28.07.2026
ctrl + law - Vom Regelwerk zur Realität | Gernot Fritz
Die zwanzigste Ausgabe von ctrl + law ist ein kleines Jubiläum – und zugleich ein guter Anlass für eine Zwischenbilanz: Digitalrecht ist längst kein Rechtsgebiet mehr, das vor allem von neuen Gesetzesvorhaben lebt. Die Regeln sind da. Jetzt zeigt sich in Leitlinien, Behördenentscheidungen und Gerichtsurteilen, was sie in der Praxis bedeuten.
Besonders deutlich wird das beim AI Act. Der Digital Omnibus on AI wurde am Freitag im Amtsblatt veröffentlicht und ist seit 27. Juli 2026 unmittelbar anwendbar. Er verschiebt die Pflichten für Hochrisiko-KI-Systeme, differenziert stärker nach tatsächlichen Risiken und erleichtert die Umsetzung für kleinere Unternehmen. Zugleich schafft er neue Verbote und stärkt die Rolle des AI Office bei der unionsweiten Durchsetzung. Die Botschaft ist damit ambivalent, aber klar: Der Gesetzgeber verschafft Unternehmen mehr Zeit und punktuelle Erleichterungen – verabschiedet sich aber weder vom risikobasierten Ansatz noch von wirksamer Kontrolle.
Passend dazu konkretisieren die finalen Leitlinien der EU-Kommission die Transparenzpflichten nach Art 50 AI Act. Wer KI-Systeme anbietet oder einsetzt, muss jetzt klären, wann Nutzer auf eine KI-Interaktion hinzuweisen sind, welche synthetischen Inhalte maschinenlesbar gekennzeichnet werden müssen und wann Deepfakes oder Texte zu öffentlichen Angelegenheiten sichtbar zu labeln sind. Entscheidend wird nicht nur die technische Umsetzung, sondern auch eine nachvollziehbare Zuordnung der Verantwortlichkeiten.
Wie ernst die EU ihre Plattformregulierung nimmt, zeigen die Rekordbußen gegen Google. Selbstbevorzugung in der Suche und Beschränkungen alternativer Vertriebswege im Play Store sind keine abstrakten DMA-Risiken mehr, sondern Gegenstand konkreter Sanktionen. Compliance-Schritte helfen, reichen aber nicht, solange das Geschäftsmodell den gesetzlichen Anforderungen nicht vollständig entspricht.
Auch das YouTube-Urteil des EuGH verschiebt den Blick von formalen Rollen auf die tatsächliche Tätigkeit. Wer Kanäle vor der Monetarisierung inhaltlich prüft, an Werbeeinnahmen beteiligt ist und die Verbreitung algorithmisch steuert, kann sich nicht ohne Weiteres auf eine neutrale Hosting-Rolle berufen. Monetarisierung, Qualitätskontrolle und Haftungsprivileg müssen daher gemeinsam gedacht werden.
Dass Compliance kein Freibrief ist, bestätigt auch der VwGH im Verfahren gegen die Österreichische Post. Interne Prüfprozesse und rechtliche Stellungnahmen schließen Fahrlässigkeit nicht aus, wenn die Rechtswidrigkeit bei gehöriger Sorgfalt erkennbar war. Sie können aber die Strafhöhe beeinflussen. Nicht das Compliance-System auf dem Papier zählt, sondern seine praktische Funktionsfähigkeit.
Schließlich erinnert die Entscheidung zur Marke „OPENAI“ daran, dass auch starke Bekanntheit nicht automatisch ein starkes Kennzeichen schafft. Wer beschreibende Begriffe wählt, muss damit rechnen, Unterscheidungskraft erst durch intensive Benutzung nachweisen zu können.
Die gemeinsame Klammer der zwanzigsten Ausgabe lautet daher: Digitalregulierung wird erwachsen. Nach der Phase immer neuer Regelwerke beginnt die Phase ihrer praktischen Bewährung – bei Kennzeichnung, Governance, Plattformgestaltung, Haftung und Sanktionen. Für Unternehmen bedeutet das weniger Raum für abstrakte Compliance und mehr Bedarf an belastbaren Entscheidungen, dokumentierten Prozessen und rechtzeitigem Handeln.
