Verhaltenskodex für KI-Transparenz veröffentlicht.
Die EU-Kommission hat im Juni 2026 einen freiwilligen Verhaltenskodex zur Umsetzung der Transparenzpflichten bei generativer KI veröffentlicht. Er stellt Anforderungen sowohl an die Anbieter als auch die Betreiber der KI-Systeme.
Dr. Kim Manuel Künstner berät Unternehmen zu rechtlichen und regulatorischen Fragestellungen in den Bereichen Data, Digital & Governance. Seine Schwerpunkte liegen insbesondere im Datenschutz, der Cybersicherheit, der KI-Regulierung sowie der Data Governance.
Thorsten Walter berät Unternehmen zu den rechtlichen und organisatorischen Anforderungen einer datengetriebenen und digitalisierten Wirtschaft. Sein Fokus liegt auf Datenschutz, digitaler Compliance sowie der Ausgestaltung nachhaltiger Governance-Strukturen zur Steuerung regulatorischer Risiken.
Dr. Tilmann Dittrich ist Teil der Praxisgruppe Data, Digital & Governance. Seine Beratungsschwerpunkte liegen insbesondere an der Schnittstelle von Datenrecht, Cybersecurity, NIS-2-Compliance sowie im Healthcare- und Life-Sciences-Bereich.
Übersicht der Anforderungen.
| Wer? | Was? | Wie? (KI-VO) | Wie genau (Verhaltenskodex) |
|---|---|---|---|
| Anbieter | Synthetische Audio-, Bild-, Video- oder Textinhalte |
Ausgaben des KI-Systems in einem maschinenlesbaren Format müssen gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein.
Technische Lösungen müssen wirksam, interoperabel, belastbar und zuverlässig sein. |
|
| Betreiber | Deepfakes aus Bild-, Ton- oder Videoinhalten | Offenlegung, dass der Inhalt künstlich erzeugt oder manipuliert wurde |
|
| Betreiber | Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren | Offenlegung, dass der Text künstlich erzeugt oder manipuliert wurde |
|
Transparenzvorgaben in der KI-Verordnung.
Art. 50 der KI-Verordnung schreibt vor, dass sowohl die Anbieter als auch die Betreiber von KI-Systemen Transparenzmaßnahmen treffen müssen. Die Transparenz-Pflichten gelten im Grundsatz ab dem 2. August 2026 für KI-generierte Inhalte. An dieser Frist „rüttelt“ auch das KI-Omnibus-Verfahren nicht. Allerdings sieht es eine Übergangsfrist für Anbieter von generativen KI-Systemen vor, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden. Für diese Systeme gilt die Pflicht aus Art. 50 Abs. 2 KI-VO (Kennzeichnungspflicht) erst ab dem 2. Dezember 2026.
Im Juni 2026 hat die EU-Kommission einen Verhaltenskodex veröffentlicht, der eine Richtschnur gibt, wie Anbieter und Betreiber diesen Transparenzpflichten nachkommen können.
Was fordert Art. 50 der KI-Verordnung konkret?
Die Transparenzpflichten adressieren ein zentrales Risiko generativer KI. Sie soll vor Täuschungen durch Deepfakes und anderweitigen Manipulationsrisiken schützen und die Integrität des Informationsökosystems fördern. Der Nutzer bzw. Adressat von digitalen Informationen soll in diese weiterhin vertrauen können. Daher müssen KI-generierte Inhalte erkennbar sein und Deepfakes sowie KI-generierte Texte offengelegt werden. Die technischen Lösungen hierfür müssen wirksam, interoperabel, belastbar und zuverlässig sein. Für die Anbieter der generativen KI-Systeme gelten sehr weitreichende Pflichten, während für die Betreiber nur in bestimmten Fällen, etwa für Deepfakes, Transparenzvorgaben greifen.
Anbieter eines KI-Systems
Als Anbieter gilt grundsätzlich das Unternehmen hinter einer KI-Anwendung. Dazu gehören etwa OpenAI (ChatGPT), Microsoft (Copilot), Google (Gemini) oder Anthropic (Claude). Anbieter kann aber auch jedes andere Unternehmen sein, das ein KI-System entwickelt oder ein bestehendes System unter eigener Marke bereitstellt.
Betreiber eines KI-Systems
Als Betreiber gilt in der Praxis regelmäßig das Unternehmen, das generative KI im Arbeitsalltag einsetzt. Nutzt beispielsweise eine Marketingagentur ein KI-Tool zur Erstellung von Bildern, Videos oder Texten für Kundenprojekte, ist die Agentur Betreiber des KI-Systems. Rein private Nutzer fallen dagegen grundsätzlich nicht unter die Betreiberpflichten der KI-Verordnung.
