AI Act Anbieter Betreiber Pflichten: Wer muss unter Art. 50 was kennzeichnen?

Stand: 21. Juli 2026

Die AI Act Anbieter Betreiber Pflichten sind der am häufigsten missverstandene Teil der KI-Kennzeichnung. Der Grund: Artikel 50 der KI-Verordnung verteilt die Transparenzpflichten auf zwei völlig unterschiedliche Rollen. Wer OpenAI, Midjourney oder ein anderes KI-System nur nutzt, hat andere Pflichten als das Unternehmen, das das System entwickelt und bereitstellt. Verwechseln Sie die Rollen, kennzeichnen Sie entweder zu viel, zu wenig, oder falsch. Dieser Beitrag ordnet Sie sauber ein: Provider (Anbieter) oder Deployer (Betreiber), Absatz 2 oder Absatz 4, maschinenlesbar oder sichtbar. Die Pflichten aus Art. 50 gelten ab dem 2. August 2026, höchste Zeit, die eigene Rolle zu klären.

Das Wichtigste in Kürze

• Zwei Rollen, zwei Pflichten: Der Anbieter (Provider) markiert KI-Output maschinenlesbar (Art. 50 Abs. 2), der Betreiber (Deployer) legt ihn sichtbar offen (Art. 50 Abs. 4).
• Wer nur ChatGPT, Midjourney oder Gemini nutzt, ist Betreiber, nicht Anbieter. Damit gilt für Sie Absatz 4, nicht Absatz 2.
• D2C, E-Commerce, Agenturen und Marketing sind fast immer Deployer und schulden die sichtbare Kennzeichnung von Deepfakes und bestimmten Texten.
• Stichtag ist der 2. August 2026. Nur die maschinenlesbare Markierung (Abs. 2) für vor diesem Datum in Verkehr gebrachte Systeme ist per Digital Omnibus vorläufig auf den 2. Dezember 2026 aufgeschoben. Die sichtbare Deployer-Pflicht (Abs. 4) ist nicht verschoben.
• Bußgelder: bis 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes.
• Die offiziellen EU-Icons sind optional, die Kennzeichnungspflicht selbst nicht.

Inhaltsverzeichnis

1. Zwei Rollen, zwei Pflichten (Art. 50 einfach erklärt)
2. Provider-Pflicht: maschinenlesbar markieren (Abs. 2)
3. Deployer-Pflicht: sichtbar offenlegen (Abs. 4)
4. Vergleichstabelle: Provider oder Deployer
5. Bin ich Betreiber, wenn ich ChatGPT nutze?
6. Rollen-Check in 4 Schritten
7. Grauzonen, die Sie kennen sollten
8. Praxisszenarien aus Marketing und E-Commerce
9. Das offizielle EU-Icon-Set
10. Ihr nächster Schritt
11. FAQ

AI Act Anbieter Betreiber Pflichten: zwei Rollen, zwei Pflichten (Art. 50 KI-VO einfach erklärt)

Der offizielle Titel von Artikel 50 lautet „Transparency Obligations for Providers and Deployers of Certain AI Systems". Schon die Überschrift trennt die Adressaten:

• Provider (Anbieter) ist, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Beispiele: OpenAI (ChatGPT, DALL·E), Midjourney, Google (Gemini, Imagen), Black Forest Labs (Flux), Anthropic, Runway.
• Deployer (Betreiber) ist, wer ein solches KI-System im Rahmen seiner beruflichen Tätigkeit einsetzt. Beispiele: der Online-Shop, der mit Midjourney Produktbilder erzeugt; die Agentur, die mit ChatGPT Werbetexte schreibt; der Makler, der Immobilien virtuell möbliert.

Die entscheidende Konsequenz: An denselben Inhalt können unterschiedliche Pflichten geknüpft sein. Der Anbieter sorgt dafür, dass der Output technisch als KI-erzeugt markiert ist. Der Betreiber sorgt dafür, dass die Nutzer den KI-Charakter auch sehen. Beide Pflichten stehen nebeneinander, die eine ersetzt die andere nicht.

