Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des EU AI Act. Seitdem ist das Netz voll mit Checklisten und Bußgeldsummen. 15 Millionen Euro, das macht Schlagzeilen.
Wir haben stattdessen den Verordnungstext gelesen. Das Ergebnis ist unspektakulärer und an einer Stelle unangenehmer als erwartet.
Unspektakulär: Deine KI-geschriebenen Produkttexte musst du sehr wahrscheinlich nicht kennzeichnen. Unangenehm: deine fotorealistischen KI-Produktbilder musst du sehr wahrscheinlich kennzeichnen. Das ist genau andersherum, als die meisten erwarten.
Hier steht, was für einen Onlineshop wirklich gilt.
Der AI Act kennt zwei Rollen, und fast alles hängt daran.
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt. Also OpenAI, Midjourney oder der Hersteller deines Chatbots.
Betreiber ist, wer ein KI-System beruflich unter eigener Verantwortung nutzt. Das bist du, sobald du irgendein KI-Werkzeug im Shop einsetzt. Du musst dafür nichts programmiert haben.
Viele Shopbetreiber hören innerlich auf zu lesen, wenn sie merken, dass sie keine KI bauen. Das ist der Fehler. Betreiber sein reicht.
Die gute Nachricht steckt in der Aufteilung, denn der Gesetzgeber hat die Pflichten zwischen beiden Rollen verteilt. Als Merksatz:
Der Generator markiert für Maschinen, du kennzeichnest für Menschen.
Zwei verschiedene Pflichten, zwei verschiedene Adressaten, und genau das wird gerade überall durcheinandergeworfen. Was das konkret heißt:
Als Betreiber musst du Deepfakes offenlegen. Bei dem Wort denkt man an gefälschte Politikervideos. Die Definition im AI Act ist deutlich weiter.
Erfasst ist KI-erzeugter Bildinhalt, der wirklichen Personen, Gegenständen oder Orten ähnelt und für echt gehalten werden könnte. Gegenstände stehen ausdrücklich im Gesetzestext. Und nach der Auslegung der EU-Kommission zählt auch, was frei erfunden, aber fotorealistisch ist.
Für deinen Shop heißt das:
Ein fotorealistisches KI-Produktbild ist kennzeichnungspflichtig, auch wenn es kein reales Vorbild hat.
Ein KI-generiertes Model, das dein Produkt trägt, erst recht. Auch in der Werbung greift die Kennzeichnungspflicht, eine Ausnahme für Werbebilder gibt es nicht.
Eine erkennbar stilisierte Illustration ist es nicht, weil sie niemand für ein Foto hält.
Licht- und Farbkorrekturen an einem echten Foto bleiben frei, sie verändern die wahrgenommene Echtheit nicht.
Die Grenze verläuft also nicht zwischen echt und erfunden, sondern zwischen fotorealistisch und offensichtlich nicht real.
Ehrlich dazu: Wie weit das bei Produktfotos genau reicht, ist noch nicht ausgestanden. Die EU-Kommission hat dazu im Juli 2026 endgültige Leitlinien veröffentlicht, eine gefestigte Praxis gibt es aber noch nicht. Im Zweifel kennzeichnen.
Hier kommt die Entwarnung, und sie fällt größer aus, als du erwartest.
Die Kennzeichnungspflicht für KI-Texte greift nur bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Gemeint sind Themen wie Gesundheit, Umwelt oder Politik.
Eine Produktbeschreibung ist das nicht. Eine Kategorieseite auch nicht. Eine automatische Übersetzung deines Sortiments ebenso wenig.
Dazu kommt eine zweite Ausnahme: Wenn ein Mensch den Text inhaltlich prüft und verantwortet, entfällt die Pflicht ohnehin. Wichtig dabei ist das Wort inhaltlich. Einmal die Rechtschreibprüfung drüberlaufen zu lassen, reicht nicht.
Aufpassen musst du bei deinem Ratgeber-Blog. Viele Shops haben einen, und genau dort kann die Pflicht doch greifen. Ein Beitrag über Nahrungsergänzung, Heizkosten oder Schadstoffe im Kinderspielzeug ist keine Produktbeschreibung mehr.
Der Ausweg ist auch hier kein Etikett, sondern Redaktion. Prüft ein Mensch den Beitrag inhaltlich und trägt jemand die redaktionelle Verantwortung, entfällt die Pflicht. Das solltest du ohnehin tun, denn ungelesen veröffentlichte KI-Texte sind auch ohne AI Act ein Risiko.
Ein Detail, das dabei fast überall untergeht: Diese Ausnahme gilt nur für den Text. Das KI-generierte Titelbild deines Blogbeitrags bleibt kennzeichnungspflichtig, denn bei Bildern gibt es die redaktionelle Ausnahme nicht.
Nutzer müssen erkennen können, dass sie mit einer KI schreiben und nicht mit einem Menschen. Diese Pflicht richtet sich allerdings an den Anbieter des Chatbot-Systems, nicht an dich als Betreiber.
