Am 02. August 2026 beginnt eine weitere zentrale Anwendungsstufe des europäischen AI Act. Von diesem Zeitpunkt an gelten insbesondere die Transparenzpflichten des Art. 50 der Verordnung (EU) 2024/1689. Sie betreffen interaktive KI-Systeme, KI-generierte oder manipulierte Inhalte, Emotionserkennung und biometrische Kategorisierung sowie Deepfakes und bestimmte KI-generierte Veröffentlichungen.
Inhaltsverzeichnis
Nur knapp zwei Wochen vor dem Anwendungsbeginn hat die Europäische Kommission am 20. Juli 2026 ihre finalen Leitlinien zu Art. 50 AI Act veröffentlicht. Die Leitlinien sollen Behörden, Anbietern und Betreibern eine einheitliche, wirksame und verhältnismäßige Umsetzung ermöglichen. Sie sind rechtlich nicht bindend – eine verbindliche Auslegung bleibt dem Europäischen Gerichtshof vorbehalten. Für die Aufsichtspraxis werden sie gleichwohl erhebliche Bedeutung haben.
Für Banken, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Versicherer sowie FinTechs sind die neuen Pflichten nicht nur ein Thema der Kommunikation oder des Marketings. Sie können unter anderem Kunden-Chatbots, digitale Assistenten, automatisierte Beschwerde- und Betrugsmeldesysteme, KI-Agenten, Beratungsanwendungen, KI-generierte Kundeninformationen, Geschäftsberichte, Social-Media-Inhalte und synthetische Audio- oder Videoformate erfassen.
1. Vier unterschiedliche Transparenzpflichten
Art. 50 AI Act enthält kein einheitliches Kennzeichnungsgebot für jede Verwendung von KI. Vielmehr unterscheidet die Vorschrift vier Pflichten mit jeweils eigenem Anwendungsbereich und unterschiedlichen Adressaten:
- Interaktive KI-Systeme: Anbieter müssen sicherstellen, dass natürliche Personen darüber informiert werden, wenn sie unmittelbar mit einem KI-System interagieren, Art. 50 Abs. 1 AI Act.
- KI-generierte oder manipulierte Inhalte: Anbieter generativer KI-Systeme müssen bestimmte Audio-, Bild-, Video- und Textinhalte maschinenlesbar kennzeichnen und als künstlich erzeugt oder manipuliert erkennbar machen, Art. 50 Abs. 2 AI Act.
- Emotionserkennung und biometrische Kategorisierung: Betreiber müssen betroffene Personen über den Einsatz entsprechender Systeme informieren, Art. 50 Abs. 3 AI Act.
- Deepfakes und bestimmte Texte von öffentlichem Interesse: Betreiber müssen offenlegen, dass entsprechende Inhalte künstlich erzeugt oder manipuliert wurden, Art. 50 Abs. 4 AI Act.
Die Pflichten können kumulativ gelten. Ein KI-System, das mit einem Kunden interagiert und dabei Bilder oder Texte erzeugt, kann zugleich unter Art. 50 Abs. 1 und Abs. 2 AI Act fallen. Veröffentlicht das einsetzende Unternehmen mit dem System außerdem einen Deepfake oder einen Text zu einer Angelegenheit von öffentlichem Interesse, kann zusätzlich Art. 50 Abs. 4 AI Act eingreifen.
Die Informationen müssen nach Art. 50 Abs. 5 AI Act klar, unterscheidbar und grundsätzlich spätestens bei der ersten Interaktion oder Exposition bereitgestellt werden. Zugleich sind die einschlägigen Barrierefreiheitsanforderungen zu beachten.
2. Anbieter oder Betreiber – welche Rolle hat das Finanzunternehmen?
Für die Pflichtenverteilung ist die Unterscheidung zwischen Anbieter und Betreiber zentral.
Anbieter ist insbesondere, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Dies kann auch ein Unternehmen sein, das ein interaktives KI-System selbst entwickelt und innerhalb der eigenen Organisation unter eigener Verantwortung einsetzt. Auch die wesentliche Modifikation eines bereits bestehenden Systems und dessen anschließende Nutzung unter eigenem Namen kann zu einer Anbieterstellung führen.
