Estimated reading time: 9 minutes
„Gilt die Kennzeichnungspflicht auch für KI-generierten Code?“ – Net Professionals
Neue Transparenzpflichten laut Art. 50 AI Act
Ab dem 2. August 2026 treten in der gesamten EU neue Transparenzpflichten für KI-Inhalte in Kraft. Während Marketing- und Kommunikationsabteilungen die Konsequenzen aus Artikel 50 der KI-Verordnung (Verordnung (EU) 2024/1689) bereits intensiv diskutieren, herrscht in vielen IT-Abteilungen Unsicherheit: Muss auch KI-generierter Quellcode gekennzeichnet werden? Wir ordnen die Rechtslage für Softwareentwicklung, DevOps und IT-Betrieb ein (Stand: Juli 2026).
Worum es bei Art. 50 AI Act eigentlich geht
Artikel 50 AI Act regelt Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme. Er ist dabei bewusst unabhängig von der Hochrisiko-Klassifizierung anderer Kapitel der Verordnung konzipiert und unterscheidet vier Konstellationen:
- Direkte Interaktion mit Personen (z. B. Chatbots, Voicebots) – Hinweispflicht, dass ein KI-System im Einsatz ist.
- Generative Inhalte (Audio, Bild, Video oder Text) – maschinenlesbare Kennzeichnung durch den Anbieter des KI-Systems.
- Emotionserkennung und biometrische Kategorisierung – Informationspflicht gegenüber betroffenen Personen.
- Deepfakes und automatisiert veröffentlichte Texte zu Themen von öffentlichem Interesse – sichtbare Offenlegung, sofern kein Mensch redaktionell verantwortet.
Für die meisten Unternehmen – auch für Softwarehäuser und IT-Abteilungen – ist relevant: Sie treten in aller Regel als Betreiber (Deployer) von KI-Systemen auf, nicht als deren Anbieter (Provider). Denn diese Unterscheidung ist der Schlüssel zum Verständnis, warum sich die Kennzeichnungspflicht so unterschiedlich auf Kommunikationsinhalte und auf Code auswirkt.
Die zentrale Erkenntnis: Quellcode ist kein „Inhalt“ im Sinne der Verordnung
Art. 50 AI Act zielt strukturell auf Inhalte, die von Menschen wahrgenommen und konsumiert werden – Texte, Bilder, Audio, Video, Gespräche. Reiner Quellcode fällt daher in keine der vier genannten Kategorien:
- Er interagiert nicht direkt mit einer betroffenen Person.
- Er bildet keine reale Person, keinen realen Ort und kein reales Ereignis täuschend echt nach.
- Er ist kein Text zu einem gesellschaftlichen oder politischen Thema.
- Er dient nicht der Emotionserkennung oder biometrischen Auswertung (sofern er nicht genau dafür geschrieben wurde).
Das bedeutet konkret: Wenn Entwickler:innen mit Tools wie Claude Code, GitHub Copilot oder ChatGPT Code generieren lassen und diesen intern prüfen, bevor er in Produktion geht, entsteht daraus keine Kennzeichnungspflicht. Diese Situation ist strukturell vergleichbar mit einem Angebot, das mit KI-Unterstützung vorformuliert, aber von einem Menschen geprüft und verantwortet wird – auch dort entfällt die Kennzeichnungspflicht, weil die fachliche Verantwortung bei einem Menschen liegt.
Wo es für IT-Teams dennoch relevant wird
Nicht der Code selbst, sondern das Ergebnis seiner Ausführung kann kennzeichnungspflichtig werden. Drei Szenarien sind in der Praxis besonders wichtig:
Der Code erzeugt ein System mit direkter Personeninteraktion
Wird mit KI-Unterstützung ein Chatbot, Voicebot oder virtueller Assistent entwickelt, ist nicht die Entstehung des Codes entscheidend, sondern der spätere Einsatz: Sobald das System live mit Kund:innen kommuniziert, greift die Hinweispflicht nach Art. 50 Abs. 1 – unabhängig davon, ob der zugrundeliegende Code von einem Menschen oder mit KI-Unterstützung geschrieben wurde.
