Ab kommendem Sonntag, den 2. August, gilt Artikel 50 der EU-KI-Verordnung. Damit treten die Transparenzpflichten in Kraft, die jene Unternehmen betreffen, die KI-Systeme einsetzen oder entwickeln. Privatpersonen sind somit von den neuen Pflichten ausgeschlossen. Konkret betroffen sind von den neuen Regelungen zwei Gruppen: Erstens Anbieter, die KI-Systeme entwickeln, etwa Unternehmen wie Meta oder Google. Zweitens Betreiber, die KI-Systeme selbst nutzen. Arbeitgeber, die fremdentwickelte und vortrainierte KI-Systeme oder Tools mit KI-Funktionen nutzen, unterliegen in der Regel den Pflichten eines Betreibers. Experten und Expertinnen zufolge gelten somit die meisten Unternehmen als Betreiber.
KI-Transparenzpflichten: Das gilt für Unternehmen ab dem 2. August 2026
Ein Blick in den Gesetzestext stellt klar: Die Transparenzpflichten des EU AI Acts gelten spätestens ab der ersten Interaktion oder Begegnung zwischen Nutzenden und KI-System. Das gilt ab Anfang August für Anbieter und Betreiber von KI-Systemen:
1. Informationspflicht: Wer mit KI kommuniziert, muss es wissen
Wer ein KI-System betreibt, das direkt mit Menschen kommuniziert, beispielsweise einen Chatbot im Kundenservice, einen virtuellen Assistenten oder ein automatisiertes Telefonsystem, muss Nutzerinnen und Nutzer künftig aktiv darüber informieren, dass sie mit einer KI interagieren. Diese Informationspflicht betrifft zwar in erster Linie die Anbieter der KI-Systeme. Doch auch Unternehmen, die diese Systeme einsetzen, sollten nicht einfach darauf vertrauen, dass Nutzerinnen und Nutzer informiert werden. Sie sollten aktiv prüfen, ob der Hinweis tatsächlich sichtbar ist.
Eine Ausnahme für diese Pflicht gilt nur, wenn der KI-Charakter für einen aufmerksamen, informierten und verständigen Nutzenden ohnehin offensichtlich ist, also etwa bei klar als Roboter erkennbaren Systemen.
2. Kennzeichnungspflicht: KI-Inhalte müssen gekennzeichnet sein
Wer ein KI-System anbietet, das synthetische Texte, Bilder, Audio- oder Videoinhalte erzeugt, muss künftig sicherstellen, dass die erzeugten Inhalte maschinenlesbar als „KI-generiert” oder „KI-manipuliert” gekennzeichnet sind. Das bedeutet, dass die Kennzeichnung nicht nur für Menschen sichtbar, sondern auch technisch auslesbar sein muss.
Eine Ausnahme gilt für KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren. Sie haben eine Übergangsfrist bis zum 2. Dezember 2026. Grundlage für diese Entscheidung ist das AI-Omnibus-Paket vom Mai 2026, das Unternehmen mehr Zeit zur Umsetzung geben soll.
Nicht jedes KI-System fällt unter diese Pflicht. Wer KI lediglich als Hilfswerkzeug nutzt, beispielsweise zur Unterstützung bei der Standardbearbeitung, ohne dabei Inhalte wesentlich zu verändern, ist von der Kennzeichnungspflicht ausgenommen. Gleiches gilt für Systeme, die behördlich zur Strafverfolgung zugelassen sind.
3. Emotionserkennung und Biometrie: Betroffene müssen informiert werden
Wer Systeme zur Emotionserkennung oder biometrischen Kategorisierung betreibt, ist künftig dazu verpflichtet, die betroffenen Personen über den Betrieb des Systems zu informieren. Darüber hinaus gelten die Vorgaben der DSGVO sowie weiterer EU-Datenschutzverordnungen (EU) 2016/679, (EU) 2018/1725, (EU) 2016/680.
