EU AI Act: So bereiten Sie sich auf die Transparenzfrist vor

Der EU AI Act ist das Regelwerk der Europäischen Union für Künstliche Intelligenz. Er stuft KI-Systeme nach ihrem Risiko ein und legt entsprechende Pflichten fest – von einer einfachen Pflicht, offen über den Einsatz von KI zu informieren, bis hin zu strengen Auflagen für Hochrisiko-Anwendungen. Wenn Sie KI in der Nähe eines regulierten Prozesses im Banken- oder Versicherungswesen oder im öffentlichen Sektor einsetzen, gelten einige dieser Pflichten bereits für Sie.

Diese Pflichten gelten nicht dem KI-System selbst. Sie greifen in dem Moment, in dem es einen Menschen erreicht: ein Chatbot, der Kund:innen antwortet, ein Schreiben, das Ihr System mitverfasst hat und das unter Ihrem Namen hinausgeht. Dieser Moment ist ein Schritt innerhalb einer Ihrer Prozesse – und genau hier entscheidet sich, ob gesetzliche Vorgaben eingehalten oder verletzt werden.

Beginnen wir deshalb dort, wo derzeit die größte Unsicherheit herrscht.

Ein Großteil der Berichterstattung über den AI Act in diesem Sommer konzentrierte sich auf die Regelungen, deren Einführung verschoben wurde. Die Hochrisiko-Pflichten gelten nun ab 2027 und 2028 – so hat es der Digital Omnibus festgelegt, den der Rat im Juni angenommen hat. Wer nur diesen Teil liest, könnte den gesamten AI Act für ein Problem des nächsten Jahres halten.

Jedoch wurde Artikel 50 nicht verschoben. Die Pflicht, offen über den Einsatz von KI zu informieren, tritt weiterhin am 2. August 2026 in Kraft – und mit ihr Durchsetzung und Sanktionen. Es ist die Pflicht, die die meisten nicht mehr im Blick haben, und zugleich die erste, die fällig wird.

Die Anforderung ist einfach: Wenn jemand mit Ihrer KI interagiert – weiß diese Person darüber Bescheid? Und können Sie einer Aufsichtsbehörde genau nachweisen, wann und wo diese Information bereitgestellt wurde? Diese Frage müssen Ihre Prozesse bereits in wenigen Wochen beantworten können.

Der vom Rat am 29. Juni 2026 verabschiedete „Digital Omnibus on AI“ hat neue Fristen für die Hochrisiko-Pflichten gesetzt. Eigenständige Hochrisiko-KI-Systeme haben nun bis zum 2. Dezember 2027 Zeit. KI-Systeme, die in regulierte Produkte integriert sind, müssen die entsprechenden Anforderungen bis zum 2. August 2028 erfüllen. Für die umfangreichsten Compliance-Maßnahmen bedeutet das einen tatsächlichen zusätzlichen Zeitraum von zwei Jahren.

Ein Datum blieb unverändert. Artikel 50 tritt am 2. August 2026 in Kraft, zusammen mit Durchsetzung und Sanktionen. Auch die Marktüberwachung – die Kontrollen und Prüfungen, mit denen die Behörden die Einhaltung feststellen – bleibt an diesen Termin gebunden.

Artikel 50 umfasst zwei zentrale Anforderungen, die für kundenorientierte Organisationen besonders relevant sind.

Die erste betrifft die Information von Personen darüber, dass sie mit einem KI-System interagieren – sofern dies nicht ohnehin offensichtlich ist. Ein Chatbot, ein Sprachassistent, eine automatisierte Antwort, die Kund:innen erreicht: Die Person am anderen Ende sollte es bei der ersten Interaktion erfahren, und zwar so, dass sie es tatsächlich wahrnehmen kann.

Die zweite betrifft die Kennzeichnung KI-generierter Inhalte, damit diese auch als künstlich erstellt erkennbar sind. Für Systeme, die Sie ab dem 2. August 2026 in Verkehr bringen, gilt das sofort. Generative Systeme, die vor diesem Datum bereits laufen, erhalten eine kurze Übergangsfrist – die Kennzeichnung ist dann bis zum 2. Dezember 2026 fällig.

Der Unterschied zwischen diesen beiden Anforderungen sorgt in vielen Organisationen für Verwirrung. Eine maschinenlesbare Kennzeichnung in den Metadaten einer Datei kann beispielsweise die Anforderungen an die Erkennbarkeit für automatisierte Systeme erfüllen – hilft aber nicht bei der Transparenz gegenüber Kund:innen, da diese Metadaten in einem laufenden Chat niemals sehen. Die eine Vorgabe richtet sich an Software, die Inhalte später analysiert, die andere an eine Person, die gerade vor dem Bildschirm sitzt. Sie müssen beide erfüllen, und in der Regel auf unterschiedliche Weise.

Eine Richtlinie, in der Ihre Organisation festhält, dass sie transparent mit KI umgeht, reicht nicht aus, wenn eine Aufsichtsbehörde nach einer Beschwerde konkrete Nachweise verlangt. Sie möchte sehen, an welcher Stelle im Prozess die Information über den Einsatz von KI erfolgt ist – und zwar in genau dem Kanal, den die Kundin oder der Kunde tatsächlich genutzt hat. Zudem muss nachvollziehbar sein, dass die Information in der richtigen Sprache und zum richtigen Zeitpunkt bereitgestellt wurde.

