Das EU-KI-Gesetz und generative KI: Was Nutzer von ChatGPT und Chatbots wissen müssen

Nahezu jedes europäische KMU nutzt inzwischen generative KI: ChatGPT zum Verfassen von Texten, Copilot in der Office-Suite, einen Chatbot auf der Website. Die gute Nachricht ist, dass die Nutzung des KI-Tools eines anderen Sie nicht zu dessen Anbieter macht, und das EU-KI-Gesetz stuft das meiste davon als risikoarm ein. Hier erfahren Sie in klaren Worten, was Sie tatsächlich tun müssen.

Neu beim Thema? Beginnen Sie mit unserem vollständigen Leitfaden zum EU AI Act.

Sie sind (in der Regel) Betreiber, nicht Anbieter

Das Gesetz teilt die Pflichten nach Rolle auf. Ein Anbieter entwickelt ein KI-System und bringt es unter seinem eigenen Namen auf den Markt, etwa OpenAI, Microsoft, Anthropic oder Google (Artikel 3(3)). Ein Betreiber nutzt ein KI-System schlicht im Rahmen seiner Tätigkeit (Artikel 3(4)). Wenn Sie ChatGPT, Copilot oder einen Chatbot eines Drittanbieters nutzen, sind Sie Betreiber, und die aufwändigen Gestaltungs- und Kennzeichnungspflichten liegen vorgelagert beim Anbieter, nicht bei Ihnen.

Die Transparenzvorschriften (Artikel 50)

Artikel 50 ist eine leichte Transparenzebene, die für bestimmte KI-Systeme unabhängig von ihrer Risikostufe gilt. Er legt vier Pflichten fest und achtet sorgfältig darauf, wem welche obliegt:

• Chatbot-Offenlegung (50(1)), eine Anbieterpflicht. KI-Systeme, die mit Menschen kommunizieren, müssen ihnen mitteilen, dass sie es mit einer KI zu tun haben, es sei denn, dies ist offensichtlich. Der Anbieter gestaltet dies bereits ein, sodass ein Betreiber, der ein konformes Tool nutzt, dies erbt.
• Kennzeichnung KI-generierter Inhalte (50(2)), eine Anbieterpflicht. Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgabe so kennzeichnen, dass sie maschinenlesbar und als künstlich erkennbar ist. Auch dies baut der Anbieter ein.
• Emotionserkennung und biometrische Kategorisierung (50(3)), eine Betreiberpflicht. Wenn Sie ein System betreiben, das Emotionen ausliest oder Menschen biometrisch kategorisiert, müssen Sie die betroffenen Personen darüber informieren und die DSGVO einhalten.
• Deepfakes und Texte von öffentlichem Interesse (50(4)), eine Betreiberpflicht. Wenn Sie ein Deepfake-Bild, -Audio oder -Video oder KI-generierten Text zu einer Angelegenheit von öffentlichem Interesse veröffentlichen, müssen Sie offenlegen, dass es KI-erzeugt ist, mit Ausnahmen für Strafverfolgung, eindeutig künstlerische oder satirische Werke sowie Texte, die einer echten menschlichen redaktionellen Prüfung unterzogen wurden.

In jedem Fall muss der Hinweis klar sein und spätestens zum Zeitpunkt der ersten Interaktion oder Exposition erfolgen (Artikel 50(5)).

Was schuldet ein typisches KMU also tatsächlich?

Wenn Sie generative KI intern einsetzen oder einen Kunden-Chatbot betreiben, der auf einem konformen Tool aufbaut, ist Ihre eigene Exposition nach Artikel 50 gering und beschränkt sich im Wesentlichen darauf, sicherzustellen, dass die Offenlegungen zu Emotionen, Biometrie oder Deepfakes vorhanden sind, falls Sie solche Dinge tun. Die eine Pflicht, die Sie heute bereits bindet, ist die KI-Kompetenz: Seit dem 2. Februar 2025 verlangt Artikel 4 sowohl von Anbietern als auch von Betreibern, Maßnahmen zu ergreifen, die das KI-Verständnis ihrer Mitarbeitenden fördern. Siehe unseren Leitfaden zur KI-Kompetenz.

Zwei Wege, auf denen die gewöhnliche Nutzung zu einer schwerwiegenderen Pflicht wird

Die Position „Ich nutze es doch nur" ist kein dauerhafter sicherer Hafen:

1. Sie benennen ein System um oder verändern es wesentlich. Nach Artikel 25 wird ein Betreiber, der ein hochriskantes System unter seinem eigenen Namen versieht, dessen Zweckbestimmung ändert oder es wesentlich verändert, zum Anbieter und erbt die Pflichten des Anbieters.
2. Ihre Nutzung fällt unter einen Hochrisiko-Anwendungsfall. Artikel 50 macht ein System nicht von sich aus hochriskant. Aber wenn Sie generative KI für etwas einsetzen, das in Anhang III aufgeführt ist, etwa Personalbeschaffung, Personalmanagement, Kredit- oder Versicherungs-Scoring, Bildung oder wesentliche Dienste, ist es nach Artikel 6 hochriskant, mit weitaus schwerwiegenderen Pflichten. Die Einstufung ist einzelfallabhängig: Prüfen Sie Ihren tatsächlichen Anwendungsfall.

