Die KI-Verordnung greift ab 2. August. Was Sie an Website, Inhalten und Chatbot ändern müssen

Wenn Sie Ihren Firmenblog mit Hilfe von KI schreiben: Müssen Sie das ab August kennzeichnen?

Diese Frage bekomme ich zurzeit häufiger als jede andere. Die Antwort lautet: höchstwahrscheinlich nein, aber es gibt drei Situationen, in denen Sie handeln müssen, und eine davon betrifft praktisch jedes Unternehmen mit einem Chatbot auf der Website.

Am 2. August 2026 greift die nächste Schicht der europäischen KI-Verordnung, und Deutschland hat sein Durchführungsgesetz seit dem 29. Juli 2026 in Kraft. Statt die Verordnung zusammenzufassen, habe ich sie unter einer einzigen Frage gelesen: Was muss die Inhaberin oder der Inhaber eines kleinen oder mittleren Unternehmens konkret tun, wenn eine Website da ist, Inhalte veröffentlicht werden und KI im Alltag mitläuft.

Eine ehrliche Vorbemerkung: Ich bin kein Rechtsanwalt. Ich bin Entwickler, setze KI in Geschäftssystemen ein und musste das alles lesen, um zu wissen, was ich baue. Bei ungewöhnlichen Konstellationen oder hohem Einsatz sprechen Sie bitte mit einer Fachanwältin oder einem Fachanwalt.

Zuerst die Verhältnisse: Was jetzt kommt, ist leicht

Um die KI-Verordnung ist viel Angst gewachsen, also fangen wir mit der Größenordnung an. Die Pflichten ab 2. August laufen auf Transparenz hinaus: Sagen Sie den Menschen, wann sie mit einer Maschine sprechen und wann sie auf Inhalte schauen, die eine Maschine erzeugt hat. Zertifizierung, Audits und Qualitätsmanagementsysteme liegen in einem ganz anderen Regal, sie betreffen Hochrisiko-Systeme.

Diese schwereren Pflichten, also KI in der Personalauswahl, in der Mitarbeiterbewertung, im Kredit-Scoring oder in der Bildung, sollten gemeinsam mit den Transparenzregeln starten, wurden aber verschoben. Die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus, am 24. Juli veröffentlicht und seit 27. Juli 2026 in Kraft, hat sie vom 2. August 2026 auf den 2. Dezember 2027 verlegt. KI in regulierten Produkten (Medizinprodukte, Spielzeug, Luftfahrt) hat Zeit bis zum 2. August 2028.

Wenn in Ihrem System also ein Modul Bewerbungen bewertet oder Mitarbeitende punktet, bleiben sechzehn Monate für die Anpassung. Diese Zeit lohnt sich für eine ruhige Vorbereitung.

Art. 50 selbst wurde allerdings nicht verschoben. Die einzige Erleichterung betrifft die Technik auf Anbieterseite: Die maschinenlesbare Markierung von Inhalten (Art. 50 Abs. 2) gilt für Systeme, die vor dem 2. August 2026 auf dem Markt waren, erst ab dem 2. Dezember 2026. Für das Unternehmen, das KI einsetzt, beginnt die Pflicht am 2. August.

Erste Frage: Muss ich Texte auf der Website kennzeichnen

Hier liegt der Kern, und hier fällt am häufigsten die falsche Antwort.

Die Vorschrift (Art. 50 Abs. 4 der KI-Verordnung) verlangt die Offenlegung von KI-erzeugtem Text nur dann, wenn er veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Diese Formulierung zielt auf Journalismus und Publizistik, auf die Lage, in der ein Portal seine Leserschaft mit automatisch erzeugten Meldungen flutet. Ein Projektbericht über ein Produktionssystem, ein Ratgeber für Kundinnen und Kunden oder eine Leistungsbeschreibung liegen außerhalb dieses Bereichs.

Selbst wenn jemand diese Auslegung dehnen wollte, enthält die Vorschrift eine zweite Ausnahme, und die ist für die meisten Unternehmen entscheidend. Die Pflicht gilt nicht, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Sie lesen den Text vor der Veröffentlichung. Sie korrigieren. Sie entscheiden, was auf die Website geht. Sie veröffentlichen unter Ihrer Marke und tragen die Verantwortung. Genau das ist redaktionelle Kontrolle, eine rechtlich erhebliche Handlung mit echtem Gewicht. Die Ausnahme greift.

Ein Vorbehalt: Die Europäische Kommission legt diese Ausnahme eng aus. Verlangt wird eine inhaltliche Prüfung durch eine Person, die das Thema kennt, sowie eine klar zugeordnete redaktionelle Verantwortung. Eine Rechtschreibprüfung oder ein flüchtiges Durchwinken reichen nicht.