Ein Bild aus einem KI-Generator kann also bereits eine unsichtbare, maschinenlesbare Markierung tragen (Pflicht des Anbieters) und trotzdem von Ihnen zusätzlich einen sichtbaren Hinweis benötigen (Ihre Pflicht als Betreiber), sobald es als Deepfake gilt. Wer nur eine der beiden Ebenen bedient, ist im Zweifel nicht compliant.

Wie sich diese Rollentrennung in das Gesamtbild der Pflichten einfügt, zeigt unser Überblick zur KI-Kennzeichnungspflicht nach dem EU AI Act.

Provider-Pflicht: maschinenlesbar markieren (Art. 50 Abs. 2)

Absatz 2 richtet sich an die Anbieter generativer KI-Systeme. Sie müssen sicherstellen, dass die Outputs, synthetisch erzeugte Bilder, Audio, Video und Text, in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert markiert und als solche erkennbar sind.

Die Verordnung verlangt Lösungen, die „wirksam, interoperabel, robust und zuverlässig, soweit dies technisch machbar ist" sind. In der Praxis deckt das drei Technikfamilien ab:

• IPTC-Metadaten (DigitalSourceType) und XMP, standardisierte Felder in der Datei, die den KI-Ursprung deklarieren.
• C2PA / Content Credentials, kryptografisch signierte Herkunftsdaten, die manipulationssicher dokumentieren, wie ein Inhalt entstanden ist.
• Wasserzeichen, sichtbar oder unsichtbar in die Pixel bzw. das Audiosignal eingebettet (z. B. SynthID).

Diese Markierung ist unsichtbar für das menschliche Auge, aber auslesbar für Maschinen, Plattformen und Prüfwerkzeuge. Sie „reist" mit der Datei mit. Die technischen Hintergründe und Unterschiede dieser Verfahren erklären wir in C2PA, IPTC und Wasserzeichen.

Wichtig für Betreiber: Diese Pflicht liegt beim Anbieter des KI-Systems, nicht bei Ihnen. Sie müssen die maschinenlesbare Kennzeichnung nur bewahren, nicht selbst erzeugen. In der Praxis geht sie jedoch oft verloren: Screenshots, Re-Exports, Komprimierung durch soziale Netzwerke oder Bildbearbeitung strippen Metadaten. Deshalb lohnt es sich, die maschinenlesbaren Daten selbst zu ergänzen, auch wenn es keine gesetzliche Pflicht ist, etwa mit unserem Tool.

Übergangsregel beachten: Der Digital Omnibus (Stand Mai 2026, vorläufig) hat die maschinenlesbare Markierung nach Abs. 2 für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, auf den 2. Dezember 2026 verschoben. Der Kern-Stichtag 2. August 2026 bleibt fest. Die sichtbare Deployer-Kennzeichnung (Abs. 4) und die Chatbot-Offenlegung (Abs. 1) sind nicht verschoben. Maßgeblich ist die finale Fassung des Omnibus.

Deployer-Pflicht: sichtbar offenlegen (Art. 50 Abs. 4)

Absatz 4 ist der Absatz, der die meisten Unternehmen betrifft. Er richtet sich an die Betreiber und verlangt eine für Menschen sichtbare Offenlegung in zwei Fällen:

1. Deepfakes, KI-generierte oder -manipulierte Bild-, Audio- oder Videoinhalte, die realen Personen, Objekten, Orten oder Ereignissen ähneln und fälschlich als echt erscheinen könnten. Diese müssen als künstlich erzeugt offengelegt werden.
2. KI-Texte zu Themen von öffentlichem Interesse, wenn ein Text veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten öffentlichen Interesses zu informieren, ist der KI-Ursprung offenzulegen. Eine Ausnahme greift u. a., wenn der Inhalt einer menschlichen redaktionellen Kontrolle unterliegt und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Für Kunst, Satire, Fiktion und ähnliche Werke gilt ein erleichterter Standard: Die Offenlegung darf so erfolgen, dass sie das Erlebnis der Darbietung nicht beeinträchtigt, etwa im Abspann statt mitten im Bild.

