KI-Kennzeichnungspflicht seit August 2026: Was Website-Betreiber jetzt wirklich müssen

Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act, genauer: Artikel 50 der KI-Verordnung. Seitdem lese ich in Foren und auf LinkedIn ständig dieselbe Aussage: Ab jetzt müsse man jeden KI-Inhalt kennzeichnen, sonst drohten Bußgelder in Millionenhöhe.

Diese Aussage ist falsch. Sie ist nicht komplett aus der Luft gegriffen, aber sie vermischt Pflichten, die unterschiedliche Personen treffen, und erzeugt dadurch Panik an Stellen, wo es keinen Grund dazu gibt.

Ich habe mir die Verordnung angesehen, weil ich es für meine eigene Website wissen musste. Hier ist, was für dich als Betreiber einer Unternehmenswebsite tatsächlich gilt.

Wichtiger Hinweis vorab: Ich bin Webentwickler, kein Anwalt. Dieser Artikel ist eine sorgfältig recherchierte Einordnung, aber keine Rechtsberatung. Bei einem konkreten Fall mit wirtschaftlichem Gewicht sprich mit einem Fachanwalt für IT-Recht.

Was seit dem 2. August 2026 gilt

Der AI Act ist seit August 2024 in Kraft, seine Pflichten greifen aber gestaffelt. Am 2. August 2026 ist die Stufe erreicht, die Transparenz regelt: Artikel 50.

Wichtig zu wissen, weil darüber viel Verwirrung herrscht: Es gab 2025 und 2026 eine intensive Debatte über den sogenannten Digital Omnibus, ein Paket, das Teile des AI Act verschieben sollte. Verschoben wurden am Ende große Teile der Hochrisiko-Pflichten, auf Ende 2027 beziehungsweise 2028. Artikel 50 wurde ausdrücklich nicht verschoben. Die Transparenzpflichten gelten seit dem 2. August 2026.

Der Bußgeldrahmen liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Diese Zahl macht die Runde und sorgt für die Aufregung. Sie ist der obere Rahmen für Verstöße, nicht der Regelfall für einen Handwerksbetrieb mit einem KI-Bild auf der Startseite.

Der Unterschied, an dem sich alles entscheidet

Artikel 50 verteilt Pflichten auf zwei völlig verschiedene Rollen. Wer das nicht trennt, kommt zwangsläufig zu falschen Schlüssen.

Der Punkt, der in fast jedem Panik-Post untergeht: Die maschinenlesbare Markierung von KI-Inhalten ist Anbieterpflicht, nicht deine. Wenn du ein Bild mit Midjourney erzeugst, ist Midjourney dafür verantwortlich, dass die Datei ein maschinenlesbares Signal enthält. Du musst dieses Signal nicht selbst erzeugen.

Als Betreiber triffst du im Wesentlichen nur eine Pflicht aus Absatz 4. Und die ist deutlich enger, als die meisten denken.

Die vier Fälle, die auf einer Website tatsächlich vorkommen

Fall 1: Ein Chatbot oder KI-Assistent

Hier lautet die Antwort klar: Ja, das muss erkennbar sein. Nutzer müssen wissen, dass sie mit einer Maschine sprechen und nicht mit einem Menschen.

Die Pflicht liegt formal beim Anbieter des Systems, der es entsprechend gestalten muss. In der Praxis bist du aber derjenige, der den Bot auf seiner Website einbaut und beschriftet. Ein Chat-Fenster, das mit einem Vornamen und Porträtfoto suggeriert, dort sitze ein Mensch, ist genau der Fall, den die Verordnung verhindern will.

Es gibt eine Ausnahme: Wenn für einen durchschnittlich aufmerksamen Nutzer ohnehin offensichtlich ist, dass er mit einer KI spricht, braucht es keinen zusätzlichen Hinweis. Verlass dich nicht darauf. Ein Label wie „KI-Assistent" oder ein Satz zu Beginn des Gesprächs kostet dich nichts und erledigt das Thema.

Fall 2: KI-generierte Bilder auf der Website

Hier wird es interessant, weil die verbreitete Annahme falsch ist.

Ein KI-generiertes Bild löst die Offenlegungspflicht aus Absatz 4 nur aus, wenn es ein Deepfake ist. Und Deepfake hat in der Verordnung eine engere Bedeutung als im Alltagssprachgebrauch: Es geht um Inhalte, die existierenden Personen, Orten oder Ereignissen ähneln und fälschlicherweise als echt erscheinen würden.