Fazit: Firmenblog, Newsletter, Leistungsbeschreibung oder Projektbericht, bei denen KI die erste Fassung geschrieben hat und Sie sie gelesen, korrigiert und freigegeben haben, brauchen keine Kennzeichnung.

Zweite Frage: und die Grafiken

Hier wird es ernster, denn die Ausnahme für redaktionelle Kontrolle gilt ausschließlich für Text. Bilder, Video und Ton bleiben außen vor. Dass Sie eine Grafik angesehen und freigegeben haben, ändert daran nichts.

Dazu reicht die Definition des Deepfakes weiter, als viele annehmen. Der Wortlaut (Art. 3 Nr. 60) spricht von Inhalten, die existierenden Personen, Gegenständen, Orten oder Ereignissen ähneln und den Eindruck von Echtheit erwecken. Die Leitlinien der Kommission dehnen dieses Kriterium auf alles aus, was existiert oder plausibel existieren könnte. Das realistische Foto einer Person, die es nie gegeben hat, fällt damit unter die Definition. Ein KI-erzeugtes Produktfoto in der Werbung, eine synthetische Sprecherstimme im Video, eine stark bearbeitete Fotografie: All das ist offenzulegen.

Außerhalb bleiben offensichtlich fantastische Darstellungen, die es in der Realität nicht geben kann, sowie kleine technische Korrekturen wie Farbabgleich oder Schärfe.

Ebenso hilfreich ist, was die Vorschrift nicht erfasst: ein Diagramm aus der Tabellenkalkulation, ein Schaubild, eine Folie, eine Infografik aus Typografie und Formen. Das ist das deterministische Ergebnis eines Werkzeugs, auch wenn KI beim Layout geholfen hat. Die Grenze verläuft beim generativen Modell, das ein realistisches Bild erzeugt. Die beiden Grafiken in diesem Artikel sind genau so ein Fall: gebaut aus Typografie, Farben und Formen, also ohne Kennzeichnungspflicht.

Dritte Frage: der Chatbot auf der Website

Das ist die einzige Pflicht der drei, die ohne Ausnahmen auskommt, und deshalb die wichtigste.

Wenn auf Ihrer Website ein Chatbot, ein Voicebot oder ein Assistent für Kundenanfragen läuft, muss er sich ab 2. August als KI zu erkennen geben. Klar, deutlich, spätestens im Moment der ersten Interaktion. Ein Hinweis in den AGB oder in der Datenschutzerklärung reicht nicht. Ebenso wenig hilft es, dass die Gespräche später ein Mensch liest.

Es gibt genau eine enge Ausnahme: wenn der Kontakt mit KI für eine verständige Person offensichtlich ist. Die Kommission liest sie eng, verlassen Sie sich also besser nicht darauf. Der Zusatz „KI-Assistent” in der Kopfzeile des Chatfensters erledigt die Sache in fünf Minuten.

Die Entscheidungstabelle

Eine Seite zum Durchgehen, danach ist das Thema erledigt.

Woran fast niemand denkt: KI-Kompetenz

Es gibt eine weitere Pflicht, seit Februar 2025 in Kraft, von der die meisten Unternehmen nichts wissen. Art. 4 der KI-Verordnung verlangt von Anbietern und Betreibern, sich um die KI-Kompetenz der Personen zu kümmern, die bei ihnen mit KI arbeiten. Der Digital Omnibus hat den Wortlaut entschärft: Heute ist es die Pflicht, geeignete Maßnahmen zur Förderung dieser Kompetenz zu ergreifen, also eine Bemühenspflicht statt eines harten Ergebnisses.

Im kleinen Unternehmen ist das kein großes Projekt. In der Praxis reicht ein einseitiges Dokument: Welche KI-Werkzeuge nutzen wir, wofür dürfen sie eingesetzt werden, was gehört nie hineinkopiert (personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse), wer prüft die Ergebnisse vor Veröffentlichung oder Versand an Kunden. Eine Stunde Arbeit, und bei einem Audit, einer Ausschreibung oder einem Gespräch mit einem größeren Geschäftspartner macht es einen sehr guten Eindruck.

Was in Deutschland gilt

Deutschland hat die Durchführung vier Tage vor dem Stichtag abgeschlossen. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) wurde am 28. Juli 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 223) und ist am 29. Juli 2026 in Kraft getreten.

Zuständig ist die Bundesnetzagentur als allgemeine Marktüberwachungsbehörde (§ 2 Abs. 1 KI-MIG). Daneben bleiben sektorale Behörden zuständig, die BaFin für Finanzdienstleistungen und die Landesbehörden unter anderem für Anbieter von Mediendiensten. Bei der Bundesnetzagentur sitzen außerdem ein Koordinierungs- und Kompetenzzentrum sowie der KI-Service Desk mit FAQ, Kontaktformular und einem Faktenblatt für kleine und mittlere Unternehmen.