Praxisbeispiel: Ein Entwicklerteam lässt sich von einer KI ein Grundgerüst für einen Kundenservice-Chatbot generieren. Der fertige Chatbot selbst benötigt jedoch beim ersten Kontakt einen klar erkennbaren Hinweis wie „Sie chatten mit unserem KI-gestützten virtuellen Assistenten“ – das betrifft die Anwendung, nicht den Entwicklungsprozess.
Der Code automatisiert die Veröffentlichung von Inhalten
Besonders relevant für IT-Teams, die Content-Pipelines, Publishing-Systeme oder Automatisierungsskripte bauen: Wenn eine Software KI-generierte Texte zu Themen von öffentlichem Interesse automatisiert und ohne menschliche Prüfung veröffentlicht (etwa Auto-Posting-Bots, automatisierte News-Feeds oder Kommentar-Generatoren), greift die Offenlegungspflicht nach Art. 50 Abs. 4. Wird hingegen eine Freigabeschleife eingebaut, in der ein Mensch den Text vor Veröffentlichung prüft, entfällt die Pflicht.
IT-relevante Konsequenz: Bei der Architektur solcher Systeme lohnt sich ein bewusster Design-Entscheid – ein manueller Freigabeschritt (Human-in-the-Loop) ist nicht nur aus Qualitätsgründen sinnvoll, sondern reduziert auch das rechtliche Risiko.
Der Code implementiert Emotionserkennung oder biometrische Auswertung
Wird eine Software entwickelt, die Stimmungsanalysen, Emotionserkennung oder biometrische Kategorisierung durchführt (etwa im Callcenter-Kontext), dann greift Art. 50 Abs. 3: Betroffene Personen müssen über den Einsatz informiert werden. Hier trifft die Pflicht typischerweise den Betreiber der Anwendung, aber IT-Teams sollten diese Anforderung bereits im Entwicklungsprozess mitdenken – etwa durch entsprechende Hinweistexte im UI oder in der Datenschutzerklärung.
Sonderfall: Wenn die Software selbst ein Hochrisiko-KI-System ist
Ein wichtiger Unterschied zu Art. 50 ist, dass eine Unternehmenssoftware, die selbst als Hochrisiko-KI-System nach Anhang III oder Anhang I der Verordnung gilt (etwa KI-gestützte Systeme im Recruiting, in Medizinprodukten oder in der Maschinensteuerung), greifen nicht die Kennzeichnungspflichten aus Art. 50, sondern ein deutlich umfangreicherer Pflichtenkatalog: Risikomanagement, technische Dokumentation, menschliche Aufsicht und mehr.
Durch den im Frühjahr 2026 politisch vereinbarten „Digital Omnibus on AI“ wurden diese Fristen verschoben:
| Bereich | Ursprünglicher Stichtag | Neuer Stichtag (vorläufig) |
| Hochrisiko-Pflichten Anhang III (z. B. Recruiting-KI) | 2. August 2026 | 2. Dezember 2027 |
| Hochrisiko-Pflichten Anhang I, produktintegrierte KI (z. B. Medizinprodukte, Maschinen) | 2. August 2027 | 2. August 2028 |
Wichtig für IT-Entscheider: Die formelle Annahme dieser Verschiebung durch Rat und Parlament sowie die Veröffentlichung im Amtsblatt der EU stand zum Redaktionsschluss dieses Artikels noch aus. Bis dahin gilt formal weiterhin die ursprüngliche Fassung der Verordnung. Wer Hochrisiko-Systeme entwickelt, sollte den Umsetzungsstand laufend beobachten.
Watermarking-Pflicht: Betrifft sie IT-Abteilungen?
Art. 50 Abs. 2 verpflichtet Anbieter generativer KI-Systeme, KI-generierte Inhalte dabei maschinenlesbar zu kennzeichnen – etwa über Metadaten oder digitale Wasserzeichen. Diese Pflicht trifft die Hersteller der KI-Tools (also etwa die Anbieter von Coding-Assistenten oder Bildgeneratoren), nicht die Unternehmen, die diese Tools als Betreiber einsetzen. Für ein Softwareunternehmen, das KI-Coding-Tools im Entwicklungsalltag nutzt, entsteht aus dieser Pflicht keine eigene Handlungsverpflichtung.