Wie diese sichtbare Offenlegung konkret aussieht, hängt vom Medium ab: bei Bildern ein Label auf oder unter dem Motiv, bei Videos eine Einblendung, bei Texten ein Hinweis. Detaillierte Umsetzungen finden Sie in KI-Bilder kennzeichnen, KI-Videos kennzeichnen und ChatGPT-Texte kennzeichnen. Für die schwierige Abgrenzung, wann ein Bild überhaupt als Deepfake gilt, siehe Deepfake-Kennzeichnung.

Für die Praxis von D2C, E-Commerce und Marketing heißt das: Sie sind in aller Regel Deployer und schulden die sichtbare Kennzeichnung. Konkret zur Umsetzung im Shop lesen Sie KI-Kennzeichnung im E-Commerce und Marketing.

Vergleichstabelle: Provider oder Deployer im EU AI Act

Bin ich Betreiber, wenn ich ChatGPT nutze?

Die kurze Antwort: Sie sind Betreiber (Deployer). Wer ChatGPT, Midjourney oder Gemini nur bedient, entwickelt kein KI-System und bringt es nicht in Verkehr, er nutzt es. Damit greift Absatz 4, nicht Absatz 2. Die maschinenlesbare Markierung schuldet in diesem Fall OpenAI, Midjourney bzw. Google.

Es gibt eine wichtige Ausnahme: Wer ein KI-System wesentlich verändert, es umbenennt oder unter eigenem Namen als Produkt anbietet (etwa ein eigenes SaaS auf Basis eines fremden Modells oder eine per API in ein Kundenprodukt eingebettete Funktion, die Sie als eigene Marke vermarkten), kann selbst zum Provider werden, mit den entsprechenden Abs.-2-Pflichten. Diese Rollenverschiebung ist eine typische Grauzone (siehe unten).

Rollen-Check in 4 Schritten

Eine kurze Selbsteinordnung entlang der Verordnung:

1. Entwickeln oder integrieren Sie ein eigenes KI-Modell und bringen es unter eigenem Namen auf den Markt? Wenn ja, sind Sie (auch) Provider und schulden die maschinenlesbare Markierung nach Abs. 2. Wenn nein, weiter zu Schritt 2.
2. Nutzen Sie fremde KI-Tools beruflich, um Inhalte zu erstellen? Wenn ja, sind Sie Deployer. Weiter zu Schritt 3.
3. Erzeugen Ihre Inhalte Deepfakes (realistisch wirkende Personen/Orte/Ereignisse) oder Texte zu Themen öffentlichen Interesses? Wenn ja, gilt für diese Inhalte die sichtbare Offenlegungspflicht nach Abs. 4.
4. Betreiben Sie zusätzlich einen Chatbot? Dann greift die separate Offenlegung nach Abs. 1, der Hinweis zu Beginn der Interaktion.

Sind Sie unsicher, führt der Selbst-Check Sie durch dieselben Fragen und nennt die passenden Pflichten. Eine vollständige Aufgabenliste liefert die KI-Kennzeichnung-Checkliste.

Grauzonen, die Sie kennen sollten

1. Retusche vs. generative Erzeugung. Kleine Korrekturen (Helligkeit, Zuschnitt, Wegstempeln eines Staubkorns) machen ein Foto nicht zum KI-Inhalt. Erst wenn KI wesentliche Inhalte generiert oder manipuliert, greift die Kennzeichnung. Die Übergänge sind fließend, im Zweifel und bei fotorealistischen Ergebnissen kennzeichnen.

2. Plattform-Label ≠ Gesetzespflicht. Das automatische „Mit KI erstellt" von Instagram, TikTok oder Meta erfüllt die AGB der Plattform, aber nicht automatisch Art. 50. Es erscheint oft nur, wenn Metadaten erhalten geblieben sind, und liegt nicht in Ihrer Kontrolle. Verlassen Sie sich nicht darauf. Details in KI-Werbung auf Meta, Instagram & Ads.

3. Ist jedes KI-Bild ein Deepfake? Nein. Ein offensichtlich künstliches Fantasy-Motiv oder eine stilisierte Illustration ist kein Deepfake im Sinne der Verordnung. Deepfake meint Inhalte, die echt wirken könnten. Die Abgrenzung behandeln wir in Deepfake-Kennzeichnung.