Wichtig ist dabei die Unterscheidung zwischen dieser neuen Transparenzpflicht und dem bereits geltenden Verbot der Emotionserkennung. Das Verbot der Emotionserkennung durch KI ist in Artikel 5 des EU AI Acts verankert und gilt explizit für den Arbeitsplatz und Bildungseinrichtungen. Personalabteilungen dürften die KI-Emotionserkennung also längst als “verboten” abgespeichert haben. Außerhalb dieser Bereiche ist der Einsatz von Emotionserkennungssystemen grundsätzlich zulässig.
Für Unternehmen ergeben sich daraus zwei konkrete Fragen, die sie prüfen und beantworten können sollten:
- Ist der geplante Einsatz von Emotionserkennungssystemen überhaupt erlaubt?
- Falls ja, wie muss er datenschutzkonform und transparent gestaltet werden?
4. Deepfakes und KI-Texte: Offenlegungspflicht für Betreiber
Wer Deepfakes erzeugt oder einsetzt, also KI-manipulierte Bild-, Ton- oder Videoinhalte, muss offenlegen, dass diese künstlich erzeugt wurden. Bei künstlerischen, satirischen oder fiktionalen Werken oder Programmen, genügt ein Hinweis, der das Werk selbst nicht beeinträchtigt.
Eine Neuerung, die insbesondere für Medien und PR relevant ist, betrifft die Veröffentlichung von KI-generierten Texten zu Themen von öffentlichem Interesse. Hier muss kenntlich gemacht werden, dass der Text künstlich erzeugt oder manipuliert wurde. Das gilt jedoch nicht, wenn der Text vom Menschen überprüft wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.
Um Anbieter und Betreiber von KI-Systemen dabei zu unterstützen, die EU-Transparenzpflichten sicherzustellen, hat die Europäische Kommission entsprechende Leitlinien erarbeitet.
Was droht bei Verstößen gegen die Transparenzpflichten?
Wer die neuen Transparenzpflichten ignoriert, riskiert hohe Geldbußen: Der EU AI Act sieht Sanktionen von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes von Unternehmen vor. Zuständig für die Durchsetzung sind die nationalen Marktüberwachungsbehörden, in Deutschland die Bundesnetzagentur. Für kleine und mittlere Unternehmen gilt hier ein Verhältnismäßigkeitsprinzip.
EU AI Act: Was gilt bereits jetzt?
Die Vorgaben des EU AI Acts treten und traten schrittweise in Kraft. Bereits seit dem 2. Februar 2025 gelten zwei zentrale Regelungen. Zum einen verpflichtet Artikel 4 der Verordnung Unternehmen dazu, sicherzustellen, dass Beschäftigte über ausreichende Kompetenzen im Umgang mit KI-Systemen verfügen. Häufig wird dies durch Schulungen umgesetzt, wobei es keine Schulungspflicht als solche gibt.
Zum anderen gelten seit dem 2. August 2025 erste Vorgaben für Anbieter von General-Purpose-AI-Modellen, wie große Sprachmodelle. Die Regelungen gelten in erster Linie für Anbieter von KI-Basismodellen. Unternehmen als Nutzer haben in der Regel keine direkten Pflichten daraus. Rechtlich verankert ist diese Regelung in Artikel 53 der EU-Verordnung.
Hochrisiko-KI: Wann folgen weitere Vorgaben?
Im März dieses Jahres stimmte der Europäische Rat einer Anpassung des EU AI Acts zu. Dadurch wurden zentrale Fristen für sogenannte Hochrisiko-KI-Systeme verschoben. Für betroffene Unternehmen bedeutet das etwas mehr Zeit zur Vorbereitung. Insbesondere für Personalabteilungen ist das relevant, da zahlreiche dieser Anwendungen in diese Kategorie zählen: automatisierte Bewerberauswahl, Leistungsanalysen oder Talent-Scoring.
Für Unternehmen gelten nun folgende Stichtage:
- 2. Dezember 2027: Regeln für eigenständige Hochrisiko-KI-Systeme
- 2. August 2028: Vorgaben für Hochrisiko-KI, die in umfassendere Produkte oder Systeme integriert ist
Mara Marx ist Volontärin bei der Personalwirtschaft.
