KI-Chatbot auf der Website: Was die Transparenzpflicht nach Art. 50 EU AI Act Betreiber jetzt konkret umsetzen müssen

Was Art. 50 EU AI Act für Betreiber verlangt – die vier konkreten Verpflichtungen

Wer einen Chatbot auf seiner Website betreibt, einen KI-gestützten Telefonassistenten schaltet oder KI-generierte Inhalte auf seiner Unternehmenswebsite veröffentlicht, ist seit dem 2. August 2026 als Betreiber eines KI-Systems im Sinne von Artikel 50 der europäischen KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) einzustufen. Die Frist gilt als Datum – obwohl andere Teile des Gesetzes durch den sogenannten Digital Omnibus auf 2027 und 2028 verschoben wurden, ist Art. 50 ausdrücklich nicht betroffen.

Artikel 50 enthält vier konkrete Verpflichtungen für Betreiber. Die erste und für die meisten KMU relevanteste: Wer ein KI-System betreibt, das bestimmungsgemäß mit natürlichen Personen interagiert – also einen Chatbot, einen Assistenten oder einen Voicebot –, muss diese Personen zu Beginn der Interaktion klar und verständlich darüber informieren, dass sie mit einer KI kommunizieren. Die Ausnahme greift nur, wenn das aus dem Kontext offensichtlich ist. Wann das der Fall ist, wird die Rechtspraxis noch herausarbeiten; als sichere Grundregel gilt: Wenn auch nur Zweifel möglich sind, muss ein Hinweis vorhanden sein.

Die zweite Verpflichtung betrifft KI-Systeme, die synthetische Stimmen erzeugen – also KI-Telefonassistenten, automatisierte Sprachnachrichten oder Text-to-Speech-Systeme. Hier muss am Beginn der Interaktion darauf hingewiesen werden, dass die Stimme maschinell erzeugt wurde. Für Audioinhalte gilt darüber hinaus eine Pflicht zur maschinenlesbaren Markierung als KI-generiert, die sich vorrangig an die Anbieter der erzeugenden Systeme richtet.

Die dritte Verpflichtung betrifft Deepfakes: Wer Bild-, Video- oder Audioinhalte veröffentlicht, die von einem KI-System erzeugt wurden und täuschend echt wirken, muss diese Inhalte ausdrücklich als KI-generiert kennzeichnen – in einer für den Empfänger erkennbaren Weise. Die vierte Verpflichtung schließlich gilt für KI-generierte Texte zu Themen des öffentlichen Interesses; sie muss auf den Ursprung hinweisen. Was unter „öffentlichem Interesse" zu verstehen ist – politische, gesellschaftliche, wirtschaftliche Fragen von allgemeiner Bedeutung –, klären wir weiter unten.

Entscheidend für die Praxis: Der EU AI Act unterscheidet bei diesen Pflichten nicht nach Unternehmensgröße. Ein Einzelunternehmer, der über einen externen Chatbot-Dienst einen KI-Assistenten auf seiner Website eingebunden hat, unterliegt den gleichen Anforderungen wie ein Mittelständler mit fünfzig Mitarbeitern. Der Unterschied liegt ausschließlich in den Sanktionsgrenzen – nicht in der Pflicht selbst. Das ist der Kern, den viele Kommentare zu Art. 50 im Netz missverständlich formulieren: Der Anwendungsbereich ist breit, die Umsetzung ist es nicht.

Wer sich über die allgemeinen Rahmenpflichten des EU AI Act für KMU informieren möchte, findet eine strukturierte Übersicht im Artikel EU AI Act für KMU: Welche Pflichten ab August 2026 wirklich gelten. Dieser Artikel konzentriert sich bewusst auf die operative Umsetzung für Website- und Chatbot-Betreiber – also die Perspektive desjenigen, der KI eingesetzt hat und jetzt wissen muss, was er anpassen muss.

Praxisbeispiel: Der Online-Händler, der seinen Chatbot fast compliant hatte

Ein Online-Händler für Büromöbel mit zwölf Mitarbeitern und einem Jahresumsatz von rund zwei Millionen Euro hatte im Frühjahr 2026 einen KI-Chatbot in die eigene Website integriert. Das System war gut konfiguriert: Es beantwortete Produktfragen präzise auf der Grundlage der eigenen Datenbank, übergab bei komplexen Fällen an den menschlichen Service und lehnte Anfragen außerhalb seines Aufgabenbereichs freundlich ab. Technisch gesehen war das eine saubere Umsetzung, wie man sie sich wünscht.