Betreiber ist demgegenüber, wer ein KI-System unter eigener Verantwortung verwendet und über Zweck und Art seines tatsächlichen Einsatzes entscheidet. Technische Kontrolle über das System ist dafür nicht zwingend erforderlich. Auch ein Finanzunternehmen, das ein Standard-KI-System eines externen Anbieters auswählt, konfiguriert und für konkrete Geschäftsprozesse einsetzt, ist daher regelmäßig Betreiber.
Für die Praxis bedeutet dies:
- Nutzt eine Bank ein extern bezogenes generatives KI-Tool lediglich intern, ist sie regelmäßig Betreiberin.
- Lässt sie einen Kunden-Chatbot speziell entwickeln und stellt diesen unter ihrer eigenen Marke bereit, kann sie zusätzlich Anbieterin sein.
- Verändert ein Institut ein bestehendes System wesentlich, etwa durch eigenes Training oder tiefgreifende Modifikationen, kann eine neue Anbieterstellung entstehen.
- Einzelne Beschäftigte gelten grundsätzlich nicht als eigenständige Betreiber, wenn sie das System im Rahmen ihrer Aufgaben und unter der Verantwortung des Unternehmens verwenden.
Diese Rollen sollten nicht abstrakt auf Unternehmensebene, sondern für jedes einzelne KI-System und jeden konkreten Anwendungsfall geprüft und dokumentiert werden.
3. Kunden-Chatbots und KI-Assistenten: Transparenz bereits bei der ersten Interaktion
Art. 50 Abs. 1 AI Act verpflichte zu einem entsprechenden Hinweis und gilt für KI-Systeme, die dazu bestimmt sind, unmittelbar mit natürlichen Personen zu interagieren. Erfasst sind insbesondere Chatbots, Sprachassistenten, Conversational Agents und KI-Agenten.
Die Kommission versteht „Interaktion“ weit. Erforderlich ist ein wechselseitiger Austausch mit einem echten dialogischen oder reaktiven Charakter. Die Interaktion kann schriftlich, mündlich, visuell oder physisch erfolgen und sich auf einen einzelnen Austausch oder auf eine längere Konversation beschränken. Rein passive Datenerfassung oder reine Backend-Systeme ohne unmittelbare Kommunikation mit Menschen fallen dagegen nicht unter Art. 50 Abs. 1 AI Act.
Im Finanzsektor können insbesondere folgende Systeme betroffen sein:
- Kunden-Chatbots auf Websites oder in Banking-Apps,
- KI-gestützte Telefonassistenten,
- digitale Assistenten für Produkt- und Servicefragen,
- automatisierte Beschwerdeportale,
- KI-gestützte Systeme zur Aufnahme von Betrugs- oder Verdachtsmeldungen,
- KI-Agenten, die für Kunden Termine buchen, Korrespondenz führen oder Transaktionen vorbereiten,
- interaktive Anwendungen zur Finanz- oder Versicherungsberatung.
Die Kommission nennt ausdrücklich KI-gestützte Betrugsmelde-Hotlines oder digitale Meldeportale von Finanzinstituten als Anwendungsfälle, in denen die Nutzer über die KI-Interaktion informiert werden müssen. Dies gilt selbst dann, wenn anschließend menschliche Ermittler oder Sachbearbeiter die Informationen prüfen.
Wie muss der Hinweis aussehen?
Der Hinweis muss in die Gestaltung und Nutzung des Systems eingebettet sein. Nicht ausreichend sind insbesondere ein Hinweis ausschließlich in Allgemeinen Geschäftsbedingungen oder ein versteckter Verweis in einer Datenschutzerklärung. Auch eine bloße URL zu weiterführenden Informationen, die Bezeichnung als „Assistent“, ohne die künstliche Natur offenzulegen, oder eine allgemeine Erklärung, dass auf der Website „auch KI eingesetzt“ werde, ist nicht ausreichend.
Geeignet sind dagegen Hinweise wie:
„Sie kommunizieren mit einem KI-gestützten Assistenten.“
oder:
„Dieser Chat wird durch ein KI-System geführt. Bei Bedarf können Sie sich an unseren Kundenservice wenden.“
Bei Sprachsystemen sollte der Hinweis zu Beginn der Interaktion hörbar erfolgen. Bei längeren, sensiblen oder potenziell irreführenden Interaktionen können wiederholte Hinweise erforderlich sein. Die Kommission nennt in ihren Guidelines als besonders sensible Kontexte unter anderem Finanzberatung, Versicherungsberatung, Rechtsberatung und Beschwerdebearbeitung.
