KI & Automatisierung
KI-Verordnung ab August 2026: was Unternehmen jetzt kennzeichnen müssen
Seit dem 2. August 2026 gilt die Kennzeichnungspflicht aus der KI-Verordnung. Was das für Chatbot, Telefon-KI und KI-Texte im Unternehmen heißt und warum die Pflicht zur KI-Kompetenz kurz vorher entschärft wurde.
Muss der Chatbot auf eurer Webseite jetzt sagen, dass er eine KI ist? Braucht das Team ein KI-Zertifikat? Und was ist mit den Texten, die ihr mit ChatGPT vorbereitet? Seit dem 2. August 2026 gilt der nächste große Teil der KI-Verordnung, und eine Woche vorher hat die EU mit dem sogenannten „Digital Omnibus“ noch einiges umgebaut. Entsprechend groß ist gerade das Durcheinander. Was für Unternehmen jetzt wirklich gilt und was warten kann, einmal sortiert.
Das Wichtigste in Kürze
- Ein Chatbot oder eine Telefon-KI muss sagen, dass hier eine KI antwortet. Das gilt seit dem 2. August 2026.
- Deepfakes müssen gekennzeichnet werden. Eine allgemeine Pflicht, jeden KI-Text zu markieren, gibt es nicht.
- KI-Kompetenz bleibt Pflicht, ist aber entschärft: Unternehmen müssen Maßnahmen ergreifen, aber kein bestimmtes Wissensniveau garantieren.
- Die strengen Regeln für Hochrisiko-KI sind auf Dezember 2027 bzw. August 2028 verschoben. Für die meisten Unternehmen, die KI im Büroalltag nutzen, spielen sie keine Rolle.
Chatbot und Telefon-KI: ein Satz reicht
Wer mit einer KI spricht oder schreibt, muss das wissen. Außer, es ist ohnehin offensichtlich. Das betrifft den Chat auf der Webseite genauso wie einen KI-Assistenten, der ans Telefon geht, die Hotline entlastet oder Anfragen im Kundenportal beantwortet.
Streng genommen richtet sich die Pflicht an den Anbieter des Systems. Wer aber einen Chatbot unter eigenem Namen einrichtet und mit eigenen Inhalten füttert, sollte sich nicht darauf verlassen, dass der Hersteller das schon regelt. Am Ende steht euer Firmenname drauf.
—> In der Praxis ist das ein Satz in der Begrüßung: „Hallo, ich bin der digitale Assistent der Muster GmbH.“ Bei einer Telefon-KI gehört er an den Anfang vom Gespräch und nicht in die Datenschutzerklärung.
Bei den Systemen, die ich einrichte, ist der Hinweis von Anfang an mit drin. Mehr zur KI am Telefon findest du unter Telefon-KI.
KI-Texte und Bilder: was gekennzeichnet werden muss
Hier kursiert gerade viel Halbwissen. Einmal kurz sortiert:
- Deepfakes: Bilder, Videos oder Tonaufnahmen, die echte Personen, Orte oder Ereignisse täuschend echt nachbilden, müssen als KI-erzeugt offengelegt werden. Bei erkennbar künstlerischen oder satirischen Werken reicht ein dezenter Hinweis.
- Texte zu Themen von öffentlichem Interesse: Wer KI-Texte veröffentlicht, um die Öffentlichkeit zu informieren, muss das kennzeichnen. Außer, ein Mensch hat den Text geprüft und trägt die redaktionelle Verantwortung.
- Alles andere: Ein Angebot, ein Newsletter, eine Pressemitteilung oder ein Produkttext, den ihr mit KI vorbereitet und selbst überarbeitet habt, braucht kein KI-Label.
Die technische Markierung, also unsichtbare Wasserzeichen in KI-Bildern und -Texten, ist Sache der Hersteller wie OpenAI oder Google. Für Systeme, die schon vor August auf dem Markt waren, gibt es dafür noch eine Schonfrist bis zum 2. Dezember 2026. Als Anwender müsst ihr da nichts tun.
KI-Kompetenz: entschärft, aber nicht weg
Seit Februar 2025 verlangt Artikel 4 der KI-Verordnung, dass Leute, die im Unternehmen mit KI arbeiten, ausreichend Ahnung davon haben. Das hat viele verunsichert: Muss jetzt jeder ein Zertifikat machen?
Mit dem Omnibus ist der Artikel neu gefasst worden. Jetzt heißt es sinngemäß: Unternehmen ergreifen Maßnahmen, um die KI-Kompetenz ihrer Leute zu entwickeln. Ein bestimmtes Niveau müssen sie ausdrücklich nicht garantieren. Ein Zertifikat war nie vorgeschrieben und ist es auch jetzt nicht. Ein eigenes Bußgeld gibt es dafür ebenfalls nicht.
—> Trotzdem nicht einfach abhaken. Wenn jemand Kundendaten in ein privates KI-Konto kopiert und daraus ein Schaden entsteht, landet die Frage am Ende beim Arbeitgeber. Dann hilft es, wenn ihr zeigen könnt, was ihr vorher geregelt habt.
