- Ab dem 2. August 2026 gilt Artikel 50 der EU-KI-Verordnung: Wer einen Chatbot oder Voicebot betreibt, muss Nutzer aktiv informieren, dass sie mit einer KI sprechen, spätestens bei der ersten Interaktion.
- Nicht jedes KI-Bild muss gekennzeichnet werden. Die Offenlegungspflicht greift nur bei täuschend echten Inhalten (Deepfakes) oder KI-Texten zu Themen von öffentlichem Interesse.
- Die Pflicht zur maschinenlesbaren Markierung synthetischer Inhalte liegt primär beim Anbieter des KI-Tools, nicht beim Shop-Betreiber. Eine Verschiebung auf den 2. Dezember 2026 ist im Gespräch, aber Stand Juni 2026 noch nicht beschlossen.
- Zuständige Aufsichtsbehörde in Deutschland ist die Bundesnetzagentur, die auch eine Beschwerdestelle betreibt.
- Bußgelder bei Verstößen gegen Transparenzpflichten: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes (Art. 99). Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge als Obergrenze, eine Schutzregelung zugunsten kleiner Unternehmen.
Am 2. August 2026 treten die Transparenzpflichten der EU-Verordnung über Künstliche Intelligenz (KI-VO 2024/1689) in Kraft. Für Betreiber von Onlineshops und Websites bedeutet das konkrete Handlungspflichten, aber auch viele Missverständnisse, die im Netz kursieren. Dieser Artikel zeigt, was tatsächlich gilt und was nicht.
Was ist die KI-Kennzeichnungspflicht?
Die KI-Kennzeichnungspflicht ist der umgangssprachliche Begriff für die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung. Die Verordnung selbst ist bereits am 1. August 2024 in Kraft getreten, gilt aber gestaffelt. Die Transparenzpflichten aus Artikel 50 werden ab dem 2. August 2026 verbindlich.
Hinter dem Begriff stecken drei unterschiedliche Pflichten, die sich an unterschiedliche Beteiligte richten: die Offenlegungspflicht bei Chatbots (Absatz 1), die maschinenlesbare Markierung synthetischer Inhalte (Absatz 2) und die Offenlegung täuschend echter Inhalte gegenüber Nutzern (Absatz 4). Sie unterscheiden sich sowohl im Adressaten als auch im Inhalt.
Anbieter oder Betreiber: Wer muss was tun?
Die KI-Verordnung unterscheidet zwei zentrale Rollen:
Anbieter (Provider) sind Unternehmen oder Einzelpersonen, die ein KI-System entwickeln und auf den Markt bringen. Das sind zum Beispiel OpenAI (ChatGPT), Google (Gemini), Midjourney oder ein Chatbot-Hersteller. Sie schulden die technische, maschinenlesbare Markierung ihrer Outputs.
Betreiber (Deployer) sind alle, die ein KI-System beruflich im eigenen Kontext einsetzen. Der typische WooCommerce-Shop-Betreiber, der einen Kundensupport-Chatbot integriert oder KI-generierte Produktbilder auf seiner Website zeigt, ist ein Betreiber. Als solcher hat er gegenüber seinen Nutzern Informationspflichten, schuldet aber nicht selbst die technische Markierung der KI-Outputs.
Die drei konkreten Pflichten im Einzelnen
Absatz 1: Chatbot-Offenlegung
Wer auf seiner Website oder im Shop einen Chatbot oder Voicebot für die Kundeninteraktion betreibt, muss sicherstellen, dass Nutzer erkennen können, dass sie mit einer KI und nicht mit einem Menschen sprechen. Diese Information muss spätestens bei der ersten Interaktion vorliegen, also nicht irgendwo im Impressum oder in der Datenschutzerklärung versteckt. Ein klarer Hinweis wie „Sie chatten gerade mit einem KI-Assistenten“ zu Beginn der Unterhaltung erfüllt die Anforderung. Eine Ausnahme gilt nur, wenn es ohnehin für jeden offensichtlich ist, dass es sich um eine KI handelt.
Absatz 2: Maschinenlesbare Markierung
KI-generierte Bilder, Videos, Audiodateien und Texte sollen maschinenlesbar markiert sein, zum Beispiel über Metadaten oder Wasserzeichen. Diese Pflicht trifft primär den Anbieter des KI-Tools, nicht den Shop-Betreiber, der die Inhalte nutzt. Als Betreiber sollten Sie aber darauf achten, Tools zu wählen, die diese Anforderung erfüllen. Zur Frage, ob die Markierungspflicht für Betreiber bereits ab dem 2. August 2026 oder erst ab dem 2. Dezember 2026 gilt: Das sogenannte Digital-Omnibus-Paket sieht eine Schonfrist bis Dezember 2026 vor, ist aber Stand Juni 2026 noch nicht final beschlossen. Empfehlung: die Chatbot- und Deepfake-Pflichten zum 2. August 2026 umsetzen und die Entwicklung beim Digital Omnibus verfolgen.