Und weil digitale Realität keine ctrl + law Pausen kennt, haben wir am E+H News Portal laufend nachgeschärft:
Wir wünschen eine anregende Lektüre.
Open? Ja. Marke? Nein. EuG weist die EU-Marke "OpenAI" ab | Helmut Liebel
OpenAI, das für die Entwicklung des bekannten KI-Chatbots ChatGPT bekannt ist, beantragte 2023 die Eintragung des Wortzeichens “OPENAI” als EU-Marke für Software und IT-Dienstleistungen (Klassen 9, 42 und 45). Das EUIPO lehnte die Eintragung ab: Das Zeichen sei beschreibend und ohne Unterscheidungskraft. OpenAI klagte dagegen vor dem Gericht der Europäischen Union (EuG).
Das EuG wies die Klage mit Urteil vom 15.07.2026 (T-555/25) ab – endgültig verloren ist die Marke damit aber nicht: OpenAI kann das Urteil vor dem Europäischen Gerichtshof (EuGH) anfechten oder nach Rechtskraft über einen Hilfsantrag doch noch die Eintragung erreichen.
Das Gericht bestätigte die Auffassung des EUIPO: Das Zeichen “OPENAI” setze sich aus den ohne Weiteres erkennbaren Bestandteilen “open” und “AI” (artificial intelligence) zusammen. Der maßgebliche englischsprachige Verkehr in der EU verstehe die Kombination unmittelbar als “zugängliche oder uneingeschränkte künstliche Intelligenz”. Damit beschreibe das Zeichen Art, Funktion oder Zweck der beanspruchten Waren und Dienstleistungen (Art 7 Abs 1 lit c UMV).
Dem Argument von OpenAI, wonach “OPENAI” als zusammengeschriebener Neologismus ein eigenständiges Fantasiezeichen sei, folgte das Gericht nicht. Die Verbindung von “open” und “AI” folge der englischen Grammatik (Adjektiv vor Substantiv), enthalte kein ungewöhnliches Syntaxelement und erzeuge daher keinen Gesamteindruck, der über die Summe der Bestandteile hinausgehe. Die bloße Zusammenschreibung begründe keinen kreativen Gehalt.
Auch andere Argumente von OpenAI überzeugten das Gericht nicht. Die beanspruchten Waren und Dienstleistungen bildeten eine hinreichend homogene Kategorie, weil sie alle auf frei zugänglicher KI basierten oder durch KI angetrieben werden könnten. Der Einwand, die Marke sei beim Publikum bereits bekannt, ging ins Leere: Bei der Prüfung absoluter Eintragungshindernisse zählten gegenständlich nur die inhärenten Eigenschaften des Zeichens, nicht die tatsächliche Benutzung. Ebenso wenig konnte OpenAI aus früheren EUIPO-Eintragungen ähnlicher Zeichen oder aus Registrierungen in mehr als 30 Drittstaaten etwas gewinnen: Das EU-Markenrecht ist ein autonomes System, frühere Entscheidungen anderer Stellen sind nicht bindend.
Für OpenAI ist das Verfahren damit aber nicht zu Ende: Sofern nicht der Weg zum EuGH beschritten wird, wird die Beschwerdekammer des EUIPO – sobald die Entscheidung rechtskräftig ist – den Hilfsantrag prüfen, ob das Zeichen “OPENAI” durch Benutzung Unterscheidungskraft erlangt hat (Art 7 Abs 3 UMV). OpenAI kann also versuchen, mit Nachweisen über Marktpräsenz, Bekanntheit und Umsatzzahlen zu belegen, dass der Verkehr “OPENAI” inzwischen als Herkunftshinweis versteht und das Zeichen dadurch Unterscheidungskraft erlangt hat.
Key Take-Aways
- Nach Ansicht des EuG ist "OPENAI" (Art 7 Abs 1 lit c UMV) und daher nicht als EU-Marke eintragungsfähig.
- Wer beschreibende Begriffe nur zusammenschreibt, schafft damit in der Regel noch keine Unterscheidungskraft – es braucht mehr als eine Wortkombination ohne eigenständige Bedeutung.
- OpenAI kann versuchen, Unterscheidungskraft durch Benutzung nachzuweisen (Art 7 Abs 3 UMV) – das Verfahren wird nach Bestandskraft der Entscheidung fortgesetzt.