Das ist kein Grund, das Thema abzuhaken. Wenn dein eingekaufter Chatbot den Hinweis nicht mitbringt, steht das Problem trotzdem auf deiner Seite, und deine Kunden sehen es dort. Prüf also, ob der Hinweis da ist, und ob er auch nach dem ersten Satz noch erkennbar bleibt.
Ein zweiter Punkt, der oft fehlt: der Weg zum Menschen. Der AI Act verlangt ihn an dieser Stelle nicht ausdrücklich, aber ein Kunde, der im Bot festhängt, kauft nicht. Das ist kein Rechtsthema, sondern gesunder Menschenverstand.
Das Gesetz macht genau drei Vorgaben. Der Hinweis muss klar und unterscheidbar sein, er muss spätestens dann da sein, wenn der Kunde den Inhalt zum ersten Mal sieht, und er muss barrierefrei sein. Ein bestimmtes Symbol, ein bestimmter Wortlaut oder eine bestimmte Position stehen nirgends im Gesetz.
Seit dem Sommer 2026 stehst du damit aber nicht mehr allein da. Die EU-Kommission hat im Juni einen Code of Practice zur Kennzeichnung KI-generierter Inhalte veröffentlicht und stellt dazu offizielle EU-Icons bereit. Im Juli kamen die endgültigen Leitlinien zu Artikel 50. Beides ist freiwillig, aber wer sich an den Code of Practice der EU-Kommission hält, kann die Einhaltung deutlich leichter belegen.
So sieht das praktisch aus: ein kleines Label an der Bildecke mit dem EU-Icon und dem Wort „KI-generiert“, und derselbe Hinweis im Alternativtext des Bildes, damit ihn auch ein Screenreader vorliest.
Unsere Empfehlung, wenn du KI-Bilder richtig kennzeichnen willst:
Nimm das offizielle EU-Icon, statt dir ein eigenes auszudenken. Es ist wiedererkennbar, spart die Designdiskussion und ist im Zweifel die besser begründbare Wahl.
Am Bild, nicht irgendwo auf der Seite. Bei mehreren Bildern muss klar sein, welches gemeint ist.
Sichtbar ohne Klick. Nicht erst im Zoom-Layer, nicht im Impressum, nicht in Grau auf Weiß.
Mit Textalternative. Barrierefreiheit steht ausdrücklich im Gesetz. Ein reines Grafiksymbol erfüllt sie nicht, ein Screenreader muss den Hinweis vorlesen können. Wie das grundsätzlich funktioniert, haben wir im Beitrag zum Barrierefreiheitsstärkungsgesetz beschrieben.
Überall gleich. Ein einheitlicher Hinweis wirkt souverän, wechselnde Formulierungen wirken geraten.
Schriftlich festhalten, wie du es machst und warum. Solange die Vorgaben unklar sind, ist ein nachvollziehbarer, konsistenter Ansatz die beste Position, die du haben kannst.
Hier ist die zweite Entwarnung, mit einem Haken.
Ein KI-Register schreibt der AI Act nicht vor. Es wird gerade viel als Pflicht verkauft, die Verordnung verlangt es nicht. Die schweren Dokumentationspflichten, also Protokolle sechs Monate aufbewahren, Betrieb überwachen, Vorfälle melden, hängen an Hochrisiko-Systemen. Ein Shop mit Chatbot, Empfehlungen und KI-Bildern ist das in aller Regel nicht.
Trotzdem raten wir zu einer Liste. Nicht als Vorsorge, das wäre ein schwaches Argument, und schützen würde sie dich vor nichts. Ein Register ersetzt keine einzige Kennzeichnung. Sondern aus drei handfesten Gründen.
Du brauchst sie ohnehin. Sobald eine KI personenbezogene Daten verarbeitet, gehört sie ins Verzeichnis der Verarbeitungstätigkeiten. Das verlangt die DSGVO, nicht der AI Act. Ein großer Teil deines KI-Registers ist also längst Pflicht, nur unter anderem Namen.
Ohne sie kannst du die Frage nicht beantworten. Wer nicht weiß, welche Werkzeuge im Haus laufen, kann nicht beurteilen, was gekennzeichnet werden muss.
Die Rechtslage bewegt sich. Der Code of Practice kommt, die Durchsetzung startet im Dezember, weitere Fristen folgen 2027. Wer seine Liste hat, zieht an einem Nachmittag nach. Wer sie nicht hat, fängt jedes Mal von vorn an.
Halt sie klein: Werkzeug, Zweck, wer damit arbeitet, ob Kundendaten im Spiel sind. Eine Tabelle reicht. Eine Liste, die niemand pflegt, ist schlechter als keine, weil sie aussieht wie ein Prozess, den du angefangen und wieder aufgegeben hast.
Dazu kommt die KI-Kompetenz. Wer KI einsetzt, muss die Leute, die damit arbeiten, entsprechend schulen. Das gilt schon seit Februar 2025 und wird konsequent übersehen.
