Die Verordnung (EU) 2024/1689 über Künstliche Intelligenz (die „KI-Verordnung“) führt in Artikel 50 vier Transparenzpflichten ein, die ab dem 2. August 2026 gelten. Ab diesem Datum betreffen sie nicht mehr nur KI-Systeme mit hohem Risiko, sondern grundsätzlich jedes KI-System. In der Praxis ist damit nahezu jedes Unternehmen erfasst, das einen Chatbot einsetzt, Inhalte mit KI erzeugt oder Systeme zur Emotionserkennung nutzt.

Es sei jedoch darauf hingewiesen, dass Beschäftigte, die ein System auf Anweisung ihres Arbeitgebers bedienen (etwa ein Content Creator oder Journalist, der für ein Unternehmen tätig ist), nicht selbst als eigenständige Betreiber gelten: Die Pflichten verbleiben beim Unternehmen. Ebenso wenig gelten die Pflichten für Privatpersonen, die ein KI-System ausschließlich zu persönlichen, nicht gewerblichen Zwecken nutzen.

Am 20. Juli 2026 veröffentlichte die Europäische Kommission Leitlinien zur Klärung der Anwendung dieser Vorschriften. Wir fassen sie im Folgenden praxisnah zusammen und gehen dabei darauf ein, für wen die jeweilige Pflicht gilt, welche Ausnahmen bestehen und welche Risiken bei Nichteinhaltung drohen.

1. Information der Nutzer über die Interaktion mit einem KI-System

Anbieter von KI-Systemen müssen jedes System, das ein Gespräch mit einer Person führt (Chatbots, Sprachassistenten, KI-Agenten), so gestalten, dass die betroffene Person von Anfang an erkennt, dass sie mit einer KI kommuniziert.

Eine einzige Ausnahme besteht: Eine Offenlegung ist nicht erforderlich, wenn für eine verständige, aufmerksame und umsichtige Person offensichtlich ist, dass sie mit einem KI-System interagiert. Die Leitlinien der Kommission schlagen dafür eine zweistufige Prüfung vor:

• Zunächst wird die Zielgruppe bestimmt, an die sich das jeweilige System richtet;
• anschließend wird bewertet, ob ein durchschnittliches, hinreichend aufmerksames und umsichtiges Mitglied dieser Zielgruppe aus dem Kontext erkennen würde, dass es mit einer KI spricht (etwa anhand der Bezeichnung des Systems, der Art der Formulierung der Antworten oder des kommerziellen Kontexts, in dem es eingesetzt wird).

Wichtig ist, dass die Ausnahme eng auszulegen ist, gerade weil sie das Informationsrecht der betroffenen Person einschränkt. Die Verordnung verlangt zwar kein internes Dokument, das die Anwendung der Ausnahme rechtfertigt, wir empfehlen jedoch, eine kurze interne Notiz mit der entsprechenden Begründung aufzubewahren – nützlich im Falle einer Kontrolle, zumal die Beweislast beim Anbieter liegt.

2. Maschinenlesbare Kennzeichnung von KI-generierten Inhalten

Anbieter generativer Systeme (Text, Bild, Audio, Video) müssen eine technische Kennzeichnung (Metadaten, digitales Wasserzeichen) einbetten, die es einem automatisierten Werkzeug – nicht zwingend dem menschlichen Auge – ermöglicht, nachträglich zu erkennen, dass der Inhalt von einer KI erzeugt oder verändert wurde. Dies ist eine andere Pflicht als die unter Punkt 4 behandelte sichtbare Kennzeichnung: Dort muss die Person die Information sehen können, hier müssen lediglich Systeme sie erkennen können.

Diese Pflicht gilt nicht, wenn das KI-System lediglich eine unterstützende Funktion bei Standard-Bearbeitungsvorgängen erfüllt (etwa bei der Rechtschreibkorrektur), sofern es die Eingabedaten oder deren Bedeutung nicht wesentlich verändert, oder bei Systemen, die gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten befugt sind. Systeme, die bereits am 2. August 2026 auf dem Markt sind, haben bis zum 2. Dezember 2026 Zeit, sich anzupassen.

Anbieter, die dem Verhaltenskodex zur Transparenz KI-generierter Inhalte beitreten, der mit Unterstützung der Kommission erarbeitet wurde, können die Einhaltung dieser Pflicht leichter nachweisen; der Beitritt ist freiwillig, verringert jedoch das Risiko zusätzlicher Auskunftsersuchen seitens der Behörden.