Ausnahme bei offensichtlicher KI-Interaktion
Eine Information ist nicht erforderlich, wenn die künstliche Natur der Interaktion aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person offensichtlich ist. Die Leitlinien legen diese Ausnahme restriktiv aus. Die allgemeine Bekanntheit von Chatbots genügt nicht. Zu berücksichtigen sind insbesondere:
- die konkrete Nutzergruppe,
- die Gestaltung des Systems,
- die Verwendung menschlicher Namen, Stimmen oder Avatare,
- die digitale und KI-bezogene Kompetenz der Nutzer,
- die Einbeziehung älterer, behinderter oder anderweitig vulnerabler Personen,
- der konkrete Nutzungskontext.
Bei öffentlich zugänglichen Kunden-Chatbots sollten Finanzunternehmen daher regelmäßig nicht auf die Ausnahme vertrauen.
Anders kann dies bei internen KI-Assistenten für nachweislich geschulte Beschäftigte sein. Die Kommission nennt einen internen Assistenten für KI-kompetente Mitarbeitende in Bereichen wie Recht, Compliance, Beschaffung oder IT als Beispiel, bei dem die KI-Interaktion offensichtlich sein kann.
4. KI-Agenten müssen auch ihre Vertretungsrolle offenlegen
Besondere Bedeutung haben die Ausführungen der Kommission zu KI-Agenten. Art. 50 Abs. 1 AI Act gilt, wenn ein Agent mit der ihn anweisenden Person oder bei der Ausführung seiner Aufgabe mit anderen natürlichen Personen interagiert. Nach Auffassung der Kommission soll der Agent dabei nicht nur offenlegen, dass er ein KI-System ist. Er soll auch erkennen lassen, für wen er handelt. Dies betrifft insbesondere Agenten, die:
- Korrespondenz führen,
- Termine vereinbaren,
- Vertragsverhandlungen unterstützen,
- Käufe oder Bestellungen auslösen,
- Erklärungen gegenüber Dritten abgeben,
- im Zahlungsverkehr oder Kundenservice tätig werden.
Für Finanzunternehmen ist dies von erheblicher praktischer Tragweite. Ein Agent, der im Namen eines Instituts mit Kunden, Händlern oder anderen Dienstleistern kommuniziert, sollte daher beispielsweise erklären:
„Ich bin ein KI-Agent und handle im Auftrag der X-Bank.“
Bei Agenten mit weitergehenden Befugnissen müssen zusätzlich Autorisierungs-, Kontroll-, Protokollierungs- und Haftungsfragen geklärt werden. Die Transparenzpflicht ersetzt diese Governance-Anforderungen nicht.
5. Maschinenlesbare Kennzeichnung: primär eine Pflicht der Systemanbieter
Art. 50 Abs. 2 AI Act verpflichtet Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen oder manipulieren. Sie müssen sicherstellen, dass die Ausgaben:
- in einem maschinenlesbaren Format gekennzeichnet und
- als künstlich erzeugt oder manipuliert erkennbar sind.
Die technische Lösung muss wirksam, interoperabel, robust und zuverlässig sein, soweit dies technisch möglich ist. In Betracht kommen unter anderem Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise, Fingerprints oder vergleichbare technische Markierungen. Eine Markierung allein genügt nicht; es müssen auch geeignete Erkennungsmöglichkeiten bestehen.
Für die meisten Finanzunternehmen wird diese Pflicht zunächst auf Ebene des externen KI-Anbieters liegen. Gleichwohl sollten Institute prüfen:
- ob der eingesetzte Anbieter die erforderlichen Kennzeichnungsfunktionen bereitstellt,
- ob diese Funktionen bei Integration des Systems erhalten bleiben,
- ob Metadaten beim Export, bei Formatkonvertierung oder Veröffentlichung entfernt werden,
- ob vertraglich geregelt ist, wer für die technische Kennzeichnung verantwortlich ist,
- ob das Institut durch Eigenentwicklung, Modifikation oder Bereitstellung unter eigener Marke selbst Anbieter wird.
