KI-Kennzeichnungspflicht seit August 2026: Was kleine und mittlere Unternehmen wirklich tun müssen

„Ab dem 2. August müssen Unternehmen KI-generierte Inhalte als solche kennzeichnen“ — so oder ähnlich stand es Ende Juli in vielen Meldungen, auch in der Zusammenfassung der Bundesregierung selbst. Der Satz ist nicht falsch, aber er verkürzt eine Vorschrift, die nach Rolle und Inhaltsart unterscheidet. Für kleine und mittlere Unternehmen ist die Rechtslage an einer Stelle strenger als angenommen und an mehreren Stellen deutlich entspannter. Dieser Beitrag sortiert, was tatsächlich verlangt wird.

Wer was kennzeichnen muss

Rechtsgrundlage ist Artikel 50 der KI-Verordnung, dessen Transparenzpflichten seit dem 2. August 2026 anwendbar sind. Die Vorschrift adressiert nicht alle Beteiligten gleich.^[1]

Die Interaktionspflicht ist der klare Fall. Wer ein KI-System betreibt, mit dem Menschen direkt kommunizieren — typischerweise ein Chatbot auf der Website —, muss dafür sorgen, dass für den Nutzer erkennbar ist, dass er mit einem automatisierten System spricht.

Die maschinenlesbare Markierung trifft die Anbieter, nicht die Anwender. Dass synthetisch erzeugte Ausgaben technisch markiert werden müssen, richtet sich an die Anbieter der KI-Systeme. Ein Unternehmen, das ein Bildmodell oder ein Sprachmodell lediglich nutzt, ist Betreiber und nicht Anbieter — diese Pflicht liegt beim Hersteller des Werkzeugs.

Bei Inhalten ist die Offenlegungspflicht des Betreibers begrenzt. Sie greift bei Bild-, Ton- oder Videoinhalten, die ein Deepfake sind. Bei KI-generierten Texten greift sie nur, wenn diese die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren — und selbst dann nicht, wenn ein Mensch den Text redaktionell geprüft hat und die Verantwortung dafür trägt.

Was daraus folgt: Ein mit KI vorformulierter Mandantenbrief, ein Angebotstext oder eine Stellenanzeige lösen keine Kennzeichnungspflicht nach Art. 50 aus. Der Chatbot auf der Website tut es. Wer die Reihenfolge umdreht — Hinweise unter alle Texte, aber nichts am Chatbot — investiert Aufwand an der falschen Stelle.

Die Übergangsfrist deckt weniger ab als gedacht

Häufig zu lesen ist, für Systeme, die vor dem 2. August 2026 schon im Einsatz waren, gelte eine Übergangsfrist bis zum 2. Dezember 2026. Diese Frist existiert, betrifft aber nur einen engen Ausschnitt: allein die Pflicht zur maschinenlesbaren Markierung und allein Anbieter von Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden.^[1]

Die übrigen Pflichten des Artikels 50 — darunter der Chatbot-Hinweis und die Deepfake-Offenlegung — gelten für Altsysteme ohne Übergangsfrist. Ein Chatbot, der seit 2024 auf der Website läuft, ist seit dem 2. August 2026 kennzeichnungspflichtig.

Der Bußgeldrahmen und die KMU-Ausnahme

Verstöße gegen die Transparenzpflichten fallen unter Artikel 99 Absatz 4 der KI-Verordnung: bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes. In der Berichterstattung wird daraus meist „der höhere Betrag ist maßgeblich“ — was für große Unternehmen zutrifft. Für kleine und mittlere Unternehmen und Start-ups gilt nach Artikel 99 Absatz 6 jedoch der jeweils niedrigere der beiden Beträge; die Digital-Omnibus-Verordnung hat diese Privilegierung auf die neue Kategorie der Small Mid-Caps erweitert.^[2]