In bestimmten Konstellationen können Betreiber selbst als Anbieter eines KI-Systems gelten. Dies ist insbesondere der Fall, wenn sie ein KI-System unter eigenem Namen oder eigener Marke in Verkehr bringen, eine wesentliche Änderung an einem bereits in Verkehr gebrachten KI-System vornehmen oder den vorgesehenen Zweck eines nicht als Hochrisiko-KI-Systems eingestuften KI-Systems so verändern, dass es hierdurch zu einem Hochrisiko-KI-System wird. Da hiermit die umfangreichen Pflichten eines Anbieters verbunden sind, sollten diese Fallgestaltungen nach Möglichkeit vermieden werden.
Aufbau und Funktionsweise des Kodex.
Aktuell prüfen die EU-Kommission und der KI-Ausschuss, ob der Kodex mit Art. 50 KI-Verordnung vereinbar ist und damit die gesetzlichen Anforderungen tatsächlich ausreichend konkretisiert. Er gilt daher als freiwilliger Leitfaden, der ergänzt wird durch weitere Auslegungsleitlinien zur Transparenzpflicht. Wenn dann aber die positive Bewertung erfolgt ist, können Anbieter und Betreiber den Kodex unterzeichnen und umsetzen. Sie können gegenüber den Aufsichtsbehörden argumentieren, die Transparenzvorgaben so zu erfüllen, wie von der EU vorgesehen. Dies bietet eine starke Indizwirkung für eine Transparenz-Compliance. Damit soll der Verwaltungsaufwand für die Unternehmen sinken und die Rechtssicherheit steigen.
Der Kodex ist in zwei Abschnitte aufgeteilt. Abschnitt 1 richtet sich mit den Verpflichtungen an die Anbieter der KI-Systeme, während Abschnitt 2 die Betreiber adressiert. Die einzelnen Maßnahmen unterfallen verschiedenen „Stärken“, von verbindlich über empfohlen bis zu „Kann“-Vorgaben.
Verpflichtungen für Anbieter von generativen KI-Systemen.
Sobald ein KI-System synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt (generative KI), muss der Anbieter sicherstellen, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Der Pflichtenbereich ist hier also nicht beschränkt auf Deepfakes und KI-gestützte Texte zur Information der Öffentlichkeit, sondern erfasst jede Form synthetischer Audio-, Bild-, Video- oder Textinhalte.
Die Pflichten lassen sich in Markierung und Erkennung (Verpflichtung 1 und 2) einteilen. Die Markierung wird in Metadaten mit dem Hinweis auf eine KI-Erzeugung, durch digitale Signaturen oder im Inhalt „versteckte“ Wasserzeichen gewährleistet. Einzelne Kennzeichnungsmöglichkeiten reichen regelmäßig nicht aus, weshalb auf Kombinationen (Multi-Layer-Ansatz) gesetzt werden muss. Für kurze Texte gelten Besonderheiten. Die Transparenzvorgaben werden damit zur IT-Architekturfrage.
Die Kennzeichnung muss adressatengerecht auch überprüfbar sein. Die Anbieter der KI-Systeme sind daher verpflichtet, Erkennungstools bereitzustellen. Im Regelfall erfolgt dies über eine API (Application Programming Interface), also die Bereitstellung einer technischen Schnittstelle, über die andere Systeme automatisiert auf Funktionen zurückgreifen können. Alternativ sind beispielsweise auch Webservice-Lösungen für die Detektion möglich. Die Tools sollten für Dritte (u.a. Plattformen, Behörden, Medien) nutzbar sein.
Der dritte Baustein (Verpflichtung 3) für die Anbieter betrifft dann Qualitätsanforderungen an die Kennzeichnungs- und Erkennungslösungen und Verpflichtung 4 umfasst Test-, Monitoring- und Compliance-Maßnahmen, um die Einhaltung der Transparenzvorgaben sicherzustellen und nachweisen zu können.
Verpflichtungen für Betreiber von generativen KI-Systemen.
Für die Betreiber gelten die Transparenzpflichten nur bei Deepfakes und KI-gestützten Texten zur Information der Öffentlichkeit. Sie sind verpflichtet, diesen künstlichen Ursprung einheitlich und wirksam offenzulegen.
