Kurz gefasst
Am 2. August 2026 haben das KI-Büro der Kommission und die nationalen Behörden begonnen, die KI-Verordnung durchzusetzen, und die Transparenzpflichten des Artikels 50 sind wirksam geworden. Die Zuständigkeit ist dreigeteilt: das KI-Büro für Modelle mit allgemeinem Verwendungszweck, die nationalen zuständigen Behörden für die übrigen Systeme in ihrem Hoheitsgebiet, der Europäische Datenschutzbeauftragte für die Organe der Union.
Die Aufteilung, das Erste, was man wissen muss
Niemand beaufsichtigt alles, und deshalb hat die Frage „wer kontrolliert mich" keine einheitliche Antwort. Das KI-Büro der Kommission befasst sich unmittelbar mit Modellen mit allgemeinem Verwendungszweck und kann technische Dokumentation anfordern, Bewertungen durchführen, Abhilfemaßnahmen verlangen und Geldbußen verhängen. Die nationalen zuständigen Behörden betreuen die übrigen Systeme in ihrem Hoheitsgebiet. Der EDSB beaufsichtigt die europäischen Institutionen selbst.
- Ihr Mandant entwickelt oder stellt ein Modell mit allgemeinem Verwendungszweck bereit: er antwortet dem KI-Büro
- Ihr Mandant nutzt ein KI-System im Betrieb: er antwortet der in seinem Staat benannten nationalen Behörde
- Ihr Mandant ist eine Einrichtung der Union: er antwortet dem EDSB
- Ihr Mandant ist Verantwortlicher und verarbeitet mit diesem System personenbezogene Daten: er antwortet zusätzlich der Datenschutzbehörde — ein paralleler, kein alternativer Weg
Was am 2. August verpflichtend wurde
Die Transparenzpflichten des Artikels 50 betreffen die meisten Unternehmen, weil sie nicht die Modellhersteller adressieren, sondern jene, die Modelle einsetzen, um mit dem Publikum zu sprechen. Systeme müssen dem Nutzer mitteilen, dass er mit einer Maschine interagiert, und wann ein Inhalt von einer KI erzeugt oder verändert wurde.
- Chatbots müssen sich als automatisierte Systeme zu erkennen geben
- Deepfakes müssen gekennzeichnet werden
- Maschinell erzeugte oder bearbeitete Inhalte müssen maschinenlesbar markiert sein, damit sie erkannt werden können
- Bußgelder hierfür erreichen 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Für Anbieter von Modellen mit allgemeinem Verwendungszweck gilt anderes: bestimmte Informationen dokumentieren und den zuständigen Behörden sowie nachgelagerten Anbietern bereitstellen, eine Urheberrechtspolitik einführen und eine hinreichend detaillierte Zusammenfassung der zum Training verwendeten Inhalte veröffentlichen. Anbieter der fortschrittlichsten Modelle müssen zusätzlich Risiken großflächiger Schäden adressieren: chemische, biologische, radiologische und nukleare Vorfälle, Kontrollverlust, Cyberangriffe, schädliche Manipulation, Bedrohungen der Grundrechte.
Die kursierenden „ersten Bußgelder" finden sich in keiner offiziellen Quelle
Seit Wochen kursieren genaue Summen: achtzehn Millionen gegen ein HR-Technologieunternehmen, fünfzehn gegen eine Handelskette wegen Emotionserkennung, vierzehn gegen einen Anbieter von Kreditscoring, alle vom KI-Büro wenige Tage nach dem 2. August verhängt. Diese Zahlen erscheinen ausschließlich auf werblichen Inhaltsseiten und nie in einer Mitteilung der Kommission. Sie enthalten zudem einen strukturellen Fehler, der sie entlarvt: Das KI-Büro sanktioniert nicht denjenigen, der ein KI-System einsetzt — es befasst sich mit Modellen mit allgemeinem Verwendungszweck; für Betreiber sind die nationalen Behörden zuständig. Am 2. August wurden die Sanktionsbefugnisse ausübbar, nicht ausgeübt.
Der Verhaltenskodex zur Transparenz
Zum Start der Durchsetzung veröffentlichte die Kommission eine erste Liste von über einhundertachtzig Organisationen, die den Verhaltenskodex zur Transparenz KI-erzeugter Inhalte unterzeichnet haben. Der Kodex ist freiwillig, die dahinterstehenden Pflichten sind ohnehin Gesetz: Die Unterschrift dokumentiert, wie man sie erfüllt, sie ersetzt sie nicht.
Was noch aussteht
- Die Anforderungen an Hochrisikosysteme wurden auf den 2. Dezember 2027 verschoben
- Jene für Hochrisikosysteme in bereits regulierten Produkten auf den 2. August 2028
- Ab dem 2. Dezember 2026 sind Systeme verboten, die nicht einvernehmliche sexuell explizite Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugen
Das Konkrete für jetzt
Prüfen Sie bei jedem Mandanten mit Chatbot, Website-Assistent oder Inhaltsgenerator nur eines: Versteht der Nutzer vor Beginn, dass er mit einer Maschine spricht, und tragen die erzeugten Inhalte eine Markierung. Dafür braucht es keine Folgenabschätzung, sondern einen Blick auf die Website. Es ist die einfachste Pflicht der gesamten Verordnung und die am häufigsten fehlende.
Erinnert sei daran, dass die Kommission schon vorher andere Instrumente nutzte: Im Januar 2026 eröffnete sie ein förmliches Verfahren gegen X wegen dessen Werkzeug Grok nach dem Gesetz über digitale Dienste.
Offizielle Quelle:Commissione europea - Commission starts enforcing AI Act rules and new transparency requirements on 2 AugustOffizielle Quelle:Commissione europea - Il quadro di applicazione dell'AI ActOffizielle Quelle:AI Act, art. 50 - Obblighi di trasparenzaSuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
