EU AI Act Artikel 50: Was KMU bis August 2026 wissen und tun müssen

Es gibt drei Fragen, die ich aktuell in praktisch jedem Erstgespräch höre: “Was kostet das?”, “Wie steht’s mit Datenschutz?” und — seit einigen Monaten zunehmend — “Was muss ich wegen dem AI Act eigentlich beachten?”. Die dritte Frage will ich hier so beantworten, dass du nach 5 Minuten Lesen weißt, was du als KMU bis August 2026 tun musst — und was nicht.

Worum geht’s überhaupt?

Der EU AI Act (offiziell: KI-Verordnung) ist seit August 2024 in Kraft, wird aber gestaffelt angewendet. Drei Daten, die du dir merken solltest:

• 2. Februar 2025: Artikel 4 — Pflicht zur KI-Kompetenz für alle, die mit KI-Systemen arbeiten. Schon aktiv.
• 2. August 2026: Artikel 50 — Transparenzpflichten für KI-Systeme mit direktem Kontakt zu Menschen. Genau ein Jahr ab Veröffentlichung des Artikels.
• 2. August 2027: Hochrisiko-Systeme — betrifft die meisten KMU nicht, aber wer KI im Personalwesen oder im Bankenbereich einsetzt: aufpassen.

Für dich als typisches KMU mit Telefonbot, Chatbot, automatischer E-Mail-Antwort ist Artikel 50 der relevante Stichtag.

Was steht in Artikel 50?

Vereinfacht (nicht juristisch verbindlich) sagt Artikel 50 vier Dinge:

1. Anbieter und Betreiber von KI-Systemen, die direkt mit Menschen interagieren, müssen sicherstellen, dass diese Menschen wissen, dass sie mit einer KI sprechen — es sei denn, das ist offensichtlich.
2. KI-generierte oder -manipulierte Audio-, Bild- und Videoinhalte (Deepfakes) müssen als solche gekennzeichnet werden.
3. KI-generierte Texte, die der Information der Öffentlichkeit dienen, müssen ebenfalls als KI-generiert ausgewiesen werden.
4. Emotionserkennungs- und biometrische Kategorisierungssysteme brauchen besondere Information der betroffenen Personen.

Für Punkt 4 ist die Mehrheit der KMU nicht betroffen. Für Punkte 1–3 müssen die meisten meiner Kund:innen etwas tun.

Konkret: Was musst du als KMU bis 2. August 2026 ändern?

Bei Telefonbots

Der Bot muss beim Anrufbeginn klar sagen, dass er kein Mensch ist. Beispielformulierung, die ich bei meinen Kund:innen einsetze:

“Guten Tag, hier ist der digitale Assistent von [Betrieb]. Ich kann Ihre Anfrage aufnehmen und Termine vereinbaren. Falls Sie lieber mit einem Mitarbeiter sprechen, sage ich Ihnen das durch.”

Wichtig:

• Die Information muss am Anfang des Gesprächs kommen, nicht versteckt im Kleingedruckten.
• Sie muss in der Sprache erfolgen, in der der Bot reagiert.
• Sie muss auch dann erfolgen, wenn der Bot eine Männerstimme hat und das einigermaßen natürlich klingt — gerade dann!

Bei Chatbots auf der Webseite

Im Eröffnungstext klarmachen: “Hier antwortet ein digitaler Assistent.” Eine Sprechblase mit “Bot-Icon” reicht nicht. Es muss in Worten dastehen.

Bei KI-generierten E-Mail-Antworten

Hier wird’s interessant: Wenn dein Workflow eine Anfrage automatisch beantwortet, ohne dass ein Mensch nochmal drüberschaut, muss erkennbar sein, dass diese E-Mail KI-generiert ist. Ein dezenter Hinweis im Footer reicht. Beispiel:

Diese Antwort wurde mit Unterstützung eines digitalen Assistenten verfasst.

Wenn ein Mensch die KI-generierte E-Mail vor dem Versand prüft und freigibt, fällt sie nicht mehr unter die Kennzeichnungspflicht — denn dann ist der Mensch der eigentliche Absender. Das ist der Workflow, den ich bei den meisten meiner Kund:innen einrichte.

Bei automatisch erstellten Texten auf der Webseite

Wenn du einen Blog-Beitrag oder eine Produktbeschreibung vollständig mit KI generierst, ohne nennenswerte menschliche Bearbeitung, gehört ein Hinweis hinein. Wenn du den KI-Entwurf nur als Grundlage nimmst und ihn dann redaktionell bearbeitest, kein Pflicht-Hinweis nötig.

Ein Punkt, der oft übersehen wird: Artikel 4

Das ist die Schulungspflicht. Sie gilt schon seit Februar 2025.

Heißt: Alle Personen in deinem Betrieb, die mit KI-Systemen arbeiten, müssen über ausreichende KI-Kompetenz verfügen — angemessen zu ihrer Rolle. Das ist nicht trivial: Aufsichtsbehörden können das prüfen.

In der Praxis genügt für die meisten Mittelstandsbetriebe eine 2-Stunden-Schulung mit dokumentierter Teilnehmerliste. Ich biete das als Add-on an (690–1.490 € je nach Teamgröße), dokumentationsfest und mit Teilnahmebescheinigung. Wer das nicht macht und in eine Prüfung gerät, hat ein Problem.

Was passiert bei Verstößen?

Die Bußgelder im EU AI Act sind nicht ohne:

• Verstoß gegen Transparenzpflichten (Art. 50): bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes — was höher ist.
• Falsche, unvollständige oder irreführende Auskünfte an Behörden: bis zu 7,5 Mio. € oder 1 % des Umsatzes.

In Deutschland wird voraussichtlich die Bundesnetzagentur als Aufsichtsbehörde zuständig sein. Realistisch: Für KMU werden die Bußgelder bei Erstverstößen nicht in Millionenhöhe gehen. Aber sie werden kommen, sobald die ersten exemplarischen Fälle dokumentiert sind. Niemand will der erste sein.

Deine Checkliste bis August 2026

Wenn du KI im Betrieb einsetzt oder planst, mach Folgendes:

• Liste anlegen: Welche KI-Systeme nutzt du? (ChatGPT, Telefonbot, E-Mail-Triage, Übersetzungstool, …)
• Bei jedem System eintragen: Tritt es in direkten Kontakt mit Menschen außerhalb deines Unternehmens?
• Wenn ja: Kennzeichnung einbauen oder einbauen lassen.
• Mitarbeitende schulen (Art. 4), Schulung dokumentieren.
• AVV mit allen Anbietern abschließen, gerne mit DSFA-Light verknüpft.
• Datenschutzerklärung deiner Webseite anpassen — Hinweis auf KI-Einsatz hinein.

Soll ich helfen?

Ich richte den ganzen Block — Kennzeichnung, Schulung, Doku-Vorlage — als Teil meines Setups bei jedem Pilot-Projekt mit ein. Für Bestandskunden gibt’s auch ein eigenes Compliance-Paket zum Festpreis. 30-Minuten-Termin buchen, wir sortieren das.

Disclaimer: Dieser Artikel ist keine Rechtsberatung. Ich bin IT-Mensch, nicht Anwalt. Für rechtsverbindliche Auskünfte: Fachanwält:in für IT-Recht. In Heidenheim und Ulm kann ich dir zwei empfehlen, melde dich.