Absatz 4: Deepfakes und öffentlich-relevante Texte
Betreiber müssen offenlegen, wenn sie täuschend echte Bilder, Videos oder Audiodateien von Personen oder Ereignissen einsetzen, die es so nicht gibt oder nicht so stattgefunden haben (Deepfakes). Dasselbe gilt für KI-generierte Texte zu Themen von öffentlichem Interesse, sofern keine substanzielle menschliche redaktionelle Kontrolle stattgefunden hat. Die Offenlegung muss klar, erkennbar und barrierefrei sein, und zwar spätestens bei der ersten Exposition des Nutzers mit dem Inhalt.
Mythos-Buster: Nicht jedes KI-Bild muss gekennzeichnet werden
Das meistverbreitete Missverständnis lautet: „Wir müssen jetzt alle KI-Bilder auf der Website kennzeichnen.“ Das stimmt so nicht. Die Offenlegungspflicht nach Absatz 4 greift nur bei täuschend echten Inhalten, die eine Person, einen Ort oder ein Ereignis so darstellen, als ob es real wäre. Maßstab ist der Blick eines verständigen Betrachters: Würde dieser den Inhalt für eine echte Aufnahme oder ein echtes Dokument halten? Ein erkennbar stilisiertes oder abstrakt illustratives Bild fällt nicht darunter. Auch KI-Produkttexte sind ausgenommen, wenn eine substanzielle menschliche Prüfung stattgefunden hat, also echte inhaltliche Kontrolle, kein bloßes Durchklicken. KI als reine Hilfsfunktion oder Standard-Bildbearbeitung, die Eingabedaten nicht wesentlich verändert, ist ebenfalls nicht erfasst.
Übersicht: Was gilt für wen ab wann?
| Situation im Shop | Pflicht | Adressat | Ab wann |
|---|---|---|---|
| Chatbot oder Voicebot mit Kundeninteraktion | Offenlegung spätestens bei erster Interaktion | Betreiber (Sie) | 2. August 2026 |
| KI-generierte Bilder, Videos, Audio (Outputs) | Maschinenlesbare Markierung | Anbieter des KI-Tools | 2. August 2026 (ggf. 2. Dezember 2026, Stand Juni 2026) |
| Täuschend echte Bilder/Videos von Personen (Deepfakes) | Offenlegung gegenüber Nutzern | Betreiber (Sie) | 2. August 2026 |
| KI-Texte zu öffentlich relevanten Themen ohne substanzielle Prüfung | Offenlegung gegenüber Nutzern | Betreiber (Sie) | 2. August 2026 |
| Illustrative KI-Bilder (erkennbar kein Deepfake) | Keine Offenlegungspflicht nach Abs. 4 | Entfällt | Entfällt |
Für Fortgeschrittene · überspringbar
Für Profis: Maschinenlesbare Markierung und C2PA
Die maschinenlesbare Markierung, die Absatz 2 fordert, folgt einem zweischichtigen Ansatz: Metadaten in der Datei selbst, ergänzt durch Wasserzeichen. Als offener Standard hat sich dabei C2PA (Coalition for Content Provenance and Authenticity) etabliert. Die EU-Kommission hat im März 2026 den zweiten Entwurf eines Code of Practice on Marking and Labelling veröffentlicht (Stand Juni 2026), der langfristig ein einheitliches EU-KI-Label vorsieht. Für Shop-Betreiber ist das ein Auswahlkriterium: Bevorzugen Sie Tools, die C2PA-kompatible Outputs erzeugen.
Zur Frage der Aufsicht: In Deutschland hat die Bundesnetzagentur die zentrale Rolle als Marktüberwachungsbehörde für die KI-Verordnung übernommen. Sie betreibt auch einen KI-Service-Desk als Anlaufstelle für Beschwerden und Anfragen. Das Durchführungsgesetz dazu hat der Bundestag beschlossen (Stand Juni 2026). Wer konkrete Fragen zur Compliance hat oder einen Verdacht auf Verstöße melden möchte, findet dort den richtigen Ansprechpartner.
Aus der Praxis: Was wir in Projekten sehen
In einem aktuellen Projekt mit einem mittelständischen WooCommerce-Shop zeigte sich, dass die größte Unsicherheit nicht bei der Technik lag, sondern bei der Abgrenzung: Welche KI-Inhalte fallen tatsächlich unter die Pflicht?