Nicht jeder KI-Output muss technisch markiert werden
Die Leitlinien grenzen den Anwendungsbereich ein. Nicht erfasst sind beispielsweise:
- reine Datenextraktion und Strukturierung ohne Zusammenfassung,
- maschinelle Ausgaben, die nicht für Menschen bestimmt sind,
- Quellcode und bestimmte maschinenlesbare Konfigurationen,
- einzelne Wörter, kurze Labels oder rein technische Angaben,
- bloße Wiedergabe oder Anordnung bereits vorhandener Inhalte.
Ausnahmen bestehen zudem für eine rein unterstützende Standardbearbeitung und für Änderungen, die Eingabedaten oder deren Bedeutung nicht wesentlich verändern. Als Beispiele nennt die Kommission in ihren Guidelines Rechtschreib- und Grammatikprüfung, geringfügige stilistische Glättung und – besonders praxisrelevant – KI-generierte Übersetzungen, soweit die Bedeutung des Ausgangstextes nicht verändert wird.
Demgegenüber gelten insbesondere KI-generierte Zusammenfassungen, substanzielle Umformulierungen und inhaltlich oder strukturell veränderte Texte als kennzeichnungspflichtige Inhalte auf Anbieterseite.
6. Deepfakes in Werbung und Unternehmenskommunikation
Art. 50 Abs. 4 Unterabs. 1 AI Act verpflichtet Betreiber, offenzulegen, wenn sie KI-Systeme zur Erzeugung oder Manipulation von Bild-, Audio- oder Videoinhalten verwenden, die als Deepfake einzustufen sind.
Ein Deepfake ist nach Art. 3 Nr. 60 AI Act ein KI-generierter oder manipulierter Bild-, Audio- oder Videoinhalt, der bestehenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlich authentisch oder wahr erscheinen würde.
Die Leitlinien betonen, dass keine Täuschungsabsicht erforderlich ist. Entscheidend ist objektiv, ob der Inhalt unter Berücksichtigung des Kontexts und der vorhersehbaren Zielgruppe den falschen Eindruck von Authentizität oder Wahrheit hervorrufen kann.
Für Finanzunternehmen können dabei insbesondere relevant sein:
- realistisch wirkende KI-Avatare von Vorständen oder Mitarbeitenden,
- synthetische Stimmen in Werbe- oder Informationsvideos,
- KI-generierte Kunden-Testimonials,
- manipulierte Produkt- oder Nutzungsszenarien,
- realistische Videos über vermeintliche Unternehmensereignisse,
- KI-generierte Darstellungen von Kunden, Filialen oder Beratungssituationen.
Die Kommission nennt ausdrücklich ein realistisches synthetisches Video eines Unternehmensleiters als Beispiel für einen Deepfake. Ebenso kann ein KI-generiertes Produktbild in einer Werbung ein Deepfake sein, wenn es das tatsächliche Erscheinungsbild, die Eigenschaften oder die Verwendung des Produkts irreführend verändert.
Die Kennzeichnung muss für Menschen unmittelbar wahrnehmbar sein. Ein unsichtbares technisches Wasserzeichen genügt für die Betreiberpflicht nicht. Denkbar sind sichtbare Hinweise wie:
„Dieses Video wurde mithilfe künstlicher Intelligenz erzeugt.“
Die Kennzeichnung macht einen Inhalt allerdings nicht automatisch zulässig. Datenschutzrecht, Persönlichkeitsrechte, Urheberrecht, Markenrecht und das Recht gegen unlauteren Wettbewerb bleiben uneingeschränkt anwendbar.
7. KI-generierte Texte über Angelegenheiten von öffentlichem Interesse
Art. 50 Abs. 4 Unterabs. 2 AI Act betrifft Texte, die KI-generiert oder KI-manipuliert wurden und mit dem Zweck veröffentlicht werden, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
Die Kommission versteht den Begriff der „Angelegenheiten von öffentlichem Interesse“ weit. Dazu können auch wirtschaftliche und finanzielle Entwicklungen gehören, wenn sie Gegenstand öffentlicher Diskussion oder Kontrolle sein können. Als Beispiel nennt sie ausdrücklich KI-manipulierte Unternehmensberichte eines börsennotierten Unternehmens mit Anlegerinformationen.
