KI Kennzeichnung Checkliste 2026: In 7 Schritten AI-Act-konform

Stand: 21. Juli 2026

Am 2. August 2026 (EU-Kommission, Umsetzungs-Timeline) treten die Transparenz- und Kennzeichnungspflichten aus Art. 50 KI-VO (EU AI Act) in Kraft. Wer KI-generierte Bilder, Videos, Audios oder Texte veröffentlicht oder einen Chatbot betreibt, muss diese ab dann offenlegen. Diese KI Kennzeichnung Checkliste führt dich in sieben klaren, abhakbaren Schritten zur Konformität, von der Rollenklärung über die sichtbare und maschinenlesbare Kennzeichnung bis zum revisionssicheren Nachweis. Jede Zeile ist konkret handlungsleitend, mit geprüften Fristen und einem Tool, das die vier technischen Schritte in Minuten für dich erledigt.

Das Wichtigste in Kürze

• Stichtag ist der 2. August 2026 (nicht der 8.). Ab diesem Datum gilt Art. 50 KI-VO EU-weit, auch in Deutschland, ohne Übergangsfrist für neue Inhalte.
• Zwei Rollen, zwei Pflichten: Provider (Abs. 2) markieren Outputs maschinenlesbar, Deployer (Abs. 4) legen Deepfakes und bestimmte KI-Texte sichtbar offen. E-Commerce, D2C und Marketing sind fast immer Deployer.
• Sichtbar UND maschinenlesbar: Ein Label am Inhalt genügt für Deployer; wer auf Nummer sicher geht, bettet zusätzlich Metadaten (IPTC/XMP, C2PA) ein.
• Eine Frist verschiebt sich: Der vorläufige Digital Omnibus schiebt die maschinenlesbare Markierung (Abs. 2) für Alt-Systeme auf den 2. Dezember 2026. Die sichtbare Deployer-Pflicht (Abs. 4) bleibt beim 2. August 2026.
• Bußgeld: bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
• Nachweis nicht vergessen: Ein Register mit Hash und Zeitstempel schützt dich im Streit- und Abmahnfall.

Inhalt

1. Checkliste auf einen Blick (Übersichtstabelle)
2. Schritt 1: Rolle klären
3. Schritt 2: KI-Inhalte inventarisieren
4. Schritt 3: Sichtbar kennzeichnen
5. Schritt 4: Maschinenlesbar kennzeichnen
6. Schritt 5: Prüfen
7. Schritt 6: Nachweis führen
8. Schritt 7: Prozess verankern
9. Alles automatisch erledigen
10. FAQ

Diese Seite gehört zu unserem Überblick KI-Kennzeichnungspflicht nach dem EU AI Act. Wenn du zuerst die Sanktionen und Stichtage im Detail verstehen möchtest, liest du AI-Act-Fristen und Bußgelder. Unklare Begriffe schlägst du im KI-Kennzeichnung Glossar nach.

Die KI Kennzeichnung Checkliste auf einen Blick

Drucke diese Übersicht aus oder hefte sie neben den Monitor, sie ist deine Kurz-Vorlage für den gesamten Prozess.

Download-Idee: Diese Tabelle gibt es als kostenlose PDF-Checkliste zum Abhaken, inklusive Ankreuzfelder und Fristen-Spalte. Du erhältst sie direkt im Tool auf ki-kennzeichnen.de, zusammen mit einer editierbaren KI Kennzeichnung Vorlage für deine interne Richtlinie.

Im Folgenden jeder Schritt im Detail, mit Beispielen, Grenzfällen und einem Abhak-Feld.

Schritt 1: Deine Rolle klären, Provider oder Deployer?

Art. 50 KI-VO trägt den Titel "Transparency Obligations for Providers and Deployers". Bevor du irgendetwas kennzeichnest, entscheidet deine Rolle, welcher Absatz für dich gilt:

• Provider (Anbieter, Abs. 2): Du entwickelst oder trainierst ein KI-System, das synthetische Bild-, Audio-, Video- oder Text-Outputs erzeugt und bringst es auf den Markt. Deine Pflicht: Outputs so markieren, dass sie maschinenlesbar als künstlich erzeugt erkennbar sind, „wirksam, interoperabel, robust und zuverlässig, soweit technisch machbar".
• Deployer (Betreiber, Abs. 4): Du nutzt ein fremdes KI-System (z. B. ChatGPT, Midjourney, Sora) für eigene, veröffentlichte Inhalte. Deine Pflicht: Deepfakes (realistische, aber künstliche Bild-, Audio- oder Videoinhalte) sichtbar offenlegen sowie KI-Texte zu Themen von öffentlichem Interesse.