Der Shop nutzte KI-generierte Produktfotos in einem klar erkennbaren, stilisierten Look und einen Support-Chatbot. Die Produktfotos erforderten keine gesonderte Offenlegung. Der Chatbot bekam einen ergänzenden Satz vor der ersten Antwort: „Sie sprechen mit unserem KI-Assistenten.“ Das war die einzige technische Anpassung, Aufwand unter zwei Stunden. Die aufwändigere Arbeit lag im Prüfen der KI-Tool-Anbieter auf Konformität und im Abgleich mit bestehenden Datenschutzvereinbarungen.
Brücke zur DSGVO und KI-Kompetenzpflicht
Wer einen Chatbot betreibt, verarbeitet meist personenbezogene Daten. Damit greift zusätzlich die DSGVO: Rechtsgrundlage klären, den KI-Chatbot in der Datenschutzerklärung erwähnen, ggf. einen Auftragsverarbeitungsvertrag mit dem Anbieter abschließen. Wer den Chatbot-Hinweis für Artikel 50 überarbeitet, sollte das gleichzeitig mit der datenschutzrechtlichen Prüfung verbinden. Details: Ratgeber DSGVO-konforme Website ohne Abmahnangst.
Weniger bekannt, aber seit 2. Februar 2025 gültig: Artikel 4 der KI-Verordnung verlangt KI-Kompetenz. Betreiber müssen sicherstellen, dass alle beruflichen KI-Nutzer die Risiken der Systeme kennen. Keine Zertifizierungspflicht, aber eine bewusste Auseinandersetzung mit den eingesetzten Tools.
Rechtsrahmen und Pflichten für Onlineshops im Überblick: Wie sich die KI-Kennzeichnungspflicht in das Gesamtbild einordnet, beschreibt der Ratgeber Rechtspflichten für Onlineshops. Zur technischen Umsetzung datenschutzkonformer Einwilligungslösungen lesen Sie auch Cookie-Banner richtig gemacht.
Der kostenlose DSGVO-Schnellcheck prüft die wichtigsten Punkte und gibt Ihnen eine erste Orientierung, wo Handlungsbedarf besteht.
So setzen Sie die KI-Kennzeichnung im Shop um
Die folgenden Schritte beziehen sich auf die Pflichten, die als Betreiber ab dem 2. August 2026 gelten. Beginnen Sie mindestens vier Wochen vor dem Stichtag.
- KI-Einsatz im eigenen Shop inventarisieren: Welche KI-Tools laufen auf Ihrer Website oder im Shop? Chatbots, Bildgeneratoren, Textwerkzeuge, Suchfunktionen mit KI. Schreiben Sie es auf, mit dem Namen des Anbieters.
- Rollen klären: Für welche dieser Tools sind Sie Betreiber (Sie setzen es ein, aber der Anbieter stellt es bereit)? Das ist bei fast allen Standard-SaaS-Lösungen der Fall. Notieren Sie, welcher Anbieter jeweils für die technische Markierung der Outputs verantwortlich ist.
- Chatbot-Hinweis anpassen: Ergänzen Sie den Begrüßungstext jedes KI-Chatbots so, dass der Hinweis auf KI-Interaktion vor der ersten inhaltlichen Antwort erscheint. Prüfen Sie die Chatbot-Plattform auf eine entsprechende Einstellung.
- Inhalte auf Deepfake-Risiko prüfen: Gehen Sie Ihre aktuell verwendeten KI-generierten Bilder und Videos durch. Zeigen sie reale Personen oder Ereignisse täuschend echt? Wenn ja, ergänzen Sie eine sichtbare Kennzeichnung direkt am Inhalt, zum Beispiel „KI-generiertes Bild“.
- Anbieter auf Konformität prüfen: Überprüfen Sie die AGB und Datenschutzinformationen Ihrer KI-Tool-Anbieter. Bieten Sie C2PA-kompatible Outputs? Gibt es einen Auftragsverarbeitungsvertrag für Chatbot-Daten?
- Dokumentieren: Halten Sie fest, welche Maßnahmen Sie getroffen haben und wann. Im Falle einer Beschwerde bei der Bundesnetzagentur hilft eine nachvollziehbare Dokumentation Ihrer Compliance-Bemühungen.
Sofort-Checkliste
- Haben Sie alle KI-Tools und KI-generierten Inhalte auf Ihrer Website inventarisiert?
- Zeigt Ihr Chatbot einen KI-Hinweis spätestens bei der ersten Interaktion im Chat, nicht nur im Impressum?
- Setzen Sie täuschend echte KI-Bilder oder -Videos von realen Personen ein? Sind diese als KI-generiert gekennzeichnet?