Was ich Unternehmen konkret rate
- Bestandsaufnahme: Welche KI-Werkzeuge werden wirklich genutzt? Auch die, die nie jemand offiziell eingeführt hat. Das private ChatGPT-Konto auf dem Diensthandy zählt mit.
- Zuständigkeit klären: Wer entscheidet, welche Tools erlaubt sind? In kleinen Teams ist das die Geschäftsführung. In größeren Unternehmen sitzen IT, Datenschutz und, wo vorhanden, der Betriebsrat mit am Tisch.
- Eine kurze KI-Richtlinie: Welche Tools sind erlaubt, welche Daten dürfen da rein und welche nicht. Kundendaten, Personaldaten, Patientendaten und Mandantenakten gehören nicht in ein privates Konto.
- Einweisung: Was die Werkzeuge können, wo sie danebenliegen und was die Spielregeln sind. In einem kleinen Team reicht eine Stunde, in größeren Unternehmen ein kurzes Modul pro Abteilung. Datum und Teilnehmer notieren, das ist schon eine Maßnahme im Sinne von Artikel 4.
- KI-Hinweis prüfen: Chat auf der Webseite, Telefon-KI, automatische Antworten: Sagt das System, dass es eine KI ist?
- Datenschutz nicht vergessen: Die KI-Verordnung ersetzt die DSGVO nicht. Für jedes Tool, das personenbezogene Daten verarbeitet, braucht es weiterhin einen Auftragsverarbeitungsvertrag.
—> Das ist kein Großprojekt. Bei zehn Leuten ist es in einem halben Tag erledigt. In größeren Unternehmen dauert vor allem die Abstimmung länger, nicht die Arbeit. 😉
Hochrisiko: genau hinschauen, wo KI über Menschen entscheidet
Die strengen Pflichten für Hochrisiko-KI, also Risikomanagement, technische Dokumentation und Konformitätsbewertung, sollten ursprünglich ab August 2026 gelten. Der Omnibus hat sie verschoben: auf den 2. Dezember 2027 für Bereiche wie Personalauswahl, Bildung oder Kreditprüfung und auf den 2. August 2028 für KI in Produkten wie Medizingeräten oder Maschinen.
Wer KI für Protokolle, Mails, Angebote oder Recherche nutzt, ist davon in aller Regel nicht betroffen. Genauer hinschauen solltet ihr, wenn eine KI Bewerbungen vorsortiert, die Leistung von Mitarbeitern bewertet oder über Kredite mitentscheidet. Das fällt unter Hochrisiko, und gerade in der Personalabteilung ist man schneller dort, als man denkt. Bei Software, die in der Medizin bei der Diagnose hilft, lohnt ein Blick in die Unterlagen vom Hersteller.
—> Die zusätzliche Zeit bis Dezember 2027 ist kein Grund, das Thema liegen zu lassen. Wer solche Systeme einführen will, plant die Anforderungen besser gleich mit ein.
Häufige Fragen
Müssen wir KI-generierte Texte auf unserer Webseite kennzeichnen?
In der Regel nein. Wenn ihr den Text selbst geprüft habt und dafür geradesteht, braucht er kein Label. Die Pflicht gilt für Deepfakes und für Texte zu Themen von öffentlichem Interesse, die ohne menschliche Prüfung veröffentlicht werden.
Was passiert, wenn unser Chatbot keinen Hinweis gibt?
Verstöße gegen die Transparenzpflichten können mit bis zu 15 Mio. Euro oder 3 % vom weltweiten Jahresumsatz geahndet werden. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Realistisch kommt es selten so weit, aber ein Satz in der Begrüßung ist billiger als jede Diskussion.
Brauchen unsere Mitarbeiter ein KI-Zertifikat?
Nein. Artikel 4 verlangt Maßnahmen und keinen Nachweis per Zertifikat. Eine dokumentierte Einweisung und klare Spielregeln sind der Kern. In größeren Unternehmen lohnt zusätzlich eine Übersicht, wer wann geschult wurde.
Gilt das auch, wenn wir nur ChatGPT nutzen?
Wer KI beruflich einsetzt, ist im Sinne der Verordnung „Betreiber“. Die Kennzeichnungspflichten treffen euch aber nur, wenn ihr KI-Inhalte nach außen gebt oder Kunden direkt mit einer KI sprechen lasst. Das Thema KI-Kompetenz betrifft euch trotzdem.
Kleiner Hinweis zum Schluss: Ich bin IT-Dienstleister und kein Anwalt. Bei Hochrisiko-Fragen oder einem konkreten Streitfall gehört eine rechtliche Prüfung dazu.
Lass uns einmal drüberschauen
Wenn du wissen willst, wo ihr bei KI gerade steht, schauen wir uns das gerne einmal gemeinsam an: welche Werkzeuge im Einsatz sind, wo ein Hinweis fehlt und was sich sinnvoll automatisieren lässt. Mehr dazu unter KI & Automatisierung.
Oder du meldest dich direkt über Kontakt.