Was fehlte: Beim Öffnen des Chat-Widgets erschien lediglich die Frage „Wie kann ich Ihnen helfen?" – ohne jeden Hinweis darauf, dass dahinter ein KI-System steht. Ganz unten auf der Datenschutzseite stand ein Satz zu eingesetzten KI-Tools, aber wer diesen Satz liest, bevor er den Chat öffnet, ist die absolute Ausnahme. Der Schmerz entstand nicht durch fehlende technische Kompetenz oder bösen Willen, sondern durch eine verbreitete Annahme: „Irgendwo haben wir das ja stehen." Genau das akzeptiert Art. 50 nicht.

Was das konkret bedeutet: Das Unternehmen führt täglich Gespräche mit Kunden über Produktverfügbarkeit, Lieferzeiten und Rückgaben. Jedes dieser Gespräche ist eine Interaktion im Sinne von Art. 50. Seit dem 2. August 2026 ist jedes dieser Gespräche ohne KI-Hinweis ein potenzieller Verstoß. Die Behörden werden in der Anlaufphase nicht mit dem Bußgeldbescheid beginnen; wahrscheinlicher ist zunächst eine Aufforderung zur Nachbesserung. Aber wer noch im August 2026 keine Anpassung vorgenommen hat, läuft Risiken, die in keinem vernünftigen Verhältnis zum Implementierungsaufwand stehen.

Die Lösung war in diesem Fall einfach: Die Begrüßungsnachricht wurde um einen Satz ergänzt – „Ich bin ein KI-Assistent und beantworte Ihre Fragen rund um unsere Produkte und Lieferzeiten." Eine zweite, gleichwertige Variante wäre eine permanente Beschriftung des Chat-Widgets mit dem Zusatz „KI-Assistent" oder „KI-Chat". Beide Optionen sind in wenigen Minuten konfiguriert und reichen – nach aktuellem Rechtsstand – für die Erfüllung der Pflicht aus. Was dieser Fall außerdem zeigt: Der eigentlich gut aufgestellte Chatbot brauchte keine technische Änderung. Es reichte eine Anpassung in der Konfiguration. Wer seinen Chatbot gut gebaut hat, muss jetzt nur noch den Hinweis ergänzen – das ist der Normalfall.

Voicebots und KI-Telefonie: Besonderheiten am Sprachkanal

Am Telefon gelten die gleichen Grundregeln wie im Chat – aber die Umsetzung ist weniger intuitiv. Wer einen KI-Telefonassistenten betreibt, sei es für die erste Anrufannahme, für Terminbuchungen oder für Statusabfragen, muss den Anrufer zu Beginn des Gesprächs darauf hinweisen, dass er mit einer KI spricht. Der Hinweis muss verständlich und klar sein; ein allgemeines Intro-Jingle ohne erklärendem Text genügt nicht. In der Praxis bedeutet das: Der Eröffnungssatz des Voicebots muss explizit auf den KI-Charakter hinweisen.

Besonders relevant ist diese Anforderung, weil moderne Text-to-Speech-Systeme und Sprachmodelle (Stand August 2026) täuschend natürlich klingen. Wer einen Voice-Agenten bisher bewusst so gestaltet hat, dass er menschlich wirkt, muss jetzt abwägen: Entweder der erste Satz legt die KI-Identität offen, oder der Betreiber verstößt gegen Art. 50. Formulierungen, die eine menschliche Identität nahelegen – ein Vorname ohne Hinweis auf den maschinellen Charakter, Begrüßungen wie „Hier ist Maria" –, sind nicht mehr zulässig, wenn dahinter ein KI-System steht. Das gilt unabhängig davon, wie natürlich die Stimme klingt.