- Das Urteil hat nicht nur Signalwirkung für KI-Branding: Rein beschreibende Begriffskombinationen werden es zukünftig schwerer haben, als EU-Marke eingetragen zu werden.
VwGH: DSGVO-Compliance schützt nicht vor Millionenbußen | Tanja Pfleger
Der Verwaltungsgerichtshof hat das Verwaltungsstrafverfahren rund um die von der Österreichischen Post berechneten „Parteiaffinitäten“ entschieden. Er bestätigte die Strafbarkeit, reduzierte die Geldbuße jedoch von EUR 16 Mio auf EUR 13 Mio (Ro 2025/04/0007). Die Entscheidung enthält Aussagen zum Verschuldensmaßstab, zur Bedeutung von Compliance-Systemen und zu Dokumentationsverstößen.
Die Post hatte für rund 2,2 Millionen Personen Wahrscheinlichkeitswerte zu deren mutmaßlichem Interesse an Wahlwerbung bestimmter Parteien berechnet, konkreten Personen zugeordnet und teilweise an politische Parteien verkauft.
Dass statistisch berechnete Werte keine „Echtdaten“ sind, ändert nach dem VwGH nichts am Personenbezug. Sobald eine Einschätzung einer identifizierten oder identifizierbaren Person zugeordnet wird, enthält sie Informationen über diese Person. Die Parteiaffinitäten waren zudem besondere Kategorien personenbezogener Daten, weil sie eine Haltung gegenüber politischen Parteien erkennen ließen. Mangels ausdrücklicher Einwilligung oder einer anderen Ausnahme vom Verarbeitungsverbot war ihre Verarbeitung unzulässig. Auch § 151 GewO bot keine ausreichende Grundlage.
Besonders praxisrelevant sind die Aussagen zum Verschulden. Eine Geldbuße nach Art 83 DSGVO setzt Vorsatz oder Fahrlässigkeit voraus. Entscheidend ist, ob sich der Verantwortliche über die Rechtswidrigkeit nicht im Unklaren sein konnte. Ein Bewusstsein des Verstoßes ist nicht erforderlich. Bei juristischen Personen bedarf es keiner Kenntnis der Geschäftsleitung. § 5 VStG bleibt insoweit außer Betracht.
Die Post hatte mit dem Projekt „Fit für die DSGVO“ ein Datenschutz-Compliance-System mit internen Prüfprozessen eingerichtet. Das schloss die Strafbarkeit jedoch nicht aus. Ein Compliance-System führt ebenso wenig automatisch zur Exkulpation wie eine rechtliche Stellungnahme. Maßgeblich bleibt, ob das Unternehmen die Rechtswidrigkeit bei gehöriger Sorgfalt erkennen konnte.
Die Annahme, statistische Werte seien auch bei Zuordnung zu konkreten Personen keine personenbezogenen Daten, war nach Ansicht des VwGH unvertretbar. Bereits vor Anwendbarkeit der DSGVO lagen einschlägige Entscheidungen zu Marketingklassifikationen vor; zudem waren intern Bedenken geäußert worden. Dennoch erfolgte keine ausreichend vertiefte rechtliche Prüfung. Angesichts der Größe des Unternehmens und seiner Ressourcen bestätigte der VwGH grobe Fahrlässigkeit.
Für die Strafhöhe blieb das Compliance-System dennoch relevant. Die vorgenommenen Prüfungen mussten zugunsten der Post berücksichtigt werden. Die Entscheidung trennt damit klar zwischen Strafbarkeit und Strafhöhe: Compliance ist kein Freibrief, kann aber den Grad der Verantwortung und damit die Geldbuße reduzieren.
Das Bundesverwaltungsgericht hatte die Post zusätzlich wegen einer fehlerhaften Datenschutz-Folgenabschätzung und eines fehlerhaften bzw unvollständigen Verzeichnisses von Verarbeitungstätigkeiten bestraft. Der VwGH stellte diese Verfahren ein. Die Fehler beruhten auf derselben unrichtigen rechtlichen Annahme wie die unzulässige Verarbeitung und hatten keinen eigenständigen Unrechtsgehalt. Derselbe Unwert darf nicht mehrfach zugerechnet werden. Eine gesonderte Sanktion bleibt aber möglich, wenn der Dokumentationsverstoß zusätzliches Unrecht verwirklicht.
