Was diese Woche passiert ist
Die EU-Kommission hat am 11. Mai 2026 Leitlinien zum AI Act veröffentlicht, die zwei Punkte konkretisieren: erstens die Kennzeichnungspflicht für Chatbots, zweitens die Markierung KI-generierter Inhalte (Text, Bild, Audio, Video). Beides ergibt sich aus Artikel 50 des AI Act, der am 2. August 2026 in Kraft tritt.
Kurz zusammengefasst:
- Wenn Nutzerinnen oder Nutzer mit einem KI-System interagieren, müssen sie das wissen. Ein Chatbot auf der Website muss als solcher erkennbar sein — nicht erst, wenn jemand danach fragt.
- KI-generierte oder bearbeitete Inhalte müssen maschinenlesbar markiert sein. Das betrifft synthetisches Audio, Bilder, Videos und in bestimmten Fällen auch Text.
- Deepfakes und KI-generierter Text zu Themen von öffentlichem Interesse brauchen zusätzlich eine sichtbare Kennzeichnung.
Die Leitlinien sind formal nicht bindend, aber sie sind das, woran sich Aufsichtsbehörden bei der Auslegung orientieren werden. Strafrahmen für Verstöße: bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
Warum das jetzt für KMU zählt
Aus meiner Sicht ist die Diskussion bisher zu sehr auf die Tech-Konzerne fokussiert. Tatsächlich trifft Artikel 50 jeden Betrieb, der KI nach außen einsetzt — und das sind in Österreich inzwischen sehr viele.
Typisches Beispiel aus meinem Beratungsalltag: Eine Steuerberatungskanzlei mit 25 Mitarbeitern hat einen Chatbot auf der Website, der Erstanfragen beantwortet. Gebaut auf GPT-4o, eingebunden über einen externen Dienstleister. Der Chatbot stellt sich vor mit „Hallo, ich bin Anna, Ihre Ansprechpartnerin.” Genau das ist ab August 2026 ein Problem: Der Avatar suggeriert eine echte Person, die Kennzeichnung als KI fehlt.
Zweites häufiges Muster: Marketingteams generieren Blogtexte, Produktbeschreibungen oder Social-Media-Posts mit ChatGPT oder Claude und veröffentlichen sie ohne Hinweis. Für reine Produkttexte ist das nach derzeitiger Lesart unkritisch. Sobald es aber um Inhalte mit Bezug zu öffentlichem Interesse geht — Gesundheits-, Rechts-, Finanzthemen — kann eine sichtbare Kennzeichnung notwendig werden.
Der dritte Punkt, der mir bei Kundengesprächen oft begegnet: KI-generierte Bilder in Werbung und auf Websites. Das Stockfoto-Ersatzbild aus Midjourney, das den fiktiven Mitarbeiter zeigt. Hier greift die Pflicht zur maschinenlesbaren Markierung — technisch über C2PA-Metadaten oder vergleichbare Verfahren. Die meisten KMU wissen nicht einmal, dass es das gibt.
Das wirklich Unangenehme: Die Verantwortung liegt beim Betreiber, nicht beim Tool-Anbieter. Wer einen Chatbot auf seiner Website hostet, ist verantwortlich — auch wenn das Modell von OpenAI kommt und die Integration von einer Agentur stammt.
Was die Leitlinien Neues bringen
Drei Punkte, die für KMU relevant sind:
Sichtbarkeit der Kennzeichnung: Sie muss „klar und unterscheidbar” beim ersten Kontakt erfolgen. Ein Hinweis im Footer der Website reicht nicht. Praktisch heißt das: Direkt im Chat-Fenster, beim Bild als sichtbares Label, beim Video als Einblendung.
Ausnahmen bei Texten: Reine Textgenerierung ist von der Markierungspflicht ausgenommen, wenn ein Mensch redaktionell verantwortlich zeichnet und den Inhalt freigibt. Das ist die Tür für die meisten Marketingteams — aber sie funktioniert nur, wenn der Freigabeprozess auch dokumentiert ist.
Maschinenlesbarkeit: Für synthetische Medien muss die Markierung technisch auslesbar sein. Anbieter wie OpenAI, Adobe oder Google bauen das in ihre Tools ein. Wer aber selbst nachbearbeitet (etwa im Photoshop) verliert die Metadaten oft. Hier braucht es einen sauberen Workflow.
Konkret: Was Sie jetzt tun sollten
Mein Rat in drei Schritten, priorisiert nach Aufwand und Risiko:
Schritt 1 — Inventur (1 bis 2 Stunden): Listen Sie alle KI-Touchpoints in Ihrem Unternehmen auf, an denen Externe in Kontakt kommen. Chatbot, KI-Telefonassistent, KI-generierte Bilder auf Website oder Social Media, automatisch erstellte E-Mail-Antworten, generierte Texte. Für jeden Punkt: Wer ist verantwortlich, welches Tool, wie ist es eingebunden? Diese Liste ist auch die Basis für ein eventuelles späteres KI-Register, das je nach Risikoklasse ohnehin verpflichtend werden kann.
Schritt 2 — Kennzeichnung umsetzen (1 bis 4 Wochen): Chatbot-Begrüßung anpassen: „Ich bin ein KI-Assistent von [Firma]. Für komplexe Anliegen leite ich Sie an unsere Mitarbeiter weiter.” Bei KI-generierten Bildern: Label sichtbar einfügen oder durch echte Fotos ersetzen, wo es um Personen geht. Bei Texten mit redaktioneller Freigabe: internen Prozess dokumentieren, wer freigibt, wann, mit welcher Prüfung.
Schritt 3 — Verträge prüfen (parallel): Schauen Sie in Ihre Verträge mit Agenturen und Dienstleistern. Wer haftet, wenn der eingekaufte Chatbot nicht AI-Act-konform ist? Klären Sie das jetzt schriftlich, nicht erst bei einer Beanstandung.
Für die meisten KMU ist der August 2026 nicht weit weg. Eine seriöse Umsetzung dauert je nach Komplexität drei bis sechs Monate, wenn man Lieferanten einbinden, Texte neu schreiben und Workflows anpassen muss. Wer jetzt beginnt, hat Luft. Wer im Juni 2026 startet, wird hektisch.
Was Sie nicht tun sollten
Drei Reaktionen, die mir derzeit häufig begegnen und die ich für falsch halte:
- KI abschalten aus Vorsicht. Das ist überzogen — die Pflichten sind erfüllbar.
- Auf eine Verschiebung hoffen. Der August-2026-Termin steht im Gesetz, die Leitlinien zeigen, dass die Kommission liefert.
- Auf die Aufsichtsbehörde warten, die in Österreich noch nicht final aufgestellt ist. Das ändert nichts an Ihrer Verantwortung — und die Aufsicht wird kommen.
Der AI Act ist kein Showstopper für KMU, die KI sinnvoll einsetzen. Er ist eine Compliance-Aufgabe wie DSGVO 2018 — handhabbar, wenn man früh beginnt, und teuer, wenn man wartet.