Beispiel zur Abgrenzung: Ein Online-Shop, der mit Midjourney Produktvisuals erstellt, ist Deployer. Das Startup, das die Bildgenerierungs-Engine hinter Midjourney baut, ist Provider. Nutzt du ein Tool und stellst du dessen Output anderen als eigenes KI-Feature bereit, können beide Rollen zutreffen.

Für die meisten Unternehmen in E-Commerce, Marketing und Kommunikation gilt: Du bist in der Regel Deployer (Abs. 4). Du generierst keine Modelle, sondern nutzt fremde Tools. Welche Rolle konkret auf deinen Fall zutrifft und welche Pflichten daraus folgen, klären wir ausführlich unter Provider oder Deployer, Pflichten nach Art. 50.

Abhaken: ☐ Rolle dokumentiert (Provider / Deployer / beides), inklusive Begründung in einem Satz.

Schritt 2: Alle KI-Inhalte inventarisieren

Du kannst nur kennzeichnen, was du kennst. Erstelle eine vollständige Bestandsaufnahme aller Inhalte, die ganz oder teilweise mit KI erzeugt wurden. Prüf systematisch diese Kanäle:

• KI-generierte Produkt- und Werbebilder (Shop, Landingpages, Amazon/eBay-Listings, Social Ads)
• KI-Videos und animierte Clips (Reels, YouTube, Produktanimationen)
• KI-Texte (Blog, Produktbeschreibungen, Ratgeber, Chatbot-Antworten)
• Deepfakes, realistisch wirkende, aber künstliche Personen, Stimmen oder Szenen (z. B. ein KI-Testimonial)
• generative Bildbearbeitungen (Background-Replace, Outpainting, hinzugenerierte Objekte, nicht reine Retusche)
• KI-Audio (synthetische Voiceovers, Musik)

Notiere je Asset vier Angaben: Speicherort, Erstellungsdatum, verwendetes Tool und ob es vor oder nach dem 2.8.2026 in Verkehr gebracht wurde. Die letzte Angabe entscheidet über die Frist in Schritt 4.

Praxisnahe Sonderfälle klären wir separat für Produktbilder auf Amazon & eBay und für KI-Kennzeichnung im E-Commerce & Marketing.

Abhaken: ☐ Inventarliste aller KI-Assets vollständig und mit Datum versehen.

Schritt 3: Sichtbar kennzeichnen

Die sichtbare Kennzeichnung muss am Inhalt selbst erfolgen, nicht versteckt im Impressum oder Footer. So setzt du sie pro Format um:

• Bilder: sichtbares Label oder Icon, z. B. der Hinweis „KI-generiert". Die EU-Kommission stellt dafür ein offizielles, optionales Icon-Set bereit (Übersicht der EU-Kommission), mit den Varianten basic, fully AI-generated und partially AI-modified, jeweils als SVG und PNG. Platziere das Icon in einer Ecke oder in der Bildunterschrift. Details unter EU-Icons für KI-Inhalte und praxisnah unter KI-Bilder kennzeichnen.
• Videos: Hinweis an gut sichtbarer Stelle, idealerweise dauerhaft eingeblendet oder direkt zu Beginn, siehe KI-Video kennzeichnen.
• Texte zu Themen öffentlichen Interesses: klarer Hinweis auf die KI-Erzeugung (z. B. „Dieser Text wurde mit KI erstellt"). Für künstlerische, fiktionale oder satirische Formate gilt ein leichterer Standard, die Offenlegung darf das Werk nicht stören. Mehr dazu unter KI-Texte aus ChatGPT kennzeichnen.
• Chatbots: Nutzer müssen zu Beginn der Interaktion erkennen, dass sie mit einer KI sprechen, ein einleitender Satz reicht.
• Deepfakes: immer sichtbar als künstlich offenlegen, unabhängig vom Kanal. Tiefer im Thema: Deepfake-Kennzeichnung.

Grenzfall Social Ads: Das Plattform-Label von Instagram, Meta oder TikTok reicht rechtlich nicht automatisch aus, die Plattform-AGB ersetzen nicht die gesetzliche Pflicht aus Art. 50. Kennzeichne eigenständig. Mehr dazu unter KI in Werbung auf Meta, Instagram & Google Ads.

Zulässig vs. unzureichend: Ein eindeutiger Hinweis wie „KI-generiert" oder „Mit KI erstellt" genügt. Vage Begriffe wie „Symbolbild", „Digital Art" oder „bearbeitet" genügen nicht.

Abhaken: ☐ Sichtbares Label an jedem betroffenen Asset, für Menschen erkennbar.