Realistisch betrachtet ist die Aufsichtsbehörde für einen Betrieb mit zwölf Mitarbeitenden ohnehin nicht das nächstliegende Risiko. Näher liegt das Wettbewerbsrecht: Werbung mit KI-generierten Inhalten, die den Eindruck echter Aufnahmen erweckt, kann als irreführend angegriffen werden — und eine Abmahnung aus dem Wettbewerb ist schneller im Haus als eine Behörde. Die Wettbewerbszentrale hat dazu einen Leitfaden mit konkreten Beispielen veröffentlicht, der die Grenzfälle greifbarer macht als der Verordnungstext.^[5]

Was im gleichen Sommer entschärft wurde

Parallel zur Anwendbarkeit der Transparenzpflichten ist die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft getreten, die die KI-Verordnung an mehreren Stellen zurücknimmt.^[3] Die wesentlichen Punkte:

• Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III verschieben sich vom 2. August 2026 auf den 2. Dezember 2027. Für KI, die in regulierte Produkte nach Anhang I eingebettet ist, verschiebt sich der Termin vom 2. August 2027 auf den 2. August 2028. In beiden Fällen also rund ein Jahr mehr Zeit.
• Der Hochrisiko-Begriff wird enger gefasst: KI-Komponenten, die Anwender unterstützen, Effizienz steigern, automatisieren oder Qualität kontrollieren, gelten nur noch als hochriskant, wenn Ausfall oder Fehlfunktion tatsächlich Gesundheits- oder Sicherheitsrisiken verursachen können.
• Die KI-Kompetenzpflicht schrumpft auf „Maßnahmen zur Förderung von KI-Kompetenz“. Ein bestimmter Wissensstand einzelner Personen muss ausdrücklich nicht garantiert werden.
• Neu ist die Kategorie der Small Midcap Companies mit KMU-ähnlichen Erleichterungen: vereinfachte technische Dokumentation, Erleichterungen beim Qualitätsmanagement, privilegierter Zugang zu regulatorischen Sandboxes und Berücksichtigung bei der Bußgeldbemessung.

Entscheidend ist die Abgrenzung: Diese Verschiebungen betreffen die Hochrisiko-Pflichten, nicht die Transparenzpflichten. Wer die Meldung „Brüssel hat die KI-Verordnung entschärft“ gelesen und daraus geschlossen hat, es sei gar nichts zu tun, liegt falsch. Als Gegengewicht zu den Erleichterungen wurde das europäische AI Office mit weitreichenden Ermittlungsbefugnissen ausgestattet, einschließlich Vor-Ort-Besuchen.^[3]

Wer in Deutschland zuständig ist — und wo sich Beratungskosten sparen lassen

Seit dem 29. Juli 2026 ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) in Kraft. Die Bundesnetzagentur wird damit Anlaufstelle, Beschwerdestelle und Marktüberwachungsbehörde für die KI-Verordnung. Sie ist dabei nicht die einzige zuständige Stelle: Das Gesetz bündelt die Koordinierung, baut aber auf den Zuständigkeiten der bestehenden Marktüberwachungsbehörden auf. Im Finanzsektor bleibt es entsprechend bei der BaFin.^[4]

Praktisch nutzbar ist der KI-Service Desk der Bundesnetzagentur. Der dort bereitgestellte „KI-Compliance Kompass“ ist ein Online-Tool zur Einschätzung, ob ein System überhaupt unter die KI-Verordnung fällt und in welche Risikoklasse es gehört. Das Ergebnis ist ausdrücklich unverbindlich, ersetzt also keine rechtliche Prüfung — als strukturierte Selbsteinordnung und als Dokumentation ist es trotzdem brauchbar. Ein KI-Reallabor für KMU betreibt die Behörde noch nicht: Bislang gab es ein Pilotprojekt zur Simulation, und Deutschland muss bis zum 2. August 2027 mindestens ein einsatzbereites Reallabor vorhalten.^[4]