Im Finanzsektor können daher insbesondere erfasst sein:
- Markt- und Konjunkturberichte,
- öffentlich zugängliche regulatorische Einschätzungen,
- Anleger- und Kapitalmarktinformationen,
- öffentliche Berichte zu Finanzstabilität oder Cyberrisiken,
- Pressemitteilungen zu wesentlichen Unternehmensentwicklungen,
- öffentlich bereitgestellte Analysen zu Betrug, Geldwäsche oder Sanktionen,
- Beiträge zu politischen oder regulatorischen Entwicklungen im Finanzmarkt.
Nicht veröffentlicht im Sinne der Vorschrift sind dagegen regelmäßig:
- individuelle Kundenkorrespondenz,
- interne Unternehmenskommunikation,
- Texte in kleinen, geschlossenen Gruppen,
- individuelle Beratungsunterlagen für einzelne Mandanten oder Kunden.
Ausnahme bei menschlicher Prüfung und redaktioneller Verantwortung
Eine Kennzeichnung ist nicht erforderlich, wenn der KI-generierte oder manipulierte Text:
- einer menschlichen Prüfung oder redaktionellen Kontrolle unterzogen wurde und
- eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt.
Diese Ausnahme dürfte für professionell erstellte Newsletter, Fachbeiträge, Pressemitteilungen und regulatorische Veröffentlichungen besonders relevant sein. Sie setzt jedoch mehr voraus als eine rein formale Freigabe. Erforderlich ist ein belastbarer redaktioneller Prozess, in dem der Inhalt tatsächlich geprüft und verantwortet wird. Für Finanzunternehmen empfiehlt sich daher die Dokumentation dazu, wer den Text geprüft hat, welche fachliche Prüfung vorgenommen wurde, ob Quellen, Zahlen und rechtliche Aussagen kontrolliert wurden und wer die redaktionelle Verantwortung trägt. Auch die Dokumentation der veröffentlichten Version oder Fassung des Textes kann hilfreich sein.
8. Emotionserkennung und biometrische Kategorisierung
Setzt ein Finanzunternehmen ein KI-System zur Emotionserkennung oder biometrischen Kategorisierung ein, muss es nach Art. 50 Abs. 3 AI Act alle davon betroffenen Personen über den Betrieb des Systems informieren. Denkbare Anwendungsfälle wären etwa:
- die Analyse von Stimme, Gesichtsausdruck oder Verhalten in Kundengesprächen,
- die vermeintliche Erkennung von Nervosität oder Täuschungsabsicht,
- biometrische Alters- oder Geschlechtskategorisierung,
- Analyse emotionaler Reaktionen in digitalen Beratungsprozessen.
Die Information nach Art. 50 Abs. 3 AI Act legitimiert den Einsatz nicht. Zusätzlich sind insbesondere die Verbote des Art. 5 AI Act, die Vorgaben für Hochrisiko-KI-Systeme und das Datenschutzrecht zu prüfen. Die Kommission weist in ihren Guidelines ausdrücklich darauf hin, dass sämtliche Emotionserkennungssysteme entweder verboten oder grundsätzlich als hochriskant einzustufen sein können.
Finanzunternehmen sollten entsprechende Funktionen daher nicht ungeprüft aktivieren, auch wenn sie nur als Zusatzfunktion einer umfassenderen Kommunikations-, Video- oder Fraud-Detection-Lösung angeboten werden.
9. Verhältnis zu Datenschutz, Verbraucherschutz und DORA
Die Transparenzpflichten des Art. 50 AI Act bestehen neben anderen gesetzlichen Informations- und Governancepflichten.
- Datenschutz
Art. 50 AI Act ersetzt insbesondere nicht die Informationspflichten nach Art. 13 und 14 DSGVO. Bei personenbezogenen Daten sind weiterhin unter anderem Rechtsgrundlage, Zwecke, Empfänger, Speicherdauer, Betroffenenrechte und gegebenenfalls automatisierte Entscheidungsfindung offenzulegen.
Auch eine Kennzeichnung als KI-generiert legitimiert keine Verarbeitung von Kunden-, Beschäftigten- oder biometrischen Daten. - Verbraucherschutz
Bei KI-gestützten Produkten oder Dienstleistungen können zusätzliche vorvertragliche Informationspflichten bestehen. Irreführende Angaben oder das Verschweigen wesentlicher Merkmale bleiben nach dem Lauterkeits- und Verbraucherschutzrecht unzulässig. Dies gilt unabhängig davon, ob die KI-Interaktion nach Art. 50 Abs. 1 AI Act vermeintlich offensichtlich ist. - DORA
Bei beaufsichtigten Finanzunternehmen ist außerdem zu prüfen, ob das KI-System eine IKT-Dienstleistung im Sinne von DORA darstellt und – wenn dies bejaht wird – kritisch-wichtige Funktionen unterstützt. darstellt.
