Artikel 50 wird greifbar — die EU-Kommission legt ihre Transparenz-Leitlinien zum AI Act vor und gibt Ihnen 26 Tage zum Mitreden

Am 8. Mai 2026 hat die EU-Kommission den Entwurf der Leitlinien zur Umsetzung der Transparenzpflichten nach Artikel 50 AI Act veröffentlicht und die öffentliche Konsultation eröffnet. Stellungnahme-Frist: 3. Juni 2026. Geltungsbeginn der Pflicht: 2. August 2026. Verschärfte Übergangsfrist (3 statt 6 Monate, Stand Omnibus VII vom 7. Mai): 2. Dezember 2026. Zum gleichen Datum verbietet der Omnibus die kommerzielle Verbreitung von „Nudifier“-Tools — ohne Übergangsfrist.

Vier Pflicht-Profile aus Artikel 50: (1) Anbieter interaktiver KI muß die KI-Natur erkennbar machen; (2) Anbieter generativer KI muß Outputs maschinenlesbar markieren; (3) Deployer von Deepfakes muß synthetische Natur kenntlich machen; (4) Deployer von Emotionserkennung oder biometrischer Kategorisierung muß vorab informieren. Empfehlung: Klassifizierungs-Übung jetzt, Stellungnahme bis 3. Juni, Hinweis-Schicht bis 2. August, Markierungs-Pipeline bis 2. Dezember.

Was wir am 8. Mai bekommen haben

Die Konsultation der EU-Kommission dreht sich um den Leitlinien-Entwurf zu Artikel 50 des AI Act. Der Entwurf ist kein verbindlicher Rechtstext, sondern die operative Übersetzung der vier Pflicht-Profile aus Artikel 50 in prüfbare Routinen — maschinenlesbare Markierungs-Formate, Hinweis-Pflicht-Mechaniken, Deepfake-Schwellen, biometrische Informationspflichten. De facto wird er zum Maßstab, an dem Aufsichtsbehörden ab 2. August Compliance prüfen.

Drei Tage zuvor — am 7. Mai — hatten Rat und Parlament im Trilog die AI Omnibus VII geeinigt: Hochrisiko-Pflichten verschoben auf 2027 und 2028, Transparenzpflichten aber früher scharfgestellt (Übergang von 6 auf 3 Monate, Geltungsbeginn der Grundpflicht 2. August 2026, verschärfte Markierungsfrist 2. Dezember 2026). Wer den Omnibus als „Verschiebung“ gelesen hat und die Klassifizierungs-Übung pausierte, liest die heutige Konsultation als das, was sie ist: die Bestätigung, dass der Transparenz-Teil exakt nicht verschoben wird.

Die vier Pflicht-Profile aus Artikel 50

Profil 1 — Anbieter interaktiver KI (Art. 50 Abs. 1). KI-Systeme, die mit natürlichen Personen interagieren (Chatbots, Voicebots, Avatare), müssen sicherstellen, dass die betroffene Person die KI-Natur erkennt — es sei denn, das ist offensichtlich aus dem Kontext. Im DACH-Mittelstand betrifft das Service-Bots, Vertriebs-Assistenten und automatisierte Antwort-Mails.

Profil 2 — Anbieter generativer KI (Art. 50 Abs. 2). Anbieter von Text-, Bild-, Audio- oder Video-Synthese müssen Outputs maschinenlesbar markieren. Die Leitlinien-Konsultation diskutiert die technischen Optionen: C2PA-Signaturen, sichtbare und unsichtbare Wasserzeichen, Metadaten-Provenance, kryptografisch verifizierbare Manifeste. Sylius-Mandanten, die KI-Produkttexte oder KI-Bilder ausspielen, fallen hierunter.