Es gibt jedoch Formulierungen, die beide Ziele erfüllen: die Transparenzpflicht einhalten und trotzdem freundlich und professionell klingen. „Herzlich willkommen bei [Unternehmen]. Sie sprechen jetzt mit unserem KI-Assistenten, der Ihnen sofort weiterhilft" ist klar, verständlich und signalisiert gleichzeitig Kompetenz und Verfügbarkeit. Die Sorge, ein offener KI-Hinweis senke die Akzeptanz bei Anrufern, lässt sich in der Praxis kaum belegen. Was Anrufer störend finden, ist schlechte Erkennung oder sinnlose Schleifen – nicht der faire Hinweis, dass sie mit einem System sprechen. Wer sich für den Aufbau oder die Weiterentwicklung eines KI-Telefonassistenten interessiert, findet technische Grundlagen im Artikel KI-Telefonagenten und Voice Bots für KMU.

KI-generierte Inhalte auf der Website: Wann Kennzeichnung Pflicht ist – und wann nicht

Dieser Bereich ist der am häufigsten missverstandene Teil von Art. 50, und die Missverständnisse gehen in beide Richtungen: Manche Betreiber glauben, jeden KI-generierten Satz auf ihrer Website kennzeichnen zu müssen und scheuen deshalb den gesamten KI-Einsatz. Andere gehen davon aus, dass für Website-Texte gar nichts gilt. Beides ist falsch. Die Wahrheit ist differenzierter und für die meisten KMU beruhigender als befürchtet.

Die Kennzeichnungspflicht für KI-Texte nach Art. 50 gilt für Inhalte zu Themen des öffentlichen Interesses – also für politische, gesellschaftliche, wirtschaftliche oder andere Fragen mit allgemeiner gesellschaftlicher Bedeutung. Für die meisten KMU-Websites, die Produktbeschreibungen, Leistungsübersichten, FAQ-Texte und Blogartikel zu Fachthemen enthalten, greift diese Pflicht in der Regel nicht. Ein Artikel über Heizkörpermontage, ein Ratgeber zur Angebotserstellung im Handwerk oder eine Produktseite für Bürostühle bewegen sich nicht im Bereich des öffentlichen Interesses im Sinne der Verordnung.

Dazu kommt eine wichtige Ausnahme: Wenn die veröffentlichten Inhalte vor der Veröffentlichung einer menschlichen redaktionellen Überprüfung unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt, entfällt die Kennzeichnungspflicht. Eine Mitarbeiterin, die einen KI-generierten Entwurf liest, anpasst, freigibt und namentlich dahintersteht, erfüllt diese Bedingung. Die KI war ein Werkzeug bei der Erstellung; die Verantwortung liegt beim Menschen. Wichtig ist, dass die Überprüfung inhaltlich real ist – ein kurzer Blick ohne kritische Auseinandersetzung reicht rechtlich nicht aus. Wer die Überprüfung dokumentiert, steht im Zweifelsfall besser da.

Für synthetische Bilder und Videos, die täuschend echt aussehen und vollständig KI-generiert sind, gilt ein anderer Maßstab. Hier besteht eine Kennzeichnungspflicht unabhängig vom Thema. Diese Pflicht richtet sich primär an die Anbieter der erzeugenden KI-Systeme – Midjourney, Runway und ähnliche Dienste sind verpflichtet, ihre Ausgaben maschinenlesbar zu markieren. Wer als Nutzer ein solches Bild ohne jede Kennzeichnung in einem realen Kontext einsetzt – etwa ein generiertes Foto einer fiktiven Mitarbeiterin als scheinbar echtes Profilbild –, kann sich nicht darauf verlassen, dass die Anbieterpflicht ausreicht. Die Täuschungsabsicht wäre in einem solchen Fall ein eigenständiges Problem.

Was rechtlich als ausreichender Hinweis gilt – und was nicht

Das Gesetz macht keine exakten Vorgaben zur Formulierung, benennt aber drei Kriterien: Der Hinweis muss klar, verständlich und bei der ersten Interaktion erkennbar sein. Diese drei Kriterien sind nicht verhandelbar und müssen gleichzeitig erfüllt werden.