Für kleinere Unternehmen ist ein anderer Punkt interessant: § 13 KI-MIG verpflichtet die Bundesnetzagentur, mindestens ein KI-Reallabor zu betreiben, also eine beaufsichtigte Umgebung zum Erproben von KI-Lösungen vor dem Markteintritt. KMU, Start-ups sowie Forschungseinrichtungen und Hochschulen haben bevorzugten Zugang, und nach Art. 58 der Verordnung ist die Teilnahme für sie kostenfrei. Die Einzelheiten zum Verfahren stehen noch aus.

Bußgelder für Verstöße gegen die Transparenzpflichten richten sich unmittelbar nach der Verordnung: bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei kleinen und mittleren Unternehmen gilt der jeweils niedrigere Wert, die Sanktion bleibt also im Verhältnis zur Größe. Das eigene Bußgeld aus § 15 KI-MIG von bis zu 50.000 € betrifft Mitwirkungs- und Auskunftspflichten gegenüber den Behörden, nicht die Kennzeichnung.

Zwei deutsche Besonderheiten, die gern übersehen werden

§ 18 Abs. 3 MStV verlangt bereits seit 2020 die Kennzeichnung von Social Bots, also vollautomatisierten Konten in sozialen Netzwerken, die dem Anschein nach von einer natürlichen Person stammen. Das Bußgeld reicht bis 500.000 €, zuständig sind die Landesmedienanstalten. Der Chatbot auf der eigenen Website fällt darunter nicht, ein automatisiert bespieltes Firmenprofil in einem sozialen Netzwerk aber sehr wohl. Geplant ist, dass der Digitale-Medien-Staatsvertrag ab August 2027 auch die Aufsicht über die Kennzeichnungspflichten aus Art. 50 den Landesmedienanstalten zuweist.

Dazu kommt das Wettbewerbsrecht. Ein Chatbot, der sich als Mensch ausgibt, ist über § 5a UWG angreifbar, und zwar durch Wettbewerber per Abmahnung, unabhängig von der Marktüberwachung. Beim Datenschutz lohnt der Hinweis der Datenschutzkonferenz zu digitalen Diensten: Ein Chat-Widget zählt zu den Zusatzfunktionen, die Ausnahme aus § 25 Abs. 2 Nr. 2 TDDDG greift also erst, wenn die Nutzerin oder der Nutzer den Chat selbst öffnet. Lädt das Skript samt Speicherzugriff schon beim Seitenaufruf, brauchen Sie eine Einwilligung.

Was ich diese Woche erledigen würde

Drei Dinge, jedes an einem Tag zu schaffen. Erstens: Prüfen Sie, ob auf Ihrer Website irgendein Bot oder Assistent läuft, und ergänzen Sie in diesem Fall einen sichtbaren Hinweis auf KI. Zweitens: Gehen Sie die Grafiken auf der Website und in den Marketingunterlagen daraufhin durch, ob darunter realistische Bilder aus einem generativen Modell sind, und kennzeichnen Sie diese. Drittens: Schreiben Sie die einseitigen Regeln für den KI-Einsatz im Unternehmen auf und geben Sie sie ins Team.

Und eine Sache, die das Gesetz nicht verlangt und die sich trotzdem lohnt: ein Hinweis am Ende eines Artikels, dass der Text mit Unterstützung von KI-Werkzeugen entstanden ist und eine konkrete Person die inhaltliche Verantwortung trägt. Rechtlich entbehrlich. In Zeiten, in denen Kundinnen und Kunden immer häufiger fragen, ob das ein Mensch geschrieben hat, zahlt sich Offenheit aus.

Zum Schluss: Dasselbe gilt für Systeme, die Sie bauen lassen

Wenn Sie KI im Inneren Ihres Systems einsetzen, im CRM, im ERP oder im Dokumentenlauf, übersetzen sich dieselben Grundsätze in Architektur. Der einfachste Weg zur Konformität ist ein Aufbau, in dem KI vorschlägt und die Entscheidung beim Menschen bleibt: Analyse im Lesemodus, sichtbare Konfidenzschwelle, ein Mensch, der das Speichern freigibt, und eine Prüfspur, wer wann entschieden hat. Ein solches System erfüllt den Geist der Regulierung nebenbei.

Genau so habe ich vor Kurzem die automatische Auftragserfassung im Produktionssystem eines Kunden gebaut. Die KI liest E-Mails und technische Zeichnungen und bereitet Vorschläge vor, der Datensatz entsteht erst nach einem Klick durch einen Menschen.

Sie setzen KI in Ihrem System ein und sind unsicher, auf welcher Seite der Grenze Sie stehen? Schreiben Sie mir, wir gehen das gemeinsam durch.

Rechtsstand: 29. Juli 2026. Der Artikel dient der Information und ersetzt keine Rechtsberatung.