Bei der Strafbemessung stellte der VwGH klar, dass grundsätzlich der gesamte weltweite Jahresumsatz maßgeblich ist. Ein kleiner tatbezogener Geschäftsbereich musste nicht gesondert mildernd berücksichtigt werden; auch das Fehlen früherer Datenschutzverstöße wirkt neutral.
Mildernd berücksichtigte der VwGH unter anderem die Löschung der Daten, die Zusammenarbeit mit der Datenschutzbehörde und die lange Verfahrensdauer. Die schematische Vorschreibung von zehn Prozent der Geldbuße und damit EUR 1,3 Mio an Verfahrenskosten wäre unverhältnismäßig gewesen. Der Kostenbeitrag wurde auf EUR 100.000 reduziert.
Key Take-Aways
- Ein Datenschutz-Compliance-System beseitigt das Verschulden nicht automatisch. Entscheidend bleibt, ob die Rechtswidrigkeit bei gehöriger Sorgfalt erkennbar war.
- Umgesetzte und dokumentierte Compliance-Maßnahmen können den Grad der Verantwortung und damit die Geldbuße reduzieren.
- Fehler in DSFA und Verarbeitungsverzeichnis dürfen nicht zusätzlich bestraft werden, wenn sie nur Folge derselben sanktionierten Fehlbeurteilung sind und keinen eigenständigen Unrechtsgehalt aufweisen.
EU-Kommission verhängt Rekordbuße gegen Google nach DMA-Verstößen | Fabian Duschnig
Die Europäische Kommission hat am 23. Juli 2026 zwei Entscheidungen gegen Google erlassen und Geldbußen in Gesamthöhe von 890 Millionen Euro verhängt. Grund sind Verstöße gegen den Digital Markets Act (DMA). Konkret entfielen 460 Millionen Euro auf die unzulässige Bevorzugung eigener Dienste in der Google-Suche (Selbstbevorzusgung) und 430 Millionen Euro auf Beschränkungen, die App-Entwickler daran hinderten, Nutzer auf günstigere Kaufmöglichkeiten außerhalb von Google Play hinzuweisen (sogenanntes Anti-Steering).
Es handelt sich damit um eine der bislang höchsten Geldbußen, die die Kommission auf Basis des DMA verhängt hat, und um ein deutliches Zeichen, dass die Behörde die Durchsetzung des Gesetzes ernst nimmt.
Der erste Verstoß betrifft die Selbstbevorzugung in der Google-Suche. Google hatte nach Ansicht der Kommission eigene Dienste – etwa für Einkaufen, Hotels, Transport und Sport – in den Suchergebnissen systematisch bevorzugt dargestellt: durch prominente Platzierung am Seitenanfang, verbesserte visuelle Gestaltung und exklusive Filteroptionen. Vergleichbare Angebote von Drittanbietern erhielten diese Sichtbarkeit nicht.
Der DMA verbietet Gatekeepern genau das: Sie müssen Ranking-Bedingungen transparent, fair und diskriminierungsfrei anwenden und dürfen eigene Dienste nicht besser behandeln als jene von Drittanbietern.
Der zweite von der Kommission angenommene Verstoß betrifft das sogenannte Anti-Steering bei Google Play. Nach dem DMA müssen App-Entwickler ihre Kunden kostenlos über alternative – und oft günstigere – Kaufmöglichkeiten informieren und zu diesen hinleiten dürfen, etwa auf eigene Websites oder in alternative App-Stores. Die Kommission stellte fest, dass Google dies verhindert hat: Entwickler konnten weder Angebote frei bewerben noch Verträge mit Nutzern außerhalb des Play Store abschließen. Zwar darf Google grundsätzlich eine Gebühr für die erstmalige Vermittlung eines Kunden über den Play Store erheben. Die Höhe dieser Gebühren und die Dauer, für die sie anfielen, gingen nach Auffassung der Kommission jedoch über das DMA-konforme Maß hinaus.
Google war bereits im September 2023 als Gatekeeper für die Google-Suche benannt worden. Im März 2024 leitete die Kommission die Untersuchungen ein und unterrichtete Google im März 2025 über ihre vorläufige Auffassung eines Verstoßes.