Vier Schritte für die nächsten zwei Wochen

1. Chatbot zuerst. Gibt es ein System, mit dem Kunden oder Bewerber direkt kommunizieren? Dann gehört der Hinweis in die erste Systemnachricht, und zwar jetzt — ohne Übergangsfrist. Das ist der Punkt mit der klarsten Rechtslage und dem geringsten Aufwand.
2. Bestandsaufnahme. Welche KI-Werkzeuge sind im Einsatz, und in welchen Kanälen landen ihre Ergebnisse? Website, Social Media, Newsletter, Stellenanzeigen, Angebotsdokumente, Kundenkommunikation. Eine einfache Tabelle mit Werkzeug, Zweck, Veröffentlichungskanal und Verantwortlichem genügt.
3. Bildmaterial durchsehen. Bei KI-erzeugten oder KI-bearbeiteten Bildern und Videos ist die Frage, ob sie als authentische Aufnahme wirken. Wo das der Fall ist, gehört ein Hinweis in Bildunterschrift oder Beschreibung — nicht nur wegen Artikel 50, sondern vor allem wegen des Wettbewerbsrechts.
4. Datenschutz mitprüfen. Sobald personenbezogene Daten in einen Prompt gehen — und das ist bereits beim Namen eines Kunden in einer E-Mail-Antwort der Fall —, braucht es einen Auftragsverarbeitungsvertrag mit dem Anbieter und einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten. Strafrecht, Datenschutz und Berufsrecht sind getrennt zu prüfen; sie führen zu unterschiedlichen Ergebnissen.^[6]

Einordnung

Der Aufwand für die Kennzeichnung selbst ist überschaubar. Ein Satz in der ersten Chatbot-Nachricht, ein Hinweis unter zwei oder drei Bildern, eine Ergänzung in der Redaktionsroutine — das ist an einem Vormittag erledigt. Wer sich von den Schlagzeilen zu einem größeren Projekt treiben lässt, arbeitet an einem Problem, das für ein KMU in dieser Form nicht existiert.

Was dagegen Arbeit macht, ist der Überblick. In vielen Betrieben nutzen einzelne Mitarbeitende KI-Werkzeuge längst, ohne dass die Geschäftsführung davon weiß oder es je entschieden hätte. Genau diese Schatten-Nutzung ist das eigentliche Risiko — nicht das fehlende Kleingedruckte unter einem Bild, sondern der Kundendatensatz, der unbemerkt in einem Chatfenster gelandet ist. Wer die Bestandsaufnahme aus Schritt zwei ernst nimmt, löst deshalb nebenbei ein Problem, das größer ist als die Verordnung, die es sichtbar gemacht hat.

Quellen

1. Zur Reichweite der Transparenzpflichten und zu den Übergangsregelungen: Bundesnetzagentur, „Transparenzpflichten“, bundesnetzagentur.de, sowie Ziel und Zeitplan der KI-Verordnung. Die verkürzte Darstellung stammt aus: Bundesregierung, „Gesetzliche Neuregelungen im August 2026“, 28.07.2026, bundesregierung.de, aufgegriffen im DATEV magazin vom 29.07.2026, datev-magazin.de.
2. Art. 99 Abs. 4 und Abs. 6 KI-Verordnung, dejure.org.
3. Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI), verkündet am 24.07.2026, in Kraft seit 27.07.2026, EUR-Lex CELEX:32026R1744. Zu den verschobenen Fristen: Bundesnetzagentur. Einordnung der Änderungen: activeMind.legal (RA Michael Plankemann), „Änderungen der KI-Verordnung“, Stand 28.07.2026, activemind.legal.
4. Bundesministerium für Digitales und Staatsmodernisierung, „Neues KI-Gesetz tritt in Kraft“, Pressemitteilung vom 29.07.2026, bmds.bund.de. Zum KI-Compliance Kompass und zum Stand der Reallabore: Bundesnetzagentur, Factsheet und Innovationen.
5. Leitfaden der Wettbewerbszentrale zur Kennzeichnung KI-generierter Inhalte in der Werbung, zitiert in NWB Betriebswirtschaft 8/2026 (Newsletter vom 04.08.2026).
6. StB Ken Keiper, „Claude und ChatGPT DSGVO-konform einsetzen“, Rubrik tax&bytes, zitiert in NWB FAZIT vom 07.08.2026.

Dieser Beitrag gibt den Rechtsstand vom 10. August 2026 wieder und ersetzt keine Beratung im Einzelfall. Die Einordnung eines konkreten KI-Systems hängt von seinem Einsatzzweck ab.