Und jetzt der Haken. Die eigentliche Bürokratie kommt nicht aus dem AI Act, sondern aus der DSGVO. Sie galt schon vorher, fällt jetzt aber vielen zum ersten Mal auf:
Nimm einen Chatbot, der deinen Kundenservice übernimmt. Sobald dort jemand seinen Namen, seine Bestellnummer oder auch nur sein Anliegen hineinschreibt, verarbeitest du personenbezogene Daten. Damit brauchst du einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten, einen Auftragsverarbeitungsvertrag mit dem Anbieter, eine Rechtsgrundlage und einen Absatz in der Datenschutzerklärung. Sitzt der Anbieter in den USA, kommt die Frage nach dem Drittlandtransfer dazu.
Auf die Erleichterung für kleine Unternehmen solltest du dabei nicht bauen. Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich stattfindet, und ein dauerhaft laufender Service-Bot ist das Gegenteil von gelegentlich.
Kurz gesagt: Wer seine Datenschutz-Hausaufgaben gemacht hat, hat den größten Teil schon. Wer nicht, merkt es jetzt.
Ein Punkt, der in keiner Compliance-Checkliste steht: Als KI gekennzeichnete Inhalte werden von Kunden oft schlechter bewertet. Das Etikett kostet Vertrauen, und Vertrauen kostet Conversion.
Bevor du also überlegst, wie du dein KI-Produktbild kennzeichnest, lohnt sich die Frage davor: Brauchst du es?
Ein ehrliches Produktfoto ist manchmal die günstigere Rechnung. Kein Hinweis, keine Auslegungsfrage, kein Zweifel beim Kunden. Bei tausend Artikeln sieht diese Rechnung anders aus als bei zwanzig, aber die Frage gehört an den Anfang und nicht ans Ende.
Wir sagen das, obwohl wir selbst KI-Lösungen bauen. Weil die richtige Antwort auf eine Technikfrage manchmal lautet: hier nicht.
Sehr wahrscheinlich ja. Fotorealistische KI-Bilder fallen unter die Deepfake-Definition des AI Act, die ausdrücklich auch Gegenstände erfasst, und zwar auch dann, wenn das abgebildete Produkt so nie existiert hat. Ausgenommen sind erkennbar stilisierte Darstellungen sowie reine Licht- und Farbkorrekturen an echten Fotos.
In der Regel nicht. Die Pflicht greift nur bei Texten zu Themen von öffentlichem Interesse, also etwa Gesundheit, Umwelt oder Politik. Eine Produktbeschreibung gehört nicht dazu. Anders kann es im Ratgeber-Blog aussehen. Dort entfällt die Pflicht aber, wenn ein Mensch den Beitrag inhaltlich prüft und jemand die redaktionelle Verantwortung trägt. Für das Titelbild gilt diese Ausnahme nicht.
Vorgeschrieben ist nur, dass der Hinweis klar und unterscheidbar ist, spätestens beim ersten Sichtkontakt erscheint und barrierefrei zugänglich ist. Eine bestimmte Form, ein bestimmtes Symbol oder ein bestimmter Wortlaut sind im Gesetz nicht festgelegt. Die EU-Kommission hat aber im Juni 2026 einen freiwilligen Code of Practice samt offiziellen EU-Icons veröffentlicht und im Juli die endgültigen Leitlinien zu Artikel 50. Wer sich daran hält, kann die Einhaltung leichter belegen.
Nein, der AI Act schreibt kein Register vor. Die Dokumentationspflichten gelten für Hochrisiko-Systeme, und ein normaler Shop betreibt in aller Regel keine. Eine schlanke Liste ist trotzdem sinnvoll, aber nicht als Absicherung, denn schützen würde sie dich vor nichts. Sondern weil ein großer Teil davon über das Verzeichnis der Verarbeitungstätigkeiten ohnehin DSGVO-Pflicht ist, und weil du sonst gar nicht beurteilen kannst, was gekennzeichnet werden muss.
Nein. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Verschoben wurden durch den Digital Omnibus die Pflichten für Hochrisiko-Systeme, die einen normalen Shop ohnehin nicht betreffen. Und die oft genannte Frist bis zum 2. Dezember 2026 ist eine Übergangsfrist für die maschinenlesbare Markierung durch Anbieter von Systemen, die vorher schon auf dem Markt waren. Für deine sichtbare Kennzeichnung gilt sie nicht.
Der Bußgeldrahmen für Verstöße gegen die Transparenzpflichten reicht bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Anders als vielerorts zu lesen, gibt es für deine Pflichten keine Schonfrist: Die Offenlegung gilt seit dem 2. August 2026, die Sanktionsvorschriften sogar schon seit August 2025. Die oft genannte Frist bis zum 2. Dezember 2026 betrifft etwas anderes, nämlich die maschinenlesbare Markierung durch Anbieter von Systemen, die vorher schon auf dem Markt waren.
Dieser Beitrag gibt den Stand vom 3. August 2026 wieder. Die Transparenzpflichten gelten seit dem 2. August 2026, die endgültigen Leitlinien der EU-Kommission zu Artikel 50 stammen vom 20. Juli 2026, der Code of Practice vom 10. Juni 2026.
An den Details wird weiter gearbeitet, und zu einigen Fragen gibt es noch keine gefestigte Praxis. Wenn du eine Entscheidung darauf stützt, wirf einen Blick in die oben verlinkten Originalquellen und hol dir für deinen konkreten Fall anwaltlichen Rat.