Klar bedeutet: unmissverständlich als KI erkennbar. Ein Icon, das vage nach einem Roboter aussieht, oder eine Fußzeile, die den Begriff „Digitaler Assistent" enthält, erfüllt das möglicherweise nicht – zumindest dann nicht, wenn der Begriff auch für menschliche Assistenten verwendet werden könnte. Dagegen sind Formulierungen wie „Ich bin ein KI-Assistent" oder die Widget-Beschriftung „KI-Chat" eindeutig. Die Bezeichnung „Assistent" allein ohne den Zusatz KI oder Künstliche Intelligenz liegt in einer Grauzone, die die Aufsichtsbehörden noch klären müssen.

Verständlich bedeutet: für den tatsächlichen Gesprächspartner zugänglich. Für Websites mit deutschen Kunden heißt das: Deutsch, einfache Sprache. Technische Begriffe wie „Large Language Model" oder „generativer KI-Dienst" sind nicht erforderlich und für viele Nutzer weniger verständlich als „KI-Assistent" oder „automatisierter Chatbot". Kurz, eindeutig, ohne Fachjargon – das ist die Zielmarke.

Bei der ersten Interaktion bedeutet: bevor ein inhaltlicher Austausch stattfindet. Wenn die Begrüßungsnachricht des Chatbots lautet „Wie kann ich Ihnen helfen?" ohne vorangehenden Hinweis, ist die erste Interaktion bereits ohne Hinweis abgelaufen. Die Kennzeichnung muss im ersten sichtbaren Element des Austauschs erkennbar sein – entweder in der Eröffnungsnachricht selbst oder als permanentes, offensichtliches Element der Chat-Oberfläche, das auch dann sichtbar bleibt, wenn der Nutzer noch nichts geschrieben hat. Wer einen Chat-Widget-Anbieter nutzt, sollte prüfen, ob es eine Option gibt, die Widget-Kopfzeile permanent mit „KI-Assistent" zu beschriften – das ist die technisch eleganteste Lösung.

Was eindeutig nicht ausreicht: ein generischer Datenschutzhinweis zu KI-Tools auf der Datenschutzseite; eine Fußnote im Impressum; ein Tooltip, der nur beim Drüberfahren mit der Maus erscheint; eine Checkbox bei der Erstanmeldung, die automatisch als gelesen gilt; ein Banner, das nur beim ersten Website-Besuch insgesamt erscheint und nicht direkt beim Chat-Start. All diese Varianten erfüllen das Kriterium „bei der ersten Interaktion erkennbar" nicht zuverlässig. Stand August 2026 bieten die meisten Chatbot-Plattformen – Intercom, Freshdesk, Tidio, HubSpot Chat, Crisp und ähnliche – die Möglichkeit, die Begrüßungsnachricht individuell zu konfigurieren. Wer einen eigenen Chatbot betreibt, der auf einem Sprachmodell basiert, hat dieselbe Möglichkeit über die Systemprompt-Konfiguration.

Bußgelder, Haftung und Digital Omnibus: Was KMU wirklich riskieren

Art. 50 sieht bei Verstößen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Diese Zahlen klingen für ein KMU mit zwei Millionen Euro Jahresumsatz bedrohlich, sind in ihrer Praxisrelevanz jedoch differenzierter zu betrachten. Erstens hat der Digital Omnibus – das aktuelle EU-Vereinfachungspaket – zwar keine Fristverschiebung für Art. 50 gebracht, aber eine Absenkung der Sanktionshöhe für kleinere Unternehmen: KMU erhalten einen Rabatt von 50 Prozent auf die Höchststrafe, Kleinstunternehmen von 75 Prozent. Für ein Unternehmen mit zwei Millionen Euro Umsatz bedeutet das maximal 3 Prozent von 2 Millionen Euro geteilt durch zwei – also rechnerisch rund 30.000 Euro. Das ist kein Kleingeld, aber anders zu bewerten als die oft zitierten 15-Millionen-Zahlen aus Pressemitteilungen.

Zweitens gilt für die Durchsetzung: Die zuständigen Marktüberwachungsbehörden in Deutschland sind ab August 2026 befugt, tätig zu werden. Die genaue Zuständigkeitsverteilung – voraussichtlich die Bundesnetzagentur in Koordination mit Landesbehörden – wird noch abgestimmt. In der Anlaufphase dürfte der Fokus auf systematischen und bewussten Verstößen liegen, nicht auf KMU, die einen Begrüßungssatz übersehen haben. Der normale Weg bei einem Erstverstoß ist eine Aufforderung zur Nachbesserung, nicht der unmittelbare Bußgeldbescheid. Wer nach einer Aufforderung weiterhin nichts unternimmt, riskiert eine andere Behandlung.