Profil 3 — Deployer von Deepfakes (Art. 50 Abs. 4). Wer einem Publikum einen Deepfake oder einen KI-generierten Beitrag von öffentlichem Interesse vorlegt, muß die synthetische Natur kenntlich machen. Die Pflicht gilt nicht für künstlerische, satirische oder fiktionale Werke (mit Caveats). Marken mit KI-generierten Bewegtbildern in Pressekommunikation sind hier primär adressiert.

Profil 4 — Deployer biometrischer Klassifizierung (Art. 50 Abs. 5). Emotionserkennungs- oder biometrische Kategorisierungs-Systeme erfordern eine Vorab-Information der betroffenen Personen. Im Mittelstand selten direkt, in Bewerbungs- und HR-Tooling aber zunehmend relevant.

Klassifizierung — wo Sie heute stehen

Bevor Sie den Konsultations-Text bewerten, brauchen Sie die ehrliche eigene Klassifizierung. Vier Fragen, die wir in jedem AI-Act-Review als erstes stellen:

1. Erzeugen Sie in Ihrem Stack Texte, Bilder, Audio oder Video mit KI und spielen sie ohne weitere menschliche Bearbeitung aus? Wenn ja: Profil 2 — maschinenlesbare Markierung ab 2. August.
2. Interagieren Ihre Systeme im Kund:innen-Kontakt direkt mit Personen (Live-Chat, Voicebot, automatisierte Antwort-Mails)? Wenn ja: Profil 1 — KI-Natur erkennbar machen.
3. Verwenden Sie Deepfake-fähige Bild- oder Videoausspielung in Marketing, Pressearbeit oder Produktkommunikation? Wenn ja: Profil 3 — sichtbare Kennzeichnung.
4. Verarbeiten Ihre Systeme biometrische Daten zu Klassifizierungszwecken (Stimmung, Alter, Geschlecht, vermutete Eigenschaften)? Wenn ja: Profil 4 — Vorab-Information.

In unserer Beratungspraxis sehen wir den DACH-Mittelstand am häufigsten in den Profilen 1 und 3. Profil 2 wird unterschätzt — viele Sylius-Mandanten erzeugen KI-Produkttexte und sind sich nicht bewusst, dass das ab August unter Artikel 50 fällt.

Was die Konsultation operativ verändert

Drei Punkte sind aus unserer Sicht besonders konsultations-relevant:

Erstens — technische Markierungs-Optionen. Der Entwurf verweist auf C2PA als Referenz, lässt aber Wasserzeichen, Metadaten und kryptografisch signierte Manifeste daneben gelten. Wer Bildgenerierung im Stack hat, kann zwischen jetzt und Dezember 2026 entscheiden, welche Markierungsspur er fährt. C2PA ist die technisch sauberste, aber operativ teuerste; reine Metadaten-Provenance ist günstiger, aber leichter zu strippen.

Zweitens — Deepfake-Schwelle. Der Entwurf macht Audio, Bild und Video zur Pflichtmarkierung; reine Text-Outputs fallen unter 50 Abs. 2, nicht unter 50 Abs. 4. Das macht in der Praxis einen Unterschied: Ein KI-generierter Pressetext ist Markierungs-pflichtig, ein KI-generierter Pressefilm ist zusätzlich Kennzeichnungs-pflichtig — mit sichtbarem Hinweis im Bild.

Drittens — Übergangsfrist und „Nudifier“-Verbot. Der Omnibus-Beschluss hat die Übergangsfrist für die Markierungspflicht von sechs auf drei Monate verkürzt. Damit greift sie ab 2. Dezember 2026. Ebenfalls zum 2. Dezember verbietet der Omnibus die kommerzielle Verbreitung von KI-Tools, die ohne Einwilligung Nacktbilder generieren. Diese Verbots-Norm ist scharf, ohne Übergangsfrist, und nicht Teil der Leitlinien-Konsultation — aber im selben Geltungsstart-Datum verankert.

