Die KI-Verordnung (KI-VO), auch „AI Act“ genannt, ist zwar schon Mitte 2024 in Kraft getreten, enthält jedoch diverse Übergangsfristen, sodass eine stufenweise Anwendbarkeit einzelner Regelungen gegeben ist. Zum 2. August 2026 werden u. a. die zentralen Kennzeichnungspflichten wirksam.
Die zentralen Kennzeichnungspflichten der KI-VO sind in einer einzigen Vorschrift geregelt, nämlich in Art. 50 KI-VO. Darin finden sich insgesamt fünf verschiedenen Konstellationen mit Kennzeichnungspflichten für unterschiedliche Akteure.
Hinweis:
Die KI-VO differenziert sowohl nach Risikoklassen (untragbares, hohes, begrenztes und minimales Risiko) als auch nach beteiligten Akteuren. Für die Praxis ganz allgemein und speziell auch in Bezug auf Art. 50 KI-VO spielen insbesondere „Anbieter“ gemäß Art. 3 Nr. 3 KI-VO (also Hersteller) sowie „Betreiber“ gemäß Art. 3 Nr. 4 KI-VO (also Nutzer) von KI-Systemen eine Rolle.
Die Kennzeichnungspflichten bestehen unabhängig davon, in welche Risikoklasse das betreffende KI-System eingeordnet wird. Insbesondere ist es so, dass die Vorgaben des Art. 50 KI-VO nicht nur für Hochrisiko-KI-Systeme gelten. Sie gelten grundsätzlich für alle KI-Systeme, sofern die jeweiligen Voraussetzungen vorliegen. Art. 50 KI-VO enthält Pflichten für Anbieter und für Betreiber von KI-Systemen.
Anbieterpflichten
In Art. 50 Abs. 1 S. 1 KI-VO ist die Kennzeichnungspflicht für KI-Chatbots geregelt:
„Die Anbieter stellen sicher, dass KI‑Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI‑System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der Nutzung offensichtlich.“
Ausnahmen bestehen hier für gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten zugelassene KI‑Systeme, wenn geeignete Schutzvorkehrungen für die Rechte und Freiheiten Dritter bestehen, es sei denn, diese Systeme stehen der Öffentlichkeit zur Anzeige einer Straftat zur Verfügung (Art. 50 Abs. 1 S. 2 KI-VO).
Dagegen enthält Art. 50 Abs. 2 S. 1 KI-VO die Pflicht zur Kennzeichnung von KI-Content-Generatoren, also insbesondere für generative KI-Tools (ChatGPT & Co.):
„Anbieter von KI‑Systemen, einschließlich KI‑Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, stellen sicher, dass die Ausgaben des KI‑Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.“
Die Anbieter haben dafür zu sorgen, dass – soweit technisch möglich – ihre technischen Lösungen wirksam, interoperabel, belastbar und zuverlässig sind. Zudem haben sie dabei die Besonderheiten und Beschränkungen der verschiedenen Arten von Inhalten, die Umsetzungskosten und den allgemein anerkannten Stand der Technik, wie er in den einschlägigen technischen Normen zum Ausdruck kommen kann, zu berücksichtigen (Art. 50 Abs. 2 S. 2 KI-VO).
Eine Ausnahme besteht auch hier für KI-Systeme, die zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen sind. Außerdem besteht die Pflicht nicht, soweit die KI‑Systeme eine unterstützende Funktion für die Standardbearbeitung ausführen oder die vom Betreiber bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändern.
Betreiberpflichten
Die Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die davon betroffenen natürlichen Personen über den Betrieb des Systems und verarbeiten personenbezogene Daten gemäß den Anforderungen des Datenschutzrechts (Art. 50 Abs. 3 S. 1 KI-VO).
Auch hier ist eine Ausnahme für gesetzlich zur Aufdeckung, Verhütung oder Ermittlung von Straftaten zugelassene KI‑Systeme verankert, sofern geeignete Schutzvorkehrungen für die Rechte und Freiheiten Dritter bestehen (Art. 50 Abs. 3 S. 2 KI-VO).
Art. 50 Abs. 4 KI-VO enthält insgesamt zwei verschiedene Konstellationen. In Art. 50 Abs. 4 S. 1 KI-VO ist die Kennzeichnungspflicht für KI-Deepfakes geregelt:
„Betreiber eines KI‑Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.“
Diese Pflicht gilt hier abermals nicht, wenn die Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen ist (Art. 50 Abs. 4 S. 2 KI-VO). Ist der Inhalt Teil eines offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder analogen Werks oder Programms, so beschränken sich die in diesem Absatz festgelegten Transparenzpflichten darauf, das Vorhandensein solcher erzeugten oder manipulierten Inhalte in geeigneter Weise offenzulegen, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt (Art. 50 Abs. 4 S. 3 KI-VO).
Art. 50 Abs. 4 S. 4 KI-VO zielt hingegen auf KI-generierte Textinhalte ab:
„Betreiber eines KI‑Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde.“
Auch diese Pflicht gilt wiederum nicht, wenn die Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen ist. Hinzu kommt eine Ausnahme für die Fälle, in denen die durch KI erzeugten Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und wenn eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung der Inhalte trägt (Art. 50 Abs. 4 S. 5 KI-VO).
Umsetzung
Zusammengefasst bedeutet das:
- Anbieter von KI-Chatbots und von KI-Content-Generatoren haben diese entsprechend zu kennzeichnen.
- Betreiber von bestimmten KI-Systemen (Emotionserkennungssystem, System zur biometrischen Kategorisierung), von KI-Systemen zur Erstellung von Deepfakes oder von textlichen Inhalten müssen diese ebenfalls kenntlich machen.
Die jeweiligen Kennzeichnungen/Informationen müssen den betreffenden Menschen spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise bereitgestellt werden (Art. 50 Abs. 5 S. 1 KI-VO). Sie müssen zudem den geltenden Barrierefreiheitsanforderungen entsprechen (Art. 50 Abs. 5 S. 2 KI-VO), beispielsweise nach dem Barrierefreiheitsstärkungsgesetz. Die Vorgaben aus Art. 50 KI-VO lassen etwaige andere Anforderungen und (Transparenz-) Pflichten unberührt (Art. 50 Abs. 6 KI-VO).
Fazit: Jeder, der Anbieter und/oder Betreiber eines KI-Systems ist und auf den eine der in Art. 50 KI-VO enthaltenen Konstellationen zutrifft, sollte sich frühzeitig darüber Gedanken machen, wie er die Kennzeichnungspflichten konkret umzusetzen hat.