Sie bauen auf einem Modell auf? Möglicherweise sind Sie GPAI-Anbieter

Wenn Sie über die bloße Nutzung eines Modells hinausgehen und beginnen, es feinabzustimmen oder wesentlich zu verändern, können Sie zum Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (GPAI) werden, wobei Ihre Pflichten dann auf Ihre Änderung beschränkt sind (Erwägungsgrund 109). Der Leitfaden der Kommission vom Juli 2025 behandelt Sie nur dann als eigenständigen GPAI-Anbieter, wenn die Rechenleistung für Ihre Änderungen etwa ein Drittel der Trainings-Rechenleistung des ursprünglichen Modells übersteigt, sodass eine leichte Feinabstimmung Sie zum Betreiber macht. Siehe unseren Leitfaden zu den GPAI-Pflichten dazu, was sich ändert, wenn Sie diese Grenze überschreiten.

Fristen

Die KI-Kompetenz gilt bereits jetzt (2. Februar 2025). Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026. Die maschinenlesbare Kennzeichnung synthetischer Inhalte für bereits auf dem Markt befindliche Systeme wurde durch die Digital-Omnibus-Verordnung (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) auf den 2. Dezember 2026 verschoben. Unser Fristen-Leitfaden enthält die vollständige Tabelle.

Die Übergangsfrist bis Dezember 2026 — und wem sie nicht hilft

Der viermonatige Aufschub bei der maschinenlesbaren Kennzeichnung ist enger gefasst, als er klingt, und diese Seite sagt Ihnen von Anfang an, dass Sie wahrscheinlich Betreiber sind — lesen Sie diesen Abschnitt also zweimal. Die Übergangsfrist ergibt sich aus einem neuen Artikel 111(4), eingefügt durch den Digital Omnibus, und sein Wortlaut entscheidet über drei Dinge:

„Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und die vor dem 2. August 2026 in Verkehr gebracht wurden, ergreifen die erforderlichen Schritte, um Artikel 50(2) bis zum 2. Dezember 2026 zu erfüllen.“

• Sie bindet Anbieter, nicht Betreiber. Wenn Sie das generative System eines anderen nutzen, ist Artikel 111(4) nicht Ihre Übergangsfrist. Für Sie gelten die Pflichten aus Artikel 50, die ohnehin bereits greifen.
• Sie erfasst nur Artikel 50(2). Die Offenlegung der Interaktion nach Artikel 50(1), der Hinweis auf Emotionserkennung und biometrische Kategorisierung nach Artikel 50(3) und die Offenlegung von Deepfakes durch Betreiber nach Artikel 50(4) greifen seit dem 2. August 2026 in vollem Umfang, ganz ohne Schonfrist.
• Auslöser ist das System, nicht der Inhalt. Nichts hängt davon ab, wann eine bestimmte Ausgabe erzeugt wurde. Maßgeblich ist, ob das System vor dem 2. August 2026 auf dem Markt war. Eine Funktion, die Sie im September 2026 eingeführt haben, hat keine Übergangsfrist — Artikel 50(2) gilt für sie vom ersten Tag an.

Erwägungsgrund 38 der Änderungsverordnung sagt dasselbe in schlichten Worten: „eine Übergangsfrist von vier Monaten für Anbieter, die ihre Systeme bereits vor dem 2. August 2026 in Verkehr gebracht haben“.

Prüfen Sie das Gesetz selbst

Jede Aussage auf dieser Seite steht in einem dieser beiden Texte. Artikel 50 und Artikel 111 lohnen die vollständige Lektüre, wenn Sie auf generativen Modellen aufbauen — sie sind kurz.

• Verordnung (EU) 2024/1689 — konsolidierter Text in geänderter Fassung, Stand 27. Juli 2026
• Verordnung (EU) 2026/1744 — der Digital Omnibus on AI, die Änderungsverordnung

Prüfen Sie, wo Sie stehen

Sie sind sich nicht sicher, ob Ihre Nutzung generativer KI risikoarm ist oder unter einen Hochrisiko-Anwendungsfall fällt? Das kostenlose EU AI Act Snapshot klärt das in zwei Minuten, ohne Anmeldung, und unsere 9-stufige Compliance-Checkliste macht aus dem Ergebnis einen Plan. Die Tarife beginnen bei EUR 0.