EU AI Act 2026: Zeitplan, Kennzeichnung von KI-Inhalten und wichtige Vorgaben

Der EU AI Act erreicht 2026 eine wichtige Phase seiner Anwendung. Unternehmen und Nutzer generativer KI sollten dabei nicht nur auf einzelne Stichtage achten, sondern auch darauf, welche rechtliche Rolle sie einnehmen, wie ein KI-System eingesetzt wird und welche Inhalte erzeugt oder manipuliert werden. Dieser Beitrag erklärt die wichtigen Termine von 2026 bis 2028, die Transparenzpflichten nach Artikel 50, die verbotenen Praktiken im KI-Bereich nach Artikel 5 und zentrale Punkte beim Einsatz von GenApe für KI-Texte, Bilder und Videos.

Der EU AI Act (Verordnung (EU) 2024/1689) schafft einen unionsweiten Rechtsrahmen für künstliche Intelligenz. Er wurde nicht erst 2026 verabschiedet und seine Vorschriften gelten auch nicht alle ab demselben Tag.

Die Verordnung wird stufenweise anwendbar. Bestimmte verbotene Praktiken, Definitionen und Vorgaben zur KI-Kompetenz gelten bereits seit Februar 2025. Vorschriften für Anbieter von Modellen mit allgemeinem Verwendungszweck (GPAI) folgten ab August 2025. Im Jahr 2026 werden insbesondere die Transparenzpflichten nach Artikel 50 relevant. Weitere wichtige Anwendungstermine folgen 2027 und 2028.

Für Änderungen am Zeitplan und die 2026 ergänzten Regelungen ist außerdem die Verordnung (EU) 2026/1744 maßgeblich.

Diese Termine sollten nicht pauschal als „Inkrafttreten des EU AI Act“ bezeichnet werden. Inkrafttreten, Anwendbarkeit einzelner Vorschriften und Übergangsfristen sind rechtlich unterschiedliche Fragen.

Wer nach „EU AI Act 2026“ oder dem Zeitpunkt sucht, ab dem der AI Act gilt, sollte deshalb zuerst klären, um welche konkrete Vorschrift es geht.

Ein häufiger Fehler beim Umgang mit dem EU AI Act besteht darin, alle Personen, die ein KI-Tool verwenden, derselben rechtlichen Rolle zuzuordnen.

Die Verordnung unterscheidet unter anderem zwischen Anbietern und Betreibern. Der umgangssprachliche „Nutzer“ ist dabei nicht automatisch ein Betreiber im Sinne des AI Act.

Setzt beispielsweise ein Unternehmen ein KI-System in eigener Verantwortung ein, wird ein Mitarbeiter nicht allein deshalb zu einem eigenständigen Betreiber, weil er einen Prompt eingibt oder auf eine Schaltfläche zur Generierung von Inhalten klickt.

Diese Unterscheidung ist besonders für Artikel 50 wichtig. Technische Pflichten eines Anbieters zur maschinenlesbaren Kennzeichnung bestimmter KI-Ausgaben sind nicht dasselbe wie Offenlegungspflichten eines Betreibers in bestimmten Situationen.

Für die rechtliche Einordnung reicht daher die Frage, wer die KI benutzt, nicht aus. Entscheidend ist auch, welche rechtliche Rolle die betreffende Person oder Organisation im konkreten Einsatzszenario einnimmt.

Nein, nicht pauschal.

Artikel 50 enthält wichtige Transparenzpflichten für KI-Systeme und bestimmte KI-generierte oder manipulierte Inhalte. Er schreibt aber nicht vor, dass sämtliche KI-Inhalte mit demselben sichtbaren KI-Wasserzeichen versehen werden müssen.

Je nach System, Inhalt, rechtlicher Rolle und Nutzungssituation sind unterschiedliche Pflichten zu unterscheiden: Transparenz bei der direkten Interaktion mit natürlichen Personen, die maschinenlesbare Kennzeichnung auf Anbieterseite sowie bestimmte Offenlegungspflichten auf Betreiberseite. Die offiziellen Erläuterungen der Europäischen Kommission zu den Transparenzpflichten nach Artikel 50 erläutern die unterschiedlichen Pflichten, Voraussetzungen und Ausnahmen näher.

Transparenz bei der direkten Interaktion mit KI

Bei bestimmten KI-Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, muss der Anbieter nach Artikel 50 sicherstellen, dass die betroffenen Personen darüber informiert werden, dass sie mit einem KI-System interagieren. Dabei sind die Voraussetzungen und Ausnahmen der Vorschrift zu beachten.

Bei KI-Chats oder KI-Agenten kann daher zunächst zu prüfen sein, ob die Vorschriften zur Transparenz bei einer direkten KI-Interaktion relevant sind. Daraus folgt jedoch nicht, dass für jedes dialogbasierte KI-System in jeder Situation exakt derselbe Hinweis erforderlich wäre.

Maschinenlesbare Kennzeichnung und sichtbares KI-Wasserzeichen

Artikel 50 enthält auch technische Kennzeichnungspflichten für bestimmte KI-generierte oder manipulierte Inhalte. Soweit die jeweiligen Voraussetzungen erfüllt sind, müssen Anbieter dafür sorgen, dass solche Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.