Was wir konkret empfehlen

Bis zum 3. Juni — falls Sie mit der Klassifizierung zu Tag eins fertig sind: Reichen Sie eine Stellungnahme ein. Die EU-Kommission richtet die Konsultation explizit auch an KMU; wer als DACH-Mittelständler heute schreibt, dass die C2PA-Pflicht in Sylius- oder TYPO3-Workflows einen 6-Monats-Vorlauf braucht, ist Teil der Faktenbasis, auf der die Endfassung entsteht.

Bis zum 2. August: Bauen Sie die Hinweis-Schicht für interaktive KI-Systeme in Ihre TYPO3- oder Sylius-Frontends ein. Ein Banner, ein erster Bot-Turn, eine Zeile im Cookie-Layer — technisch trivial, bürokratisch unangenehm, wenn es im Juli noch zur Vorstandsfreigabe geht.

Bis zum 2. Dezember: Etablieren Sie die Markierungs-Pipeline für generative Outputs. Für DACH-KMU empfehlen wir den hybriden Pfad: C2PA für Hero-Visuals, Metadaten-Provenance für Long-Tail-Assets.

Strukturell: Verzahnen Sie die Artikel-50-Pflicht mit Ihrer NIS-2-Registrierung. Das BSI-Registrierungsfenster ist seit 6. März 2026 geschlossen; wer als „wichtige“ oder „besonders wichtige“ Einrichtung qualifiziert und nicht registriert ist, hat eine offene Aufgabe, die mit der AI-Act-Geltung im August zur doppelten offenen Aufgabe wird.

Was wir bewusst nicht empfehlen

Wir empfehlen nicht, auf die Endfassung der Leitlinien zu warten. Zwischen 3. Juni und 2. August liegen genau 60 Tage; die Endfassung wird in dieser Zeit veröffentlicht, aber sie wird nicht früher gelten und nicht milder werden. Wer heute mit Klassifizierung und Pipeline-Bau beginnt, hat im August Zeit zum Polieren — wer wartet, hat im Juli Druck.

Wir empfehlen ebenso wenig, die Markierungspflicht „an die Agentur abzugeben“. Die Pflicht trifft den Anbieter beziehungsweise den Deployer — also Sie, nicht Ihre Marketing-Agentur. Eine Agentur kann die Markierung technisch umsetzen; verantwortlich für die Compliance bleiben Sie. Verträge mit Agenturen sollten ab August explizit den Markierungs-Standard und die Beweislast klären.

Wer am stärksten betroffen ist

Drei Profile aus unserer Beratungspraxis sind heute akut. Sylius- und TYPO3-Mandanten mit KI-gestützter Produkt- oder Content-Produktion — Online-Shops und Verlage, die Beschreibungen, Newsletters oder Bildvarianten automatisiert erzeugen lassen — fallen ab 2. August unter Profil 2. KMU mit Voicebots oder interaktiven Chat-Systemen auf Symfony- oder Node-Backend stehen unter Profil 1, mit der höchsten Sichtbarkeit gegenüber Endkund:innen. Marken mit KI-generierten Bewegtbildern in Pressekommunikation kombinieren Profil 2 und 3 zu einem doppelten Workflow, den die Marketing-Verantwortlichen oft noch nicht auf dem Schirm haben.

Fazit

Die Konsultation vom 8. Mai ist die operative Hausordnung zum Strukturbeschluss vom 7. Mai. Was verschoben wurde, sind die Hochrisiko-Pflichten für Annex-III-Systeme. Was beschleunigt wurde, sind die Transparenzpflichten — genau die, die im DACH-Mittelstand am breitesten zutreffen.

Die Frage lautet nicht, ob der AI Act für Ihren Stack relevant ist. Sie lautet, ob Sie heute, am 10. Mai 2026, Ihre KI-Outputs nach den vier Profilen aus Artikel 50 sortiert haben — oder ob Sie das in der Nacht zum 2. August zum ersten Mal versuchen.

Persönlicher Hintergrund und technische Details zu C2PA, Wasserzeichen und Metadaten-Provenance in TYPO3- und Sylius-Workflows: ole-hartwig.eu.