4. Doppelrolle. Ein Anbieter kann für eigene veröffentlichte Inhalte gleichzeitig Betreiber sein, dann treffen ihn beide Absätze. Umgekehrt bleibt ein Betreiber, der nur ein Standardmodell nutzt, allein Adressat von Abs. 4.

5. Chatbots. Betreiben Sie einen Chatbot, gilt eine eigene Transparenzpflicht aus Art. 50 Abs. 1: Nutzer müssen zu Beginn der Interaktion erfahren, dass sie mit einer KI kommunizieren, es sei denn, das ist offensichtlich.

6. Marktplätze. Verkaufen Sie über Amazon oder eBay, gelten die Betreiberpflichten trotz Plattform-Regeln für Sie. Was dort konkret zu tun ist, zeigt KI-Produktbilder auf Amazon & eBay kennzeichnen.

Praxisszenarien aus Marketing und E-Commerce

Drei typische Fälle und ihre saubere Einordnung:

Szenario A, KI-Produktbild im Shop. Ein Onlineshop erzeugt mit Midjourney ein fotorealistisches Bild, das ein reales Produkt in einer nie stattgefundenen Szene zeigt. Rolle: Deployer. Midjourney schuldet die maschinenlesbare Markierung; der Shop schuldet die sichtbare Kennzeichnung, weil das Bild als realistisch (deepfake-nah) gilt. Empfehlung: sichtbares Label plus eigene IPTC-Metadaten als Nachweis.

Szenario B, KI-Werbetext für ein Produkt. Eine Agentur schreibt mit ChatGPT einen Werbetext, der vom Menschen redigiert und verantwortet wird. Rolle: Deployer. Da es sich um Produktwerbung und nicht um Information zu Angelegenheiten öffentlichen Interesses handelt und redaktionelle Kontrolle besteht, ist eine sichtbare Kennzeichnung des Textes regelmäßig nicht zwingend, gute Praxis kann sie dennoch nahelegen.

Szenario C, Eigenes KI-Tool mit White-Label-Modell. Ein SaaS bettet ein fremdes Modell ein, vermarktet die Bildgenerierung aber unter eigener Marke. Rolle: hier kann das SaaS selbst zum Provider werden und schuldet dann die maschinenlesbare Markierung nach Abs. 2, zusätzlich zu etwaigen Betreiberpflichten für eigene Veröffentlichungen.

Optional: das offizielle EU-Icon-Set

Zur sichtbaren Kennzeichnung stellt die EU-Kommission ein offizielles, optionales Icon-Set bereit (Varianten „basic", „fully AI-generated" und „partially AI-modified", jeweils in mehreren Ausführungen, als SVG und PNG). Die Nutzung dieser Icons ist freiwillig, die Kennzeichnungspflicht selbst besteht unabhängig davon. Sie geben Ihrem sichtbaren Hinweis aber ein einheitliches, wiedererkennbares Format. Wie Sie die Icons korrekt einsetzen, erklärt EU-Icons für KI-Inhalte; die Originaldateien finden Sie bei der EU-Kommission.

Was tun? Ihr nächster Schritt

Wenn Sie KI-Inhalte veröffentlichen und nicht Modellentwickler sind, sind Sie mit hoher Wahrscheinlichkeit Betreiber und schulden die sichtbare Kennzeichnung, idealerweise ergänzt um maschinenlesbare Metadaten, damit Ihr Nachweis lückenlos ist. Was bei Verstößen droht und wie Abmahnungen ablaufen, lesen Sie in KI-Kennzeichnung: Strafe & Abmahnung. Unklare Begriffe klärt das KI-Kennzeichnung-Glossar.

Genau die praktische Umsetzung übernimmt unser kostenloses Tool auf ki-kennzeichnen.de: sichtbares EU-Label per Drag & Drop auf Bild und Video, dazu maschinenlesbare IPTC/XMP-Metadaten (optional C2PA und unsichtbares Wasserzeichen), Batch-Verarbeitung von bis zu 50 Dateien als ZIP, eine REST-API für die Integration, und ein Kennzeichnungs-Register mit SHA-256-Prüfsumme und Zeitstempel als Nachweis inklusive CSV-Export. Unsicher, welche Rolle Sie trifft? Machen Sie den Selbst-Check.