Deepfake
Deepfakes sind KI-generierte oder mithilfe von KI veränderte Bilder, Videos oder Tonaufnahmen, die so echt wirken, dass Menschen sie für authentische Aufnahmen halten könnten. Typische Beispiele sind täuschend echte Videos von Personen, die etwas sagen oder tun, was tatsächlich nie passiert ist. Der Deepfake-Begriff der KI-Verordnung ist damit bewusst weit gefasst.
Für die Deepfakes wird im Anhang des Verhaltenskodex ein EU-weit gültiges Symbol bereitgestellt. Der Inhalt soll grundsätzlich mit den Icons „AI GENERATED“ oder „AI MODIFIED“ unmittelbar gekennzeichnet werden. Der Kodex akzeptiert jedoch auch gleichwertige Overlay- oder Kontextlösungen, sofern die Kennzeichnung ebenso deutlich wahrnehmbar ist. Der Nutzer soll bereits bei der ersten Wahrnehmung klar erkennen können, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Der Kodex eröffnet auch die Möglichkeit, dass gleichwertige Symbole benutzt werden, sofern die Erkennbarkeit gewährleistet ist. Bei rein hörbaren Inhalten bietet sich ein Hinweis zu Beginn und bei längeren Sequenzen auch wiederholt eingespielt an. Die Markierung von Inhalten befreit die Betreiber aber nicht, die Rechte und Freiheiten Dritter beim KI-Einsatz zu wahren. Das betrifft in der Praxis etwa persönlichkeitsrechtsverletzende Deepfakes.
Texte zur Information der Öffentlichkeit
Die KI-Verordnung erfasst Texte zu Angelegenheiten von öffentlichem Interesse, die die Meinungsbildung durch massenhaft erzeugte und authentisch wirkende Inhalte beeinflussen könnten. Dazu gehören insbesondere Nachrichtenberichte, politische Beiträge, Gesundheitsinformationen oder behördliche Warnhinweise. Werden solche Inhalte mithilfe von KI erstellt, muss der KI-Einsatz grundsätzlich offengelegt werden. Nicht erfasst sind dagegen KI-generierte Texte ohne Bezug zum öffentlichen Informationsinteresse.
Bei der Textform kann eine Kennzeichnung zu Beginn des Textes erfolgen.
Die Betreiber müssen Compliance-Prozesse zur Umsetzung der Transparenz-Vorgaben etablieren und dokumentieren. Das umfasst auch die Schulung von Mitarbeitenden sowie die Vorhaltung von Feedback- und Korrekturmechanismen, falls eine Offenlegung fehlt oder ungenügend ist.
Für bestimmte Inhalte gibt es Ausnahmen von der Offenlegungspflicht. Bei künstlerischen, satirischen oder kreativen Inhalten soll die Darstellung und „der Genuss des Werks“ nicht beeinträchtigt werden. Die Offenlegungspflicht entfällt hier nicht, kann aber beispielsweise bei einem Film auch im Abspann erfolgen.
Eine weitere Ausnahme gilt, wenn eine menschliche Überprüfung und redaktionelle Kontrolle veröffentlichter Texte erfolgt. Bei Mediendiensteanbietern kann dies über bereits etablierte Überprüfungsverfahren stattfinden, andere Betreiber führen zur Überprüfung durch einen Menschen Richtlinien zur Zuständigkeit und zum Verfahren ein und überwachen deren Einhaltung.
Praxisausblick für die KI-Transparenz.
Für Unternehmen zeigt sich dabei eine klare Entwicklung:
Transparenz wird zur technischen Anforderung: KI-generierte Inhalte müssen künftig nicht nur gekennzeichnet, sondern auch zuverlässig erkennbar sein. Für viele Unternehmen wird das damit zu einer Frage von IT-Architektur und Systemdesign.
Betreiber brauchen klare Verantwortlichkeiten: Die Offenlegungspflichten lassen sich nicht dauerhaft per Einzelfallentscheidung erfüllen. Unternehmen sollten Zuständigkeiten, Prüfprozesse und Schulungen für den KI-Einsatz festlegen.
Jetzt ist die Zeit für die Vorbereitung: Bis zum Geltungsbeginn am 2. August 2026 sollten Unternehmen ihre KI-Anwendungen erfassen und die Transparenzanforderungen in bestehende Compliance- und Governance-Strukturen integrieren.
KI-Compliance-Check.
Sind Ihre KI-Anwendungen bereits AI-Act-konform? Wir prüfen Ihren KI-Einsatz, identifizieren Handlungsbedarf und entwickeln gemeinsam mit Ihnen eine rechtssichere Compliance-Strategie.
Mehr zur KI-Beratung