Google muss, sofern die Entscheidung rechtskräftig wird, die festgestellten Verstöße nun innerhalb von 60 Tagen abstellen; andernfalls drohen Zwangsgelder von bis zu 5 Prozent des weltweiten Jahresumsatzes. Die Kommission hielt zugleich fest, dass Google bereits Anpassungsmaßnahmen parallel zum laufenden Verfahren eingeleitet hat, die als erhebliche Fortschritte gewertet werden – deren Umsetzung wird weiter überwacht. Google kann die Entscheidungen nun Rechtsmittel einlegen.
Was bedeutet das für betroffene Unternehmen? Gatekeeper sollten prüfen, ob ihre Suchergebnisse eigene und fremde Dienste tatsächlich gleich behandeln und ob ihre App-Store-Bedingungen Entwicklern den freien Vertrieb über Drittkanäle ermöglichen. App-Entwickler können sich darauf verlassen, dass die Kommission ihre Rechte aus dem DMA – insbesondere auf kostenlose Bewerbung alternativer Angebote gegenüber Endnutzern – aktiv durchsetzt. Dabei zeigt die Entscheidung auch: Schritte in Richtung Compliance werden anerkannt, reichen aber nicht aus, solange die Vorgaben des DMA nicht vollständig erfüllt sind.
Key Take-Aways
- Die EU-Kommission verhängte gegen Google Geldbußen von insgesamt 890 Millionen Euro wegen Verstößen gegen den DMA, aufgeteilt in 460 Millionen Euro für Selbstbevorzugung in der Google-Suche und 430 Millionen Euro für unzulässige Lenkungsbeschränkungen bei Google Play.
- Sofern die Entscheidung rechtskräftig wird, ist Google verpflichtet, die Verstöße binnen 60 Tagen abzustellen. Bei Nichtbefolgung drohen Zwangsgelder von bis zu 5 Prozent des weltweiten Jahresumsatzes.
- Die Entscheidungen unterstreichen, dass der DMA für Gatekeeper und plattformabhängige Unternehmen weitreichende Konsequenzen hat. Eine proaktive Überprüfung bestehender Plattformstrukturen und Vertriebsmechanismen auf DMA-Konformität ist dringend zu empfehlen.
EuGH: YouTube-Partnerprogramm kann Hostingprivileg kosten | Amina Kovacevic
Der EuGH hat die Grenzen des Haftungsprivilegs für Hosting-Dienste bei monetarisierten YouTube-Kanälen geschärft (C-421/24). Plattformbetreiber können sich nicht auf eine neutrale Vermittlerrolle berufen, wenn sie im Rahmen eines Partnerprogramms den wesentlichen Inhalt eines Kanals prüfen und an dessen Werbeeinnahmen beteiligt sind.
Ausgangspunkt war eine Geldbuße der italienischen Kommunikationsbehörde AGCOM gegen Google. Auf mehreren YouTube-Kanälen waren Videos veröffentlicht worden, die für Glücksspiel-Websites warben. Google hatte mit dem Content-Ersteller eine Geschäftspartnerschaft geschlossen: Die Werbeeinnahmen wurden geteilt, Zahlungen von Abonnenten über Google abgewickelt und vor Aufnahme in das Partnerprogramm insbesondere das Hauptthema des Kanals, besonders häufig aufgerufene oder neue Videos sowie Metadaten geprüft.
Zunächst stellte der EuGH klar, dass die Ausnahme für Glücksspiele in der E-Commerce-Richtlinie nicht das Hosting entsprechender Werbung erfasst. Zwar ist die Online-Werbung für Glücksspiele selbst vom Anwendungsbereich der Richtlinie ausgenommen. Das bloße Speichern solcher Werbung bleibt jedoch grundsätzlich ein Hosting-Dienst. Die Tätigkeit ist inhaltlich neutral und unterscheidet sich nicht danach, ob Glücksspielwerbung oder andere Inhalte gespeichert werden.