Checkliste für IT-Teams
Zur schnellen Einordnung eigener Systeme empfiehlt sich folgende Prüfreihenfolge:
- Wird der Code intern entwickelt und von Menschen geprüft, bevor er live geht?
- Keine Kennzeichnungspflicht für den Entwicklungsprozess selbst.
- Kommuniziert die fertige Software direkt mit Endkunden (Chat, Voice, Interaktion)?
- Hinweispflicht nach Art. 50 Abs. 1 für die Anwendung prüfen.
- Veröffentlicht die Software automatisiert Inhalte zu gesellschaftlich relevanten Themen ohne menschliche Freigabe?
- Kennzeichnungspflicht nach Art. 50 Abs. 4 prüfen; Human-in-the-Loop als Designoption erwägen.
- Wertet die Software Emotionen oder biometrische Merkmale aus?
- Informationspflicht nach Art. 50 Abs. 3 sowie DSGVO-Anforderungen beachten.
- Handelt es sich um ein Hochrisiko-KI-System nach Anhang I oder III?
- Eigener, umfangreicherer Pflichtenkatalog mit verschobenen Fristen (2027/2028) statt Art. 50.
Was Sie mitnehmen sollten
- Die Kennzeichnungspflicht nach Art. 50 AI Act betrifft in erster Linie Kommunikationsinhalte – Texte, Bilder, Audio, Video und direkte KI-Interaktion mit Personen.
- Quellcode als solcher ist davon nicht erfasst, solange er intern entwickelt und von Menschen verantwortet wird.
- Relevant wird die Verordnung für IT-Teams erst dort, wo Software selbst zum kommunikativen Kanal wird – etwa als Chatbot, als automatisiertes Publishing-System oder als Emotionserkennungs-Tool.
- Wer KI-Coding-Tools im Entwicklungsalltag einsetzt, sollte also weniger den Code selbst im Blick haben als die Frage, wie und wofür die damit gebaute Software später eingesetzt wird.
Rechtssicher und zukunftsorientiert: KI-Systeme erfolgreich steuern
Die Implementierung des EU AI Act stellt IT-Abteilungen vor neue Herausforderungen: Neben technischer Innovation erfordert die Nutzung von KI eine präzise Strategie zur Einhaltung von Transparenzpflichten und zur Absicherung von Geschäftsprozessen. Eine proaktive IT-Überwachung bildet dabei das unverzichtbare Fundament, um nicht nur die Systemperformance sicherzustellen, sondern auch die Einhaltung regulatorischer Anforderungen – wie sie der AI Act für hochrisikoreiche Systeme oder automatisierte Schnittstellen definiert – durchgehend zu kontrollieren.
Unterstützen Sie Ihre IT-Teams dabei, rechtliche Sicherheit und operative Exzellenz zu vereinen. Ob es um das Monitoring von KI-gestützten Interaktionsschnittstellen oder die Überwachung Ihrer kritischen IT-Infrastruktur geht: Wir begleiten Sie bei der Umsetzung einer modernen Sicherheitsstrategie.
FAQs
Nein. Quellcode fällt nicht unter die vier Kategorien des Art. 50 AI Act, solange er intern entwickelt und von einem Menschen geprüft wird, bevor er in Produktion geht.
Die Nutzung solcher Tools als Entwicklungshilfsmittel löst für das nutzende Unternehmen keine eigene Kennzeichnungspflicht aus. Eine mögliche Watermarking-Pflicht nach Art. 50 Abs. 2 träfe ausschließlich den Anbieter des Tools selbst.
Sobald die entwickelte Software direkt mit Personen kommuniziert (Chatbot, Voicebot), automatisiert Inhalte zu öffentlichen Themen ohne menschliche Prüfung veröffentlicht, oder Emotionserkennung beziehungsweise biometrische Auswertung durchführt.
Für Hochrisiko-Systeme nach Anhang I oder III gelten eigene, deutlich umfangreichere Pflichten außerhalb von Art. 50, deren Fristen durch den Digital Omnibus auf 2027 beziehungsweise 2028 verschoben wurden – vorbehaltlich der finalen Verabschiedung.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Da sich die Rechtslage – insbesondere durch den „Digital Omnibus on AI“ – kurzfristig ändern kann, sollte der aktuelle Stand laufend geprüft werden.