Eine maschinenlesbare Kennzeichnung ist nicht dasselbe wie ein für Menschen sichtbares KI-Wasserzeichen.

Der Begriff „KI-Wasserzeichen“ sollte deshalb nicht pauschal als Ersatz für die maschinenlesbare Kennzeichnung nach Artikel 50 verwendet werden.

Offenlegung bei Deepfakes und bestimmten Texten von öffentlichem Interesse

Artikel 50 enthält außerdem Offenlegungspflichten für Betreiber in bestimmten Situationen. Dazu gehören unter den jeweiligen gesetzlichen Voraussetzungen Deepfakes sowie bestimmte KI-generierte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.

Bei solchen Texten ist außerdem die vorgesehene Ausnahme zu berücksichtigen, wenn eine menschliche Überprüfung oder redaktionelle Kontrolle stattgefunden hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Deshalb müssen die Rollen klar getrennt werden: Die maschinenlesbare Kennzeichnung durch einen Anbieter und die Offenlegung durch einen Betreiber sind unterschiedliche Transparenzpflichten.

Ein KI-generiertes Video ist außerdem nicht automatisch ein Deepfake. Und selbst wenn ein Inhalt als Deepfake einzuordnen ist, bedeutet dies nicht automatisch, dass eine nach Artikel 5 verbotene Praktik im KI-Bereich vorliegt.

Ob eine bestimmte Vorschrift greift, hängt weiterhin vom Inhalt, vom Verwendungszweck, von der rechtlichen Rolle und von den Voraussetzungen der jeweiligen Norm ab.

Auch die Erfüllung einer Transparenz- oder Offenlegungspflicht nach Artikel 50 beantwortet für sich allein nicht die Frage, ob die Erzeugung, Manipulation oder Veröffentlichung eines Inhalts materiell rechtmäßig ist.

Während Artikel 50 bestimmte Transparenzfragen regelt, betrifft Artikel 5 eine andere Ebene: Er bestimmt, wann bestimmte KI-Praktiken unter den gesetzlich festgelegten Voraussetzungen verboten sind.

Ein Teil dieser Verbote gilt bereits seit Februar 2025. Durch die Verordnung (EU) 2026/1744 wurden 2026 zwei weitere Kategorien ergänzt, die ab dem 2. Dezember 2026 anwendbar werden.

Entscheidend ist deshalb nicht nur die Bezeichnung einer Kategorie. Artikel 5 verbietet bestimmte Praktiken, wenn deren jeweilige gesetzliche Voraussetzungen erfüllt sind; er ist keine allgemeine Liste verbotener KI-Technologien.

Die 2026 neu aufgenommenen Verbote nach Artikel 5

Eine der 2026 ergänzten Regelungen betrifft die KI-gestützte Erzeugung oder Manipulation bestimmter realistischer Bilder, Videos, Audiodateien oder vergleichbarer Inhalte, die intime Körperbereiche einer identifizierbaren natürlichen Person oder eine identifizierbare natürliche Person bei sexuell expliziten Handlungen darstellen, wenn die nach Artikel 5 erforderliche Einwilligung fehlt.

Daraus darf kein allgemeiner Satz wie „Erwachsenen-Inhalte mit KI sind verboten“ abgeleitet werden. Für die Einordnung sind unter anderem Identifizierbarkeit, Inhalt, Realitätsnähe, Einwilligung und die weiteren gesetzlichen Voraussetzungen relevant.

Für Artikel 5 Absatz 1 Buchstabe ba stellt die geänderte Verordnung außerdem klar, dass eine Manipulation für dieses Verbot nicht als „Manipulation“ gilt, wenn sie weder die Darstellung intimer Körperbereiche erweitert noch die Art der dargestellten sexuell expliziten Handlungen verändert.

Die zweite 2026 ergänzte Regelung betrifft bestimmte Darstellungen oder Darbietungen im Zusammenhang mit sexuellem Missbrauch von Kindern, die von Artikel 5 Absatz 1 Buchstabe bb und den dort in Bezug genommenen Definitionen erfasst werden. Auch hier sind die gesetzlichen Voraussetzungen und Ausnahmen zu beachten.

Die neuen Regelungen unterscheiden außerdem zwischen dem Inverkehrbringen beziehungsweise der Inbetriebnahme eines KI-Systems und seiner Nutzung durch einen Betreiber. Die bloße technische Fähigkeit eines KI-Tools, bestimmte Inhalte zu erzeugen, reicht daher nicht aus, um das KI-System automatisch als nach Artikel 5 verboten einzuordnen.

Bei Betreibern ist zusätzlich der konkrete Zweck zu berücksichtigen, für den das KI-System verwendet wird.

Mit den KI-Tools von GenApe lassen sich unter anderem KI-gestützte Texte, Bilder, Videos und weitere Content-Workflows umsetzen. Die verwendete Funktion kann einen sinnvollen Ausgangspunkt für die Prüfung liefern. Der Name oder die Art einer GenApe-Funktion bestimmt aber nicht automatisch, welche Vorschrift des EU AI Act anwendbar ist.