Was das konkret heißt:

• Eine abstrakte KI-Illustration als Hintergrundgrafik: keine Kennzeichnungspflicht
• Ein erkennbar stilisiertes oder comicartiges Bild: keine Kennzeichnungspflicht
• Ein fotorealistisches Bild einer Person, die es nicht gibt, dargestellt als dein Mitarbeiter oder Kunde: hier wird es kritisch
• Ein manipuliertes Foto einer realen Person, das echt wirkt: Kennzeichnungspflicht

Der zweite und dritte Fall sind übrigens auch unabhängig vom AI Act ein Problem. Eine erfundene Person als Kundenstimme auf einer Website ist Irreführung nach dem Wettbewerbsrecht, und das war sie schon lange vor 2026.

Fall 3: KI-generierte Texte

Auch hier ist die Pflicht enger, als viele annehmen. Absatz 4 erfasst Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Gemeint sind gesellschaftlich, politisch, wirtschaftlich oder kulturell relevante Themen, im Kern also journalistische und meinungsbildende Inhalte.

Deine Leistungsbeschreibung, dein Impressum, deine Produkttexte fallen nicht darunter. Sie informieren über dein Angebot, nicht die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse.

Und selbst wo die Pflicht greift, gibt es eine entscheidende Ausnahme: Wenn ein Mensch den Text vor der Veröffentlichung prüft und redaktionelle Verantwortung übernimmt, entfällt die Kennzeichnung. Wer seine Texte also nicht ungelesen aus einem Modell in die Website kippt, sondern sie durchsieht, überarbeitet und dahintersteht, ist auf der sicheren Seite.

Ebenfalls nicht erfasst: KI, die nur unterstützend arbeitet. Rechtschreibprüfung, Formatierung, Umformulieren einzelner Sätze. Solange der Inhalt nicht wesentlich verändert wird, ist das keine Erzeugung im Sinne der Verordnung.

Fall 4: Bearbeitete Fotos von echten Personen

Das ist der Fall, der mich selbst betroffen hat, und der in der Praxis am häufigsten übersehen wird.

Viele Unternehmen lassen ihre Mitarbeiterfotos heute mit KI aufbereiten: Hintergrund tauschen, Licht korrigieren, Kleidung anpassen. Die Frage ist, ab wann daraus ein Deepfake im Sinne der Verordnung wird.

Die Abgrenzung ist der Täuschungsgehalt. Ein Foto von dir, auf dem du aussiehst wie du, mit korrigiertem Licht und getauschtem Hintergrund, täuscht niemanden über eine Tatsache. Es zeigt dich, und du bist echt. Nach überwiegender Einschätzung fällt das nicht unter die Deepfake-Definition.

Anders sieht es aus, wenn die Bearbeitung eine Aussage transportiert, die nicht stimmt: ein Foto, das dich in Räumen zeigt, die dir nicht gehören, mit einem Team, das es nicht gibt, oder mit einer Auszeichnung, die du nicht hast.

Was du ausdrücklich nicht kennzeichnen musst

Zur Entlastung, weil an dieser Stelle die meiste unnötige Sorge entsteht:

• Nicht jedes Bild, das mit KI-Hilfe entstanden ist
• Nicht deine mit KI überarbeiteten Produkt- und Leistungstexte
• Nicht KI-gestützte Rechtschreib- und Stilkorrektur
• Nicht interne Inhalte, die nicht veröffentlicht werden
• Nicht offensichtlich fiktive oder künstlerische Darstellungen
• Nicht die maschinenlesbare Markierung selbst, das ist Anbieterpflicht

Bei Inhalten mit künstlerischem oder satirischem Charakter sieht die Verordnung zudem vor, dass die Offenlegung so erfolgen darf, dass sie die Darstellung des Werks nicht beeinträchtigt. Ein Wasserzeichen quer über das Bild ist also nicht verlangt.

Wie ich es auf dieser Website umgesetzt habe

Ich halte wenig von Ratgebern, die erklären, wie es geht, es aber selbst nicht machen. Deshalb hier mein eigener Fall, mit der ehrlichen Einordnung.

Auf dieser Website sind zwei Porträtfotos von mir zu sehen. Beide basieren auf echten Aufnahmen, wurden aber mit KI-Werkzeugen bearbeitet und enthalten KI-generierte Bildanteile. Nach der Einordnung oben bin ich ziemlich sicher, dass sie keine Deepfakes im Sinne der Verordnung sind: Sie zeigen mich, ich sehe so aus, niemand wird über eine Tatsache getäuscht.

Ich habe sie trotzdem gekennzeichnet, auf drei Ebenen:

1. Sichtbares Badge am Bild. Unten rechts in jedem großen Porträt steht dezent „KI-bearbeitet", beim Darüberfahren erscheint der vollständige Hinweis. Bei den kleinen Autoren-Avataren im Blog, die nur 44 mal 44 Pixel groß sind, wäre ein Badge breiter als das Bild. Dort steht der Hinweis stattdessen im title-Attribut.