- Veröffentlichen Sie KI-Texte zu öffentlich relevanten Themen ohne substanzielle eigene Prüfung? Sind diese entsprechend ausgewiesen?
- Haben Sie die Datenschutzsituation Ihrer KI-Tools geprüft (Rechtsgrundlage, Datenschutzhinweis, ggf. Auftragsverarbeitungsvertrag)?
- Ist Ihr Vorgehen für eine mögliche Prüfung durch die Bundesnetzagentur dokumentiert?
- Ab dem 2. August 2026 müssen Chatbots und Voicebots aktiv und spätestens bei der ersten Interaktion offenlegen, dass es sich um eine KI handelt. Ein Vermerk nur im Impressum reicht nicht.
- Die Pflicht zur maschinenlesbaren Markierung von KI-Outputs liegt beim Anbieter des Tools, nicht beim Shop-Betreiber. Als Betreiber sollten Sie aber Tools wählen, die das erfüllen.
- Nicht jedes KI-Bild unterliegt einer Offenlegungspflicht. Der Maßstab ist täuschende Echtheit, nicht die bloße Tatsache, dass KI beteiligt war.
- Zuständige Behörde in Deutschland ist die Bundesnetzagentur, die auch als Beschwerdestelle fungiert.
Häufige Fragen
Ab wann gilt die KI-Kennzeichnungspflicht?
Die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung gelten ab dem 2. August 2026. Für die maschinenlesbare Markierung synthetischer Inhalte (Absatz 2) sieht das noch nicht final beschlossene Digital-Omnibus-Paket eine mögliche Schonfrist bis zum 2. Dezember 2026 vor (Stand Juni 2026). Die Chatbot-Offenlegung (Absatz 1) und die Deepfake-Offenlegung (Absatz 4) sind konservativ zum 2. August 2026 umzusetzen.
Muss ich alle KI-Bilder auf meiner Website kennzeichnen?
Nein. Die Offenlegungspflicht nach Absatz 4 gilt nur für täuschend echte Darstellungen von realen Personen, Orten oder Ereignissen. Klar illustrative oder offensichtlich stilisierte KI-Bilder, bei denen ein verständiger Betrachter nicht auf eine echte Aufnahme schließen würde, unterliegen keiner Kennzeichnungspflicht gegenüber Nutzern.
Reicht ein Hinweis im Impressum oder in der Datenschutzerklärung für den Chatbot?
Nein. Artikel 50 Absatz 1 verlangt, dass die Person erkennt, mit einer KI zu interagieren, und zwar spätestens bei der ersten Interaktion. Ein versteckter Vermerk im Kleingedruckten erfüllt diese Anforderung nicht. Der Hinweis muss klar, unterscheidbar und barrierefrei im Kommunikationskanal selbst erscheinen.
Wer ist in Deutschland für die Aufsicht über die KI-Verordnung zuständig?
Die Bundesnetzagentur ist als zentrale Marktüberwachungsbehörde für die KI-Verordnung in Deutschland benannt und betreibt auch einen KI-Service-Desk als Anlaufstelle für Beschwerden. Das Durchführungsgesetz wurde vom Bundestag beschlossen (Stand Juni 2026).
Wie hoch sind die Bußgelder bei Verstößen gegen die Kennzeichnungspflicht?
Verstöße gegen Transparenzpflichten wie Artikel 50 können nach Artikel 99 der KI-Verordnung mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge als Obergrenze, eine Schutzregelung zugunsten kleiner Unternehmen. Konkret: Wer einen Jahresumsatz von einer Million Euro hat, haftet mit höchstens 30.000 Euro (3 Prozent davon), nicht mit 15 Millionen.
Was ist der Unterschied zwischen Anbieter und Betreiber nach der KI-Verordnung?
Anbieter (Provider) entwickeln und vermarkten KI-Systeme, zum Beispiel OpenAI, Google oder Chatbot-Hersteller. Sie tragen die Pflicht zur technischen Markierung ihrer Outputs. Betreiber (Deployer) setzen KI-Systeme beruflich im eigenen Kontext ein, zum Beispiel als Shop-Inhaber mit integriertem Chatbot. Betreiber schulden die Offenlegung gegenüber Nutzern, aber nicht die maschinenlesbare Markierung der Outputs.
Muss ich meinen Chatbot komplett abschalten, wenn ich die Anforderungen nicht erfülle?
Nein, ein Abschalten ist nicht die erste Konsequenz. Die Anforderung aus Absatz 1 ist mit kleinen Anpassungen am Chatbot-Interface erfüllbar: Ein klarer Hinweis zu Beginn der Unterhaltung reicht aus. Die technische Umsetzung ist in den meisten Chatbot-Plattformen eine Konfigurationsoption, kein Neuentwicklungsaufwand.