Drittens ist das Abmahnrisiko durch Wettbewerber zu betrachten. Art. 50 ist eine öffentlich-rechtliche Norm und wird primär durch Behörden durchgesetzt, nicht durch private Abmahnung. Ob und in welchem Umfang Wettbewerber Verstöße nutzen werden, um Abmahnungen auszusprechen, wird die Rechtsprechung klären. Das UWG und das allgemeine Lauterkeitsrecht könnten eine Brücke bieten, wenn ein Wettbewerber argumentiert, dass das Verschweigen des KI-Charakters eine Irreführung im Geschäftsverkehr darstellt. Das Risiko ist real, wenn auch derzeit schwer quantifizierbar.

Die Risikoabwägung ist am Ende eindeutig: Der Aufwand für die Umsetzung – in fast allen Fällen eine Konfigurationsanpassung von unter einer Stunde – steht in keinem sinnvollen Verhältnis zum Risiko, das durch Nichthandeln entsteht. Wer seinen Chatbot bereits gut konfiguriert und einen sauberen Anwendungsfall hat, braucht nur noch einen Satz in der Begrüßungsnachricht zu ändern. Wer noch gar keinen Chatbot hat, kann beim Aufbau von Anfang an compliant bauen – was dann keinerlei Zusatzaufwand bedeutet. Ein ausführlicherer Blick auf Recht und DSGVO beim internen Einsatz von KI-Tools findet sich im Artikel ChatGPT und Copilot im Unternehmen: DSGVO, EU AI Act und Richtlinien 2026.

Wie sich die Transparenzpflicht in der Praxis umsetzen lässt

Der kritische erste Schritt ist die Bestandsaufnahme: Welche KI-Systeme sind im eigenen Unternehmen im Einsatz, die mit Kunden oder Interessenten interagieren? Typische Kandidaten sind Website-Chatbots, Telefonassistenten, automatisierte E-Mail-Antwortsysteme mit KI-Inhaltsgenerierung und – je nach Inhalt – KI-erzeugte Texte auf öffentlich zugänglichen Seiten. Für viele KMU ergibt diese Bestandsaufnahme eine überschaubare Liste.

Für jeden Chatbot und Voicebot gilt dann eine praktische Prüfroutine: Enthält die Eröffnungsnachricht oder Widget-Beschriftung einen klaren Hinweis auf den KI-Charakter – sichtbar, bevor der erste inhaltliche Austausch beginnt? Wenn nein, muss das angepasst werden. Für Voicebots: Nennt der erste Satz der Ansage ausdrücklich den KI-Charakter? Wenn nein, muss das geändert werden. Für KI-generierte Website-Texte: Handelt es sich um Inhalte zu Themen des öffentlichen Interesses, und wurde keine redaktionelle Überprüfung mit Verantwortungsübernahme durchgeführt? Wenn beides zutrifft, muss gekennzeichnet werden. In den meisten KMU-Kontexten trifft die dritte Frage nicht zu.

Ein kurzes Protokoll der vorgenommenen Anpassungen – wann, was, durch wen – ist sinnvoll. Falls eine Behörde je Auskunft verlangt, ist das die belastbare Grundlage. Wer heute noch keinen Chatbot betreibt, aber einen aufbauen möchte, hat die einfachste Ausgangssituation: Die Transparenzpflicht wird von Anfang an als Bestandteil des Designs eingeplant, nicht als nachträgliche Korrektur.

Für Unternehmen, die einen eigenen Chatbot oder Voicebot aufbauen oder bestehende Systeme DSGVO- und AI-Act-konform modernisieren möchten, empfiehlt sich eine strukturierte Herangehensweise, die regulatorische Anforderungen von Anfang an mitdenkt. Wie ein konformer, eigener Chatbot für den Unternehmenseinsatz aufgebaut ist, was er in der Praxis leistet und was er kostet, erklärt die Leistungsseite Eigener Chatbot.

Häufige Fragen (FAQ)