mitbewerber:innen und der Vertrauensverlust, wenn Kund:innen bemerken, dass Inhalte generiert und nicht gekennzeichnet waren.

Dieser Beitrag ist eine allgemeine Orientierung zum Stand August 2026 und keine Rechtsberatung. Für verbindliche Auskünfte zu Ihrer Situation wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Unsicher, ob die Kennzeichnung auf Ihrer Website sauber umgesetzt ist? Schreiben Sie uns – wir schauen gemeinsam drauf.

Häufige Fragen zur KI-Kennzeichnungspflicht

Dieser Beitrag ist Teil unserer Reihe zum Thema KI und Joomla. Lesen Sie auch:
KI und Joomla-Websites – Was ist heute schon möglich? →
EU AI Act: Was Ihr Unternehmen jetzt wissen muss →
Wie wir mit KI ein maßgeschneidertes Joomla-Modul entwickelt haben →
Produktive Gedanken zu KI in Websites →

Quellen und weiterführende Links:

RTR KI-Servicestelle, Transparenzpflichten
RTR KI-Servicestelle, Risikostufen
WKÖ KI-Guidelines für KMU
EU-Icon-Set zur Kennzeichnung KI-generierter Inhalte
Österr. Datenschutzbehörde (DSB) - FAQs zu KI und Datenschutz