Schritt 4: Maschinenlesbar kennzeichnen

Als Provider ist die maschinenlesbare KI-Kennzeichnung Pflicht; als Deployer ist sie eine dringend empfohlene Best Practice, weil Plattformen und Suchmaschinen zunehmend auf diese Signale zurückgreifen. Die Markierung wird direkt in die Datei eingebettet und muss „wirksam, interoperabel, robust und zuverlässig" sein, soweit technisch machbar. In der Praxis heißt das:

• IPTC-/XMP-Metadaten mit dem Feld „Digital Source Type" (z. B. Wert trainedAlgorithmicMedia für rein KI-generierte Inhalte)
• C2PA / Content Credentials als kryptografisch signierter Herkunftsnachweis, der auch Bearbeitungsschritte protokolliert
• optional ein unsichtbares Wasserzeichen, das auch nach Re-Encoding bestehen bleibt

Wie diese drei Standards zusammenspielen und sich ergänzen, erklärt C2PA, IPTC & Wasserzeichen.

Wichtige Frist, der Digital Omnibus: Nach dem vorläufigen Digital Omnibus (Stand Mai 2026, Gibson Dunn) ist die maschinenlesbare Markierung (Abs. 2) für Systeme, die vor dem 2.8.2026 in Verkehr gebracht wurden, auf den 2. Dezember 2026 aufgeschoben. Der Kern-Stichtag 2. August 2026 bleibt fest, die sichtbare Deployer-Kennzeichnung (Abs. 4) und die Chatbot-Offenlegung sind nicht verschoben.

Abhaken: ☐ Metadaten / C2PA in jede Datei geschrieben.

Schritt 5: Prüfen, hält die Kennzeichnung dem Export stand?

Vertrauen ist gut, Verifikation ist Pflicht. Der häufigste Fehler: Die Metadaten sind eingebettet, werden aber beim Upload wieder entfernt. Kontrolliere stichprobenartig, ob:

• das sichtbare Label tatsächlich sichtbar und lesbar ist (auch auf Mobilgeräten),
• die Metadaten nach dem Export durch CMS, Bildkomprimierung oder Social-Plattform erhalten geblieben sind, viele Plattformen strippen IPTC/XMP beim Upload,
• die C2PA-Signatur mit einem Viewer validierbar ist.

Beispiel: Du kennzeichnest ein Bild korrekt mit IPTC-Metadaten, lädst es aber bei Instagram hoch, die Plattform entfernt die Metadaten. Ergebnis: Nur noch das sichtbare Label trägt die Kennzeichnung. Genau darum ist die sichtbare Ebene für Deployer die verlässlichere. Ein „Datei prüfen"-Check zeigt dir zuverlässig, was wirklich in der Datei steckt, vor und nach dem Upload.

Abhaken: ☐ Kennzeichnung technisch verifiziert (Stichprobe pro Kanal).

Schritt 6: Nachweis führen, das Kennzeichnungs-Register

Im Streitfall, etwa bei einer Abmahnung oder behördlichen Nachfrage, musst du belegen können, dass und wann du gekennzeichnet hast. Lege deshalb ein Kennzeichnungs-Register an, das je Asset dokumentiert:

• SHA-256-Hash der gekennzeichneten Datei (eindeutiger Fingerabdruck)
• Zeitstempel der Kennzeichnung
• verwendete Kennzeichnungsart (Label / Metadaten / C2PA)
• Export als CSV für die revisionssichere Ablage

Dieser Nachweis ist deine Absicherung im Beanstandungsfall. Welche Sanktionen im Ernstfall drohen, bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes, liest du unter AI-Act-Fristen und Bußgelder.

Abhaken: ☐ Nachweis-Register mit Hash & Zeitstempel angelegt.

Schritt 7: Prozess & Dokumentation verankern

Kennzeichnung ist keine Einmalaufgabe, sondern Teil jeder Content-Produktion. Damit sie dauerhaft mitläuft:

• definiere eine verantwortliche Rolle (wer prüft vor Veröffentlichung?),
• integriere die Kennzeichnung fest in deinen Content- und Freigabe-Workflow (z. B. als Pflicht-Schritt vor dem Go-live),
• halte eine interne Richtlinie als KI Kennzeichnung Vorlage schriftlich fest: welche Formulierung, welches Icon, welche Metadaten, wer gegenzeichnet.

Beispiel für eine Mini-Richtlinie: „Jedes KI-Bild erhält vor Veröffentlichung das EU-Icon fully AI-generated unten rechts, IPTC-Feld Digital Source Type = trainedAlgorithmicMedia sowie einen Eintrag im Register. Freigabe durch Marketing-Lead."

Abhaken: ☐ Kennzeichnung im Standard-Workflow dokumentiert und einer Rolle zugewiesen.

Vier Schritte automatisch erledigen

Die Schritte 3 bis 6 sind technisch, und genau die nehmen wir dir ab. Das kostenlose Web-Tool auf ki-kennzeichnen.de kombiniert alles in einem Flow:

• sichtbares EU-Label per Drag & Drop auf Bilder und Videos (offizielle Icon-Varianten),
• maschinenlesbare Einbettung (IPTC/XMP, optional C2PA + unsichtbares Wasserzeichen),
• „Datei prüfen" zur Verifikation, was wirklich in der Datei steckt,
• ein Nachweis-Register mit SHA-256, Zeitstempel und CSV-Export,
• Batch-Verarbeitung (bis zu 50 Dateien als ZIP), eigene Icon-Sets, Vorlagen und REST-API für die Automatisierung.