Bei einem KI-Chat oder KI-Agenten kann zunächst relevant sein, ob eine direkte Interaktion mit natürlichen Personen stattfindet. Bei KI-Texten sind unter anderem Inhalt, Zweck und Art der Veröffentlichung zu betrachten. Bei KI-Bildern und KI-Videos können Fragen der maschinenlesbaren Kennzeichnung oder bestimmter Offenlegungspflichten relevant werden. Werden Personen oder Inhalte manipuliert, ist zusätzlich zu prüfen, ob die Voraussetzungen für einen Deepfake oder für eine verbotene Praktik nach Artikel 5 erfüllt sein könnten.

„Potenziell relevant“ bedeutet hier bewusst nicht, dass eine Vorschrift automatisch greift. Die konkrete rechtliche Einordnung hängt von der Rolle, dem KI-System, dem Inhalt, dem Verwendungszweck und den Voraussetzungen der jeweiligen Norm ab.

KI-Kennzeichnung und materielle Rechtmäßigkeit von Inhalten

Transparenzpflichten und die materielle Rechtmäßigkeit eines Inhalts oder Verhaltens sind voneinander zu unterscheiden. Selbst wenn für einen KI-Inhalt eine nach Artikel 50 erforderliche Kennzeichnung oder Offenlegung vorgenommen wurde, folgt daraus nicht automatisch, dass seine Erzeugung, Manipulation oder Veröffentlichung rechtmäßig ist.

Umgekehrt bedeutet das Fehlen einer allgemeinen Pflicht zu einem sichtbaren KI-Wasserzeichen nicht, dass Artikel 50 irrelevant wäre. Anbieterpflichten zur maschinenlesbaren Kennzeichnung und Offenlegungspflichten von Betreibern müssen getrennt geprüft werden.

Artikel 50 und Artikel 5 sind für viele Fragen rund um generative KI besonders relevant, bilden aber nur einen Teil des EU AI Act.

Generative KI und die Einstufung als Hochrisiko-KI-System

Die Fähigkeit eines Systems, Texte, Bilder oder Videos zu generieren, macht es allein noch nicht zu einem Hochrisiko-KI-System. Die Einstufung hängt insbesondere vom vorgesehenen Verwendungszweck und den konkreten Klassifizierungsvoraussetzungen des AI Act ab.

Nach dem geänderten Zeitplan erreichen bestimmte Hochrisiko-KI-Systeme nach Anhang III am 2. Dezember 2027 ihre entsprechende Anwendungsphase. Für bestimmte Hochrisiko-KI-Systeme im Zusammenhang mit den in Anhang I erfassten regulierten Produkten folgt die entsprechende Phase am 2. August 2028.

Nutzung generativer KI und die Rolle als GPAI-Modellanbieter

Wer einen KI-Dienst nutzt, der auf einem Modell mit allgemeinem Verwendungszweck basiert, wird allein dadurch nicht zum Anbieter dieses GPAI-Modells.

Für Anbieter von GPAI-Modellen gelten seit dem 2. August 2025 besondere Anforderungen. Dazu gehören unter anderem technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und die Veröffentlichung einer hinreichend detaillierten Zusammenfassung der für das Training verwendeten Inhalte.

Unternehmen sollten daher die Pflichten eines GPAI-Modellanbieters nicht allein deshalb auf sich übertragen, weil sie einen generativen KI-Dienst verwenden.

Anforderungen an die KI-Kompetenz nach Artikel 4

Artikel 4 betrifft Maßnahmen von Anbietern und Betreibern zur KI-Kompetenz.

Nach der Änderung von 2026 müssen die betreffenden Akteure Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Mitarbeiter und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Dabei sind unter anderem technische Kenntnisse, Erfahrung, Ausbildung und Schulung, der Nutzungskontext sowie die Personen oder Personengruppen zu berücksichtigen, gegenüber denen die Systeme eingesetzt werden.

Die Vorschrift verlangt nicht, dass Anbieter oder Betreiber garantieren, dass eine bestimmte Person ein festgelegtes Niveau an KI-Kompetenz erreicht.

Daraus folgt insbesondere nicht, dass sämtliche Mitarbeiter dieselbe KI-Zertifizierung erwerben müssen oder jedes Unternehmen zwingend eine Position mit der Bezeichnung „AI Officer“ einrichten muss.

Für Unternehmen und Nutzer in Deutschland sollte die Prüfung nicht allein an der verwendeten KI-Funktion ausgerichtet werden. Ausgangspunkte sind vielmehr die rechtliche Rolle, die konkrete Nutzung des KI-Systems, die Art des Inhalts, der Veröffentlichungskontext und die Voraussetzungen der jeweils einschlägigen Vorschrift.

Bei der Nutzung der KI-Tools von GenApe für Texte, Bilder, Videos und weitere Content-Workflows sollten daher der konkrete Anwendungsfall, die eigene rechtliche Rolle, der Inhalt und der Veröffentlichungskontext berücksichtigt und anschließend die möglicherweise einschlägigen Anforderungen des EU AI Act geprüft werden.