Häufige Fragen (FAQ)

Wer muss KI-Inhalte kennzeichnen, Anbieter oder Betreiber? Beide, aber unterschiedlich. Anbieter markieren den Output maschinenlesbar (Art. 50 Abs. 2), Betreiber legen Deepfakes und bestimmte Texte sichtbar offen (Abs. 4). Für Unternehmen, die KI nur nutzen, ist die sichtbare Kennzeichnung nach Abs. 4 maßgeblich.

Bin ich Provider oder Deployer, wenn ich ChatGPT oder Midjourney nutze? Sie sind Betreiber (Deployer). Sie nutzen das System, entwickeln es aber nicht. Zum Provider werden Sie erst, wenn Sie ein KI-System wesentlich verändern, umbenennen oder unter eigenem Namen als Produkt anbieten.

Was verlangt Art. 50 KI-VO, einfach erklärt? Transparenz. Anbieter sorgen für eine technische, maschinenlesbare Markierung KI-erzeugter Outputs. Betreiber sorgen dafür, dass Menschen den KI-Charakter erkennen, bei Deepfakes und bei Texten zu Themen öffentlichen Interesses.

Ab wann gelten die Pflichten aus Art. 50? Ab dem 2. August 2026. Nur die maschinenlesbare Markierung nach Abs. 2 für Systeme, die vor diesem Datum in Verkehr gebracht wurden, ist per Digital Omnibus vorläufig bis 2. Dezember 2026 aufgeschoben. Die sichtbare Betreiberpflicht nach Abs. 4 ist nicht verschoben.

Ab wann muss ein Chatbot auf KI hinweisen? Ab dem 2. August 2026. Der Hinweis muss zu Beginn der Interaktion erfolgen, sofern es nicht ohnehin offensichtlich ist, dass man mit einer KI spricht (Art. 50 Abs. 1).

Muss ich als Betreiber die maschinenlesbaren Metadaten selbst setzen? Gesetzlich nein, diese Pflicht trifft den Anbieter. In der Praxis gehen Metadaten aber oft verloren. Es ist gute Praxis und stärkt Ihren Nachweis, IPTC/XMP-Daten selbst zu ergänzen.

Reicht das automatische KI-Label von Instagram oder TikTok? Nein. Plattform-Labels erfüllen deren AGB, nicht zwingend die gesetzliche Pflicht aus Art. 50. Kennzeichnen Sie Ihre Inhalte eigenverantwortlich.

Muss ich einen KI-Werbetext sichtbar kennzeichnen? In der Regel nicht: Produktwerbung ist kein „Thema von öffentlichem Interesse" im Sinne von Abs. 4, und bei menschlicher redaktioneller Verantwortung greift eine Ausnahme. Bilder und Videos hingegen können als Deepfake kennzeichnungspflichtig sein.

Was passiert bei Verstößen? Für Verstöße gegen Art. 50 drohen Geldbußen bis 15 Mio. EUR bzw. 3 % des weltweiten Jahresumsatzes. Details in AI-Act-Fristen und Bußgelder.

Einen Gesamtüberblick über Stichtag, Rollen und Sanktionen gibt unser Pillar-Beitrag KI-Kennzeichnungspflicht nach dem EU AI Act.

Quellen

• Art. 50 EU AI Act, artificialintelligenceact.eu
• EU-Leitlinien zu Transparenzpflichten (Providers & Deployers)
• EU-Timeline zur Umsetzung des AI Act
• EU-Icons für die Kennzeichnung KI-generierter Inhalte
• Sidley, EU AI Act Transparency Obligations (2 August 2026)
• Gibson Dunn, EU AI Act Omnibus Agreement

Dieser Beitrag gibt den Stand vom 21. Juli 2026 wieder und ersetzt keine Rechtsberatung. Der Digital Omnibus ist zum Redaktionsstand vorläufig; maßgeblich ist die finale Fassung. Für Ihren konkreten Fall konsultieren Sie bitte rechtlichen Rat.