Damit hakst du vier der sieben Schritte in wenigen Minuten ab, inklusive dem Nachweis, den rein clientseitige Label-Tools nicht bieten. Jetzt kostenlos KI-Inhalte kennzeichnen →

Häufige Fragen (FAQ)

Muss ich überhaupt kennzeichnen?

Wenn du KI-generierte Bilder, Videos, Audios oder Deepfakes veröffentlichst oder einen Chatbot betreibst, in aller Regel ja. Reine, nicht veröffentlichte interne Nutzung ist nicht betroffen. Nutz im Zweifel den Selbst-Check im Tool.

Ab wann gilt die KI-Kennzeichnungspflicht in Deutschland?

Die Pflichten aus Art. 50 KI-VO gelten EU-weit, und damit auch in Deutschland, ab dem 2. August 2026 (nicht 8. August). Die maschinenlesbare Markierung für Alt-Systeme wurde vorläufig auf den 2. Dezember 2026 aufgeschoben.

Wer muss kennzeichnen, ich oder das KI-Tool?

Beide, aber unterschiedlich: Der Provider (Tool-Hersteller) markiert Outputs maschinenlesbar (Abs. 2). Der Deployer (du als Nutzer) legt Deepfakes und bestimmte Texte sichtbar offen (Abs. 4). Als Unternehmen im Marketing bist du fast immer Deployer.

Reicht ein Hinweis im Impressum oder Footer aus?

Nein. Die Kennzeichnung muss am Inhalt selbst erfolgen, am Bild, im Video oder direkt im Chatbot. Ein pauschaler Hinweis im Impressum genügt nicht.

Welche Formulierung ist zulässig?

Ein eindeutiger Hinweis wie „KI-generiert" oder „Mit KI erstellt". Vage Begriffe wie „Symbolbild", „Digital Art" oder „bearbeitet" reichen nicht aus.

Muss ich mit KI retuschierte Bilder kennzeichnen?

Reine Retusche (Farbkorrektur, kleine Ausbesserungen) löst in der Regel keine Pflicht aus. Sobald der Inhalt aber generativ erzeugt oder wesentlich verändert wird (hinzugefügte Objekte, ausgetauschter Hintergrund, Deepfake), greift die Kennzeichnungspflicht.

Reicht das KI-Label von Instagram oder TikTok für Art. 50 aus?

Nicht zwangsläufig. Plattform-Labels beruhen auf den AGB der Plattform und ersetzen die gesetzliche Pflicht aus der KI-VO nicht automatisch. Kennzeichne eigenständig, und prüf, ob deine Metadaten den Upload überstehen.

Sind die EU-Icons Pflicht?

Nein. Das offizielle EU-Icon-Set ist optional, aber empfohlen, weil es Wiedererkennbarkeit und Interoperabilität schafft. Du darfst auch einen klaren Text-Hinweis verwenden.

Was droht bei Verstoß gegen die Kennzeichnungspflicht?

Bußgelder bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Hinzu kommen mögliche Abmahnungen durch Wettbewerber. Details unter Strafe & Abmahnung.

Wie weise ich im Streitfall nach, dass ich korrekt gekennzeichnet habe?

Über ein Kennzeichnungs-Register mit SHA-256-Hash und Zeitstempel je Datei (Schritt 6). Das Tool auf ki-kennzeichnen.de erzeugt dieses Register automatisch und exportiert es als CSV.

Quellen

• EU-Kommission, Timeline zur Umsetzung des EU AI Act: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
• EU-Kommission, Leitlinien zu den Transparenzpflichten (Art. 50): https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
• EU-Kommission, EU-Icons zur Kennzeichnung KI-generierter Inhalte: https://digital-strategy.ec.europa.eu/en/policies/eu-icons-labelling-ai-generated-content
• Artificial Intelligence Act, Art. 50 im Wortlaut: https://artificialintelligenceact.eu/article/50/
• Sidley, EU AI Act Transparency Obligations (2. August 2026): https://datamatters.sidley.com/2026/06/24/eu-ai-act-transparency-obligations-preparing-for-compliance-by-2-august-2026/
• Gibson Dunn, EU AI Act Omnibus Agreement: https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

Dieser Beitrag ersetzt keine Rechtsberatung. Er gibt den Stand vom 21. Juli 2026 wieder; der Digital Omnibus ist zu diesem Zeitpunkt vorläufig. Für deinen konkreten Fall konsultiere bitte rechtlichen Rat.