Eine Richtlinie beschreibt lediglich eine Absicht. Eine Aufsichtsbehörde will jedoch einen konkreten Nachweis, der an einen bestimmten Punkt in Ihrem Prozess geknüpft ist. Diesen Nachweis von Anfang an in den Prozess einzubauen ist weitaus einfacher, als ihn nach einer Beschwerde zu rekonstruieren.

Ein Chatbot-Gespräch oder ein entworfenes Schreiben ist ein eindeutiger Punkt, den Sie benennen können. Entweder Sie können zeigen, was dort geschah – oder eben nicht.

Der AI Act verteilt seine Pflichten auf zwei Rollen, Anbieter und Betreiber. Welche davon auf Sie zutrifft, entscheidet darüber, welche Pflicht wirklich Ihre ist.

Die meisten Organisationen in Banken, im Versicherungswesen oder im öffentlichen Sektor sind Betreiber, nicht Anbieter. Wenn Sie das KI-System selbst entwickeln oder unter Ihrer Marke anbieten, übernehmen Sie die Anbieterpflichten – dazu gehören die Gestaltung des Interaktionshinweises und die Kennzeichnung der Inhalte. Nutzen Sie stattdessen ein System eines Drittanbieters, sind Sie in der Regel Betreiber. Auch diese Rolle bringt Pflichten mit sich, sobald Inhalte einen Menschen erreichen – etwa die Offenlegung von Deepfakes und bestimmten veröffentlichten Texten.

Ein und dasselbe System kann Sie in beide Rollen zugleich versetzen. Bevor Sie einen einzigen Hinweistext formulieren, klären Sie, welche Rolle an welchem KI-Berührungspunkt gilt.

Die eigene Rolle zu kennen, ist der erste Schritt, um zu verstehen, was als Nächstes geprüft werden muss: Nämlich, ob ein bestimmter Berührungspunkt überhaupt eine Verpflichtung auslöst. Nicht jede Interaktion mit KI fällt automatisch darunter. Wer die Anforderungen zu weit auslegt, investiert unnötig Aufwand und erzeugt eine trügerische Sicherheit.

Sie müssen nicht alles kennzeichnen. Hilft eine KI nur bei routinemäßiger Überarbeitung, etwa als Grammatikprüfung, oder verändert sie die Eingabe und ihre Bedeutung nicht wesentlich, entfällt die Kennzeichnungspflicht.

Auch eine menschliche Prüfung kann die Situation verändern. Übernimmt eine benannte Person die redaktionelle Verantwortung für die Veröffentlichung KI-generierter Texte, entfällt diese Kennzeichnungspflicht ebenfalls. Bei Inhalten, die offenkundig künstlerisch oder satirisch sind, muss die Offenlegung nur so erfolgen, dass sie das Werk nicht beeinträchtigt.

Hinzu kommt eine Grenze rund um die Offensichtlichkeit. Ist die KI für Ihr Publikum bereits offensichtlich, schulden Sie keinen Interaktionshinweis. Die Aufsichtsbehörden legen „offensichtlich“ allerdings eng aus – ein ausgefeilter Chatbot allein genügt dafür nicht.

Ihre KI-Berührungspunkte gegen Artikel 50 abzugleichen ist unkompliziert – besonders, wenn Sie Ihre Prozesse ohnehin schon modellieren.

• Gehen Sie Ihre Prozesse mit Kunden- und Mitarbeitendenkontakt durch und markieren Sie jeden Schritt, an dem eine KI mitbestimmt, was ein Mensch liest oder erhält.
• Entscheiden Sie an jedem dieser Schritte, ob Sie Anbieter oder Betreiber sind und welche Pflicht aus Artikel 50 greift – falls überhaupt eine greift.
• Halten Sie für jede geltende Pflicht fest, wie der Hinweis oder die Kennzeichnung aussieht, wo er erscheint, wer dafür verantwortlich ist und wo der Nachweis abgelegt wird.

Auf diesen Nachweis kommt es am meisten an, denn Artikel 50 kennt keine formale Konformitätsbewertung. Niemand prüft Ihre Arbeit im Voraus. Kommt eine Beschwerde, ist es die geführte Aufzeichnung, die die Compliance der Anforderungen belegt. Dieselbe Grundlage hilft Ihnen auch bei den Anforderungen, die ab 2027 gelten werden. Wer die notwendigen Informationen und Nachweise bereits heute strukturiert erfasst, muss die Arbeit später nicht erneut aufbauen, sondern kann auf einer bestehenden Basis aufsetzen.

Jeden Prozess zu prüfen und jeden Berührungspunkt zu markieren kostet echten Aufwand – und dieser vervielfacht sich schnell in einer Organisation mit vielen KI-nahen Prozessen. Nachzuverfolgen, wer den Nachweis hinter jedem einzelnen verantwortet, legt eine weitere Ebene obendrauf. ADONIS macht Sie nicht automatisch compliant und sorgt auch nicht von selbst für Transparenz. Transparenz entsteht am konkreten Berührungspunkt – im direkten Austausch mit einer realen Person. Und Compliance ist kein Ergebnis eines einzelnen Tools, sondern eine Verantwortung der gesamten Organisation.

Was ADONIS bietet, ist eine strukturierte Grundlage für genau diese Aufgabe. ADONIS modelliert jeden Berührungspunkt an dem Prozess, zu dem er gehört, hält fest, wer für jede Offenlegung verantwortlich ist, und verweist auf genau den Schritt, sobald jemand einen Nachweis verlangt. Die Offenlegung selbst bleibt jedoch Ihre Aufgabe. ADONIS hält die Karte, den Verantwortungsnachweis und die Belegkette dahinter.