In der Praxis bedeutet der Beitritt zum Kodex die Unterzeichnung eines oder beider Abschnitte des Dokuments, das von unabhängigen Experten ausgearbeitet und sowohl von der Europäischen Kommission als auch vom Europäischen Gremium für Künstliche Intelligenz als angemessen bewertet wurde. Der Kodex gliedert sich in zwei eigenständige Abschnitte, die den beiden von den Transparenzpflichten betroffenen Akteurskategorien entsprechen: Abschnitt 1 umfasst Maßnahmen für Anbieter generativer KI-Systeme – also diejenigen, die tatsächlich der gesetzlichen Kennzeichnungspflicht unterliegen –, kann aber auch von Anbietern von Kennzeichnungs- und Erkennungslösungen sowie von Anbietern von KI-Modellen unterzeichnet werden, die die Umsetzung dieser Maßnahmen unterstützen; Abschnitt 2 umfasst Maßnahmen für Betreiber (Deployer), also Einrichtungen, die diese Systeme tatsächlich im eigenen Betrieb einsetzen. Abschnitt 1 wurde bereits von 82 Organisationen unterzeichnet, darunter Google, Microsoft, Meta, OpenAI, Anthropic, Mistral und Cohere. Abschnitt 2 zählt 152 Unterzeichner, darunter Lufthansa, Getty Images, Iberdrola und Bulgari. Bis Ende Juli 2026 waren rund 190 Organisationen aus Branchen wie IT, Telekommunikation, Bildung und Einzelhandel dem Kodex beigetreten, nahezu die Hälfte davon kleine und erst kürzlich gegründete Unternehmen. Ein Unternehmen, das unterzeichnet, verpflichtet sich damit faktisch zu einem Satz standardisierter, von den Behörden bereits geprüfter Maßnahmen, die ihm einen vorhersehbaren, in jedem Mitgliedstaat unabhängig von der zuständigen nationalen Behörde anerkannten Weg zur Einhaltung eröffnen und das Risiko zusätzlicher Kontrollen oder abweichender Auslegungen zwischen den Ländern verringern. Die Unterzeichner sind zudem eingeladen, sich an zwei Arbeitsgruppen zu beteiligen, die im September 2026 starten und dem Austausch bewährter Praktiken der Branche dienen sollen.

(Die Angaben zu den Unterzeichnern des Kodex wurden vom Europäischen Büro für Künstliche Intelligenz – AI Office –, einer Einrichtung der Europäischen Kommission, auf der Plattform digital-strategy.ec.europa.eu veröffentlicht, in einer Mitteilung vom 31. Juli 2026 mit dem Titel „Strong backing for the Code of Practice on Transparency of AI-generated Content“. Die vollständige Liste der Unterzeichner wird auf derselben Seite regelmäßig aktualisiert.)

3. Transparenz bei Systemen zur Emotionserkennung und biometrischen Kategorisierung

Diesmal liegt die Pflicht nicht beim Anbieter, sondern beim Betreiber (Deployer) – also bei der Einrichtung, die das System tatsächlich in eigener Verantwortung im eigenen Betrieb einsetzt.

Wichtig ist der Hinweis, dass es sich dabei nicht um Systeme zur biometrischen Identifizierung handelt (etwa Gesichtserkennung zur Feststellung, um welche Person es sich handelt), die strengeren Vorschriften unterliegen, sondern um:

• Systeme zur Emotionserkennung: solche, die anhand biometrischer Daten (Mimik, Stimme, Herzfrequenz usw.) auf emotionale Zustände oder Absichten schließen;
• Systeme zur biometrischen Kategorisierung: solche, die eine Person anhand biometrischer Daten bestimmten Kategorien zuordnen (etwa durch Schätzung bestimmter demografischer Merkmale), ohne auf ihre Identifizierung abzuzielen.

Die Pflicht ist damit vor allem für Betreiber aus dem Einzelhandel, dem Personalwesen (etwa bei automatisiert ausgewerteten Video-Interviews), dem Marketing oder dem Bereich Arbeitssicherheit relevant. Betroffene Personen müssen über die Funktionsweise des Systems informiert werden, und die Verarbeitung der dabei erhobenen biometrischen Daten muss den Vorschriften zum Schutz personenbezogener Daten (DSGVO) entsprechen.

Die Pflicht gilt nicht für Systeme, die gesetzlich zur Aufdeckung, Verhütung oder Ermittlung von Straftaten befugt sind, sofern angemessene Garantien zum Schutz der Rechte Dritter bestehen.