Entscheidend war daher, ob Google das Haftungsprivileg für Hosting-Anbieter in Anspruch nehmen konnte. Dieses setzt eine neutrale, rein technische, automatische und passive Rolle voraus. Der Plattformbetreiber darf weder Kenntnis noch Kontrolle über die gespeicherten Informationen haben. Beide Kriterien sind nach dem EuGH eigenständig: Bereits Kontrolle ohne konkrete Kenntnis oder konkrete Kenntnis ohne umfassende Kontrolle kann das Privileg ausschließen.
Nicht jede Moderation oder technische Erkennung rechtswidriger Inhalte macht eine Plattform allerdings „aktiv“. Auch die bloße Mitteilung eines Verstoßes durch Dritte beseitigt das Haftungsprivileg nicht, sofern der Betreiber anschließend unverzüglich reagiert. Anders liegt es aber, wenn die Plattform aufgrund ihrer eigenen Tätigkeit über den wesentlichen Inhalt eines Kanals informiert ist.
Genau das nahm der EuGH beim YouTube-Partnerprogramm an. Wer vor oder während einer Monetarisierungspartnerschaft das Hauptthema, zentrale Videos, Metadaten, Originalität und Qualität eines Kanals prüft, verschafft sich konkrete Kenntnis von dessen wesentlichen Inhalten. Bei einem Kanal, dessen Schwerpunkt erkennbar auf Glücksspielen liegt, kann die Plattform daher nicht behaupten, lediglich neutralen Speicherplatz bereitzustellen. Dass die Prüfung automatisiert oder durch Menschen erfolgt, ist unerheblich.
Bemerkenswert sind auch die Aussagen zur algorithmischen Kontrolle: Bestimmt ein Algorithmus im Interesse der Plattform, unter welchen Bedingungen, in welcher Form und Reihenfolge Inhalte verbreitet werden, und geht dies über bloße Kategorisierung oder Indexierung hinaus, kann bereits diese Kontrolle gegen die Einordnung als privilegierter Hosting-Dienst sprechen.
Für Plattformen folgt daraus ein Spannungsverhältnis: Monetarisierungs-, Qualitäts- und Brand-Safety-Prüfungen reduzieren Risiken im Werbegeschäft, können zugleich aber die haftungsrechtliche Neutralität schwächen. Entscheidend ist daher, welche Inhalte tatsächlich geprüft werden, wie tief die Prüfung reicht und ob daraus konkrete Kenntnis vom Geschäftsmodell oder Hauptthema eines Kanals entsteht.
Key Take-Aways
- Glücksspielwerbung ist zwar von der E-Commerce-Richtlinie ausgenommen; das neutrale Hosting solcher Werbung bleibt aber grundsätzlich erfasst.
- Umsatzbeteiligung allein ist nicht der entscheidende Punkt. Kritisch wird die Kombination aus Geschäftspartnerschaft und inhaltlicher Prüfung des Kanals.
- Plattformen sollten Monetarisierungs- und Freigabeprozesse haftungsrechtlich mitdenken und nachvollziehbar dokumentieren, welche Prüfungen durchgeführt werden und welche Kenntnis dadurch entsteht.
EU-Kommission: Finale Leitlinien zu Art 50 AI Act | Gernot Fritz
Die Europäische Kommission hat die finalen Leitlinien zu den Transparenzpflichten nach Art 50 AI Act veröffentlicht. Sie konkretisieren, wann Nutzer über die Interaktion mit KI informiert, KI-generierte Inhalte maschinenlesbar gekennzeichnet und Deepfakes oder bestimmte Texte sichtbar gelabelt werden müssen. Die Leitlinien sind nicht rechtsverbindlich, dürften aber zum zentralen Prüfungsmaßstab der Aufsichtsbehörden werden. Die Verpflichtungen gelten grundsätzlich ab 2. August 2026.
Gegenüber dem Entwurf vom Mai 2026 grenzt die finale Fassung zunächst die Verantwortlichkeiten präziser ab. Anbieter müssen Transparenz bereits in Design und Betrieb ihrer Systeme integrieren. Arbeitnehmer und unter Weisung eingesetzte Auftragnehmer werden grundsätzlich nicht selbst zu Betreibern. Für Betreiber aus Drittstaaten gilt Art 50, wenn sie die Nutzung oder Verbreitung ihrer KI-Inhalte in der EU vorhersehen und steuern; eine unvorhersehbare Weiterverbreitung außerhalb ihrer Kontrolle reicht nicht.