2. Metadaten in der Bilddatei. Beide Dateien tragen das IPTC-Feld DigitalSourceType. Das ist der Standard, auf den sich Google, Adobe und die großen Nachrichtenagenturen geeinigt haben, und der auch von KI-Systemen ausgelesen wird.

3. Ein Abschnitt im Impressum, der erklärt, was mit den Bildern gemacht wurde.

Warum der Aufwand, wenn ich nicht muss? Weil diese Website an mehreren Stellen mit Belegen statt Behauptungen argumentiert. Ein unmarkiertes KI-Foto wäre in dieser Logik ein Bruch. Transparenz kostet mich hier nichts und zahlt auf genau das ein, was ich verkaufe.

Das gilt übrigens auch für das Titelbild dieses Artikels. Es ist vollständig KI-generiert, und weil es eine abstrakte Illustration ohne reale Personen ist, besteht dafür keinerlei Kennzeichnungspflicht. Es trägt trotzdem den IPTC-Wert trainedAlgorithmicMedia. Wenn ich einen Artikel über Kennzeichnung schreibe, sollte das Bild darüber nicht die Ausnahme sein.

Technisch korrekt kennzeichnen

Falls du deine Bilder auf derselben Ebene kennzeichnen willst: Der IPTC-Standard kennt für den Ursprung eines Bildes das Feld DigitalSourceType mit einem festen Vokabular. Die drei relevanten Werte:

Schreiben lässt sich das mit dem kostenlosen Werkzeug ExifTool, ohne das Bild neu zu komprimieren:

exiftool -overwrite_original \
  -XMP-iptcExt:DigitalSourceType="http://cv.iptc.org/newscodes/digitalsourcetype/compositeWithTrainedAlgorithmicMedia" \
  -XMP-dc:Creator="Dein Name" \
  -XMP-dc:Description="Porträtfoto, mit KI-Werkzeugen bearbeitet, enthält KI-generierte Bildanteile." \
  dein-bild.webp

Passe den Wert hinter digitalsourcetype/ an deinen Fall an. Prüfen kannst du das Ergebnis mit exiftool -s -DigitalSourceType dein-bild.webp.

Ein Hinweis zur Praxis: Viele Bildbearbeitungsprogramme und CMS entfernen Metadaten beim Hochladen oder beim automatischen Komprimieren. Prüf nach dem Veröffentlichen einmal die Datei, die tatsächlich auf deinem Server liegt, nicht die auf deinem Rechner.

Deine Checkliste

Geh deine Website einmal mit diesen Fragen durch:

• Habe ich einen Chatbot? Dann muss erkennbar sein, dass er eine KI ist.
• Zeige ich fotorealistische Bilder von Personen, die es nicht gibt? Dann kennzeichnen, und grundsätzlich überdenken.
• Habe ich Fotos realer Personen so bearbeitet, dass ein falscher Eindruck entsteht? Dann kennzeichnen.
• Veröffentliche ich KI-Texte zu gesellschaftlich relevanten Themen ohne redaktionelle Prüfung? Dann kennzeichnen, oder besser: prüfen und dahinterstehen.
• Nutze ich KI nur unterstützend für Formulierung und Korrektur? Dann ist nichts zu tun.

Für die allermeisten Unternehmenswebsites lautet das Ergebnis: ein Punkt beim Chatbot, sonst nichts. Das ist die unspektakuläre Wahrheit hinter den Millionenbeträgen in den Schlagzeilen.

Fazit

Die KI-Kennzeichnungspflicht ist real, sie gilt seit dem 2. August 2026, und sie sollte dich nicht nervös machen. Sie richtet sich in ihrem Kern gegen Täuschung: gegen Bots, die sich als Menschen ausgeben, und gegen Inhalte, die vorgeben, echt zu sein, obwohl sie es nicht sind.

Wenn du auf deiner Website ehrlich zeigst, wer du bist und was du anbietest, hast du wenig zu tun. Der größte Teil der Pflichten liegt bei den Anbietern der KI-Systeme, nicht bei dir.

Mein Rat trotzdem: Kennzeichne mehr, als du musst. Nicht aus Angst vor Bußgeldern, sondern weil Vertrauen gerade das knappste Gut im Netz ist. Wer offen sagt, wo KI im Spiel war, wirkt souverän. Wer es verschweigt und dabei erwischt wird, verliert mehr, als jede Kennzeichnung gekostet hätte.

Wenn du unsicher bist, wie deine Website in diesen Punkten dasteht, schau ich sie mir an und sage dir konkret, wo Handlungsbedarf besteht und wo nicht. Melde dich für eine kostenlose Erstanalyse.