4. Offenlegungspflichten bei Deepfakes und KI-generierten Texten von öffentlichem Interesse

(a) Deepfakes

Zunächst müssen Betreiber von KI-Systemen, die Bild-, Audio- oder Videoinhalte erzeugen oder verändern, die einen Deepfake darstellen, offenlegen, dass der betreffende Inhalt künstlich erzeugt oder manipuliert wurde.

Artikel 3 Absatz 60 der KI-Verordnung definiert Deepfakes als durch KI erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte, die bestehenden Personen, Objekten, Orten, Einrichtungen oder Ereignissen ähneln und einer Person fälschlich als echt oder wahrheitsgetreu erscheinen könnten. Die Umsetzungsleitlinien der Kommission stellen klar, dass offenkundig fantastische oder physikalisch unmögliche Inhalte (etwa Drachen oder Elefanten, die Auto fahren) nicht unter die Definition eines Deepfakes fallen.

Zu den vorgeschlagenen Ansätzen zur Information der Nutzer zählen dauerhafte visuelle Kennzeichnungen, Warnhinweise zu Beginn von Videos sowie akustische Warnhinweise bei Audiodateien.

Die Pflicht gilt nicht, wenn die Nutzung gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten zugelassen ist.

Ist der Deepfake-Inhalt Teil eines offenkundig künstlerischen, kreativen, satirischen, fiktionalen oder ähnlichen Werks oder Programms, ist die Offenlegungspflicht zudem eingeschränkt: Sie beschränkt sich darauf, das Vorhandensein erzeugter oder manipulierter Inhalte in geeigneter Weise offenzulegen, ohne die Präsentation oder den Genuss des Werks zu beeinträchtigen.

(b) KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse

Zweitens müssen Betreiber von KI-Systemen, die Texte erzeugen oder verändern, welche zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, offenlegen, dass der betreffende Text künstlich erzeugt oder verändert wurde.

Diese Pflicht gilt nicht, wenn die Nutzung gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten zugelassen ist, oder wenn der KI-generierte Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde, bei der eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt. Zu beachten ist, dass eine bloße Rechtschreibkorrektur oder eine rein formale Prüfung nicht ausreicht, um von dieser Ausnahme zu profitieren.

Auch im Hinblick auf diese Pflichten kann der Beitritt zu dem oben beschriebenen Verhaltenskodex zur Transparenz KI-generierter Inhalte den Nachweis der Einhaltung erleichtern.

Sanktionen und zuständige Behörden

Die Geldbußen können bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes betragen (für KMU gilt ein milderes Regime). Für die Durchsetzung sind in der Regel die nationalen Marktüberwachungsbehörden zuständig. Nur in bestimmten Fällen liegt die Zuständigkeit beim Europäischen Büro für Künstliche Intelligenz oder beim Europäischen Datenschutzbeauftragten.

Die aktuelle Lage in Rumänien

Am 12. März 2026 verabschiedete die rumänische Regierung ein Memorandum, das ANCOM als Aufsichtsbehörde und zentrale Anlaufstelle vorschlägt, neben der ASF/BNR (Finanzdienstleistungen) und der ANSPDCP (Biometrie, Strafverfolgung). Das Memorandum stellt jedoch lediglich eine verwaltungsrechtliche Absichtserklärung dar: Das nationale Gesetz, das die Organisation, die Zusammenarbeit zwischen den Behörden und das Sanktionsverfahren regeln soll, befindet sich noch in Ausarbeitung, und die europäische Frist zur Benennung der Behörden (2. August 2025) wurde bereits verpasst. In der Praxis können Kontrollen und Sanktionen auf nationaler Ebene erst nach Verabschiedung dieses Gesetzes konkret beginnen.

Fazit

Die neuen Transparenzpflichten der KI-Verordnung bringen konkrete Rechte für Nutzer, aber auch klare Pflichten – mit erheblichem Sanktionspotenzial – für Anbieter und Betreiber von KI-Systemen mit sich. Auf europäischer Ebene ist der Rechtsrahmen bereits anwendbar. Auf nationaler Ebene ist der institutionelle Rahmen in Rumänien bislang nur skizziert, und das Gesetz, das ihn operativ machen soll, befindet sich noch in Ausarbeitung.

Für Unternehmen in Rumänien, die einen schnelleren Weg zur Einhaltung suchen, bleibt der Beitritt zum Verhaltenskodex – bereits unterzeichnet von Namen wie Google, Microsoft, Meta und Lufthansa – zumindest bis zur Klärung des nationalen Rahmens die am leichtesten zugängliche Möglichkeit, guten Willen gegenüber den Behörden zu demonstrieren.

Autoren:
Ioana Chiper Zah
Horea Ardelean