10. Code of Practice als freiwilliger Compliance-Pfad
Die Kommission hat bereits am 10. Juni 2026 einen finalen Code of Practice on Transparency of AI-Generated Content veröffentlicht. Er betrifft insbesondere die Kennzeichnung und Erkennung KI-generierter Inhalte nach Art. 50 Abs. 2 sowie die Betreiberpflichten nach Art. 50 Abs. 4 und 5 AI Act. Die Einhaltung des Codes ist freiwillig; die gesetzlichen Pflichten aus Art. 50 bleiben dagegen verbindlich.
Am 09. Juli 2026 hat die Kommission festgestellt, dass der Code die Verpflichtungen aus Art. 50 Abs. 2, 4 und 5 AI Act angemessen abdeckt; anschließend hat auch das AI Board eine entsprechende Bewertung vorgenommen. Unterzeichner können sich deshalb auf die im Code vorgesehenen Maßnahmen stützen, um die Einhaltung der Transparenzpflichten nachzuweisen. Unternehmen, die andere Maßnahmen wählen, müssen deren Gleichwertigkeit im Einzelfall darlegen.
Für Finanzunternehmen ist eine Unterzeichnung vor allem dann zu prüfen, wenn sie selbst Anbieter generativer Systeme sind oder regelmäßig Deepfakes beziehungsweise relevante KI-generierte Veröffentlichungen einsetzen. Bei der bloßen Nutzung externer Standardanwendungen dürfte zunächst wichtiger sein, ob der jeweilige Anbieter den Code unterzeichnet und seine technischen Funktionen entsprechend ausgestaltet hat.
11. Übergangsregelung für bereits bestehende Systeme
Die Pflichten gelten grundsätzlich ab dem 2. August 2026. Für bestimmte KI-Systeme, die bereits vor diesem Datum in Verkehr gebracht wurden, weist die Kommission auf eine Übergangsfrist bis zum 2. Dezember 2026 hin. Finanzunternehmen sollten sich hierauf jedoch nicht pauschal verlassen, sondern prüfen:
- wann das konkrete System in Verkehr gebracht oder in Betrieb genommen wurde,
- ob nach dem Stichtag wesentliche Änderungen erfolgt sind,
- welche Pflichten den Anbieter und welche das einsetzende Institut treffen,
- ob bestehende Verträge und technische Funktionen eine rechtzeitige Umsetzung ermöglichen.
Fazit
Die neuen Leitlinien zeigen, dass Art. 50 AI Act weit über einen Hinweis wie „Dieser Inhalt wurde mit KI erstellt“ hinausgeht. Die Vorschrift differenziert nach Systemtyp, Inhalt, Rolle des Unternehmens, Zielgruppe und Veröffentlichungskontext.
Für den Finanzsektor sind insbesondere drei Bereiche relevant:
- Kundeninteraktion durch Chatbots und KI-Agenten,
- öffentliche Kommunikation und KI-generierte Inhalte,
- Governance beim Einkauf und bei der Integration externer KI-Systeme.
Finanzunternehmen sollten dabei nicht ausschließlich auf ihre KI-Anbieter vertrauen. Zwar liegen die technischen Kennzeichnungspflichten des Art. 50 Abs. 2 AI Act häufig beim Systemanbieter. Die Offenlegung von Deepfakes, die Kontrolle bestimmter Veröffentlichungen und die richtige Gestaltung eigener Einsatzprozesse bleiben jedoch in der Verantwortung des betreibenden Unternehmens.
Art. 50 AI Act ist deshalb nicht nur eine Transparenzvorschrift. Er verlangt eine Verbindung aus technischer Umsetzung, rechtlicher Klassifizierung, klarer Verantwortungszuordnung und belastbaren redaktionellen sowie operativen Prozessen. Die am 20. Juli 2026 veröffentlichten Leitlinien liefern hierfür wichtige Orientierung, entbinden Finanzunternehmen aber nicht von der Prüfung ihrer konkreten Anwendungen.