Bei interaktiven KI-Systemen rücken insbesondere KI-Agenten in den Fokus. Sie müssen nicht nur ihre künstliche Natur offenlegen, sondern auch, für wen sie handeln – etwa bei Buchungen, Korrespondenz oder Vertragsverhandlungen. Zugleich wird die finale Fassung pragmatischer: Eine hervorgehobene Information vor der ersten Interaktion soll regelmäßig genügen. Wiederholte Hinweise sind vor allem bei sensiblen, länger dauernden oder besonders risikoreichen Interaktionen erforderlich. Die Ausnahme für „offensichtliche“ KI-Interaktionen bleibt eng.
Besonders praxisrelevant sind die Änderungen bei der maschinenlesbaren Kennzeichnung synthetischer Inhalte. Anders als noch im Entwurf werden KI-generierte Übersetzungen nun ausdrücklich als privilegierte Standardbearbeitung genannt. Auch Transkriptionen, technische medizinische Bildverarbeitung in Medizinprodukten, das Verpixeln von Gesichtern oder das Unkenntlichmachen vorhandener Hintergründe können ausgenommen sein. Außerhalb des Anwendungsbereichs liegen zudem unter anderem Quellcode, kurze technische Ausgaben, reine Maschine-zu-Maschine-Kommunikation und bestimmte interne Produktionsschritte. Zusammenfassungen, substanzielle Umschreibungen, Voice Cloning sowie bedeutungsverändernde Bild- oder Videomanipulationen bleiben hingegen kennzeichnungspflichtig.
Beim Deepfake-Begriff stellt die finale Fassung stärker auf die vorhersehbare Zielgruppe ab. Kann der Inhalt etwa Kinder, ältere Menschen oder Personen mit geringer KI-Kompetenz über seine Echtheit täuschen, kann dies für die Einordnung bereits genügen.
Strenger wird die finale Fassung bei veröffentlichten Texten zu Angelegenheiten von öffentlichem Interesse. Die Ausnahme für menschlich geprüfte Inhalte setzt eine substanzielle Prüfung einschließlich Faktenkontrolle und eine klar zugeordnete redaktionelle Verantwortung voraus. Wird der Text nach dem redaktionellen Sign-off nochmals wesentlich durch KI verändert, lebt die Kennzeichnungspflicht wieder auf.
Neu ist außerdem die enge Verzahnung mit dem finalen Code of Practice. Wer ihm beitritt und seine Maßnahmen umsetzt, erhält einen unionsweit anerkannten Weg, die Einhaltung der Kennzeichnungs- und Offenlegungspflichten nachzuweisen. Nicht-Unterzeichner dürfen alternative Lösungen verwenden, müssen diese aber dokumentieren und sollen eine Gap-Analyse zum Code durchführen.
Für den Starttermin gilt: Interaktionshinweise, Deepfake-Labels und die Transparenz bei Texten zu öffentlichen Angelegenheiten sind ab 2. August 2026 einzuhalten. Nur für Anbieter generativer KI-Systeme, die bereits vor diesem Datum auf dem Markt waren, besteht aufgrund des AI Omnibus eine Übergangsfrist für die maschinenlesbare Kennzeichnung nach Art 50 Abs 2 bis 2. Dezember 2026. Vor dem Stichtag erzeugte synthetische Inhalte und Deepfakes müssen nicht nachträglich gekennzeichnet werden. Bei Texten kommt es dagegen auf den Veröffentlichungszeitpunkt an: Werden sie erst ab dem 2. August veröffentlicht, sind sie zu labeln.
Key Take-Aways
- Unternehmen sollten ihre KI-Inventare jetzt auf die vier Fallgruppen des Art 50 AI Act prüfen und klare Zuständigkeiten zwischen Anbietern und Betreibern festlegen.
- Die finale Fassung schafft mehr Spielraum für Übersetzungen, technische Bearbeitungen und interne Workflows – substanzielle KI-Generierung und -Manipulation bleibt kennzeichnungspflichtig.
- Der 2. August 2026 bleibt der zentrale Stichtag. Die Übergangsfrist bis 2. Dezember 2026 gilt nur für die technische Kennzeichnung bestehender generativer KI-Systeme.
